数据隐私与网络安全。

根据GDPR，公共机构必须设立DPO；核心业务涉及大规模、经常性且系统性监控个人，或大规模处理特殊类别数据的组织，同样必须设立DPO。许多在法律上并非严格必须设立DPO的企业，依然会选择设立该职能，或寻求外部DPO咨询支持，因为该职能本身会推动合规方案所需的文件记录与监督工作落实到位。我们会评估该要求是否适用于贵组织，并可在资质支持下，担任或协助贵组织的DPO职能。

数据保护影响评估（DPIA）是一套结构化流程，用于在处理活动开始前识别并降低数据保护风险。只要处理活动可能对个人权利造成高风险，即属于法律强制要求的情形——大规模画像分析、系统性监控、大规模处理特殊类别数据，或部署隐私影响尚不明确的新技术，都是典型的触发情形。跳过一项本应进行的DPIA，本身就是一项合规缺陷，与该处理活动后续是否真正出问题无关。我们会开展评估并将其记录至可经受希腊数据保护局审查的标准。

若一次数据泄露可能对个人造成风险，GDPR要求组织在意识到该泄露后72小时内向希腊数据保护局通报，说明泄露的性质、可能造成的后果及已采取或拟采取的措施。若对个人的风险较高，还必须在不无故拖延的情况下直接通知相关个人。72小时倒计时不会因内部调查而暂停，缺乏经过演练的泄露应对计划的组织，往往会错过时限或提交不完整的通报。我们会协助预先制定该计划，并在真正发生泄露时管理通报事宜及后续与希腊数据保护局的一切往来。

如果贵公司符合相应的规模门槛，很可能适用。NIS2大幅扩大了欧盟网络安全监管的适用范围，远超传统关键基础设施——其"必要实体"与"重要实体"类别如今涵盖数字基础设施及服务提供商、制造业、邮政及快递服务、废弃物管理、食品生产，以及一系列此前从未认为自己会受网络安全监管约束的中型企业。我们会评估贵组织及所属行业是否属于适用范围，若适用，则协助落实NIS2所要求的风险管理措施及事件报告义务。

可以——在投诉、审查及正式调查中代表客户出席希腊数据保护局，是我们业务的核心组成部分，这得益于在企业内部设计并运行泛欧GDPR合规方案期间，与希腊数据保护局直接沟通积累的经验。这包括准备组织的陈述材料与证据、管理往来函件及各项时限，以及在作出决定或纠正令后，就后续步骤提供建议。及早介入——在立场尚未以书面形式固定之前——通常能带来比事后应对好得多的结果。

如果贵公司符合相应的规模门槛，很可能适用。NIS2大幅扩大了欧盟网络安全监管的适用范围，如今涵盖数字基础设施提供商、制造业、邮政服务、废弃物管理及众多中型企业。我们会评估贵组织是否属于适用范围并协助落实所需措施。