La data de 20 octombrie 2020, Comitetul European pentru Protecția Datelor (în continuare „CEPD”) a adoptat Orientările 4/2019 asupra Articolul 25 din RGPD – Protecția datelor începând cu momentul conceperii (by design) și în mod implicit (by default).
Principiile privacy by design și privacy by default înseamnă că trebuie avută protecția datelor încă din faza de concept a sistemului informatic și pe întreaga sa viața. Acest articol este util companiilor care utilizează sisteme informatice, celor care dezvoltă sisteme informatice, consilierilor juridici și avocaților în domeniul dreptului tehnologiei, experților tehnici GDPR, experților în securitatea informației și responsabililor cu protecția datelor.
Prin intermediul acestui articol vom trece în revistă cele mai importante elemente ale ghidului CEPD cu privire la respectarea principiilor privacy by design și privacy by default,
1. Scopul
Ghidul este destinat operatorilor pentru a avea un set minim de elemente care să îi ajute în aplicarea art. 25 alin. (1) și (2) din RGPD, respectiv pentru respectarea principiilor privacy by design și privacy by default,
Art. 25 alin. 1 din RGPD prevede:
„Având în vedere stadiul actual al tehnologiei, costurile implementării, și natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice pe care le prezintă prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, pune în aplicare măsuri tehnice și organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate să pună în aplicare în mod eficient principiile de protecție a datelor, precum reducerea la minimum a datelor, și să integreze garanțiile necesare în cadrul prelucrării, pentru a îndeplini cerințele prezentului regulament și a proteja drepturile persoanelor vizate.”
Art. 25 alin. 2 din RGPD prevede:
„Operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a asigura că, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrării. Respectiva obligație se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor. În special, astfel de măsuri asigură că, în mod implicit, datele cu caracter personal nu pot fi accesate, fără intervenția persoanei, de un număr nelimitat de persoane”
Ghidul poate fi util și persoanelor împuternicite sau dezvoltatorii de servicii digitale și aplicații pentru a ști cum să dezvolte astfel de produse și servicii astfel încât să protejeze datele cu caracter personal ale utilizatorilor.
2. Analiza art. 25 alin. (1) RGPD (Protecția datelor by design)
În conformitate cu articolul 25 alineatul (1), operatorul pune în aplicare măsuri tehnice și organizatorice adecvate, menite să pună în aplicare principiile de protecție a datelor și să integreze garanțiile necesare în cadrul prelucrării pentru a îndeplini cerințele și a proteja drepturile și libertățile persoanelor vizate. Atât măsurile adecvate, cât și garanțiile necesare sunt menite să servească aceluiași scop de a proteja drepturile persoanelor vizate și de a se asigura că protecția datelor lor cu caracter personal este integrată în prelucrare.
KIT GDPR Premium
Măsurile tehnice și organizatorice și garanțiile necesare pot fi înțelese în sens larg ca orice metodă sau mijloace pe care un operator le poate utiliza în prelucrare. A fi adecvat înseamnă că măsurile și garanțiile necesare ar trebui să fie adecvate pentru atingerea scopului propus, și anume acestea trebuie să pună în aplicare în mod eficace principiile de protecție a datelor. Cerința de adecvare este, prin urmare, strâns legată de cerința de eficacitate.
O măsură tehnică și organizatorică poate fi orice măsură care ajută la conformare și este necesară pentru atingerea scopului, ca de exemplu, training-ul personalului, soluții IT pentru securitate, contracte și alte proceduri scrise și implementate, proceduri privind facilitatea exercitării drepturilor persoanelor vizate, securitatea sistemelor informatice, contracte semnate cu persoanele împuternicite și alți colaboratori pentru a proteja în mod adecvat datele, coduri de conduită.
La punerea în aplicare a măsurilor tehnice și organizatorice adecvate trebuie luate în calcul principiile de protecție a datelor și respectarea tuturor drepturilor persoanelor vizate.
Deși RGPD nu indică în mod clar care sunt aceste măsuri tehnice și organizatorice, precizează totuși că acestea trebuie să aibă un caracter adecvat pentru a asigura protecția datelor și faptul că operatorul trebuie să documentele măsurile implementate și să fie apt să demonstreze că aceste măsuri au un caracter adecvat.
Te-ar putea interesa și:
2.1. Caracterul adecvat
În vederea stabilirii caracterului adecvat, art. 22 alin. 1 din RGPD oferă o listă de elemente care ar trebui luată în calcul, respectiv stadiul actual al tehnologiei, costurile implementării, natura, domeniul de aplicare, contextul și scopurile prelucrării, și riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice.
Cu privire la „stadiul actual al tehnologiei”, CEPD recomandă, printre altele, operatorilor să țină seama de progresul actual al tehnologiilor disponibile pe piață și subliniază că „stadiul actual” este un concept dinamic care nu poate fi fixat la un anumit punct în timp, prin urmare operatorul trebuie să fie la curent în mod continuu cu noile dezvoltări tehnologice pentru a asigura protecția datelor la cele mai înalte standarde disponibile pe piață.
Cu privire la „costurile implementării”, CEPD precizează că acest element nu impune operatorului să cheltuiască o cantitate disproporționată de resurse atunci când există măsuri alternative, mai puțin costisitoare, dar eficiente. Oricum, arată CEPD, costurile implementările sunt un factor care trebuie luat în considerare pentru a implementa principiile și nu un factor care să îi permită operatorului să nu implementeze principiile privacy by design.
Cu privire la „natura, domeniul de aplicare, contextul și scopurile prelucrării”, CEPD a arătat că noțiunea de natură înseamnă caracteristicile inerente ale prelucrării, domeniul de aplicare se referă la volumul și intervalul de prelucrare, contextul se referă la circumstanțele prelucrării, care pot influența așteptările persoanei vizate, în timp ce scopul se referă la obiectivele prelucrării.
Cu privire la „riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice”, CEPD reamintește că RGPD are o abordare bazată pe risc. Prin urmare, atunci când realizează o analiză de risc pentru conformarea cu art. 25, operatorul trebuie să identifice riscurile la adresa drepturilor și libertăților persoanelor vizate, să determine probabilitatea acestor riscuri de a se produce pentru a ști ce măsuri trebuie puse în aplicare pentru a reduce la minimum riscurile.
CEPD arată „O evaluare sistematică și aprofundată a prelucrării este esențială atunci când se efectuează evaluări ale riscurilor. De exemplu, un operator evaluează riscurile specifice asociate lipsei consimțământului liber acordat, ceea ce constituie o încălcare a principiului legalității, în cursul prelucrării datelor cu caracter personal ale copiilor și tinerilor sub 18 ani ca grup vulnerabil, într-un caz în care nu există niciun alt temei juridic, și pune în aplicare măsuri adecvate pentru a aborda și a atenua în mod eficient riscurile identificate asociate cu acest grup de persoane vizate”
Prin urmare, ce dorește să spună CEPD este că o prelucrare cu un risc mai mare pentru persoanele vizate (de exemplu, un grup vulnerabil, copiii sau prelucrarea categoriilor speciale de date) are nevoie de măsuri mai ridicate de reducere a riscurilor în comparație cu o prelucrare obișnuită.
3. Analiza art. 25 alin. (2) RGPD (Protecția datelor by default)
CEPD explică faptul că termenul „by default” (în mod implicit) în contextul prelucrării de date cu caracter personal se referă la a face alegeri cu privire la valorile de configurare sau opțiunile de prelucrare care sunt stabilite sau prescrise într-un sistem de prelucrare, ar fi o aplicație software, serviciu sau dispozitiv, sau o procedură de prelucrare manuală care afectează cantitatea de date cu caracter personal colectate, amploarea prelucrării lor, perioada de stocare a acestora și accesibilitatea lor.
CEPD arată, printre altele, și următoarele (i) operatorul nu trebuie să prelucreze mai multe date decât sunt necesare pentru funcționarea sistemului; (2) datele nu trebuie stocate în sistem pe o perioadă mai lungă decât cea strict necesară; (3) operatorul trebuie să determine scopuri explicite, legitime și concrete (De ce are nevoie de date?); (4) în cazul în care operatorul utilizează software terț sau software de la terți, operatorul ar trebui să efectueze o evaluare a riscurilor produsului și să se asigure că funcțiile care nu au un temei juridic sau nu sunt compatibile cu scopurile prevăzute ale prelucrării sunt dezactivate.
3.1. Dimensiunea obligației de a reduce la minimum
Articolul 25 alineatul (2) enumeră dimensiunile obligației de reducere la minimum a datelor pentru respectarea principiilor privacy by design și privacy by default, precizând că obligația se aplică volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare și accesibilității lor.
Cu privire la volumul de date colectate, CEPD arată că dacă volumul de date colectate este mai mare, în consecință, riscurile vor fi mai mari și operatorul trebuie să implementeze măsuri tehnice și organizatorice mai ridicate.
Cu privire la gradul de prelucrare, CEPD arată că „operațiunile de prelucrare efectuate asupra datelor cu caracter personal trebuie să se limiteze la ceea ce este necesar. Multe operațiuni de prelucrare pot contribui la un scop de prelucrare. Cu toate acestea, faptul că anumite date cu caracter personal sunt necesare pentru îndeplinirea unui scop nu înseamnă că toate tipurile și frecvențele operațiunilor de prelucrare pot fi efectuate pe date. Operatorii ar trebui, de asemenea, să aibă grijă să nu extindă limitele “scopurilor compatibile” ale articolului 6 alineatul (4) și să aibă în vedere ce prelucrare se va încadra în așteptările rezonabile ale persoanelor vizate”. Cu alte cuvinte, CEPD arată că reducerea la minimum pentru respectarea principiilor privacy by design și privacy by default, trebuie realizată nu doar în raport cu volumul de date colectate, ci și în raport cu gradul de prelucrare.
În ceea ce privește perioada de stocare, CEPD arată că datele trebuie stocate pe perioada minimă pentru atingerea scopurilor și orice reținere a datelor trebuie justificată de operator în conformitate cu principiul responsabilității. După împlinirea perioadei, datele trebuie șterse sau anonimizate. În privința anonimizării, CEPD arată că trebuie evaluate în mod constant orice riscuri cu privire la inversarea procesului de anonimizare care poate conduce, fie și indirect, către identificarea persoanei.
În ceea ce privește accesibilitatea, CEPD precizează că operatorul trebuie să limiteze cine are acces la date deoarece datele nu pot fi disponibile unui număr nelimitat de persoane și la ce parte din sistem este nevoie de acces – printr-o analiză prealabilă a necesității. Operatorul trebuie să se asigure că datele personale sunt accesibile celor care au nevoie de ele, de exemplu, în situații critice. Controalele de acces, arată CEPD, trebuie setate pentru întregul flux de date în timpul prelucrării.
4. Privacy by design și privacy by default: implementarea principiilor-cheie ale RGPD
4.1. Transparența
Operatorul trebuie să fie transparent față de persoana vizată cu privire la modalitatea în care colectează, utilizează și transferă datele.
Elemente-cheie care trebuie avute în vedere pentru transparență:
- Claritate – Informațiile trebuie să fie într-un limbaj clar și simplu, concis și inteligibil.
- Semantică – Comunicarea ar trebui să aibă un sens clar pentru publicul în cauză.
- Accesibilitate – Informațiile trebuie să fie ușor accesibile pentru persoana vizată.
- Contextualitate – Informațiile ar trebui furnizate la momentul relevant și în forma corespunzătoare.
- Relevanță – Informațiile ar trebui să fie relevante și aplicabile persoanei vizate specifice.
- Design universal – Informație accesibilă, limbă cunoscută, lizibilitate și claritate.
- Inteligibilitate – Persoanele vizate ar trebui să aibă o înțelegere corectă a ceea ce se pot aștepta în ceea ce privește prelucrarea datelor lor cu caracter personal, în special atunci când persoanele vizate sunt copii sau alte grupuri vulnerabile.
- Multi-canal – Informații ar trebui să fie furnizate în diferite canale și mass-media, nu numai textual, pentru a crește probabilitatea ca informațiile să ajungă în mod eficient la persoana vizată.
- Stratificare – Informațiile ar trebui să fie stratificate într-un mod care să rezolve tensiunea dintre exhaustivitate și înțelegere, contabilizând în același timp așteptările rezonabile ale persoanelor vizate.
4.2. Legalitatea
Operatorul trebuie să identifice cel puțin o bază legală pentru prelucrare, în conformitate cu principiul legalității.
Elemente-cheie care trebuie avute în vedere pentru legalitate:
- Relevanța – Temeiul juridic corect care se aplică prelucrării.
- Diferențiere – Temeiul juridic utilizat pentru fiecare activitate de prelucrare se diferențiază.
- Scop specificat – Temeiul juridic adecvat trebuie să fie clar legat de scopul specific al prelucrării.
- Necesitate – Prelucrarea trebuie să fie necesară și necondiționată pentru ca scopul să fie legal.
- Autonomie – Persoanei vizate ar trebui să i se acorde cel mai înalt grad de autonomie posibil în ceea ce privește controlul asupra datelor cu caracter personal în cadrul temeiului juridic respectiv.
- Obținerea consimțământului – consimțământul trebuie dat în mod liber, specific, informat și lipsit de ambiguitate. Ar trebui să se acorde o atenție deosebită capacității copiilor și adolescenților de a oferi consimțământul în cunoștință de cauză.
- Retragerea consimțământului – În cazul în care consimțământul este temeiul juridic, prelucrarea ar trebui să faciliteze retragerea consimțământului. Retragerea trebuie să fiela fel de ușoară ca și acordarea consimțământului. În caz contrar, mecanismul de consimțământ al operatorului nu respectă GDPR.
- Echilibrarea intereselor – În cazul în care interesele legitime constituie temeiul juridic, operatorul trebuie să efectueze o analiză a interesul legitim, acordând o atenție deosebită dezechilibrului de putere, în special copiilor cu vârsta sub 18 ani și altor grupuri vulnerabile. Trebuie să existe măsuri și garanții pentru a atenua impactul negativ asupra persoanelor vizate.
- Predeterminare – Temeiul juridic se stabilește înainte de începerea prelucrării.
- Încetarea – În cazul în care temeiul juridic încetează să se mai aplice, prelucrarea încetează în consecință.
- Ajustare – În cazul în care există o modificare valabilă a temeiului juridic pentru prelucrare, prelucrarea efectivă trebuie ajustată în conformitate cu noul temei juridic.
- Repartizarea responsabilității – Ori de câte ori există o relație de operatori asociați, părțile trebuie să își repartizeze în mod clar și transparent responsabilitățile respective față de persoana vizată și să elaboreze măsurile prelucrării în conformitate cu această repartizare.
4.3. Echitatea
În general, echitatea presupune faptul că operatorul trebuie să prelucreze datele cu caracter personal doar în modalități la care persoanele vizate s-ar aștepta în mod rezonabil și nu ar trebui utilizate modalități care au efecte negative nejustificate asupra acestora.
Elemente-cheie care trebuie avute în vedere pentru echitate și pentru respectarea principiilor privacy by design și privacy by default,:
- Autonomia – Persoanelor vizate ar trebui să li se acorde cel mai înalt grad de autonomie posibil pentru a determina utilizarea datelor lor cu caracter personal, precum și asupra domeniului de aplicare și condițiilor de utilizare sau prelucrare.
- Interacțiunea – Persoanele vizate trebuie să fie în măsură să comunice și să își exercite drepturile cu privire la datele cu caracter personal prelucrate de operator.
- Așteptarea rezonabilă – Prelucrarea ar trebui să corespundă așteptărilor rezonabile ale persoanelor vizate.
- Nediscriminarea – Operatorul nu trebuie să discrimineze în mod nedrept persoanele vizate.
- Neexploatarea – Operatorul nu ar trebui să exploateze nevoile sau vulnerabilitățile persoanelor vizate.
- Alegerea consumatorului – Operatorul nu ar trebui să „blocheze” utilizatorii lor într-un mod nedrept.
- Echilibrul de putere – Echilibrul de putere ar trebui să fie un obiectiv cheie al relației operator-subiect vizat. Trebuie evitate dezechilibrele de putere. În cazul în care acest lucru nu este posibil, acestea ar trebui recunoscute și contabilizate cu măsuri adecvate.
- Niciun transfer de risc – Operatorii nu ar trebui să transfere riscurile prelucrării către persoanele vizate.
- Fără înșelăciune – Informațiile și opțiunile de prelucrare a datelor ar trebui furnizate într-un mod obiectiv și neutru, evitând orice limbaj sau design înșelător sau manipulator.
- Respectarea drepturilor – Operatorul trebuie să respecte drepturile fundamentale ale persoanelor vizate și să pună în aplicare măsuri și garanții adecvate
- Abordare etică – Operatorul ar trebui să vadă impactul mai larg al prelucrării asupra drepturilor și demnității persoanelor.
- Veridicitate – Operatorul trebuie să prelucreze datele așa cum declară în fața persoanei vizate.
- Intervenție umană – Operatorul trebuie să includă o intervenție umană calificată, capabilă să descopere deciziile eronate pe care mașinile le pot lua cu privire la oameni
- Algoritmi corecți – să evalueze în mod regulat dacă algoritmii funcționează în conformitate cu scopurile și să ajusteze algoritmii pentru a atenua riscurile descoperite și pentru a asigura corectitudinea prelucrării. Persoanele vizate ar trebui să fie informate cu privire la funcționarea prelucrării datelor cu caracter personal pe baza algoritmilor care analizează sau fac previziuni despre acestea, ar fi performanța la locul de muncă, situația economică, sănătatea, preferințele personale, fiabilitatea sau comportamentul, locația sau mișcările.
4.4. Privacy by design și privacy by default. Limitarea scopului
Elemente-cheie care trebuie avute în vedere pentru limitarea scopului:
- Predeterminare – Scopurile legitime se stabilesc înainte de proiectarea prelucrării.
- Specificitate – Scopurile sunt specificate și explicite cu privire la rațiunea din spatele activității de prelucrare.
- Orientarea scopului – Scopul prelucrării ar trebui să ghideze proiectarea prelucrării și stabilirea limitelor de prelucrare.
- Necesitatea – Scopul determină ce date cu caracter personal sunt necesare pentru prelucrare.
- Compatibilitatea – Orice nou scop trebuie să fie compatibil cu scopul inițial pentru care au fost colectate datele.
- Limitarea prelucrării ulterioare – Operatorul nu ar trebui să conecteze seturi de date și să efectueze nicio prelucrare ulterioară în scopuri noi incompatibile.
- Limitări ale reutilizării – Operatorul ar trebui să utilizeze măsuri tehnice, inclusiv hashing și criptare, pentru a limita posibilitatea de utiliza în alte scopuri datele cu caracter personal. Operatorul ar trebui, de asemenea, să dispună de măsuri organizatorice, ar fi politici și obligații contractuale, care limitează reutilizarea datelor cu caracter personal.
- Revizuirea – Operatorul ar trebui să verifice periodic dacă prelucrarea este necesară în scopurile pentru care au fost colectate datele și să testeze sistemul în raport cu limitarea scopului.
4.5. Reducerea la minimum a datelor
Elemente-cheie care trebuie avute în vedere pentru reducerea la minimum a datelor:
- Evitarea datelor – Evitați prelucrarea împreună a datelor cu caracter personal atunci când acest lucru este posibil. Încercați să delimitați seturile de date și să prelucrați doar ceea ce este necesar.
- Limitarea – Limitarea cantității de date cu caracter personal colectate la ceea ce este necesar în scopul limitării accesului.
- Limitarea accesului doar la persoanele care au nevoie de date.
- Relevanță – Datele cu caracter personal ar trebui să fie relevante pentru prelucrarea în cauză, iar operatorul ar trebui să poată demonstra această relevanță.
- Necesitate – Fiecare categorie de date cu caracter personal este necesară în scopurile specificate și ar trebui prelucrată numai dacă nu este posibilă îndeplinirea scopului prin alte mijloace mai puțin intruzive.
- Agregare – Utilizați date agregate atunci când este posibil.
- Pseudonimizarea – Pseudonimizează datele cu caracter personal de îndată ce nu mai este necesar să aveți nevoie de el și stocați-le separat cu chei de criptare.
- Anonimizarea și ștergerea – În cazul în care datele cu caracter personal nu sunt sau nu mai sunt necesare în acest scop, datele cu caracter personal vor fi anonimizate sau șterse.
- Fluxul de date – Fluxul de date ar trebui să fie suficient de eficient pentru a nu crea mai multe copii decât este necesar.
- “Stadiul actual al tehnologiei” – Operatorul ar trebui să aplice tehnologii actualizate și adecvate pentru evitarea și reducerea la minimum a datelor.
4.6. Exactitatea
Elemente-cheie care trebuie avute în vedere pentru respectarea exactității:
- Sursa datelor – Sursele de date cu caracter personal ar trebui să fie de încredere pentru acuratețea datelor.
- Gradul de acuratețe – Fiecare element de date cu caracter personal ar trebui să fie cât mai precis pentru scopurile specificate.
- Foarte precis – Reduceți numărul de rezultate fals pozitive/negative, de exemplu prejudecăți în deciziile automatizate și inteligența artificială.
- Verificare – În funcție de natura datelor, în funcție de cât de des se pot modifica, operatorul ar trebui să verifice corectitudinea datelor cu caracter personal cu persoana vizată înainte și în diferite etape ale prelucrării (de exemplu, în funcție de cerințele privind vârsta).
- Ștergere/rectificare – Operatorul șterge sau rectifică datele inexacte fără întârziere. Operatorul facilitează în special acest lucru în cazul în care persoanele vizate sunt sau au fost copii și doresc ulterior să elimine astfel de date cu caracter personal.
- Evitarea propagării erorilor – Operatorii ar trebui să atenueze efectul unei erori acumulate în lanțul de prelucrare.
- Acces – Persoanele vizate ar trebui să primească informații despre datele cu caracter personal și accesul efectiv la acestea, în conformitate cu articolele 12-15 din RGPD, pentru a controla acuratețea și a le rectifica, după caz.
- Acuratețe continuă – Datele cu caracter personal ar trebui să fie exacte în toate etapele prelucrării, testele de acuratețe ar trebui efectuate în etape critice.
- Actualizare – Datele cu caracter personal se actualizează, dacă este necesar.
- Proiectarea datelor – Utilizarea caracteristicilor de proiectare tehnologică și organizațională pentru a reduce inexactitatea, de exemplu, să prezinte opțiuni concise prestabilite în locul câmpurilor de text liber.
4.7. Limitarea duratei de stocare
Elemente-cheie care trebuie luate în calcul pentru respectarea principiului limitării legate de stocate și a principiilor privacy by design și privacy by default:
- Ștergere și anonimizare – Operatorul ar trebui să aibă proceduri interne clare și funcționalități pentru ștergere și/sau anonimizare.
- Eficacitatea anonimizării/ștergerii – Operatorul se asigură că nu este posibilă reidentificarea persoanelor din datelor anonimizate sau recuperarea datelor șterse și trebuie să testeze dacă acest lucru este posibil.
- Automatizare – Ștergerea anumitor date cu caracter personal ar trebui să fie automatizată.
- Criterii de stocare – Operatorul stabilește ce date și durata stocării pentru fiecare categorie de date.
- Justificare – Operatorul trebuie să fie în măsură să justifice de ce perioada de stocare este necesară.
- Punerea în aplicare a politicilor de retenție – Operatorul ar trebui să aplice politicile interne de retenție și să efectueze teste pentru a stabili dacă organizația implementează politicile.
- Copii de rezervă/jurnale – Operatorii stabilesc ce date cu caracter personal și durata stocării sunt necesare pentru copii de rezervă și jurnale.
4.8. Integritate și confidențialitate
Elemente cheie pentru respectarea principiului integrității și confidențialității și a principiilor privacy by design și privacy by default:
- Sistemul de management al securității informației– Dispuneți de un mijloc operativ de gestionare a politicilor și procedurilor de securitate a informațiilor.
- Analiza riscurilor – Evaluarea riscurilor împotriva securității datelor cu caracter personal prin luarea în considerare a impactului asupra drepturilor persoanelor și prin contracararea riscurilor identificate.
- Securitate prin proiectare – Luați în considerare cerințele de securitate cât mai curând posibil în proiectarea și dezvoltarea sistemului și integrați și efectuați în permanență teste relevante.
- Întreținere – Revizuirea și testarea regulată a software-ului, hardware-ului, sistemelor și serviciilor etc. pentru a descoperi vulnerabilitățile sistemelor care susțin prelucrarea.
- Managementul controlului accesului – Operatorii trebuie să se asigure că numai personalul autorizat care are acces la datele cu caracter personal necesare pentru sarcinile lor de prelucrare, iar operatorul ar trebui să facă diferențe între privilegiile de acces ale personalului autorizat.
- Limitarea accesului– Modelați prelucrarea datelor într-un mod în care un număr minim de persoane au nevoie de acces la datele cu caracter personal pentru a-și îndeplini sarcinile și limitați accesul în consecință.
- Segregarea accesului – Modelarea prelucrării datelor într-un mod în care nicio persoană nu are nevoie de acces cuprinzător la toate datele colectate despre o persoană vizată, cu atât mai puțin la toate datele cu caracter personal ale unei anumite categorii de persoane vizate.
- Transferuri securizate – Transferurile vor fi asigurate împotriva accesului și modificărilor neautorizate și accidentale.
- Stocare securizată – Stocarea datelor trebuie să fie sigură împotriva accesului și modificărilor neautorizate. Ar trebui să existe proceduri pentru a evalua riscul stocării centralizate sau descentralizate și la ce categorii de date cu caracter personal se aplică. Unele date pot avea nevoie de măsuri de securitate suplimentare decât altele, de exemplu categoriile speciale de date.
- Pseudonimizare – Datele cu caracter personal și back-up-urile/jurnalele ar trebui să fie pseudonimizate ca măsură de securitate pentru a reduce la minimum riscurile de potențiale încălcări ale securității datelor, de exemplu prin utilizarea hashing-ului sau a criptării.
- Copii de rezervă/jurnale – Păstrați copiile de rezervă și jurnalele în măsura necesară pentru securitatea informațiilor, utilizați pistele de audit și monitorizarea evenimentelor ca un control de securitate de rutină. Acestea trebuie protejate împotriva accesului neautorizat și accidental, precum și a modificărilor și trebuie evizuite periodic, iar incidentele ar trebui tratate cu promptitudine.
- Recuperarea în caz de dezastru/ continuitatea activității – Abordarea cerințelor privind recuperarea în caz de dezastru a sistemului informatic și continuitatea activității pentru a restabili disponibilitatea datelor cu caracter personal în urma incidentelor majore.
- Protecția în funcție de risc – Toate categoriile de date cu caracter personal ar trebui protejate prin măsuri adecvate în ceea ce privește riscul unei încălcări a securității. Datele care prezintă riscuri speciale ar trebui, atunci când este posibil, să fie separate de restul datelor cu caracter personal.
- Gestionarea răspunsului la incidente de securitate – dispuneți de proceduri pentru a detecta, a conține, a gestiona, a raporta și a învăța din încălcările securității datelor.
- Gestionarea incidentelor – Operatorul ar trebui să dispună de procese pentru a gestiona încălcările și incidentele, pentru a face sistemul de procesare mai robust. Aceasta include proceduri de notificare, ar fi gestionarea notificării (către autoritatea de supraveghere) și informații (către persoanele vizate). Astfel de proceduri se regăsesc în KIT GDPR Premium.
5. Recomandări suplimentare ale CEPD
Pentru respectarea principiilor privacy by design și privacy by default, CEPD recomandă, printre altele, și următoarele:
- Operatorii ar trebui să se gândească la protecția datelor din etapele inițiale ale planificării unui sistem informatic (privacy by design), chiar înainte de momentul determinării mijloacelor de prelucrare.
- Atunci când s-a desemnat un responsabil cu protecția datelor, acesta trebuie să fie implicat în crearea și implementarea procedurilor și politicilor necesare.
- Operatorii trebuie să aibă politici suplimentare pentru prelucrarea datelor copiilor și a altor grupuri vulnerabile.
- Dezvoltatorii de sisteme informatice trebuie să aibă un rol activ în a ține sisteme la cele mai noi dezvoltări ale tehnologiei în materie de protecție a datelor.
- CEPD recomandă ca operatorii să ceară dezvoltatorilor și persoanelor împuternicite să demonstreze cum hardware-ul, software-ul, serviciul sau sistemul respectă cerințele GDPR și ce măsuri și garanții prezintă acestea.
- Operatorii trebuie să fie transparenți față de persoana vizată despre standardele de conformitate a sistemelor IT pe care le utilizează.
Documentul integral în limba engleză poate fi accesat aici.
Vrei să te aliniezi la GPPR? Cum te putem ajuta:
- Consultanță și implementare GDPR. Află mai multe aici.
- KIT complet de documente prin care îți faci singur implementarea, cu suportul nostru juridic. Află mai multe aici
[Conținutul prezentului articol nu reprezintă o consultație juridică în temeiul Legii nr. 51/1995 privind organizarea și exercitarea profesiei de avocat, iar site-ul nu își asumă răspunderea pentru conținutul publicat de autori, editori și colaboratori.]
