GDPR – Ochrana osobních údajů již od návrhu

„Ochrana soukromí již při návrhu“ a „základní nastavení ochrany soukromí“ jsou často diskutovaná témata týkající se ochrany dat. První myšlenky „Ochrany soukromí již při návrhu“ byly vyjádřeny v 70. letech a v 90. letech byly začleněny do směrnice o ochraně dat RL 95/46/ES. Podle odůvodnění 46 této směrnice musí být technická a organizační opatření (TOM) přijata již při plánování systému zpracování za účelem ochrany bezpečnosti dat.

Termín „Privacy by Design“ neznamená nic jiného než „ochrana údajů prostřednictvím návrhu technologie“. Za tímto se skrývá myšlenka, že ochrana údajů v postupech zpracování údajů je nejlépe dodržována, když je již integrována do technologie při jejím vzniku. Přesto však stále existuje nejistota ohledně toho, co „Privacy by Design“ znamená, a jak ji lze implementovat. Je to způsobeno jednak neúplnou implementací směrnice v některých členských státech a jednak tím, že princip „Privacy by Design“, který je v Obecné nařízení o ochraně osobních údajů, že současný přístup v pokynech k ochraně údajů vyžaduje, aby osoby odpovědné již zahrnovaly definice prostředků pro zpracování TOMů v době, kdy jsou definovány, s cílem naplnit základní požadavky „Privacy by Design“. Legislativní předpisy zcela nevymezují, jaká ochranná opatření mají být přijata. Jako příklad lze uvést pouze pseudonymizaci. Podrobnosti jsou uvedeny v odůvodnění 78 nařízení. Alespoň v jiných částech zákona je jmenováno šifrování a anonymizace údajů jako možná ochranná opatření. Dále je třeba zvážit ověřování uživatelů a technické provedení práva vznést námitku. Kromě toho lze při výběru opatření použít i jiné normy, například normy ISO. Při výběru v jednotlivých případech je nutné zajistit, aby bylo zohledněno současné technické stav i přiměřené náklady na implementaci.

Kromě uvedených kritérií musí být zohledněn typ, rozsah, okolnosti a účel zpracování. To je třeba porovnat s různou pravděpodobností výskytu a závažností rizik spojených se zpracováním. Text zákona vede k závěru, že často musí být použito několik ochranných opatření současně, aby byly splněny zákonné požadavky. V praxi se toto posouzení provádí již v rané fázi vývoje při stanovování technologických rozhodnutí. Uznaná certifikace může sloužit jako indikátor pro úřady, že odpovědné osoby splnily zákonné požadavky „Ochrana soukromí již od návrhu“.