GDPR – Προστασία Δεδομένων από Σχεδιασμό

Οι όροι “Προστασία της Ιδιωτικότητας εκ Σχεδιασμού” (Privacy by Design) και “Προστασία της Ιδιωτικότητας εξ Ορισμού” (Privacy by Default) έχουν αποτελέσει συχνά θέματα συζήτησης σχετικά με την προστασία των δεδομένων. Οι πρώτες σκέψεις για την “Προστασία της Ιδιωτικότητας εκ Σχεδιασμού” εκφράστηκαν τη δεκαετία του 1970 και ενσωματώθηκαν τη δεκαετία του 1990 στην οδηγία 95/46/ΕΚ για την προστασία των δεδομένων. Σύμφωνα με την αιτιολογική σκέψη 46 της συγκεκριμένης Οδηγίας, πρέπει να λαμβάνονται τεχνικά και οργανωτικά μέτρα (TOM) ήδη κατά τον προγραμματισμό ενός συστήματος επεξεργασίας για την προστασία της ασφάλειας των δεδομένων.

Ο όρος “Προστασία Προσωπικών Δεδομένων κατά το Σχεδιασμό” σημαίνει τίποτα περισσότερο από “προστασία δεδομένων μέσω του σχεδιασμού της τεχνολογίας”. Πίσω από αυτό είναι η σκέψη ότι η προστασία δεδομένων στις διαδικασίες επεξεργασίας δεδομένων τηρείται καλύτερα όταν είναι ήδη ενσωματωμένη στην τεχνολογία κατά τη δημιουργία της. Παρόλα αυτά, υπάρχει ακόμα αβεβαιότητα σχετικά με το τι σημαίνει “Προστασία Προσωπικών Δεδομένων κατά το Σχεδιασμό” και πώς μπορεί κανείς να το εφαρμόσει. Αυτό οφείλεται, αφενός, σε ελλιπή εφαρμογή της Οδηγίας σε ορισμένα Κράτη Μέλη και, αφετέρου, στο ότι η αρχή “Προστασία Προσωπικών Δεδομένων κατά το Σχεδιασμό” που περιλαμβάνεται στον Γενικό Κανονισμό για την Προστασία Δεδομένων, που απαιτεί οι υπεύθυνοι ήδη να συμπεριλαμβάνουν ορισμούς των μέσων για την επεξεργασία των TOMs τη στιγμή που ορίζονται για να εκπληρώσουν τις βάσεις και τις απαιτήσεις του “Προστασία Προσωπικών Δεδομένων κατά το Σχεδιασμό”. Η νομοθεσία αφήνει εντελώς ανοιχτό ποια ακριβώς προστατευτικά μέτρα πρέπει να ληφθούν. Για παράδειγμα, αρκεί να αναφέρουμε την ψευδωνυμοποίηση. Δεν παρέχονται περισσότερες λεπτομέρειες στον αιτιολογικό σκέψη 78 του κανονισμού. Τουλάχιστον σε άλλα μέρη του νόμου αναφέρεται η κρυπτογράφηση, καθώς και η ανωνυμοποίηση των δεδομένων ως πιθανά προστατευτικά μέτρα. Περαιτέρω, πρέπει να ληφθεί υπόψη η ταυτοποίηση χρήστη και η τεχνική εφαρμογή του δικαιώματος αντίρρησης. Επιπλέον, κατά την επιλογή των προφυλάξεων, μπορεί να χρησιμοποιήσει κανείς άλλα πρότυπα, όπως πρότυπα ISO. Κατά την επιλογή σε μεμονωμένες περιπτώσεις, πρέπει να εξασφαλιστεί ότι τόσο η τεχνολογική πρόοδος όσο και οι εύλογες δαπάνες εφαρμογής θα συμπεριλαμβάνονται.

Εκτός από τα ονομασθέντα κριτήρια, πρέπει να ληφθούν υπόψη ο τύπος, το εύρος, οι περιστάσεις και ο σκοπός της επεξεργασίας. Αυτό πρέπει να συγκριθεί με τις διάφορες πιθανότητες εμφάνισης και τη σοβαρότητα των κινδύνων που συνδέονται με την επεξεργασία. Το κείμενο του νόμου οδηγεί στο συμπέρασμα ότι συχνά πρέπει να χρησιμοποιηθούν διάφορα προστατευτικά μέτρα μαζί για την ικανοποίηση των νομοθετικών απαιτήσεων. Στην πράξη, αυτή η εξέταση πραγματοποιείται ήδη σε πρώιμο στάδιο ανάπτυξης κατά τη λήψη αποφάσεων για τεχνολογίες. Η αναγνωρισμένη πιστοποίηση μπορεί να χρησιμεύσει ως δείκτης προς τις αρχές ότι τα υπεύθυνα πρόσωπα έχουν συμμορφωθεί με τις νομοθετικές απαιτήσεις του «Σχεδιασμός Προστασίας Προσωπικών Δεδομένων».