GDPR – privaatsus läbi disaini

“Privaatne Disain” ja “Privaatne Vaikimisi” on olnud sageli arutatud teemad, mis on seotud andmekaitsega. Esimesed mõtted “Privaatse Disaini” kohta väljendati 1970ndatel ja need integreeriti 1990ndatel RL 95/46/EÜ andmekaitse direktiivi. Selle direktiivi põhjenduse 46 kohaselt tuleb tehnilised ja korralduslikud meetmed (TOM) võtta juba töötlemissüsteemi planeerimise ajal, et kaitsta andmete turvalisust.

Mõiste “Privacy by Design” tähendab mitte midagi muud kui “andmekaitse läbi tehnoloogilise disaini.” Selle mõtte taga on see, et andmekaitset andmetöötlusprotseduurides järgitakse kõige paremini siis, kui see on juba tehnoloogia loomisel integreeritud. Sellegipoolest on endiselt ebakindlust selles, mida “Privacy by Design” tähendab ja kuidas seda ellu viia. See on tingitud, ühelt poolt, mõne liikmesriigi suunistete mittetäielikust rakendamisest ja teiselt poolt, et üldises andmekaitsemääruses sisalduv põhimõte “Privacy by Design”, mis nõuab vastutavatelt isikutelt juba TOMide töötlemiseks kasutatavate vahendite määratluste kaasamist nende määratlemise ajal, et täita “Privacy by Design” aluseid ja nõudeid. Õigusaktid jätavad täiesti lahtiseks, milliseid täpseid kaitsemeetmeid tuleb võtta. Näiteks võib ainult nimetada pseudonüümimist. Määruse põhjenduses 78 ei ole rohkem detaile antud. Vähemalt teistes seaduse osades on krüpteerimine nimetatud, samuti andmete anonüümimine kui võimalikud kaitsemeetmed. Peale selle tuleb arvestada kasutaja autentimist ja õiguse vastuväidete esitamise tehnilist rakendamist. Lisaks võib ettevaatusabinõude valikul kasutada muid standardeid, näiteks ISO standardeid. Individuaalsetel juhtudel valiku tegemisel tuleb tagada, et arvestatakse tehnika arengutaseme ning mõistlike rakendamiskuludega.

Lisaks nimetatud kriteeriumidele tuleb arvestada töötlemise liiki, ulatust, asjaolusid ja eesmärki. See tuleb vastandada töötlemisega seotud riskide esinemise erineva tõenäosuse ja raskusastmega. Seaduse tekst viitab sellele, et sageli tuleb kasutada mitmeid kaitsemeetmeid koos, et täita õiguslikke nõudeid. Praktikas toimub see kaalutlus tavaliselt juba varajases arengufaasis, kui tehakse tehnoloogilisi otsuseid. Tunnustatud sertifitseerimine võib toimida ametiasutustele indikaatorina, et vastutavad isikud on järgnenud “privaatsus disaini järgi” õiguslikele nõuetele.