GDPR – Tietosuoja suunnittelun avulla

”Tietosuoja suunnittelusta lähtien” ja ”tietosuoja oletuksena” ovat olleet usein keskusteltuja aiheita liittyen tietosuojaan. Ensimmäiset ajatukset ”tietosuoja suunnittelusta lähtien” ilmaistiin 1970-luvulla, ja ne sisällytettiin 1990-luvulla RL 95/46/EY tietosuojadirektiiviin. Tämän direktiivin johdanto-osan kappaleen 46 mukaan tekniset ja organisatoriset toimenpiteet (TOM) on toteutettava jo käsittelyjärjestelmän suunnitteluvaiheessa tietoturvan suojaamiseksi.

Termi “suojaus suunnittelulogikalla” tarkoittaa vain “tietosuojan toteuttamista teknologian suunnittelun kautta.” Tämän takana on ajatus, että tietosuoja tietojen käsittelymenettelyissä toteutuu parhaiten, kun se on jo sisällytetty teknologiaan sen luomisen yhteydessä. Kuitenkin on edelleen epävarmuutta siitä, mitä “suojaus suunnittelulogikalla” tarkoittaa ja miten sen voi toteuttaa. Tämä johtuu toisaalta direktiivin epätäydellisestä täytäntöönpanosta joissakin jäsenvaltioissa ja toisaalta siitä, että periaate “suojaus suunnittelulogikalla” yleisessä tietosuoja-asetuksessa, jota nykyinen tietosuojakäytäntö edellyttää vastuullisilta, jo sisältää käsittelytapojen määrittämisen TOM:ien perustekijöiden ja vaatimusten täyttämiseksi, joita “suojaus suunnittelulogikalla” edellyttää. Lainsäädäntö jättää täysin avoimeksi, mitkä tarkat suojatoimenpiteet on toteutettava. Esimerkkinä voidaan mainita vain pseudonymisointi. Yksityiskohtaisempaa tietoa ei anneta asetuksen johdanto-osan kappaleessa 78. Ainakin muissa lain osissa salaus nimetään, samoin kuin tietojen anonymisointi mahdollisina suojatoimenpiteinä. Lisäksi on otettava huomioon käyttäjäntunnistus ja oikeuden vastustamiseen liittyvä tekninen toteutus. Lisäksi suojatoimenpiteiden valinnassa voi käyttää muita standardeja, kuten ISO-standardeja. Yksittäisissä tapauksissa valittaessa on varmistettava, että nykyaikainen tekniikan taso sekä kohtuulliset toteutuskustannukset otetaan huomioon.

Nimettyjen kriteerien lisäksi on otettava huomioon käsittelyn tyyppi, laajuus, olosuhteet ja tarkoitus. Tämä on vastakkain verrattava käsittelyyn liittyvien riskien erilaisten esiintymistodennäköisyyksien ja vakavuuksien kanssa. Lain teksti johtaa johtopäätökseen, että usein useita suojatoimia on käytettävä yhdessä lain vaatimusten täyttämiseksi. Käytännössä tämä harkinta tehdään jo varhaisessa kehitysvaiheessa, kun teknologiapäätöksiä tehdään. Tunnustettu sertifiointi voi toimia osoituksena viranomaisille siitä, että vastuulliset henkilöt ovat noudattaneet “Privacy by Design” -keskeisiä lain vaatimuksia.