GDPR – Adatvédelem már a tervezéskor

A „beépített adatvédelem” és az „alapértelmezett adatvédelem” gyakran tárgyalt témák az adatvédelem kapcsán. A „beépített adatvédelem” első gondolatai az 1970-es években jelentek meg, és az 1990-es években beépítették a 95/46/EK adatvédelmi irányelvbe. Az irányelv 46. preambulumbekezdése szerint technikai és szervezeti intézkedéseket (TOM) kell hozni már egy feldolgozási rendszer tervezésekor az adatok biztonságának védelme érdekében.

A „Privacy by Design” kifejezés nem jelent mást, mint „adatvédelem technológia tervezéssel”. Ennek hátterében az a gondolat áll, hogy az adatvédelmet a legjobban akkor lehet betartani az adatkezelési eljárásokban, ha azt már a technológia létrehozása során integrálják. Ennek ellenére még mindig bizonytalanság van azzal kapcsolatban, hogy mit jelent a „Privacy by Design”, és hogyan valósítható meg. Ezt egyrészt az irányelv hiányos végrehajtása okozza néhány tagállamban, másrészt az általános adatvédelmi rendeletben szereplő „Privacy by Design” elv, amely a jelenlegi adatvédelmi irányelvek megközelítése, amely megköveteli, hogy a felelős személyek már a feldolgozási módok meghatározásakor határozzák meg az eszközöket annak érdekében, hogy megfeleljenek a „Privacy by Design” alapjainak és követelményeinek. A jogszabály nem határozza meg pontosan, milyen védelmi intézkedéseket kell tenni. Például elegendő a pszeudonimizáció említése. A rendelet 78. preambulumbekezdése nem tartalmaz több részletet. A törvény más részeiben legalább az adat titkosítása, valamint az anonimizálása van megemlítve, mint lehetséges védelmi intézkedések. Továbbá figyelembe kell venni a felhasználó hitelesítését és a kifogás jogának technikai megvalósítását is. Ezenkívül a megelőző intézkedések kiválasztásakor egyéb szabványokat is alkalmazhat, mint például az ISO szabványok. Az egyes esetek kiválasztásakor biztosítani kell, hogy a technika legkorszerűbb állapota és az ésszerű megvalósítási költségek is figyelembe legyenek véve.

A megnevezett kritériumokon kívül figyelembe kell venni a feldolgozás típusát, terjedelmét, körülményeit és célját. Ezt össze kell vetni a feldolgozással összefüggő kockázatok különböző előfordulási valószínűségével és súlyosságával. A törvény szövegéből arra lehet következtetni, hogy gyakran több védelmi intézkedést kell egymással kombinálni a törvényi követelmények teljesítése érdekében. A gyakorlatban ezt a megfontolást már a fejlesztés korai szakaszában elvégzik a technológiai döntések meghozatalakor. Az elismert tanúsítvány jelezheti a hatóságoknak, hogy a felelős személyek betartották a „Privacy by Design” törvényi követelményeit.