GDPR – Titkosítás

A vállalatok csökkenthetik az adatvédelmi incidens valószínűségét, és így a jövőbeli bírságok kockázatát is, ha a személyes adatok titkosítása mellett döntenek. A személyes adatok kezelése természetesen bizonyos fokú kockázattal jár. Különösen napjainkban, amikor a kiber-támadások szinte elkerülhetetlenek az adott méret feletti vállalatok számára. Ezért a kockázatkezelés egyre nagyobb szerepet játszik az IT-biztonság területén, és az adatok titkosítása ezeknél a vállalatoknál, többek között, erre alkalmas.

Általánosságban a titkosítás arra az eljárásra utal, amely a tiszta szöveget egy kulcs segítségével egy kódolt formára alakítja, ahol a kimenő információ ismét csak a megfelelő kulcs használatával válik olvashatóvá. Ez minimalizálja az adatfeldolgozás során fennálló incidens kockázatát, mivel a titkosított tartalmak alapvetően olvashatatlanok azok számára, akik nem rendelkeznek a megfelelő kulccsal. A titkosítás a legjobb módszer az adatok átvitele során történő védelmére, és egy módja a tárolt személyes adatok biztonságának. Csökkenti a visszaélés kockázatát is egy vállalaton belül, mivel a hozzáférés csak az engedéllyel rendelkező, megfelelő kulccsal rendelkező személyek számára korlátozott.

A rendelet ismeri ezeket a kockázatokat a személyes adatok feldolgozásakor, és a felelősséget az adatkezelőre és az adatfeldolgozóra hárítja az általános adatvédelmi rendelet 32. cikk (1) bekezdésében, hogy megfelelő technikai és szervezési intézkedéseket vezessenek be a személyes adatok védelmére. Az GDPR szándékosan nem határozza meg, hogy mely konkrét technikai és szervezési intézkedések tekintendők helyénvalónak egy adott esetben, hogy alkalmazkodjon az egyedi tényezőkhöz. Azonban megadja az adatkezelő számára azokat a kritériumokat, amelyeket figyelembe kell venni a személyes adatok védelmére szolgáló módszerek kiválasztásakor. Ezek közé tartozik a technika állása, a végrehajtási költségek, valamint a feldolgozás jellege, hatóköre, kontextusa és céljai. Ezen kritériumok mellett mindig figyelembe kell venni a kockázatok súlyosságát az érintettek jogaira és szabadságaira, valamint azok megnyilvánulásának valószínűségét. Lényegében ez a következőre vezethető vissza: minél magasabb a kockázat a adatfeldolgozás során, és minél valószínűbb ezek megnyilvánulása, annál erősebb védelmi intézkedéseket kell hozni, és több intézkedést kell megtenni. Az adatokat védő technikai és szervezési intézkedések lehetséges listájában a rendelet 32. cikk (1) bekezdése, amely nem kimerítő, az adattitkosítást kifejezetten megemlíti. Ismételten, az GDPR nem említi az explicit titkosítási módszereket, hogy alkalmazkodjon a gyors technológiai fejlődéshez. A módszer kiválasztásakor az előző kritériumlistát is alkalmazni kell. A kérdés megválaszolására, hogy jelenleg mi tekinthető a „technika állásának”, az adatvédelmi tisztviselők általában az információbiztonsági szabványok, mint például az ISO/IEC 27001 vagy más nemzeti IT-biztonsági irányelvek által meghatározottakra támaszkodnak.

A személyes adatok titkosítása további előnyöket jelent az adatkezelők és/vagy adatfeldolgozók számára. Például, ha egy korszerűen titkosított mobil tárolóeszköz elveszik, amely személyes adatokat tartalmaz, akkor az nem feltétlenül minősül adatvédelmi incidensnek, amelyet jelenteni kell az adatvédelmi hatóságoknak. Ezenkívül, ha adatvédelmi incidens történik, a hatóságoknak pozitívan kell figyelembe venniük a titkosítás alkalmazását döntésük során arról, hogy a GDPR 83. cikk (2) bekezdés c) pontja szerint kiszabnak-e bírságot, és milyen mértékben.