GDPR – Šifravimas

Įmonės gali sumažinti duomenų pažeidimo tikimybę ir taip sumažinti baudų riziką ateityje, jei pasirinks šifruoti asmens duomenis. Asmens duomenų tvarkymas natūraliai susijęs su tam tikro laipsnio rizika. Ypač dabar, kai kibernetinės atakos yra beveik neišvengiamos įmonėms, viršijančioms tam tikrą dydį. Todėl rizikos valdymas vaidina vis didesnį vaidmenį IT saugume, o duomenų šifravimas yra tinkama priemonė tokioms įmonėms.

Apskritai, šifravimas reiškia procedūrą, kuri aiškų tekstą paverčia užšifruotu kodu naudojant raktą, kur išsiunčiama informacija vėl tampa įskaitoma tik naudojant teisingą raktą. Tai sumažina incidento riziką duomenų tvarkymo metu, nes šifruoti turiniai iš esmės yra neskaitytini trečiosioms šalims, neturinčioms teisingo rakto. Šifravimas yra geriausias būdas apsaugoti duomenis perdavimo metu ir vienas būdas apsaugoti saugomus asmens duomenis. Taip pat sumažinama piktnaudžiavimo rizika įmonėje, nes prieiga yra ribojama tik įgaliotiems asmenims, turintiems teisingą raktą.

Reglamentas taip pat pripažįsta šias rizikas, kai tvarkomi asmens duomenys, ir atsakomybę perkelia valdytojui ir tvarkytojui BDAR 32 straipsnio 1 dalyje, kad būtų įgyvendintos tinkamos techninės ir organizacinės priemonės asmens duomenų apsaugai. BDAR sąmoningai nenurodo, kokios konkrečios techninės ir organizacinės priemonės laikomos tinkamomis kiekvienu atveju, siekiant prisitaikyti prie individualių veiksnių. Tačiau jis pateikia valdytojui kriterijų katalogą, kurie turi būti įvertinti pasirenkant būdus asmens duomenų apsaugai. Tai yra pažangiausios technologijos, įgyvendinimo kaštai, ir tvarkymo pobūdis, apimtis, kontekstas bei tikslai. Be šių kriterijų, visada reikia atsižvelgti į rizikos sunkumą duomenų subjekto teisėms ir laisvėms bei kaip tikėtina, kad šios rizikos gali pasireikšti. Tai iš esmės veda prie šios išvados: kuo didesnės rizikos, susijusios su duomenų tvarkymu, ir kuo labiau jos tikėtina pasireikš, tuo stipresnės turi būti priimtos apsaugos priemonės ir tuo daugiau priemonių reikia imtis. Šifravimas kaip koncepcija yra aiškiai paminėtas kaip viena iš galimų techninių ir organizacinių priemonių duomenims apsaugoti BDAR 32 straipsnio 1 dalies sąraše, kuris nėra baigtinis. Vėlgi, BDAR nemini konkrečių šifravimo metodų, kad prisitaikytų prie sparčiai vykstančios technologinės pažangos. Pasirinkus metodą taip pat reikia taikyti aukščiau minėtą kriterijų katalogą. Atsakant į klausimą, kas šiuo metu laikoma „pažangių technologijų“ apsauga, duomenų apsaugos pareigūnai paprastai remiasi informacinio saugumo standartais, tokiais kaip ISO/IEC 27001 ar kitomis nacionalinėmis IT saugos gairėmis.

Asmens duomenų šifravimas turi papildomos naudos duomenų valdytojams ir (arba) užsakymų vykdytojams. Pavyzdžiui, praradus moderniai užšifruotą mobilųjį saugojimo prietaisą, kuriame yra asmens duomenys, tai nebūtinai laikoma duomenų saugumo pažeidimu, apie kurį būtina pranešti duomenų apsaugos institucijoms. Be to, jei įvyksta duomenų saugumo pažeidimas, institucijos privalo teigiamai vertinti šifravimo naudojimą sprendžiant ar ir kokio dydžio baudą taikyti pagal BDAR 83 straipsnio 2 dalį (c).