GDPR – Šifrēšana

Uzņēmumi var samazināt datu pārkāpumu iespējamību un tādējādi samazināt naudas sodu risku nākotnē, ja viņi izvēlas izmantot personas datu šifrēšanu. Personas datu apstrāde dabiski ir saistīta ar noteiktu riska pakāpi. Īpaši mūsdienās, kad kiberuzbrukumi ir gandrīz neizbēgami uzņēmumiem, kas pārsniedz noteiktu lielumu. Tāpēc riska pārvaldība spēlē arvien lielāku lomu IT drošībā, un datu šifrēšana ir piemērota šo uzņēmumu starp citiem līdzekļiem.

Kopumā šifrēšana attiecas uz procedūru, kas konvertē vienkāršu tekstu aizšifrētā kodā, izmantojot atslēgu, kur izejošā informācija atkal kļūst lasāma tikai ar pareizās atslēgas palīdzību. Tas samazina incidenta risku datu apstrādes laikā, jo šifrētajam saturam būtībā nav pieejas trešajām pusēm, kurām nav pareizās atslēgas. Šifrēšana ir labākais veids, kā aizsargāt datus to pārsūtīšanas laikā, un viens no veidiem, kā nodrošināt saglabātus personas datus. Tas arī samazina ļaunprātīgas izmantošanas risku uzņēmumā, jo piekļuve ir ierobežota tikai pilnvarotām personām ar pareizo atslēgu.

Regula arī atzīst šos riskus, apstrādājot personas datus, un uzliek atbildību pārzinim un apstrādātājam Vispārīgās datu aizsardzības regulas 32. panta 1. punktā, lai īstenotu atbilstošus tehniskos un organizatoriskos pasākumus personas datu aizsardzībai. VDAR apzināti nedefinē, kuri konkrēti tehniskie un organizatoriskie pasākumi tiek uzskatīti par piemērotiem katrā gadījumā, lai pielāgotos individuāliem faktoriem. Tomēr tas dod pārzinim kritēriju katalogu, kas ir jāņem vērā, izvēloties metodes personas datu aizsardzībai. Tās ir vispārpieņēmais tehnoloģijas līmenis, īstenošanas izmaksas un apstrādes raksturs, apjoms, konteksts un mērķi. Papildus šiem kritērijiem vienmēr ir jāņem vērā risku nopietnība datu subjekta tiesībām un brīvībām un cik iespējams tie varētu izpausties. Tas būtībā reducējams līdz šādam secinājumam: jo augstāki riski saistīti ar datu apstrādi un jo ticamāk, ka tie varētu izpausties, jo spēcīgākiem jābūt veiktajiem drošības pasākumiem un vairāk pasākumu jāveic. Šifrēšana kā koncepts ir tieši minēta kā viena no iespējamajām tehniskajām un organizatoriskajām datu aizsardzības metodēm GDPR 32. panta 1. punkta sarakstā, kas nav izsmeļošs. Atkal, GDPR nemin konkrētas šifrēšanas metodes, lai pielāgotos straujajam tehnoloģiskajam progresam. Izvēloties metodi, jāpiemēro iepriekš minētais kritēriju katalogs. Atbildot uz jautājumu, kas šobrīd tiek uzskatīts par “vispārpieņemamu tehnoloģijas līmeni”, datu aizsardzības speciālisti parasti paļaujas uz definīcijām, kas noteiktas informācijas drošības standartos, piemēram, ISO/IEC 27001 vai citās nacionālajās IT-drošības vadlīnijās.

Personas datu šifrēšanai ir papildu priekšrocības pārziņiem un/vai apstrādātājiem. Piemēram, ja tiek pazaudēts mūsdienīgi šifrēts mobilais datu glabāšanas līdzeklis, kurā ir personas dati, to ne vienmēr uzskata par datu aizsardzības pārkāpumu, par kuru jāpaziņo datu aizsardzības iestādēm. Turklāt, ja notiek datu aizsardzības pārkāpums, iestādēm ir pozitīvi jāņem vērā šifrēšanas izmantošana, pieņemot lēmumu par to, vai un kāds naudas sods tiek uzlikts saskaņā ar Vispārīgās datu aizsardzības regulas 83. panta 2. punktu (c).