GDPR – Prywatność przez Projektowanie

„Ochrona prywatności w fazie projektowania” oraz „domyślna ochrona prywatności” to często omawiane tematy związane z ochroną danych. Pierwsze myśli dotyczące „ochrony prywatności w fazie projektowania” zostały wyrażone w latach 70. i zostały włączone w latach 90. do dyrektywy o ochronie danych RL 95/46/WE. Zgodnie z motywem 46 tej dyrektywy, już na etapie planowania systemu przetwarzania muszą być podjęte techniczne i organizacyjne środki (TOM) w celu ochrony bezpieczeństwa danych.

Termin „Prywatność w fazie projektowania” oznacza nic innego niż „ochronę danych poprzez projektowanie technologii.” Za tym pojęciem kryje się myśl, że ochrona danych w procedurach przetwarzania danych jest najlepiej przestrzegana, gdy jest już zintegrowana z technologią podczas jej tworzenia. Niemniej jednak, wciąż istnieje niepewność co do tego, co oznacza „Prywatność w fazie projektowania” i jak można ją wdrożyć. Wynika to z jednej strony z niepełnego wdrożenia Dyrektywy w niektórych Państwach Członkowskich, a z drugiej strony z faktu, że zasada „Prywatność w fazie projektowania,” która znajduje się w Ogólnym Rozporządzeniu o Ochronie Danych, wymaga już obecnie w podejściu do wytycznych ochrony danych, aby osoby odpowiedzialne zawierały definicje środków przetwarzania TOM na etapie definicji, w celu spełnienia podstaw i wymagań „Prywatności w fazie projektowania”. Ustawodawstwo pozostawia całkowicie otwartą kwestię, jakie dokładnie środki ochronne mają być podjęte. Jako przykład wystarczy podać pseudonimizację. W motywie 78 rozporządzenia nie podano więcej szczegółów. Przynajmniej w innych częściach prawa wymieniana jest szyfrowanie, jak również anonimizacja danych jako możliwe środki ochronne. Ponadto należy rozważyć uwierzytelnianie użytkowników i techniczną realizację prawa do sprzeciwu. Dodatkowo, przy wyborze środków ostrożności, można kierować się innymi standardami, takimi jak normy ISO. Przy wyborze w poszczególnych przypadkach, należy upewnić się, że uwzględniony jest stan techniki, jak również rozsądne koszty wdrożenia.

Oprócz wymienionych kryteriów należy wziąć pod uwagę rodzaj, zakres, okoliczności i cel przetwarzania. Należy to zestawić z różnym prawdopodobieństwem wystąpienia i ciężkością zagrożeń związanych z przetwarzaniem. Tekst ustawy prowadzi do wniosku, że często konieczne jest stosowanie kilku środków ochronnych jednocześnie, aby spełnić wymogi ustawowe. W praktyce to rozważanie jest już realizowane we wczesnej fazie rozwoju, podczas podejmowania decyzji dotyczących technologii. Uznawana certyfikacja może służyć jako wskaźnik dla władz, że osoby odpowiedzialne spełniły wymogi ustawowe dotyczące „Prywatności poprzez Projekt”.