GDPR – Szyfrowanie

Firmy mogą zmniejszyć prawdopodobieństwo naruszenia danych, a tym samym zmniejszyć ryzyko grzywien w przyszłości, jeśli zdecydują się na szyfrowanie danych osobowych. Przetwarzanie danych osobowych naturalnie wiąże się z pewnym stopniem ryzyka. Szczególnie w dzisiejszych czasach, gdy ataki cybernetyczne są niemal nieuniknione dla firm o określonej wielkości. Dlatego zarządzanie ryzykiem odgrywa coraz większą rolę w bezpieczeństwie IT, a szyfrowanie danych jest odpowiednie, między innymi, dla takich firm.

Ogólnie rzecz biorąc, szyfrowanie odnosi się do procedury, która konwertuje tekst jawny na zakodowany za pomocą klucza, gdzie wyjściowe informacje stają się ponownie czytelne tylko przy użyciu poprawnego klucza. To minimalizuje ryzyko incydentu podczas przetwarzania danych, ponieważ zaszyfrowane treści są zasadniczo nieczytelne dla osób trzecich, które nie posiadają poprawnego klucza. Szyfrowanie jest najlepszym sposobem na ochronę danych podczas transferu i jednym ze sposobów zabezpieczenia przechowywanych danych osobowych. Również zmniejsza ryzyko nadużyć w firmie, ponieważ dostęp jest ograniczony tylko do osób upoważnionych posiadających odpowiedni klucz.

Rozporządzenie również uznaje te ryzyka podczas przetwarzania danych osobowych i nakłada odpowiedzialność na administratora i podmiot przetwarzający w art. 32(1) Ogólnego Rozporządzenia o Ochronie Danych, aby wdrożyć odpowiednie techniczne i organizacyjne środki zabezpieczające dane osobowe. RODO celowo nie definiuje, które konkretne techniczne i organizacyjne środki są uznawane za odpowiednie w każdym przypadku, aby dostosować się do indywidualnych czynników. Niemniej jednak, daje administratorowi katalog kryteriów do rozważenia przy wyborze metod zabezpieczania danych osobowych. Są to: stan wiedzy technicznej, koszty wdrożenia oraz charakter, zakres, kontekst i cele przetwarzania. Oprócz tych kryteriów, zawsze należy uwzględniać powagę ryzyk dla praw i wolności osoby, której dane dotyczą, oraz prawdopodobieństwo ich wystąpienia. W zasadzie sprowadza się to do tego: im wyższe ryzyko związane z przetwarzaniem danych i im bardziej prawdopodobne ich wystąpienie, tym silniejsze muszą być podjęte środki ochrony i więcej środków należy podjąć. Szyfrowanie jako koncepcja jest wyraźnie wymienione jako jeden z możliwych technicznych i organizacyjnych środków ochrony danych na liście z art. 32(1) RODO, która nie jest wyczerpująca. Ponownie, RODO nie wspomina o konkretnych metodach szyfrowania, aby dostosować się do szybkiego postępu technologicznego. Przy wyborze metody należy również zastosować powyższy katalog kryteriów. Aby odpowiedzieć na pytanie, co obecnie uznaje się za „stan wiedzy”, inspektorzy ochrony danych zazwyczaj opierają się na definicjach zawartych w standardach bezpieczeństwa informacji, takich jak ISO/IEC 27001, lub innych krajowych wytycznych dotyczących bezpieczeństwa IT.

Szyfrowanie danych osobowych ma dodatkowe korzyści dla administratorów i/lub podmiotów przetwarzających zamówienia. Na przykład, utrata nowoczesnego zaszyfrowanego przenośnego nośnika pamięci, który zawiera dane osobowe, nie jest koniecznie uznawana za naruszenie danych, które musi zostać zgłoszone organom ochrony danych. Ponadto, jeśli dojdzie do naruszenia danych, organy muszą pozytywnie rozważyć użycie szyfrowania przy podejmowaniu decyzji o nałożeniu grzywny i jej wysokości zgodnie z art. 83 ust. 2 lit. c RODO.