GDPR – Criptare

Companiile pot reduce probabilitatea unei încălcări a securității datelor și, astfel, pot reduce riscul de amenzi în viitor, dacă aleg să folosească criptarea datelor personale. Prelucrarea datelor personale este asociată în mod natural cu un anumit grad de risc. Mai ales în zilele noastre, când atacurile cibernetice sunt aproape inevitabile pentru companiile de peste o anumită dimensiune. Prin urmare, gestionarea riscurilor joacă un rol din ce în ce mai mare în securitatea IT și criptarea datelor este potrivită, printre alte mijloace, pentru aceste companii.

În general, criptarea se referă la procedura care transformă un text clar într-un cod hash folosind o cheie, unde informația ieșită devine din nou lizibilă numai prin utilizarea cheii corecte. Acest lucru minimizează riscul unui incident în timpul procesării datelor, deoarece conținuturile criptate sunt, în principiu, ilizibile pentru terțe părți care nu au cheia corectă. Criptarea este cea mai bună modalitate de a proteja datele în timpul transferului și o modalitate de a securiza datele personale stocate. De asemenea, reduce riscul de abuz în cadrul unei companii, deoarece accesul este limitat doar la persoanele autorizate care au cheia potrivită.

Regulamentul recunoaște, de asemenea, aceste riscuri atunci când se prelucrează date cu caracter personal și plasează responsabilitatea asupra operatorului și persoanei împuternicite de operator în art. 32(1) din Regulamentul general privind protecția datelor de a implementa măsuri tehnice și organizatorice adecvate pentru a securiza datele cu caracter personal. GDPR nu definește în mod deliberat care măsuri tehnice și organizatorice specifice sunt considerate adecvate în fiecare caz, pentru a acomoda factori individuali. Cu toate acestea, oferă operatorului un catalog de criterii care trebuie să fie luate în considerare atunci când se aleg metodele de securizare a datelor cu caracter personal. Acestea sunt: stadiul tehnologiei, costurile implementării și natura, domeniul de aplicare, contextul și scopurile prelucrării. În plus față de aceste criterii, trebuie întotdeauna să se ia în considerare gravitatea riscurilor pentru drepturile și libertățile persoanelor vizate și cât de probabil este să se manifeste acele riscuri. În esență, aceasta se reduce la următoarele: cu cât riscurile implicate în prelucrarea datelor sunt mai mari și cu cât sunt mai probabile să se manifeste, cu atât măsurile de securitate luate trebuie să fie mai puternice și mai multe măsuri trebuie luate. Criptarea ca și concept este menționată explicit ca o posibilă măsură tehnică și organizatorică pentru a securiza datele în lista din art. 32(1) din GDPR, care nu este exhaustivă. Din nou, GDPR nu menționează metode de criptare explicite pentru a acomoda progresul tehnologic rapid. Atunci când se alege o metodă, trebuie de asemenea aplicat catalogul de criterii de mai sus. Pentru a răspunde la întrebarea ce este considerat în prezent „stadiul tehnologiei” ofițerii de protecție a datelor se bazează de obicei pe definițiile stabilite în standarde de securitate a informației cum ar fi ISO/IEC 27001 sau alte ghiduri naționale de securitate IT.

Criptarea datelor cu caracter personal aduce beneficii suplimentare pentru operatori și/sau procesatorii de date. De exemplu, pierderea unui mediu de stocare mobil criptat de ultimă generație, care conține date cu caracter personal, nu este neapărat considerată o încălcare a securității datelor, care trebuie raportată autorităților de protecție a datelor. În plus, dacă are loc o încălcare a securității datelor, autoritățile trebuie să considere în mod pozitiv utilizarea criptării în decizia lor privind dacă și ce valoare va avea amenda impusă conform Art. 83(2)(c) din GDPR.