GDPR – Šifrovanie

Spoločnosti môžu znížiť pravdepodobnosť narušenia bezpečnosti údajov a tým znížiť riziko pokút v budúcnosti, ak sa rozhodnú používať šifrovanie osobných údajov. Spracovanie osobných údajov je prirodzene spojené s istou mierou rizika. Najmä v dnešnej dobe, keď sú kybernetické útoky takmer nevyhnutné pre spoločnosti nad určitú veľkosť. Preto riadenie rizík hrá čoraz väčšiu úlohu v IT bezpečnosti a šifrovanie údajov je okrem iného vhodné pre tieto spoločnosti.

Všeobecne platí, že šifrovanie sa týka postupu, ktorý premieňa čitateľný text na hashovaný kód pomocou kľúča, pričom odchádzajúca informácia sa stáva opäť čitateľnou len použitím správneho kľúča. Tým sa minimalizuje riziko incidentu počas spracovania údajov, keďže šifrovaný obsah je v zásade nečitateľný pre tretie strany, ktoré nemajú správny kľúč. Šifrovanie je najlepším spôsobom, ako chrániť údaje počas prenosu a jednou z možností zabezpečenia ukladaných osobných údajov. Tiež znižuje riziko zneužitia v rámci spoločnosti, pretože prístup je obmedzený len na oprávnené osoby so správnym kľúčom.

Nariadenie tiež uznáva tieto riziká pri spracúvaní osobných údajov a v článku 32 ods. 1 všeobecného nariadenia o ochrane údajov ukladá zodpovednosť prevádzkovateľovi a sprostredkovateľovi implementovať vhodné technické a organizačné opatrenia na zabezpečenie osobných údajov. GDPR úmyselne nedefinuje, ktoré konkrétne technické a organizačné opatrenia sa v každom prípade považujú za vhodné, aby sa zohľadnili individuálne faktory. Avšak, poskytuje prevádzkovateľovi katalóg kritérií, ktoré majú byť zohľadnené pri výbere metód na zabezpečenie osobných údajov. Tieto faktory sú úroveň techniky, náklady na implementáciu a povaha, rozsah, kontext a účely spracúvania. Okrem týchto kritérií sa vždy musí zohľadniť závažnosť rizík pre práva a slobody dotknutej osoby a ako pravdepodobne by sa tieto riziká mohli prejaviť. To v podstate znamená nasledovné: Čím vyššie sú riziká spojené so spracúvaním údajov a čím je pravdepodobnejšie, že sa prejavia, tým silnejšie musia byť prijaté bezpečnostné opatrenia a tým viac opatrení musí byť prijatých. Zašifrovanie ako koncept je výslovne uvedené ako jedno z možných technických a organizačných opatrení na zabezpečenie údajov v zozname článku 32 ods. 1 GDPR, ktorý nie je vyčerpávajúci. GDPR opäť neuvádza konkrétne metódy šifrovania, aby sa prispôsobilo rýchlemu technologickému pokroku. Pri výbere metódy sa musí tiež uplatniť uvedený katalóg kritérií. Na zodpovedanie otázky, čo sa v súčasnosti považuje za „úroveň techniky“, sa dôstojníci ochrany údajov zvyčajne spoliehajú na definície stanovené v normách informačnej bezpečnosti, ako je ISO/IEC 27001, alebo iné národné IT-bezpečnostné pokyny.

Šifrovanie osobných údajov má ďalšie výhody pre prevádzkovateľov a/alebo sprostredkovateľov. Napríklad strata moderného šifrovaného prenosného úložného média, ktoré obsahuje osobné údaje, nie je nevyhnutne považovaná za narušenie bezpečnosti údajov, ktoré musí byť oznámené orgánom na ochranu údajov. Okrem toho, ak dôjde k narušeniu bezpečnosti údajov, orgány musia pozitívne zohľadniť použitie šifrovania vo svojom rozhodnutí o tom, či a v akej výške bude uložená pokuta podľa čl. 83 ods. 2 písm. c) GDPR.