GDPR – Šifriranje

Podjetja lahko zmanjšajo verjetnost kršitve varstva podatkov in s tem zmanjšajo tveganje kazni v prihodnosti, če se odločijo za šifriranje osebnih podatkov. Obdelava osebnih podatkov je seveda povezana z določenim tveganjem. Še posebej danes, ko so kibernetski napadi skoraj neizogibni za podjetja nad določeno velikostjo. Zato upravljanje tveganj igra vse večjo vlogo pri IT varnosti in šifriranje podatkov je med drugim ustrezna rešitev za ta podjetja.

Splošno gledano se šifriranje nanaša na postopek, ki pretvori čisti tekst v šifrirano kodo z uporabo ključa, kjer postane odhajajoča informacija ponovno berljiva samo z uporabo pravilnega ključa. To zmanjšuje tveganje za incident med obdelavo podatkov, saj so šifrirane vsebine za tretje osebe, ki nimajo pravilnega ključa, v bistvu neberljive. Šifriranje je najboljši način za zaščito podatkov med prenosom in eden od načinov za varovanje shranjenih osebnih podatkov. Prav tako zmanjšuje tveganje zlorabe znotraj podjetja, saj je dostop omejen le na pooblaščene osebe s pravilnim ključem.

Uredba priznava te nevarnosti pri obdelavi osebnih podatkov in nalaga odgovornost upravljavcu in obdelovalcu v členu 32(1) Splošne uredbe o varstvu podatkov, da uvedeta ustrezne tehnične in organizacijske ukrepe za zaščito osebnih podatkov. GDPR namerno ne opredeljuje, katere konkretne tehnične in organizacijske ukrepe se šteje za primerne v posameznem primeru, da bi upošteval posamezne dejavnike. Vendar pa upravljavcu ponuja katalog meril, ki jih je treba upoštevati pri izbiri metod za zaščito osebnih podatkov. Ta merila so stanje tehnike, stroški izvedbe ter narava, obseg, kontekst in namen obdelave. Poleg teh meril je vedno treba upoštevati resnost tveganj za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, in kako verjetna so pojava teh tveganj. To v bistvu pomeni naslednje: višja kot so tveganja pri obdelavi podatkov in verjetnejši kot je njihov pojav, močnejše morajo biti sprejeti varnostni ukrepi in več ukrepov je treba sprejeti. Šifriranje kot koncept je izrecno omenjeno kot eden od možnih tehničnih in organizacijskih ukrepov za zaščito podatkov na seznamu člena 32(1) GDPR, ki ni izčrpen. GDPR znova ne omenja izrecnih metod šifriranja, da bi sledil hitro napredujočemu tehnološkemu razvoju. Pri izbiri metode je potrebno uporabiti zgoraj navedeni katalog meril. Za odgovor na vprašanje, kaj se trenutno šteje za ‘stanje tehnike’, se uradniki za varstvo podatkov običajno opirajo na definicije, določene v standardih informacijske varnosti, kot je ISO/IEC 27001, ali drugih nacionalnih smernicah za varnost IT.

Šifriranje osebnih podatkov prinaša dodatne koristi za upravljavce in/ali obdelovalce naročil. Na primer, izguba sodobnega šifriranega prenosnega pomnilniškega medija, ki vsebuje osebne podatke, ni nujno obravnavana kot kršitev varstva podatkov, ki bi jo bilo treba prijaviti organom za varstvo podatkov. Poleg tega morajo organi, če pride do kršitve varstva podatkov, pozitivno upoštevati uporabo šifriranja v svoji odločitvi o tem, ali in v kakšnem znesku se na podlagi člena 83(2)(c) GDPR izreče kazen.