GDPR – Integritet genom design

“Integritet som standard” och “Integritet som standardinställning” har varit ofta diskuterade ämnen kopplade till dataskydd. De första tankarna om “Integritet som standard” uttrycktes på 1970-talet och införlivades på 1990-talet i dataskyddsdirektivet RL 95/46/EG. Enligt skäl 46 i detta direktiv måste tekniska och organisatoriska åtgärder (TOM) vidtas redan vid planeringen av ett behandlingssystem för att skydda datasäkerheten.

Termen ”Privacy by Design” betyder inget annat än ”dataskydd genom teknikutformning.” Bakom detta ligger tanken att dataskydd i databehandlingsprocedurer bäst följs när det redan är integrerat i tekniken vid dess skapande. Trots detta råder det fortfarande osäkerhet kring vad ”Privacy by Design” betyder och hur man kan implementera det. Detta beror dels på ofullständig implementering av direktivet i vissa medlemsstater och dels på att principen ”Privacy by Design” som finns i den allmänna dataskyddsförordningen, att det nuvarande förhållningssättet i dataskyddsriktlinjerna, som kräver att ansvariga redan inkluderar definitioner av medlen för att bearbeta tekniska och organisatoriska åtgärder (TOMs) vid den tidpunkt de fastställs för att uppfylla grunderna och kraven för ”Privacy by Design”. Lagstiftningen lämnar helt öppet vilka exakta skyddsåtgärder som ska vidtas. Som exempel behöver man bara nämna pseudonymisering. Ingen mer detalj ges i skäl 78 i förordningen. Åtminstone i andra delar av lagen nämns kryptering, liksom anonymisering av data som möjliga skyddsåtgärder. Dessutom måste användarautentisering och teknisk implementering av rätten att motsätta sig beaktas. Vidare kan man vid val av försiktighetsåtgärder använda andra standarder, såsom ISO-standarder. Vid val i individuella fall måste man säkerställa att teknikens ståndpunkt samt rimliga implementeringskostnader inkluderas.

Utöver de angivna kriterierna måste typen, omfattningen, omständigheterna och syftet med behandlingen beaktas. Detta måste ställas mot den olika sannolikheten för förekomst och allvaret i de risker som är kopplade till behandlingen. Lagtexten leder till slutsatsen att ofta måste flera skyddsåtgärder användas tillsammans för att uppfylla lagstadgade krav. I praktiken görs denna övervägning redan i ett tidigt utvecklingsskede när teknologival fastställs. Erkänd certifiering kan tjäna som en indikator för myndigheterna att de ansvariga har uppfyllt de lagstadgade kraven för ”Integritet genom design”.