V dobách před GDPR začaly rady kybernetickou bezpečnost nahlížet na představenstvech jako na podnikatelské riziko, ale často nebylo možné adekvátně vyčíslit dopad ztráty dat a náklady na zvýšení kybernetické obrany nebyly založeny na právním rámci, a proto byly méně snadno ospravedlnitelné.
Příchod GDPR s příslibem vysokých pokut na základě ročního obratu na jedné straně a jasným regulačním rámcem umožňujícím prokázat dodržování předpisů na straně druhé značně usnadnil případ obchodního rizika. I když se organizace o ochranu osobních údajů, které zpracovávaly před zavedením GDPR, nestaraly, nyní ano.
Jednoduché dodržování GDPR ale nemusí zaručit osobní soukromí zaměstnanců a zákazníků. Spojené království Informační komisařský úřad (ICO) nyní používá spíše termín „ochrana údajů již od návrhu“ než „ochrana soukromí již od návrhu“. Je to přinejmenším částečně proto, že „soukromí“ je do určité míry subjektivní, což pravidla ochrany údajů nemohou být. Někteří, kdo tvrdí, že dodržují pravidla ochrany údajů, mohou být v souladu s literou předpisů, ale nemusí se nutně řídit jejich duchem.
Například v případě souhlasu požadavek uvádí: „Obecně by to pro ně mělo být stejně snadné [the data subject] odvolat souhlas, jako kdybyste získali souhlas. “ To jsem dosud nezažil, možná proto, že je docela těžké toho dosáhnout. Většina lidí to vidí, když procházíme novou webovou stránku a jsou požádáni o „přijetí všech cookies“. To je velmi snadné provést pouhým kliknutím na tlačítko. Pokud si to rozmyslíte, návrat a odvolání povolení může být v mnoha případech výzvou.
Souhlas je však pouze jedním z právních základů pro zpracování osobních údajů. Mezi další patří smluvní nebo právní odpovědnost, kterou lze splnit pouze tímto způsobem, nebo „oprávněný zájem“, který byl rovněž uveden do popředí zájmu o souhlas.
V rámci procesu souhlasu se soubory cookie je ve spodní části obrazovky často zastrčeno tlačítko „oprávněného zájmu“. Oprávněný zájem je zpracování osobních údajů jako součást oprávněného zájmu jednotlivce, třetí strany nebo společnosti na poskytování služby nebo proto, že má širší sociální výhody. Něco, co by spotřebitel očekával, že bude nutné, aby mohl spotřebovat službu nebo obchodní zájmy poskytovatele.
“I když se organizace o ochranu osobních údajů, které zpracovávaly před zavedením GDPR, nestaraly, nyní ano”
Paddy Francis, Airbus CyberSecurity
Organizace zpracovávající data však musí být schopna prokázat, že není poškozena osoba, jejíž údaje jsou zpracovávány, a že neexistuje méně rušivý způsob, jak dosáhnout cíle služby. Oprávněný zájem může být užitečným právním základem pro zpracování bez výslovného souhlasu, pokud neexistuje žádný smluvní vztah nebo právní požadavek. Je však stále třeba to deklarovat a zdůvodnit důvody. To může být částečně důvodem, že některé webové stránky obsahují v procesu souhlasu oprávněný zájem. Nicméně, zatímco cookies vyžadující souhlas jsou ve výchozím nastavení „vypnuty“, ty týkající se oprávněného zájmu jsou obecně „zapnuty“.
Příkladem ze skutečného světa, kde lze použít oprávněný zájem, ale jeho ospravedlnění může být obtížné, je skenování virů e -maily opouštějící organizaci. Dalo by se namítnout, že je to v zájmu pověsti společnosti a jakýchkoli třetích stran, které dostávají infikované e -maily, ale zároveň by identifikovatelná osoba mohla věřit, že nevědomé odeslání takového e -mailu může být bráněno proti nim.
Dalším příkladem je situace, kdy má zaměstnanec na ploše složku s názvem „osobní“, kterou používá k podpoře svých vlastních obchodních aktivit. Měl by zaměstnavatel oprávněný zájem na přístupu k „osobním“ složkám uživatele? A pokud ano, byly by důkazy získané tímto způsobem přípustné u zaměstnaneckého soudu?
První scénář by mohl být lépe pokryt souhlasem a druhý pracovní smlouvou, která dává zaměstnavateli toto právo.
Uplatňování zásad GDPR
„Zákonnost, spravedlnost a transparentnost“ tvoří první z nich sedm zásad GDPR, které je zjevně nutné v každém novém projektu brát v úvahu předem a udržovat je po celou dobu vývoje systému. Dalších šest zásad je: omezení účelu; minimalizace dat; přesnost; omezení skladování; integrita a důvěrnost; a odpovědnost.
I když je třeba vzít v úvahu celý GDPR od prvního dne nového projektu, „omezení účelu“ a „minimalizace dat“ jsou pravděpodobně nejdůležitější, které je třeba nejprve zvážit.
Pochopení účelu jakéhokoli podniku je zásadní. V GDPR se to týká účelu, pro který shromažďujete a zpracováváte osobní údaje. Bez tohoto porozumění nemůžete vědět, jaké údaje potřebujete shromažďovat, a nebudete schopni vytvořit právní základ pro jejich shromažďování a zpracování.
Účel musí být zdokumentován a stanoven v zásadách ochrany osobních údajů nebo v ekvivalentu dostupném všem uživatelům. Na začátku je důležité identifikovat všechny účely, pro které bude nutné údaje zpracovávat, protože pozdější zpracování údajů pro jiné účely bude znamenat získání dalšího souhlasu a aktualizaci vaší dokumentace.
Minimalizace dat je na druhé straně o minimalizaci shromážděných údajů pouze na to, co je pro daný účel nezbytné. Zde je také důležité slovo „nezbytné“, protože to znamená, že řešení by mělo minimalizovat to, co je nutné shromáždit. To znamená, že pokud výběr řešení A vyžaduje shromáždění více osobních údajů ve srovnání s řešením B, skutečnost, že shromážděné údaje jsou nezbytné pro řešení A, nesplňuje požadavky na minimalizaci dat, pokud to není nutné pro řešení B. To je důležité nejen za účelem dodržování GDPR, ale také za účelem minimalizace množství osobních údajů, které je třeba chránit, a v ideálním případě minimalizovat nebo odstranit potřebu shromažďovat nebo uchovávat citlivé osobní údaje.
Pseudonymizace uživatelských dat
Další přístup k ochraně dat uživatelů je koncept pseudonymizace. Například u sady lékařských dat může být identita uživatele nahrazena jedinečnou náhodnou pseudoidentitou a vztah mezi identitou uživatele a pseudoidentitou uložen samostatně. Data by pak byla považována za pseudonymizovaná. Nebylo by to plně anonymizováno, protože uživatel by byl stále nepřímo identifikovatelný pomocí mapovacích dat. Pseudonymizovaná data však mohla být zpracována bezpečně za předpokladu, že bylo uchováno mapování jejich skutečné identity. Pokud nebylo nikdy nutné identifikovat konkrétního uživatele, nemusí být mapování na skutečnou identitu uchováváno a data mohou být považována za plně anonymizovaná.
Zde je však zapotřebí určité opatrnosti, protože pokud zpracovatel dat mapování nedrží, ale přesto existuje jinde, nebylo by to považováno za plně anonymní. Pokud by data také obsahovala další informace, které by bylo možné použít k identifikaci jednotlivce v korelaci s jinými údaji-například datum narození a PSČ v korelaci s voličským rejstříkem-pak by data byla stále pouze pseudoanonymní, takže by musely být chráněny jako osobní údaje.
Stále se měnící přístupy k ochraně osobních údajů
GDPR má za tři roky od svého zavedení určitě dopad. Organizace přizpůsobily své přístupy k osobním údajům tak, aby byly v souladu s nařízením, a úřady je stále častěji považují za zodpovědné za porušení těchto předpisů.
Zvýšil se také zájem o soukromí ze strany veřejnosti, protože informace a hlášení o různých porušeních dat a oznámení učiněné na začátku tohoto roku společností Apple, že odstraňuje možnost inzerentům sledovat aktivitu uživatelů napříč aplikacemi a zařízeními.
I když neočekávám, že by se nařízení v budoucnu významně změnilo, jeho pokračující prosazování a rostoucí porozumění veřejnosti v oblasti soukromí v digitálním světě pravděpodobně ještě nějakou dobu změní náš přístup k ochraně osobních údajů.
