Na czym polega domyślna ochrona danych?

Ochrona danych w fazie projektowania oraz ta domyślna (data protection by design, data protection by deflaut – DPbDD) stanowią mechanizmy pozwalające administratorowi odpowiednio wcześnie „zaszyć” zasady bezpieczeństwa informacji oraz sposoby realizacji praw i wolności osób, których dane dotyczą, w projektowane czynności przetwarzania, w tym w ramach ustalania specyfikacji produktu lub usługi, ich testowania, utrzymania, rozwoju lub usuwania.

Polecamy: Nowa matryca stawek VAT

Wytyczne 4/2019 Europejskiej Rady Ochrony Danych stanowią cenne narzędzie, pozwalające odejść od dotychczasowego rozumienia DPbDD jako klauzul generalnych na rzecz traktowania tych mechanizmów jako praktycznego instrumentu wspierającego administratora w ustanawianiu technicznych i organizacyjnych środków ochrony danych, które pozwolą mu skutecznie realizować:

1. zasady przetwarzania danych osobowych (art. 5 RODO),
2. prawa osób, których dane dotyczą (art. 12–22 RODO),
3. wolności osób, których dane dotyczą (Karta praw podstawowych Unii Europejskiej).

Wskazany cel administrator powinien osiągnąć dzięki stosowaniu podejścia opartego na ryzyku (wspólne dla art. 24, 25, 32 i 35 RODO) dla zdefiniowanych zasobów (osoby fizyczne, poprzez ochronę ich danych osobowych) i zagrożeń (prawa i wolności osób, których dane dotyczą) z uwzględnieniem istniejących warunków przetwarzania (charakter, zakres, kontekst i cele przetwarzania).

Jasny przekaz informacji

Od początku komunikacji z osobami, których dane dotyczą, administrator musi jasno i zrozumiale wskazywać, w jaki sposób będzie gromadzić, wykorzystywać i udostępniać ich informacje. Przejrzystość polega na umożliwieniu osobom, których dane dotyczą, zrozumienia – a w razie konieczności skorzystania – z praw przysługujących im na mocy art. 15–22 RODO. Implementacja omawianej zasady w ramach mechanizmów DPbDD powinna obejmować następujące elementy:

1. jasność komunikacji – informacje powinny być sformułowane jasnym i prostym językiem, zwięźle i zrozumiale,
2. semantyka – komunikacja powinna mieć jasne znaczenie dla danej grupy odbiorców,
3. dostępność – informacje powinny być łatwo dostępne dla osoby, której dane dotyczą,
4. kontekstowość – informacje powinny być przekazywane w odpowiednim czasie i w odpowiedniej formie,
5. istotność – przekazywane powinny być informacje mające znaczenie i zastosowanie do konkretnej osoby, której dotyczą dane,
6. uniwersalne projektowanie – informacje powinny być dostępne dla wszystkich, obejmować użycie języków nadających się do odczytu maszynowego w celu ułatwienia i zautomatyzowania czytelności i przejrzystości,
7. zrozumiałość – osoby, których dane dotyczą, powinny rozumieć, czego mogą oczekiwać w odniesieniu do przetwarzania ich danych osobowych, w szczególności, gdy tymi osobami są dzieci lub inne grupy szczególnie narażone,
8. wielokanałowość – informacje powinny być dostarczane w różnych kanałach i mediach (innych niż tekst), aby zwiększyć prawdopodobieństwo ich skutecznego dotarcia do osoby, której dane dotyczą.