Ochrana údajov už v návrhu

Čo to znamená

Ochrana údajov už v návrhu je povinnosť podľa GDPR zabudovať ochranu osobných údajov do systémov a procesov už pri ich navrhovaní, nie až dodatočne. Dopĺňa ju ochrana údajov v predvolenom nastavení: systém má štandardne spracúvať len údaje nevyhnutné na daný účel.

V praxi to znamená napríklad pseudonymizáciu, obmedzenie prístupov len na nevyhnutné osoby, automatické mazanie po uplynutí lehoty, šifrovanie či vypnuté sledovanie a nepovinné polia vo formulároch v predvolenom stave. Zásada minimalizácie sa tak premieta priamo do technického riešenia.

Princíp sa týka nových aplikácií, webov, interných procesov aj zmien existujúcich systémov. Pri rizikovejšom spracúvaní ho dopĺňa posúdenie vplyvu, ktoré pred spustením identifikuje riziká a navrhne opatrenia.

Ako to funguje v praxi

Pri výbere dodávateľa softvéru či cloudovej služby sa oplatí overiť, aké nastavenia ochrany údajov ponúka: rolové prístupy, logovanie, šifrovanie, možnosť mazania a exportu údajov, umiestnenie serverov. Dodatočné úpravy sú drahšie ako dobrý výber na začiatku.

Na webe sa princíp prejavuje napríklad tak, že analytické a marketingové cookies sú vypnuté, kým návštevník nedá súhlas, formulár pýta len nevyhnutné údaje a newsletterový checkbox nie je predzaškrtnutý. Takéto nastavenie zároveň znižuje riziko sťažností.

V interných procesoch pomáha jednoduchá otázka pri každom novom projekte: aké osobné údaje naozaj potrebujeme, kto k nim bude mať prístup a kedy ich vymažeme. Odpovede sa zdokumentujú a slúžia ako dôkaz plnenia povinnosti pri kontrole.

Na čo si dať pozor

Povinnosť platí bez ohľadu na veľkosť firmy, rozsah opatrení sa však posudzuje primerane k rizikám a nákladom. Malý e-shop nemusí mať riešenia banky, ale musí vedieť vysvetliť, prečo zvolil práve tie opatrenia, ktoré má.

Nevedomé rozšírenie zberu údajov, napríklad pridanie nového sledovacieho skriptu marketingom bez posúdenia, je častým porušením tohto princípu. Zmeny na webe a v aplikáciách by preto mali prechádzať aj kontrolou z pohľadu ochrany údajov.