Термін
Захист даних під час проєктування
Обов'язок за GDPR закладати захист персональних даних у системи й процеси вже під час їх проєктування та за замовчуванням обробляти лише необхідні дані. Це, наприклад, псевдонімізація, обмежений доступ чи вимкнене відстеження як налаштування за замовчуванням.
Оновлено
Що це означає
Захист даних під час проєктування - обов'язок за GDPR вбудовувати захист персональних даних у системи й процеси вже на етапі проєктування, а не заднім числом. Його доповнює захист даних за замовчуванням: система має за замовчуванням обробляти лише дані, потрібні для мети.
На практиці це, наприклад, псевдонімізація, обмеження доступу лише потрібними особами, автоматичне видалення після спливу строку, шифрування, вимкнене за замовчуванням відстеження та необов'язкові поля у формах. Принцип мінімізації так переноситься прямо в технічне рішення.
Принцип стосується нових застосунків, сайтів, внутрішніх процесів і змін наявних систем. За ризикованішої обробки його доповнює оцінка впливу, яка до запуску виявляє ризики й пропонує заходи.
Як це працює на практиці
Під час вибору постачальника ПЗ чи хмарного сервісу варто перевірити, які налаштування захисту даних він пропонує: рольовий доступ, журналювання, шифрування, можливість видалення та експорту даних, розташування серверів. Подальші доопрацювання дорожчі за добрий вибір на початку.
На сайті принцип виявляється, наприклад, у тому, що аналітичні й маркетингові cookies вимкнені, доки відвідувач не дасть згоду, форма запитує лише потрібні дані, а прапорець розсилки не позначений заздалегідь. Таке налаштування заодно знижує ризик скарг.
У внутрішніх процесах допомагає просте запитання під час кожного нового проєкту: які персональні дані нам справді потрібні, хто матиме до них доступ і коли ми їх видалимо. Відповіді документують, і вони слугують доказом виконання обов'язку під час перевірки.
На що звернути увагу
Обов'язок діє незалежно від розміру компанії, але обсяг заходів оцінюють пропорційно до ризиків і витрат. Невеликому магазину не потрібні рішення банку, але він має вміти пояснити, чому обрав саме ті заходи, що має.
Непомітне розширення збору даних, наприклад додавання маркетологами нового скрипта відстеження без оцінки, - часте порушення цього принципу. Тому зміни на сайті та в застосунках мають проходити й перевірку з погляду захисту даних.
Потрібно пояснити термін на вашій конкретній ситуації? Консультації від 55 € / година без ПДВ, залежно від теми та складності.