Privasi berdasarkan desain dan privasi secara default (perlindungan data yang dirancang dan privasi default oleh GDPR)

Pada Mei 2018, sebuah undang-undang baru tentang perlindungan data pribadi mulai berlaku - Peraturan Perlindungan Data Umum atau Peraturan Parlemen Eropa dan Dewan Uni Eropa 2016/679 tanggal 27 April 2016 tentang perlindungan individu dalam pemrosesan data pribadi dan tentang sirkulasi bebas data tersebut, serta pencabutan Directive 95/46 / EC (selanjutnya GDPR ), yang memberi warga Uni Eropa alat untuk sepenuhnya mengontrol data pribadi mereka, perlindungan yang merupakan hak fundamental di Uni Eropa. Pasal 25 GDPR mewajibkan perusahaan untuk membuat sistem dengan perlindungan bawaan terhadap data pribadi dan sistem privasi secara default - privasi berdasarkan desain dan privasi secara default . Dalam materi ini kita akan menganalisis konsep-konsep ini.

Teks Pasal 25 Peraturan dalam Bahasa Inggris dan Bahasa Rusia:

1. Memperhatikan keadaan seni, biaya implementasi dan sifat, ruang lingkup, konteks dan tujuan pemrosesan serta risiko berbagai kemungkinan dan tingkat keparahan untuk hak dan kebebasan orang perorangan yang ditimbulkan oleh pemrosesan, pengontrol harus, baik pada saat penentuan sarana untuk pemrosesan dan pada saat pemrosesan itu sendiri, menerapkan langkah-langkah teknis dan organisasi yang sesuai, seperti nama samaran, yang dirancang untuk menerapkan prinsip-prinsip perlindungan data, seperti minimalisasi data, dalam cara yang efektif dan untuk mengintegrasikan perlindungan yang diperlukan ke dalam pemrosesan untuk memenuhi persyaratan Peraturan ini dan melindungi hak-hak subyek data.

1. Mempertimbangkan keadaan perkembangan ilmu pengetahuan dan teknologi, biaya implementasi, sifat, volume, fitur dan tujuan pemrosesan, serta kemungkinan terjadinya risiko dan bahaya untuk hak dan kebebasan individu sebagai akibat dari pemrosesan, pengontrol harus, seperti selama penentuan cara pemrosesan, dan selama pemrosesan itu sendiri, memperkenalkan langkah-langkah teknis dan organisasi yang tepat, misalnya, nama samaran, yang dirancang untuk secara efektif menerapkan prinsip-prinsip perlindungan data, misalnya, untuk meminimalkan data, dan untuk mengintegrasikan jaminan yang diperlukan untuk pemrosesan untuk memenuhi persyaratan Peraturan ini dan melindungi hak-hak subyek data.

2. Pengontrol harus menerapkan langkah-langkah teknis dan organisasi yang tepat untuk memastikan bahwa, secara default, hanya data pribadi yang diperlukan untuk setiap tujuan spesifik dari pemrosesan yang diproses. Kewajiban itu berlaku untuk jumlah data pribadi yang dikumpulkan, tingkat pemrosesan, periode penyimpanan dan aksesibilitasnya. Secara khusus, langkah-langkah tersebut harus memastikan bahwa data pribadi bawaan tidak dapat diakses tanpa campur tangan individu ke sejumlah orang perorangan.

2. Pengontrol harus menerapkan langkah-langkah teknis dan organisasi yang sesuai untuk memastikan bahwa secara default hanya data pribadi yang diproses yang diperlukan untuk setiap tujuan pemrosesan tertentu. Kewajiban ini berlaku untuk sejumlah besar data pribadi yang dikumpulkan, jumlah pemrosesan mereka, periode penyimpanan mereka dan kemungkinan akses ke sana. Secara khusus, langkah-langkah ini harus memastikan bahwa akses standar ke data pribadi tidak akan diberikan kepada jumlah individu yang tidak terbatas tanpa partisipasi individu.

3. Mekanisme sertifikasi yang disetujui sesuai dengan Pasal 42 dapat digunakan sebagai elemen untuk menunjukkan kepatuhan dengan persyaratan yang ditetapkan dalam ayat 1 dan 2 dari Pasal ini.

3. Mekanisme sertifikasi yang disetujui sesuai dengan Pasal 42 dapat digunakan sebagai elemen untuk mengkonfirmasi kepatuhan dengan persyaratan yang ditetapkan dalam ayat 1 dan 2 dari Pasal ini.

Apa ini

Privasi dengan desain

Ini berarti bahwa pengontrol data berusaha untuk mengintegrasikan sistem perlindungan data ke dalam semua proses bisnis (termasuk proses pengembangan produk atau layanan) pada tahap awal desain mereka dan berusaha untuk mempertahankan sistem seperti itu secara terus-menerus di masa depan. Perlindungan data bawaan dalam desainnya merupakan kewajiban untuk menyediakan perlindungan data pribadi terlebih dahulu dalam semua tindakan, usaha, dan keputusan perusahaan. Misalnya, saat membuat aplikasi seluler, perlu untuk menganalisis dan mencegah kemungkinan risiko yang terkait dengan kerahasiaan, dan menetapkan mekanisme untuk mengelola risiko tersebut sebelum menulis kode.

Menurut filosofi privasi oleh desain, cara terbaik untuk mengurangi risiko yang terkait dengan kerahasiaan adalah, pertama-tama, bukan untuk menciptakannya.

Privasi secara default

Secara default, privasi menyiratkan bahwa pengguna tidak perlu mengambil tindakan apa pun untuk melindungi privasi mereka. Pengaturan untuk menjaga kerahasiaan dan karenanya melindungi data pribadinya ditetapkan secara default. Pengawas tidak boleh secara otomatis menganggap bahwa pengguna setuju untuk bertukar data. Hanya data yang diperlukan untuk mencapai sasaran pemrosesan tertentu yang dapat dikoleksi. Untuk memastikan kerahasiaan ini, secara default, pengawas harus menerapkan langkah-langkah teknis dan organisasi yang sesuai.

Kotak centang pada persetujuan pengguna untuk transfer datanya ke pihak ketiga tidak boleh secara otomatis ditandai di situs dalam profil pengguna. Pengguna harus menandai sendiri kotak centang ini, dengan demikian menyatakan persetujuan eksplisit (lihat persetujuan eksplisit untuk Artikel 4 (11), 6 (1) (a), 7 GDPR). Atau, misalnya, ketika mengumpulkan data yang diperlukan untuk pendaftaran pengguna, aplikasi seharusnya tidak mengharuskan pengguna untuk memberikan data yang tidak diperlukan untuk pendaftaran.

Semakin sedikit data yang dikumpulkan dan diproses oleh perusahaan, semakin rendah risiko melanggar GDPR.

Riwayat privasi menurut desain, privasi secara default

Menurut Pengawas Perlindungan Data Eropa (selanjutnya disebut EDPS), istilah "privasi bawaan" dan "privasi default" dikembangkan pada 1990-an oleh Ann Cavoukian, Komisaris untuk Informasi dan Perlindungan Data Pribadi di provinsi Ontario Kanada. Pada tahun 2009, ia menerbitkan Integrated Privacy: 7 Fundamental Principles , yang menjelaskan bahwa "privasi yang tertanam" berarti bahwa perusahaan harus secara aktif mempertimbangkan masalah privasi di seluruh siklus hidup data, mulai dari tahap desain. "Perlindungan Siklus Hidup Penuh" ini memastikan bahwa semua data disimpan dengan aman dan kemudian dihancurkan tepat waktu. Dengan cara ini, privasi dengan desain menyediakan manajemen siklus hidup data yang berkelanjutan dan aman, dari awal hingga selesai. Sesuai dengan prinsip-prinsip ini, perlindungan ini dapat dan harus bertindak tanpa mengorbankan fungsionalitas bisnis atau sistem.

Kavukyan mengembangkan prinsip-prinsip berikut:

1. Tindakan pencegahan (proaktif), bukan hanya mitigasi
2. Privasi standar
3. Privasi Terpadu
4. Fungsionalitas penuh dengan saling menguntungkan
5. Perlindungan informasi pribadi di seluruh siklus pengumpulan, penyimpanan, pemrosesan, dan penghancurannya
6. Aksesibilitas dan transparansi
7. Penghargaan untuk privasi pengguna: sistem harus berorientasi pada pengguna

Privasi default, pada gilirannya, berarti bahwa prinsip privasi built-in harus dimasukkan secara default dalam sistem atau bisnis apa pun - sehingga data pribadi secara otomatis dilindungi tanpa tindakan apa pun dari subjek data. Seseorang seharusnya tidak diharuskan untuk mengambil tindakan apa pun untuk melindungi privasinya - semuanya secara bawaan dimasukkan ke dalam sistem.

EDPS menjelaskan bahwa pengaturan default ini berarti bahwa subjek data tidak boleh menanggung beban melindungi data mereka saat menggunakan layanan atau produk apa pun. Hak privasi akan dilindungi "secara otomatis" sebagai pengaturan default.

Prinsip-prinsip privasi dengan desain dan privasi secara default, yang dikembangkan oleh Kavukyan, segera diadopsi oleh anggota parlemen Eropa sebagai standar di bidang perlindungan data pribadi.

Draft rekomendasi
Dewan Perlindungan Data Eropa 13 November 2019

Pada tanggal 13 November 2019, otoritas perlindungan data pribadi tingkat Eropa yang independen, Dewan Perlindungan Data Eropa (EDPB), menerbitkan draft rekomendasi tentang penerapan Pasal 25 GDPR pada sistem privasi tertanam. Versi ini belum final, EDPB menerima komentar dari pihak yang berkepentingan hingga 16 Januari 2020, setelah itu, dengan mempertimbangkan komentar tersebut, menerbitkan versi final dari rekomendasi. Rekomendasi tidak memiliki kekuatan hukum, tetapi meskipun sifatnya non-normatif, regulator perlindungan data di negara-negara Uni Eropa dan perusahaan mengikuti mereka.

Di bawah ini adalah poin utama dari rekomendasi ini yang akan membantu untuk menafsirkan dengan benar dan memahami persyaratan Pasal 25 GDPR.

1. Privasi dengan desain

• Pengawas dapat menunjukkan efektivitas langkah-langkah yang bertujuan memenuhi persyaratan untuk kerahasiaan bawaan menggunakan indikator kinerja . Misalnya, indikator kuantitatif: penurunan jumlah keluhan, penurunan waktu respons terhadap permintaan pengguna untuk kerahasiaan mereka. Atau indikator kualitas: analisis kinerja, penggunaan skala penilaian, atau pendapat pakar.
• Langkah-langkah teknis atau organisasi dapat berupa penggunaan teknologi terintegrasi yang canggih, dan pelatihan dasar untuk karyawan, misalnya, bagaimana menangani data subjek data (pengguna). Artinya, tidak perlu mengambil langkah-langkah rumit - yang utama adalah bahwa langkah-langkah itu bekerja secara efektif.
• Langkah-langkah dapat mencakup: memberikan subyek data peluang untuk melakukan intervensi dalam pemrosesan data mereka, pengingat tentang penyimpanan data dalam database, pengenalan sistem deteksi malware dan kebersihan cyber dasar.
• Contoh tindakan teknis: pseudonimisasi data (lihat artikel 4 (5) GDPR). Ini, khususnya, hashing dan enkripsi.
• Meskipun tidak perlu menggunakan teknologi canggih, langkah-langkah harus mempertimbangkan pengembangan teknologi ( 'state of the art' adalah tingkat teknologi dari layanan atau produk yang ada di pasar dan paling efektif dalam mencapai tujuannya). Ini berarti bahwa pengendali harus menyadari kemajuan teknologi terbaru, serta mengambil langkah-langkah organisasi yang sesuai. Kurangnya langkah-langkah organisasi yang memadai dapat mengurangi atau bahkan sepenuhnya merusak efektivitas tindakan teknis yang dipilih. Dengan demikian, penggunaan perangkat lunak keamanan dengan kerentanan yang diketahui kemungkinan besar tidak dianggap sebagai tindakan yang memperhitungkan teknologi modern.
• Pasal 25 (1) GDPR dalam diskusi menyatakan bahwa biaya implementasi harus diperhitungkan ketika memilih langkah-langkah yang akan diterapkan. Rekomendasi tersebut mengklarifikasi bahwa biaya tersebut harus dipertimbangkan dalam arti luas. Jadi, kita berbicara tidak hanya tentang biaya tunai, tetapi juga tentang biaya waktu, sumber daya manusia. "Kegagalan untuk menanggung biaya tidak membenarkan ketidakpatuhan dengan persyaratan GDPR." Namun, EDPB juga memperingatkan bahwa mahalnya teknologi tidak berarti harus efektif. Memang, dalam beberapa kasus, solusi sederhana berbiaya rendah bisa lebih efektif sebagai hasilnya daripada teknologi mahal.

2. Privasi secara default

• Istilah "langkah-langkah teknis dan organisasi" harus dipertimbangkan hanya dalam kerangka prinsip minimalisasi data, seperti dalam privasi oleh desain.
• "Secara default" dalam ilmu komputer berarti nilai yang dipilih sebelumnya, parameter yang dapat dikonfigurasi yang ditetapkan untuk program atau perangkat komputer. Oleh karena itu, menurut EDPB, "perlindungan data default" adalah tugas pengontrol untuk menetapkan preset . Pengaturan awal semacam itu harus, khususnya, mengatur jumlah data pribadi yang dikumpulkan, tingkat pemrosesan, umur simpan dan ketersediaannya. Jika tidak ada pengaturan default, subjek data akan kelebihan beban dengan berbagai opsi yang tidak dapat dianalisis dan dipahami.
• Langkah-langkah organisasi juga harus ditujukan untuk memastikan bahwa sejak awal jumlah minimum data pribadi diproses atau hanya data pribadi yang diperlukan untuk operasi dan tujuan tertentu.
• Langkah-langkah tersebut harus meminimalkan pemrosesan data pribadi yang tidak perlu, membatasi akses ke data pribadi untuk orang yang relevan.

3. Tanggung jawab untuk kepatuhan terhadap privasi dengan desain, secara default terletak pada pengontrol data, tetapi EDPB menekankan bahwa prosesor dan pemasok juga memainkan peran penting dalam mematuhi prinsip-prinsip . Pengontrol sering mengirimkan data untuk diproses ke prosesor (misalnya, penyedia layanan cloud) atau memperoleh solusi teknologi untuk pemrosesan data (misalnya, perangkat yang memungkinkan pemrosesan data biometrik). Orang-orang ini paling mampu mengidentifikasi risiko yang terkait dengan data pribadi sebagai bagian dari penggunaan layanan. Prosesor dan pemasok harus menggunakan pengalaman mereka untuk mengembangkan produk yang mewujudkan privasi berdasarkan desain, standar. Contoh keputusan vendor: penghapusan data secara otomatis setelah waktu tertentu atau nama samaran langsung setelah pengumpulan data.

4. Sertifikasi sesuai dengan Pasal 42 GDPR juga dapat digunakan untuk menunjukkan kepatuhan terhadap privasi dengan desain dan privasi secara default, dan memberikan keunggulan kompetitif di pasar pemasok. Penting untuk menambahkan bahwa ada rekomendasi sertifikasi untuk Pasal 42, 43 GDPR, juga dikembangkan oleh EDPB.

5. Rekomendasi tersebut juga memberikan contoh-contoh praktis tentang elemen-elemen penting privasi dengan desain, privasi secara default: transparansi, legalitas, integritas, batasan tujuan, akurasi, batasan penyimpanan, integritas dan kerahasiaan.

Misalnya, untuk elemen "akurasi", EDPB menyajikan situasi berikut dan potensi solusinya:

Pengontrol adalah lembaga medis yang mencari cara untuk memastikan integritas dan keakuratan data pribadi dalam register kliennya. Dalam situasi di mana dua orang tiba di institusi pada saat yang sama dan menerima perlakuan yang sama, ada risiko kesalahan jika satu-satunya parameter yang membedakan mereka adalah namanya. Untuk memastikan keakuratan, pengontrol memerlukan pengidentifikasi unik untuk setiap orang dan, oleh karena itu, informasi lebih dari sekadar nama klien. Lembaga menggunakan beberapa sistem yang berisi informasi pribadi klien, dan harus memastikan bahwa informasi yang terkait dengan klien adalah benar, akurat, dan konsisten di semua sistem pada waktu tertentu. Beberapa risiko diidentifikasi yang dapat muncul jika informasi berubah di satu sistem, tetapi tidak di yang lain. Untuk mengurangi risiko, pengontrol memutuskan untuk menggunakan metode hashing untuk memastikan integritas data dalam catatan perawatan. Tanda tangan hash permanen dibuat untuk catatan perawatan dan karyawan terkait sehingga setiap perubahan dapat dikenali, dikorelasikan, dan dilacak jika perlu.

Seperti disebutkan di atas, ini bukan versi final dari rekomendasi, jadi Anda harus mengikuti pembaruan dengan mempertimbangkan komentar dari pihak yang berkepentingan.

Besar halus di bawah Seni. 25 GDPR

Pada 30 Oktober 2019, perusahaan real estat Jerman Deutsche Wohnen SE didenda € 14,5 juta karena penyimpanan data yang salah hanya dengan merujuk pada Pasal 25 (1) GDPR. Perusahaan menggunakan sistem pengarsipan untuk menyimpan data pribadi penyewa, yang tidak memberikan kemampuan untuk menghapus data yang tidak lagi diperlukan. Data pribadi penyewa disimpan tanpa memeriksa validitas penyimpanan selanjutnya. Dengan demikian, dimungkinkan untuk mengakses data pribadi yang disimpan selama bertahun-tahun ketika, karena mereka tidak lagi melayani tujuan pengumpulan awal mereka. Informasi disimpan pada situasi pribadi dan keuangan penyewa, sertifikat gaji, formulir pengungkapan diri, ekstrak dari kontrak kerja dan pelatihan, data pajak, jaminan sosial dan asuransi kesehatan, serta laporan bank .

Hukuman maksimum untuk pelanggaran Pasal 25 (1) GDPR adalah 10 juta euro atau 2% dari omset dunia. Denda € 14,5 juta dihitung menggunakan pedoman yang sebelumnya diterbitkan oleh BBDI (Badan Perlindungan Data Jerman, Berliner Beauftragte für Datenschutz und Informationsfreiheit).

Di situs ini (GDPR Enforcement Tracker) Anda dapat memantau denda dan hukuman yang dijatuhkan di UE di bawah GDPR.

Kesimpulan

Pasal 25 GDPR memberlakukan beban yang signifikan untuk menyediakan perlindungan data pribadi bawaan dan privasi. Untuk mematuhi persyaratan norma ini dan untuk menghindari denda besar, pengendali harus menganalisis bagaimana, di mana dan kapan mereka memproses informasi, dan memastikan bahwa hak privasi dipertimbangkan pada setiap tahap pemrosesan, dimulai dengan desain produk / layanan, proses bisnis baru. Ini harus mencakup yang berikut:

• Pengembangan program kerahasiaan untuk seluruh organisasi, yang menentukan di mana dan kapan data pribadi diproses, dan memastikan bahwa setiap departemen yang memproses data pribadi memiliki rencana perlindungan data pribadi.
• Rencana perlindungan data pribadi yang harus menjadi bagian dari setiap proses bisnis baru yang mungkin mencakup pemrosesan data pribadi.
• Meminimalkan pemrosesan data pribadi (hanya memproses data pribadi yang diperlukan untuk mencapai tujuan pemrosesan).
• Nama samarkan atau enkripsi data jika memungkinkan.
• Memastikan transparansi dari setiap pemrosesan data pribadi untuk subjek data dan menginformasikan subjek data tentang bagaimana data pribadi mereka digunakan.
• .
• , , .
• EDPB.