Ce Este GDPR – Implementare ”GDPR”
Termenul de ”GDPR” este abrevierea a „General Data Protection Regulation” sau, mai neaoș,
”Regulamentul General privind Protecția Datelor”, iar scopul acestei dispoziții legale este de a proteja datele cu caracter personal și a delimita clar modul în care acestea pot fi prelucrate.
GDPR Consimțământ
Prelucrarea datelor cu caracter personal este în general interzisă,
cu excepția cazului în care este permisă în mod expres de lege sau persoana vizată și-a dat consimțământul pentru prelucrare. Deși este unul dintre cele mai cunoscute baze juridice pentru prelucrarea datelor cu caracter personal, consimțământul este doar una dintre cele șase baze menționate în Regulamentul general privind protecția datelor (GDPR). Celelalte sunt: contractul, obligațiile legale, interesele vitale ale persoanei vizate, interesul public și interesul legitim, conform articolului 6 alineatul (1) GDPR.
Cerințele de bază pentru eficacitatea unui consimțământ legal valid sunt definite la articolul 7 și specificate în continuare în considerentul 32 din GDPR. Consimțământul trebuie să fie liber, specific, informat și lipsit de ambiguitate. Pentru a obține consimțământul acordat în mod liber, acesta trebuie acordat pe bază voluntară. Elementul „liber” presupune o alegere reală a persoanei vizate. Orice element de presiune sau influență inadecvată care ar putea afecta rezultatul acelei alegeri face consimțământul invalid. În acest sens, textul legal ia în considerare un anumit dezechilibru între operator și persoana vizată. De exemplu, într-o relație angajator-angajat: Angajatul poate să-și facă griji că refuzul său de a-și acorda consimțământul poate avea consecințe negative grave asupra relației sale de muncă, astfel consimțământul poate fi o bază legală pentru prelucrare doar în câteva circumstanțe excepționale. În plus, se aplică așa-numita „interdicție de cuplare” sau „interdicție de cuplare sau de legare”. Astfel, executarea unui contract nu poate fi dependentă de consimțământul de a prelucra date cu caracter personal suplimentare, care nu sunt necesare pentru executarea respectivului contract.
Pentru ca consimțământul să fie informat și specific, persoana vizată trebuie să fie cel puțin informată cu privire la identitatea operatorului, ce fel de date vor fi prelucrate, cum vor fi utilizate și scopul operațiunilor de prelucrare ca o garanție împotriva „funcționalității”. Persoana vizată trebuie, de asemenea, informată cu privire la dreptul său de a-și retrage consimțământul oricând. Retragerea trebuie să fie la fel de ușoară ca și acordarea consimțământului. După caz, operatorul trebuie, de asemenea, să informeze despre utilizarea datelor pentru luarea deciziilor automate, posibilele riscuri ale transferurilor de date din cauza absenței unei decizii de adecvare sau a altor garanții adecvate.
Consimțământul trebuie să fie legat de unul sau mai multe scopuri specificate, care trebuie apoi explicate suficient. În cazul în care consimțământul ar trebui să legitimeze prelucrarea unor categorii speciale de date cu caracter personal, informațiile pentru persoana vizată trebuie să se refere în mod expres la aceasta.
Trebuie să existe întotdeauna o distincție clară între informațiile necesare pentru consimțământul informat și informațiile despre alte aspecte contractuale.
Nu în ultimul rând, consimțământul trebuie să fie clar, ceea ce înseamnă că necesită fie o declarație, fie un act afirmativ clar. Consimțământul nu poate fi implicit și trebuie să fie dat întotdeauna printr-un opt-in, o declarație sau o moțiune activă, astfel încât să nu existe o înțelegere greșită că persoana vizată și-a dat consimțământul pentru prelucrarea respectivă. Acestea fiind spuse, nu există o cerință de formă pentru consimțământ, chiar dacă consimțământul scris este recomandat din cauza răspunderii operatorului. Prin urmare, poate fi dat și în formă electronică. În acest sens, consimțământul copiilor și adolescenților în legătură cu serviciile societății informaționale este un caz special. Pentru cei sub 16 ani, există o cerință suplimentară de consimțământ sau autorizare din partea titularului răspunderii părintești. Limita de vârstă face obiectul unei clauze de flexibilitate. Statele membre pot prevedea o vârstă mai mică prin legislația națională, cu condiția ca această vârstă să nu fie sub vârsta de 13 ani. Atunci când o ofertă de servicii nu se adresează în mod explicit copiilor, aceasta este eliberată de această regulă. Totuși, acest lucru nu se aplică ofertelor care se adresează atât copiilor, cât și adulților.
După cum se poate vedea, consimțământul nu este un glonț de argint atunci când vine vorba de prelucrarea datelor cu caracter personal. Mai ales având în vedere că autoritățile europene pentru protecția datelor au precizat clar „că, dacă un operator alege să se bazeze pe consimțământ pentru orice parte a prelucrării, trebuie să fie pregătit să respecte această alegere și să oprească acea parte a prelucrării dacă o persoană își retrage consimțământul. ” Interpretat strict, aceasta înseamnă că operatorul nu are voie să treacă de la consimțământul bazat legal la interesul legitim odată ce persoana vizată își retrage consimțământul. Acest lucru se aplică chiar dacă inițial a existat un interes legitim valabil. Prin urmare, consimțământul ar trebui să fie întotdeauna ales ca ultimă opțiune pentru prelucrarea datelor cu caracter personal.
GDPR Responsabil cu Protecția Datelor
Regulamentul general privind protecția datelor (GDPR) a stabilit conceptul de responsabil cu protecția datelor (DPO) în Europa.
Contrar credinței populare, decisiv pentru obligația legală de a numi un responsabil cu protecția datelor nu este dimensiunea companiei, ci activitățile de prelucrare de bază, care sunt definite ca fiind esențiale pentru atingerea obiectivelor companiei. Dacă aceste activități de bază constau în prelucrarea datelor cu caracter personal sensibile pe scară largă sau într-o formă de prelucrare a datelor care este deosebit de extinsă pentru drepturile persoanelor vizate, compania trebuie să numească un DPO. Organismele publice, pe de altă parte, trebuie întotdeauna să numească un DPO, cu excepția instanțelor care acționează în calitatea lor judiciară. În plus, norma juridică de numire a unui responsabil cu protecția datelor are o clauză de flexibilitate pentru statele membre. Aceștia sunt liberi să decidă dacă o companie trebuie să numească un responsabil cu protecția datelor în conformitate cu cerințe mai stricte (de exemplu, secțiunea 38 Legea federală germană privind protecția datelor). Dacă o astfel de obligație există în temeiul Regulamentului general privind protecția datelor sau al unei legi naționale mai specifice, un grup de întreprinderi poate numi și un singur responsabil cu protecția datelor. Dacă grupul decide să facă acest lucru, el trebuie să fie ușor accesibil autorităților de supraveghere, angajaților și persoanelor vizate externe. Dacă nu există nicio obligație legală, companiile pot numi un DPO pe bază voluntară pentru a ajuta la respectarea protecției datelor (care este, de exemplu, recomandat de autoritatea franceză pentru protecția datelor CNIL).
Grupurile și companiile au două posibilități de a-și îndeplini obligația de a numi un responsabil cu protecția datelor. Fie numesc un angajat ca responsabil intern cu protecția datelor, fie numesc un responsabil extern cu protecția datelor. În selectarea unei astfel de persoane, aceștia trebuie să se asigure că un responsabil intern cu protecția datelor nu este supus unui conflict de interese din cauza activității sale în Departamentul IT, Departamentul HR sau conducerea superioară, unde ar trebui să se supervizeze. Indiferent de opțiunea aleasă, un responsabil cu protecția datelor trebuie să ofere cunoștințe profesionale experte în dreptul protecției datelor și securitatea IT, sfera de aplicare depinzând de complexitatea prelucrării datelor și de dimensiunea companiei.
Atribuțiile unui responsabil cu protecția datelor includ: Lucrul la respectarea tuturor legilor relevante privind protecția datelor, monitorizarea proceselor specifice, cum ar fi evaluările de impact asupra protecției datelor sau sensibilizarea și instruirea angajaților pentru protecția datelor, precum și colaborarea cu organele de supraveghere. Autoritățile. Prin urmare, angajatul care acționează în calitate de responsabil cu protecția datelor nu trebuie să fie concediat sau sancționat din cauza îndeplinirii sarcinilor sale. În ciuda funcției sale de monitorizare, compania însăși rămâne responsabilă pentru respectarea legilor privind protecția datelor. Prin urmare, trebuie să implice responsabilul cu protecția datelor în toate problemele care se referă la protecția datelor cu caracter personal „în mod corespunzător și în timp util”. Atunci când este numit un responsabil cu protecția datelor, superiorul său trebuie să-și publice datele de contact și să comunice numirea și datele de contact autorităților de supraveghere a protecției datelor. Dacă o companie a numit în mod voluntar un DPO, aceasta trebuie, de asemenea, să respecte criteriile și prevederile menționate mai sus. De asemenea, rețineți că eșecul intenționat sau neglijent de a numi un responsabil cu protecția datelor în ciuda unei obligații legale este o încălcare care poate fi sancționată cu amenzi.
GDPR Marketing prin e-mail
Trimiterile prin buletine informative și marketingul prin e-mail sunt o parte fixă a universului marketingului online.
Practic, principiul conform căruia prelucrarea este interzisă, dar supusă posibilității de autorizare se aplică și datelor cu caracter personal care sunt utilizate pentru trimiterea de e-mailuri. Prelucrarea este permisă de Regulamentul general privind protecția datelor (GDPR) numai dacă persoana vizată și-a dat consimțământul sau există un alt temei legal. Aceasta ar putea fi, de exemplu, păstrarea interesului legitim al operatorului de a trimite marketing prin e-mail. Considerentul 47 din Regulamentul general privind protecția datelor precizează în mod expres că legea se aplică și prelucrării datelor cu caracter personal pentru marketing direct ca interes legitim al operatorului.
În plus, un astfel de interes ar putea fi observat, de exemplu, dacă există o relație relevantă și proporțională între persoana vizată și operator. Acesta ar putea fi cazul dacă persoana vizată este un client al operatorului sau se află în serviciul acestuia din urmă. Prin urmare, multe indică faptul că marketingul prin e-mail este permis fără consimțământ, cel puțin pentru clienții existenți. Dacă compania are un interes justificat în apeluri „la rece” prin e-mail marketing, e-mailurile de marketing pot fi trimise potențialilor clienți fără consimțământ. Pentru a nu primi informații suplimentare prin newsletter sau e-mail, clientul care le primește trebuie doar să se opună prelucrării în scopuri de marketing. Potrivit art. 21(2), (3) GDPR persoana vizată are întotdeauna dreptul de a se opune prelucrării datelor cu caracter personal în scopuri de marketing direct. Dacă persoana vizată se opune, operatorul trebuie să oprească prelucrarea doar în scopuri de marketing, dar poate procesa în continuare datele în alte scopuri, de ex. pentru executarea unui contract. Interesul legitim al operatorului de a prelucra datele în scopuri de marketing nu poate depăși niciodată obiecția persoanei vizate. Trebuie remarcat însă că potrivit art. 95 din Regulamentul general privind protecția datelor, acest lucru se aplică tuturor scopurilor legate de protecția datelor, cu excepția cazului în care în Directiva privind confidențialitatea electronică sunt incluse norme speciale cu același domeniu de aplicare (a se vedea, de asemenea, considerentul 173). Consecința este că marketingul prin e-mail este permis în prezent numai cu acordul părților în cauză (Art. 13(1) din Directiva 2002/58/CE). Trebuie să așteptăm pentru a vedea dacă viitorul regulament privind confidențialitatea electronică oferă mai multă claritate cu privire la această problemă.
Indiferent dacă o companie își bazează ulterior măsurile de marketing pe interesul său legitim sau pe consimțământ, operatorul trebuie să respecte dreptul persoanei vizate de a fi informată. Conținutul acestor informații depinde de motivul de justificare utilizat. Vă rugăm să rețineți că ar putea exista anumite legi naționale suplimentare (de exemplu, legea concurenței) care ar putea fi puțin mai stricte sau care pot impune restricții suplimentare.
GDPR Criptarea datelor
Companiile pot reduce probabilitatea unei încălcări a datelor și astfel pot reduce riscul de amenzi în viitor, dacă au ales să folosească criptarea datelor cu caracter personal. Prelucrarea datelor cu caracter personal este în mod natural asociată cu un anumit grad de risc. Mai ales în zilele noastre, unde atacurile cibernetice sunt aproape inevitabile pentru companiile peste o anumită dimensiune. Prin urmare, managementul riscului joacă un rol din ce în ce mai mare în securitatea IT, iar criptarea datelor este potrivită, printre alte mijloace, pentru aceste companii.
În general, criptarea se referă la procedura care convertește textul clar într-un cod hash folosind o cheie, în care informațiile trimise devin din nou lizibile doar folosind cheia corectă. Acest lucru minimizează riscul unui incident în timpul procesării datelor, deoarece conținutul criptat este practic imposibil de citit pentru terții care nu au cheia corectă. Criptarea este cea mai bună modalitate de a proteja datele în timpul transferului și o modalitate de a securiza datele personale stocate. De asemenea, reduce riscul de abuz în cadrul unei companii, deoarece accesul este limitat doar la persoanele autorizate cu cheia potrivită.
De asemenea, Regulamentul recunoaște aceste riscuri în cazul prelucrării datelor cu caracter personal și plasează responsabilitatea operatorului și operatorului în art. 32(1) din Regulamentul general privind protecția datelor pentru a implementa măsuri tehnice și organizatorice adecvate pentru securizarea datelor cu caracter personal. GDPR nu definește în mod deliberat care măsuri tehnice și organizatorice specifice sunt considerate adecvate în fiecare caz, pentru a se adapta factorilor individuali. Cu toate acestea, oferă operatorului un catalog de criterii care trebuie luate în considerare la alegerea metodelor de securizare a datelor cu caracter personal. Acestea sunt stadiul tehnicii, costurile de implementare și natura, domeniul de aplicare, contextul și scopurile prelucrării. Pe lângă aceste criterii, trebuie întotdeauna să se ia în considerare gravitatea riscurilor la adresa drepturilor și libertăților persoanei vizate și cât de probabil se pot manifesta aceste riscuri. Acest lucru se rezumă, practic, la următoarele: cu cât riscurile implicate în prelucrarea datelor sunt mai mari și cu cât acestea sunt mai probabil să se manifeste, cu atât măsurile de securitate luate trebuie să fie mai puternice și cu atât mai multe măsuri trebuie luate. Criptarea ca concept este menționată în mod explicit ca o posibilă măsură tehnică și organizatorică pentru securizarea datelor în lista de la art. 32(1) din GDPR, care nu este exhaustiv. Din nou, GDPR nu menționează metode de criptare explicite care să se adapteze progresului tehnologic rapid. Atunci când alegeți o metodă trebuie să aplicați și catalogul de criterii de mai sus. Pentru a răspunde la întrebarea despre ceea ce este considerat în prezent „de ultimă generație”, ofițerii cu protecția datelor se bazează, de obicei, pe definițiile stabilite în standardele de securitate a informațiilor precum ISO/IEC 27001 sau alte linii directoare naționale de securitate IT.
Criptarea datelor cu caracter personal are beneficii suplimentare pentru controlori și/sau procesatorii de comenzi. De exemplu, pierderea unui mediu de stocare mobil criptat de ultimă generație care deține date cu caracter personal nu este neapărat considerată o încălcare a datelor, care trebuie raportată autorităților de protecție a datelor. În plus, în cazul în care există o încălcare a datelor, autoritățile trebuie să ia în considerare în mod pozitiv utilizarea criptării în decizia lor privind dacă și cu ce valoare se aplică o amendă conform art. 83(2)(c) din GDPR.
GDPR Amenzi / Penalități
Autoritățile naționale pot sau trebuie să evalueze amenzi pentru încălcări specifice ale protecției datelor în conformitate cu Regulamentul general privind protecția datelor. Amenzile se aplică în plus față de sau în locul unor remedii suplimentare sau puteri corective, cum ar fi ordinul de a pune capăt unei încălcări, o instrucțiune de ajustare a procesării datelor pentru a se conforma cu GDPR, precum și puterea de a impune o limitare temporară sau definitivă. inclusiv interzicerea prelucrării datelor. Pentru prevederile care se referă la operatori, acesta poate fi supus sancțiunilor direct și/sau împreună cu operatorul.
Amenzile trebuie să fie eficiente, proporționale și disuasive pentru fiecare caz în parte. Pentru a decide dacă și ce nivel de sancțiune poate fi evaluat, autoritățile au un catalog statutar de criterii pe care trebuie să le ia în considerare pentru decizia lor. Printre altele, încălcarea intenționată, neluarea măsurilor de atenuare a prejudiciului survenit sau lipsa de colaborare cu autoritățile pot crește sancțiunile. Pentru încălcările deosebit de grave, enumerate la art. 83(5) GDPR, cadrul amenzii poate fi de până la 20 de milioane de euro sau, în cazul unei întreprinderi, de până la 4 % din cifra de afaceri globală totală a anului fiscal precedent, oricare dintre acestea este mai mare. Dar chiar și catalogul încălcărilor mai puțin grave din art. 83(4) GDPR prevede amenzi de până la 10 milioane de euro sau, în cazul unei întreprinderi, până la 2% din întreaga sa cifra de afaceri globală a anului fiscal precedent, oricare dintre acestea este mai mare. Deosebit de important aici este faptul că termenul „întreprindere” este echivalent cu cel folosit la art. 101 și 102 din Tratatul privind funcționarea Uniunii Europene (TFUE). Potrivit jurisprudenței Curții Europene de Justiție, „conceptul de întreprindere cuprinde orice entitate care desfășoară o activitate economică, indiferent de statutul juridic al entității sau de modul în care aceasta este finanțată”. Prin urmare, o întreprindere poate consta nu numai dintr-o singură societate în sensul unei persoane juridice, ci și din mai multe persoane fizice sau entități corporative. Astfel, un întreg grup poate fi tratat ca o singură întreprindere, iar cifra de afaceri anuală totală la nivel mondial poate fi utilizată pentru a calcula amenda pentru o încălcare a GDPR a uneia dintre companiile sale. În plus, fiecare stat membru stabilește norme privind alte sancțiuni pentru încălcări ale regulamentului care nu sunt deja reglementate de art. 83. Acestea sunt cel mai probabil sancțiuni penale pentru anumite încălcări ale GDPR sau sancțiuni pentru încălcări ale normelor naționale care au fost adoptate pe baza clauzelor de flexibilitate ale GDPR. Sancțiunile naționale trebuie, de asemenea, să fie eficiente, proporționale și să aibă un rol descurajator.
O situație pedepsită într-o companie poate fi dezvăluită prin activități de inspecție proactivă desfășurate de autoritățile de protecție a datelor, de un angajat nemulțumit sau de clienți sau potențiali clienți care se plâng autorităților, prin autodenunțarea companiei, sau de către presa în generală, mai ales prin jurnalismul de investigaţie.
Enforcement Tracker oferă o imagine de ansamblu asupra amenzilor și sancțiunilor raportate pe care autoritățile de protecție a datelor din UE le-au impus până acum.
GDPR – Date personale
Termenul „date cu caracter personal” este calea de intrare în aplicarea Regulamentului general privind protecția datelor (GDPR). Numai în cazul în care o prelucrare a datelor se referă la date cu caracter personal, se aplică Regulamentul general privind protecția datelor. Termenul este definit la art. 4 (1). Datele cu caracter personal sunt orice informație care are legătură cu o persoană fizică identificată sau identificabilă.
Persoanele vizate sunt identificabile dacă pot fi identificate direct sau indirect, în special prin referire la un identificator cum ar fi un nume, un număr de identificare, date de localizare, un identificator online sau una dintre câteva caracteristici speciale, care exprimă caracterul fizic, fiziologic, genetic. , identitatea psihică, comercială, culturală sau socială a acestor persoane fizice. În practică, acestea includ și toate datele care sunt sau pot fi atribuite unei persoane în orice fel. De exemplu, telefonul, cardul de credit sau numărul de personal al unei persoane, datele contului, numărul de înmatriculare, aspectul, numărul de client sau adresa sunt toate date personale.
Deoarece definiția include „orice informație”, trebuie să presupunem că termenul „date cu caracter personal” ar trebui interpretat cât mai larg posibil. Acest lucru este sugerat și în jurisprudența Curții Europene de Justiție, care ia în considerare și informații mai puțin explicite, cum ar fi înregistrările orelor de lucru care includ informații despre ora la care un angajat își începe și își încheie ziua de lucru, precum și pauzele sau orele care nu se incadreaza in timpul de lucru, ca date personale. De asemenea, răspunsurile scrise de la un candidat în timpul unei probe și orice observație din partea examinatorului cu privire la aceste răspunsuri sunt „date cu caracter personal” dacă candidatul poate fi identificat teoretic. Același lucru este valabil și pentru adresele IP. Dacă operatorul are opțiunea legală de a obliga furnizorul să predea informații suplimentare care îi permit să identifice utilizatorul din spatele adresei IP, acestea sunt și date personale. În plus, trebuie menționat că datele cu caracter personal nu trebuie să fie obiective. Informațiile subiective precum opiniile, judecățile sau estimările pot fi date cu caracter personal. Astfel, aceasta include o evaluare a bonității unei persoane sau o estimare a performanței în muncă de către un angajator.
Nu în ultimul rând, legea prevede că informațiile pentru o referință de personal trebuie să se refere la o persoană fizică. Cu alte cuvinte, protecția datelor nu se aplică informațiilor despre persoane juridice precum corporații, fundații și instituții. Pentru persoanele fizice, în schimb, protecția începe și se stinge cu capacitate juridică. Practic, o persoană obține această capacitate odată cu nașterea sa și o pierde la moarte. Prin urmare, datele trebuie să fie atribuibile unor persoane vii identificate sau identificabile pentru a fi considerate personale.
Pe lângă datele cu caracter personal generale, trebuie luate în considerare mai ales categoriile speciale de date cu caracter personal (cunoscute și ca date cu caracter personal sensibile) care sunt foarte relevante deoarece fac obiectul unui nivel de protecție mai ridicat. Aceste date includ date genetice, biometrice și de sănătate, precum și date personale care dezvăluie originea rasială și etnică, opiniile politice, convingerile religioase sau ideologice sau apartenența la un sindicat.
GDPR – Confidențialitate pentru design
„Privacy by Design” și „Privacy by Default” au fost subiecte frecvent discutate legate de protecția datelor. Primele gânduri despre „Privacy by Design” au fost exprimate în anii 1970 și au fost încorporate în anii 1990 în directiva privind protecția datelor RL 95/46/EC. În conformitate cu considerentul 46 din prezenta directivă, măsurile tehnice și organizatorice (TOM) trebuie luate deja în momentul planificării unui sistem de prelucrare pentru a proteja siguranța datelor.
Termenul „Privacy by Design” nu înseamnă nimic altceva decât „protecția datelor prin proiectarea tehnologiei”. În spatele acestui lucru se află ideea că protecția datelor în procedurile de prelucrare a datelor este cel mai bine respectată atunci când este deja integrată în tehnologie atunci când este creată. Cu toate acestea, există încă incertitudine cu privire la ce înseamnă „Privacy by Design” și cum se poate implementa. Acest lucru se datorează, pe de o parte, implementării incomplete a directivei în unele state membre și, pe de altă parte, principiului „Privacy by Design” care este în Regulamentul general privind protecția datelor, că abordarea actuală a datelor orientări de protecție, care solicită persoanelor responsabile să includă deja definiții ale mijloacelor de prelucrare a TOM-urilor în momentul în care acestea sunt definite, pentru a îndeplini cerințele de bază și cerințele „Privacy by Design”. Legislația lasă complet deschise măsurile exacte de protecție care trebuie luate. De exemplu, este nevoie doar de pseudonimizarea numelui. Nu se oferă mai multe detalii în considerentul 78 din regulament. Cel puțin în alte părți ale legii, criptarea este numită, precum și anonimizarea datelor ca posibile măsuri de protecție. În plus, trebuie luate în considerare autentificarea utilizatorului și implementarea tehnică a dreptului de opoziție. În plus, la selectarea măsurilor de precauție, se pot folosi și alte standarde, cum ar fi standardele ISO. Atunci când selectați în cazuri individuale, trebuie să vă asigurați că sunt incluse stadiul tehnicii, precum și costurile rezonabile de implementare.
Pe lângă criteriile menționate, trebuie luate în considerare tipul, domeniul de aplicare, circumstanțele și scopul prelucrării. Acest lucru trebuie pus în contrast cu diferitele probabilități de apariție și cu gravitatea riscurilor legate de prelucrare. Textul legii ne conduce la concluzia că de multe ori mai multe măsuri de protecție trebuie utilizate între ele pentru a satisface cerințele legale. În practică, această considerație este deja realizată într-o fază timpurie de dezvoltare atunci când se stabilesc deciziile tehnologice. Certificarea recunoscută poate servi ca un indicator pentru autorități că persoanele responsabile au respectat cerințele statutare „Privacy by Design”.
GDPR – Evaluarea impactului asupra confidențialității
Instrumentul pentru evaluarea impactului asupra vieții private (PIA) sau evaluarea impactului asupra protecției datelor (DPIA) a fost introdus prin Regulamentul general privind protecția datelor (Art. 35 din GDPR). Aceasta se referă la obligația operatorului de a efectua o evaluare a impactului și de a o documenta înainte de a începe prelucrarea prevăzută a datelor. Se poate grupa evaluarea pentru mai multe proceduri de procesare.
Practic, o evaluare a impactului privind protecția datelor trebuie efectuată întotdeauna atunci când prelucrarea ar putea duce la un risc ridicat pentru drepturile și libertățile persoanelor fizice. Evaluarea trebuie efectuată mai ales dacă unul dintre exemplele de regulă prevăzute la art. 35(3) din GDPR este relevant. Pentru a preciza formularea deschisă a legii privind obligația de bază de a efectua o evaluare a impactului asupra vieții private, sunt implicate autoritățile de supraveghere. Într-un prim proiect, Grupul de lucru Articolul 29 a creat un catalog de zece criterii care indică faptul că prelucrarea prezintă un risc ridicat pentru drepturile și libertățile unei persoane fizice. Acestea sunt, de exemplu, scoring/profiling, decizii automate care conduc la consecințe juridice pentru cei afectați, monitorizarea sistematică, prelucrarea datelor cu caracter personal speciale, datele care sunt prelucrate la scară largă, fuzionarea sau combinarea datelor care au fost colectate prin diferite procese, date despre persoane incapabile sau cu capacitate limitată de a acționa, utilizarea tehnologiilor sau a procedurilor biometrice mai noi, transferul de date către țări din afara UE/CEE și prelucrarea datelor care îi împiedică pe cei implicați în exercitarea drepturilor lor. O evaluare a impactului asupra confidențialității nu este absolut necesară dacă o operațiune de prelucrare îndeplinește doar unul dintre aceste criterii. Cu toate acestea, dacă sunt îndeplinite mai multe criterii, riscul pentru persoanele vizate este de așteptat să fie ridicat și este întotdeauna necesară o evaluare a impactului asupra protecției datelor. Dacă există îndoieli și este dificil să se determine un risc ridicat, ar trebui totuși efectuată o DPIA. Acest proces trebuie repetat cel puțin o dată la trei ani.
În plus, autoritățile naționale de supraveghere trebuie să stabilească și să publice o listă a operațiunilor de prelucrare care necesită întotdeauna o evaluare a impactului privind protecția datelor în jurisdicția lor (lista pozitivă). De asemenea, aceștia sunt liberi să publice o listă de activități de prelucrare care nu necesită în mod specific o evaluare a impactului asupra confidențialității (listă negativă). Dacă o companie a numit un responsabil cu protecția datelor, sfatul acestuia trebuie să fie luat în considerare atunci când se efectuează o DPIA. Cum și după ce criterii sunt evaluate consecințele și riscurile pentru persoanele vizate, rămâne în mare parte fără răspuns. Primele șabloane au fost ghidate de schemele de inspecție ale standardelor ISO sau Modelul standard de protecție a datelor.
