Privacy by Design – jak wbudowywać ochronę danych w produkty już na etapie projektowania?

Nowa aplikacja może działać dokładnie tak, jak zaplanowano, a mimo to zbierać zbyt wiele danych. Może też przechowywać je bez określonego terminu albo dawać pracownikom dostęp szerszy, niż potrzebują. Takie decyzje trudno naprawić, gdy produkt jest już używany. Dlatego o ochronie danych trzeba pomyśleć podczas projektowania jego funkcji i sposobu działania.

Privacy by Design – co to jest?

Privacy by Design, czyli ochrona danych w fazie projektowania, oznacza uwzględnianie wymagań ochrony danych przy ustalaniu, jak będzie działać produkt lub proces. Podstawą prawną jest art. 25 ust. 1 RODO. Zobowiązuje on administratora do wdrożenia odpowiednich środków technicznych i organizacyjnych zarówno wtedy, gdy określa sposoby przetwarzania, jak i później, gdy przetwarzanie już trwa. Środki te mają skutecznie realizować zasady ochrony danych i chronić prawa osób.

Nie ma jednego zestawu zabezpieczeń właściwego dla każdego produktu. Innych rozwiązań wymaga prosty formularz kontaktowy, a innych system, który gromadzi szczegółowe informacje o użytkownikach i udostępnia je wielu osobom. Wybór środków zależy m.in. od celu i zakresu przetwarzania oraz ryzyka dla osób, których dane dotyczą.

Co wynika z wytycznych?

Obowiązek uwzględniania ochrony danych już na etapie projektowania wynika z art. 25 RODO. Administrator powinien tak zaplanować i zorganizować przetwarzanie, aby przyjęte rozwiązania skutecznie realizowały zasady ochrony danych i chroniły prawa osób. Obowiązek ten dotyczy zarówno podejmowania decyzji projektowych, jak i późniejszego korzystania z produktu.

Szczegółowe wskazówki zawierają wytyczne nr 4/2019 Europejskiej Rady Ochrony Danych. Zgodnie z nimi środki ochrony należy dobierać do celu, zakresu i ryzyka związanego z konkretnym przetwarzaniem, a następnie oceniać ich skuteczność przez cały okres działania produktu.

Dodatkowo należy wskazać, że już istniejące systemy podlegają tym samym obowiązkom ochrony danych w fazie projektowania oraz domyślnej ochrony danych, co nowe systemy. Jeżeli nie są one zgodne z wymogami ochrony danych w fazie projektowania oraz domyślnej ochrony danych, a nie można dokonać zmian w celu spełnienia tych wymogów, wówczas przestają spełniać wymogi RODO i nie mogą być dalej wykorzystywane do przetwarzania danych osobowych.

Jak zastosować zasady prywatności w projekcie?

Na etapie projektowania systemu przetwarzania danych osobowych warto zacząć od celu każdej funkcji. Jeżeli aplikacja ma umożliwiać rezerwację wizyty, zespół powinien ustalić, jakie informacje są potrzebne do przyjęcia rezerwacji i kontaktu z klientem. Dopiero z tego powinien wynikać zakres pól w formularzu. Możliwość zebrania dodatkowych danych nie jest jeszcze powodem, by je zbierać.

Następnie trzeba prześledzić, co dzieje się z danymi:

• kto może je zobaczyć i zmienić;
• czy trafiają do dostawcy lub innego systemu;
• jak długo pozostają w systemie;
• jak można je poprawić lub usunąć, gdy zachodzą ku temu przesłanki.

Odpowiedzi powinny znaleźć odzwierciedlenie w działaniu produktu. Przykładowo pracownik obsługujący jedną placówkę może otrzymać dostęp tylko do jej rezerwacji. System może też przypominać o końcu okresu przechowywania danych lub wspierać ich usunięcie. To konkretne decyzje projektowe wynikające m.in. z zasad minimalizacji danych, ograniczenia przechowywania i poufności.

Ustawienia domyślne również mają znaczenie

Produkt powinien być ustawiony tak, aby bez dodatkowych działań użytkownika przetwarzać tylko dane niezbędne do określonego celu. Dotyczy to ilości zbieranych danych, zakresu ich przetwarzania, okresu przechowywania oraz tego, komu są dostępne.

Przykładowo, jeżeli nowemu pracownikowi wystarcza dostęp do jednej grupy spraw, system nie powinien domyślnie przyznawać mu dostępu do wszystkich. Jeżeli funkcja wymaga osobnego wyboru użytkownika, jej ustawienie początkowe i sposób przedstawienia tego wyboru także trzeba przemyśleć.

Czy trzeba mieć procedurę Privacy by Design?

RODO nie wymaga dokumentu o nazwie „procedura Privacy by Design”. Wymaga natomiast stosowania odpowiednich środków i wykazania, że ochrona danych została uwzględniona. Krótka procedura może w tym pomóc, szczególnie gdy nad produktem pracują różne zespoły.

Wystarczy, by określała, kto i kiedy sprawdza nowe funkcje, jakie kwestie trzeba ocenić oraz gdzie zapisuje się decyzje. Przegląd powinien odbyć się przed wdrożeniem, a także wtedy, gdy zmienia się cel wykorzystania danych, zakres funkcji lub sposób ich udostępniania. Jeżeli planowane przetwarzanie może powodować wysokie ryzyko dla praw lub wolności osób, trzeba osobno ocenić obowiązek przeprowadzenia oceny skutków dla ochrony danych (DPIA).Zasada prywatności w fazie projektowania opiera się na założeniu, że o granicach wykorzystania danych nie powinny decydować wyłącznie możliwości technologii. Każda funkcja produktu jest również decyzją o tym, ile informacji o człowieku pozyskujemy, jak długo je zachowujemy i kto może z nich korzystać. Dlatego ochrona danych zaczyna się od pytania, czy dane rozwiązanie jest potrzebne i proporcjonalne do celu, któremu ma służyć. Odpowiedź należy weryfikować nie tylko przed uruchomieniem produktu, lecz także wtedy, gdy zmienia się jego funkcja, skala lub sposób wykorzystania.