Privacy by Design i Privacy by Default - co to takiego?

RODO-gorączka wprawdzie powoli opada, jednak temat ochrony danych osobowych jest w dalszym ciągu aktualny. W dzisiejszym wpisie przybliżę Ci dwa określenia, które z pozoru mogą wydawać się dosyć enigmatyczne

oraz

Privacy by Design  

to zasada, w myśl której administrator powinien

. Jest to jedna z nowości wprowadzonych przez RODO (art. 25). W praktyce oznacza to, że jeśli rozważasz na przykład otwarcie sklepu internetowego lub chcesz udostępnić własną aplikację, musisz w trakcie ich projektowania zadecydować, jak zamierzasz chronić dane ich użytkowników. Jeżeli projektujesz rozwiązanie, które wymaga od użytkowników podania jakichkolwiek danych, powinieneś bezwzględnie zadbać o ich ochronę. Zasada

wynika z konieczności ochrony danych

. Informacje podawane przez użytkowników sklepu internetowego powinny być więc bezpieczne już w momencie wprowadzenia ich do systemu. W procesie wyboru środków musisz zastanowić się, jakie zabezpieczenia będą adekwatne do

Nieco więcej o możliwych środkach pisałem niedawno

Istotne jest również uwzględnienie związanego z przetwarzaniem

Stosowane zabezpieczenia powinny być też zgodne z

w możliwie jak największym stopniu.

Środki, które na tym etapie powinieneś uwzględnić, mogą polegać m.in. na

zbieranych danych czy założeniu

do swoich danych. Należy także pamiętać, że pomimo dobrze zaprojektowanej ochrony,

. Powinieneś także stale dążyć do

Nie zapomnij też, że to w Twoim obowiązku leży upewnienie się, że podmioty, którym w ramach współpracy udostępniasz dane również zapewniają im należyty stopień ochrony.

Privacy by Default

lub inaczej

to założenie, zgodnie z którym stosowane rozwiązania z założenia zapewniają wymagany stopień bezpieczeństwa. Określenie to brzmi dosyć zawile, pozwól więc, że przybliżę Ci je na konkretnych przykładach. Jeżeli prowadzisz sklep internetowy, prawdopodobnie dostępne są w nim takie opcje, jak zapytanie o produkt czy formularz kontaktowy. Upewnij się więc, że wymagasz w tym miejscu podania jedynie

a więc o ile podanie adresu e-mail jest uzasadnione, wymóg ujawnienia nazwiska nie jest zgodny z tą zasadą. Najprościej mówiąc, jeżeli prosisz o podanie konkretnej danej, zawsze musisz posiadać ku temu istotną przyczynę. Wiąże się to z wymogiem minimalizacji danych. Pamiętaj również, że w myśl zasady

, jeśli nie odbywa się to na wyraźne żądanie osoby, której dane dotyczą. Samo podanie takich danych np. w serwisie społecznościowym nie oznacza jeszcze zgody na ich publikację.

i

to określenia, które są ze sobą bardzo mocno związane. Ich spełnienie jest niezbędne, by wywiązać się z nakładanych przez RODO obowiązków. Jeżeli nie dostosowałeś jeszcze swojej firmy do wymogów rozporządzenia, ułatwi Ci to stworzony przeze mnie