Az adatvédelem ne a fejlesztés végén érkező dokumentum legyen.

Adatvédelmi követelmények a rendszer teljes életciklusában

A beépített és alapértelmezett adatvédelem azt jelenti, hogy a személyes adatok védelmét már a feldolgozás módjának meghatározásakor és a rendszer fejlesztése során figyelembe vesszük. Nem utólag próbáljuk a kész funkcióhoz hozzáilleszteni a szükséges kontrollokat.

A tervezés során vizsgáljuk az adatkezelés célját, szükségességét, arányosságát, a kockázatokat és az elérhető technikai-szervezési intézkedéseket. Az alapértelmezett beállításoknak nem szabad indokolatlanul széles adatgyűjtést, láthatóságot vagy megőrzést alkalmazniuk pusztán azért, mert a rendszer technikailag képes rá.

Nem csak azt nézzük, mi van leírva, hanem azt is, mi történik ténylegesen

Az átvilágítás során összevetjük a dokumentált adatkezelést a rendszer konfigurációjával, kód- és architektúraszintű működésével, harmadik fél szolgáltatásaival és üzemeltetési folyamataival. A cél az eltérések, hiányzó döntések és magasabb kockázatú pontok azonosítása.

Vizsgálati területek

• adatkezelési célok és adatáramlások
• adatkezelői, közös adatkezelői és adatfeldolgozói szerepek
• kezelt adatkategóriák és érintetti csoportok
• jogalapokhoz kapcsolódó technikai működés
• hozzájárulás kérése, bizonyíthatósága és visszavonása, ha alkalmazandó
• hozzáférési és jogosultsági modell
• naplózás, monitorozás és hibajelentések adattartalma
• adatmegőrzés, törlés, anonimizálás és mentések
• érintetti joggyakorlás technikai folyamata
• adatfeldolgozók, SDK-k és további címzettek
• nemzetközi adattovábbítások és felhőrégiók
• biztonsági intézkedések és incidenskezelés
• DPIA-szükségesség előzetes vizsgálata
• dokumentáció és tényleges rendszer közötti eltérések

Kockázati térkép és intézkedési terv

A megállapításokat nem egyetlen „megfelelt/nem felelt meg” címkébe sűrítjük. Bemutatjuk az érintett adatot, folyamatot, lehetséges következményt, valószínűséget, meglévő kontrollt és a javasolt intézkedést. A prioritásnál figyelembe vesszük az érintettek jogaira gyakorolt kockázatot, a jogi követelményt, a technikai függőséget és a bevezetés ráfordítását.

A „felhőben van” nem írja le az adat útját

Meg kell határozni a szolgáltatókat, régiókat, alfeldolgozókat, biztonsági mentéseket, támogatási hozzáféréseket és az adatmozgás technikai irányait. A szerződéses vállalást össze kell vetni a tényleges konfigurációval: hiába választottunk egy régiót, ha a napló, support vagy analitikai szolgáltatás más útvonalon dolgozik.

Az eszközadat is lehet személyes adat

Egy szenzorérték önmagában technikai adatnak tűnhet, de ha felhasználóhoz, háztartáshoz, járműhöz, munkaállomáshoz vagy helyhez kapcsolható, személyes adatnak minősülhet. Az időbeli minták következtetéseket engedhetnek a jelenlétről, viselkedésről, egészségi állapotról vagy munkavégzésről.

Az IoT-adatkezelésnél figyelembe vesszük az eszköz korlátozott kijelzőjét, a több felhasználót, a tulajdonosváltást, a hosszú eszközéletciklust, a terepi szervizt és a kapcsolatvesztést. A tájékoztatásnak és a joggyakorlásnak akkor is működnie kell, ha maga az eszköz nem kínál hagyományos felületet.

Eszközaktiválás és azonosítás

Az eszköz gyári azonosítója, felhasználóhoz rendelése és felhőkapcsolata meghatározza, ki fér hozzá a mérési adatokhoz. A párosítás, átadás, törlés és új tulajdonoshoz rendelés folyamatát technikailag és adatvédelmileg is meg kell tervezni.

Másodlagos felhasználás

A működtetéshez gyűjtött adat nem válik automatikusan felhasználhatóvá termékfejlesztésre, profilozásra vagy marketingre. Az új cél összeegyeztethetőségét, jogalapját, tájékoztatását és szükségességét külön kell értékelni.

A kérelem nem kezelhető pusztán ügyfélszolgálati e-mailként

A hozzáféréshez, helyesbítéshez, törléshez, korlátozáshoz, hordozhatósághoz vagy tiltakozáshoz kapcsolódó kérelmek teljesítéséhez tudni kell, hol található az érintett adata, hogyan azonosítható megfelelően a kérelmező, milyen kivételek alkalmazandók, és hogyan dokumentálható a végrehajtás.

Az adatok több adatbázisban, naplóban, archivált rendszerben, feldolgozónál vagy mentésben is megjelenhetnek. A technikai folyamat meghatározza, mely adat gyűjthető automatikusan, hol szükséges manuális ellenőrzés, és hogyan előzhető meg, hogy a válasz más személy adatait is feltárja.

Identitásellenőrzés arányosan

A kérelmező személyazonosságát szükséges mértékben ellenőrizni kell, de az ellenőrzés nem válhat indokolatlan további adatgyűjtéssé. A módszert a kezelt adatok érzékenységéhez, a meglévő fiókhoz és a visszaélés kockázatához igazítjuk.

Magas kockázatú adatkezelésnél strukturált előzetes vizsgálat szükséges lehet

Ha egy tervezett adatkezelés valószínűsíthetően magas kockázattal jár a természetes személyek jogaira és szabadságaira nézve, adatvédelmi hatásvizsgálatra lehet szükség. A DPIA nem egyszerű sablonkitöltés: leírja a feldolgozást és célját, értékeli a szükségességet és arányosságot, feltárja a kockázatokat, és meghatározza az azok kezelésére szolgáló intézkedéseket.

A DPO tanácsot adhat a DPIA szükségességéről, módszeréről és eredményéről, miközben maga az adatkezelő felel a hatásvizsgálat elvégzéséért és a döntésekért. Ha a megfelelő intézkedések után is magas fennmaradó kockázat marad, a felügyeleti hatósággal előzetes konzultáció válhat szükségessé.

Technológiai input a DPIA-hoz

Az értékeléshez rendszerábra, adatfolyam, hozzáférési modell, fenyegetési és visszaélési helyzetek, megőrzési szabály, beszállítói lánc és biztonsági intézkedések szükségesek. A jogi és technológiai nézőpont együtt teszi a kockázatot konkréttá.

Az első órákban nem improvizálni kell

Az adatvédelmi incidens lehet személyes adatok véletlen vagy jogellenes megsemmisülése, elvesztése, megváltoztatása, jogosulatlan közlése vagy hozzáférhetővé válása. Nem minden IT-biztonsági esemény adatvédelmi incidens, és nem minden adatvédelmi incidens látványos kibertámadás.

Az incidensfolyamat rögzíti a felismerést, belső jelzést, megőrzendő bizonyítékokat, hatáskört, kockázatértékelést, döntést, értesítést és utólagos intézkedést. Ha az incidens valószínűsíthetően kockázattal jár az érintettekre, a felügyeleti hatóság értesítésére főszabály szerint az adatkezelő tudomásszerzésétől számított 72 órás határidő vonatkozik; magas kockázat esetén az érintettek tájékoztatása is szükséges lehet.

A DPO-t időben be kell vonni az adatvédelmi incidens értékelésébe, de a bejelentési döntés és felelősség az adatkezelő szervezetnél marad. Minden incidensről megfelelő belső nyilvántartást kell vezetni, akkor is, ha nem történik hatósági bejelentés.

Független adatvédelmi tisztviselő szolgáltatási szerződés alapján

A GDPR lehetővé teszi külső adatvédelmi tisztviselő kijelölését szolgáltatási szerződés keretében. A külső DPO-nak megfelelő szakértelemmel, erőforrással, közvetlen vezetői kapcsolattal és függetlenséggel kell rendelkeznie. A szervezet nem adhat utasítást arra, milyen szakmai következtetésre jusson DPO-feladatának ellátásakor.

A DPO nem a megfelelőség tulajdonosa és nem a szervezet adatvédelmi döntéshozója. Tájékoztat, tanácsot ad, figyelemmel kíséri a megfelelést, DPIA-val kapcsolatban véleményt ad, együttműködik a felügyeleti hatósággal, és kapcsolattartási pontként működik az érintettek számára.

A DPO nem ellenőrizheti függetlenül a saját adatkezelési döntéseit

A DPO más feladatot is elláthat, ha az nem eredményez összeférhetetlenséget. Nem lehet olyan szerepben, amelyben ő határozza meg a személyes adatok kezelésének céljait és eszközeit, majd DPO-ként ugyanazokat a döntéseket ellenőrzi. A vezetői, HR-, IT- vagy üzleti döntési szerepek összeférhetetlenségét a tényleges hatáskör alapján kell vizsgálni, nem pusztán munkaköri cím szerint.

A DPO közvetlenül a legfelső vezetési szinthez jelent, időben be kell vonni minden személyes adatot érintő kérdésbe, és biztosítani kell számára a feladatok ellátásához szükséges hozzáférést, időt, képzést és egyéb erőforrást.

IT-tanácsadás és DPO egy szervezetnél

Ha ugyanaz a szolgáltató technológiai tanácsadást és DPO-funkciót is nyújt, különösen gondosan kell kezelni az összeférhetetlenséget. A DPO nem dönthet saját maga az adatkezelés céljáról vagy alapvető eszközeiről, és függetlenül kell tudnia értékelni a tanácsadási eredményt. Szükség esetén elkülönített szerepek, személyek, döntési határok vagy külön szolgáltatási modell indokolt.

A dokumentum azt írja le, ami a rendszerben ténylegesen történik

Adatkezelési tájékoztató, belső szabályzat, adatfeldolgozói megállapodás vagy megőrzési rend csak akkor használható, ha összhangban van a technikai működéssel. A dokumentumok kidolgozását adatfolyamokkal, rendszer- és beszállítói információkkal alapozzuk meg.

Lehetséges dokumentumok és nyilvántartások

• adatkezelési és adatfeldolgozási tevékenységek nyilvántartása
• adatkezelési tájékoztatók és alkalmazáson belüli rövid tájékoztatások
• cookie- és követéstechnológiai leltár
• adatmegőrzési és törlési rend
• hozzáférés-kezelési és naplózási szabályok
• adatvédelmi incidenskezelési eljárás
• érintetti kérelmek kezelési folyamata
• adatfeldolgozói és alfeldolgozói nyilvántartás
• DPIA és érdekmérlegelési dokumentáció, ahol alkalmazandó
• fejlesztési privacy-checklist és adatvédelmi jóváhagyási pontok
• DPO-munkaterv, monitoring- és vezetői riport

A pontos dokumentumkört mindig a szervezet mérete, szerepe, adatkezelése és alkalmazandó kötelezettségei alapján határozzuk meg. Nem cél sablonok indokolatlan gyártása.