uwzględnianie ochrony danych w fazie projektowania

Uwzględnianie ochrony danych w fazie projektowania (ang. privacy by design) to zasada z art. 25 RODO, według której administrator wdraża odpowiednie środki techniczne i organizacyjne zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania ^[1]. Środki te, na przykład pseudonimizacja, mają skutecznie realizować zasady ochrony danych, takie jak minimalizacja danych ^[1]. Ten sam artykuł wprowadza zasadę domyślnej ochrony danych (ang. privacy by default): domyślnie przetwarzane są tylko dane niezbędne do danego celu ^[1].

Treść obowiązku

Art. 25 ust. 1 każe brać pod uwagę stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko dla praw i wolności osób ^[1]. Art. 25 ust. 2 precyzuje ochronę domyślną: obowiązek dotyczy ilości zbieranych danych, zakresu ich przetwarzania, okresu przechowywania i dostępności ^[1]. W szczególności dane nie mogą być domyślnie udostępniane nieokreślonej liczbie osób bez interwencji osoby, której dotyczą ^[1].

Motyw 78 wymienia przykładowe środki: minimalizację przetwarzania, jak najszybszą pseudonimizację, przejrzystość co do funkcji i przetwarzania, umożliwienie osobie monitorowania przetwarzania oraz tworzenie i doskonalenie zabezpieczeń ^[1]. Wywiązanie się z obowiązku można wykazać m.in. przez zatwierdzony mechanizm certyfikacji ^[1].

Wytyczne EROD

Europejska Rada Ochrony Danych przyjęła wytyczne 4/2019 do art. 25 w wersji 2.0 dnia 20 października 2020 roku ^[2]. Najważniejsze ustalenia:

• Skuteczność jest sednem. Art. 25 nie narzuca konkretnych środków; mają one działać w danym przetwarzaniu i dawać zamierzony efekt, a administrator powinien umieć to wykazać ^[2].
• Stan wiedzy technicznej jest pojęciem dynamicznym. Środek, który kiedyś wystarczał, może przestać wystarczać, a nienadążanie za zmianami technologii może oznaczać brak zgodności z art. 25 ^[2].
• Koszt to czynnik, a nie wymówka. Koszt wdrożenia uwzględnia się przy wyborze środków, ale nie jest podstawą do rezygnacji z ochrony w fazie projektowania ^[2].
• Obowiązek trwa. Dotyczy także systemów istniejących przed RODO i wymaga regularnych przeglądów skuteczności środków ^[2].
• Producenci i dostawcy. Wytyczne adresowane są do administratorów, ale mogą pomóc także podmiotom przetwarzającym i producentom oprogramowania; administrator odpowiada za realizację zasady także przy przetwarzaniu przez swoich podwykonawców i powinien to uwzględnić w umowach ^[2].

Ostatni punkt wiąże zasadę z umową powierzenia. Motyw 78 zachęca producentów aplikacji, usług i produktów, by projektując je, brali pod uwagę prawo do ochrony danych i ułatwiali administratorom wypełnianie obowiązków ^[1].

Jak działa w projekcie

W projekcie informatycznym zasada oznacza, że pytania o dane padają przed napisaniem kodu, a nie po wdrożeniu. Schemat poniżej pokazuje miejsce ochrony danych w typowym cyklu zmiany na stronie.

RYS. 1Zmiana na stronie z ochroną danych od początku

Gdy przetwarzanie może powodować wysokie ryzyko, analizę rozszerza się do oceny skutków dla ochrony danych, której art. 35 wymaga przed rozpoczęciem przetwarzania ^[1]. Wytyczne EROD wskazują, że przy ocenie ryzyka na potrzeby art. 25 administrator identyfikuje zagrożenia dla praw osób i ocenia ich prawdopodobieństwo i wagę ^[2]; to szacowanie ryzyka z perspektywy osoby, której dane dotyczą.

W WordPressie

Podręcznik dla autorów wtyczek WordPress przytacza zasady privacy by design: prywatność ma być proaktywna, a nie reaktywna, ma przewidywać problemy, zanim dotkną użytkownika, być ustawieniem domyślnym i częścią projektu, a nie dodatkiem, oraz chronić dane przez cały cykl ich życia ^[3]. Podręcznik każe autorom sprawdzić m.in., czy wtyczka przekazuje dane stronom trzecim, gdzie je przechowuje, czy używa ciasteczek i pamięci lokalnej, czy zbiera telemetrię i osadza zewnętrzne skrypty ^[3]. Zaleca też ograniczanie danych osobowych zapisywanych w logach i dostęp do nich zależny od ról i uprawnień ^[3]; zob. retencja logów i role i uprawnienia użytkowników.

Rdzeń WordPressa realizuje kilka elementów zasady od wersji 4.9.6 z 17 maja 2018 roku, wydanej przed rozpoczęciem stosowania RODO ^[4]:

• niezalogowany komentujący wybiera, czy jego imię, adres e-mail i witryna mają zostać zapisane w ciasteczku przeglądarki ^[4];
• właściciel strony może wskazać stronę polityki prywatności, wyświetlaną przy logowaniu i rejestracji ^[4];
• eksport i usuwanie danych osobowych użytkownika, obejmujące także dane wtyczek, które w tym uczestniczą, potwierdzane przez e-mail ^[4].

Wytyczne katalogu wtyczek WordPress.org zakazują śledzenia użytkowników bez ich zgody; wtyczka nie może kontaktować się z zewnętrznymi serwerami bez wyraźnej i autoryzowanej zgody, zwykle wyrażanej przez opcję włączaną przez użytkownika ^[6]. To wprost ochrona domyślna: wysyłka danych jest wyłączona, dopóki ktoś jej nie włączy. Podobną logikę ma zgoda na pliki cookie dla skryptów analitycznych i marketingowych.

Dokumentacja WordPressa przypomina przy tym, że narzędzie usuwania danych nie usuwa ich z kopii zapasowych (backup), więc przy odtwarzaniu strony z kopii trzeba uszanować wcześniejsze żądania usunięcia ^[5]. Projekt polityki kopii powinien to przewidywać.

Znaczenie dla bezpieczeństwa

Dane, których strona nie zbiera, nie mogą wyciec. Ograniczenie pól formularzy, krótszy okres przechowywania zgłoszeń i zasada najmniejszych uprawnień w panelu zmniejszają skutki ewentualnego naruszenia ochrony danych osobowych. Art. 32 wymienia wśród środków bezpieczeństwa m.in. pseudonimizację i szyfrowanie ^[1], a art. 25 każe myśleć o nich już przy wyborze sposobu przetwarzania ^[1]. Naruszenie obowiązków z art. 25 podlega karze do 10 000 000 EUR albo do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa, przy czym stosuje się kwotę wyższą ^[1].