ARK. 1Słownik pojęćPrawo, zgodność i ryzyko
uwzględnianie ochrony danych w fazie projektowania
Zasada z art. 25 RODO: administrator już na etapie określania sposobów przetwarzania (a więc przy projektowaniu systemu) wdraża odpowiednie środki techniczne i organizacyjne realizujące zasady ochrony danych, a domyślne ustawienia mają przetwarzać tylko dane niezbędne do celu (domyślna ochrona danych).
TAB. 1Nazwaobie formy
| Po angielsku | privacy by design |
|---|---|
| Po polsku | uwzględnianie ochrony danych w fazie projektowania |
| Którą formą pisać | obie formy Obie formy są w obiegu. Przy pierwszym wystąpieniu pisz „polski termin (english term)”, dalej sam polski. |
| Inne formy | ochrona danych w fazie projektowania · prywatność w fazie projektowania · privacy by design |
| Odmiana | to uwzględnianie ochrony danych w fazie projektowania, tego uwzględniania ochrony danych…; angielskie „privacy by design” nieodmienne, używane przydawkowo („podejście privacy by design”, „zgodnie z privacy by design”), bez apostrofu; niebezpiecznik zapisuje wielkimi literami: „Privacy by Design”. |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | Privacy by Design i Privacy by Default — angielskie, wielkimi literami (niebezpiecznik); sekurak i kapitanhack bez trafień |
|---|---|
| Urząd i ustawa | uwzględnianie ochrony danych w fazie projektowania oraz domyślna ochrona danych (RODO PL, art. 25 i motyw 78) |
TAB. 3Źródła2
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „zgodnie z zasadą uwzględniania ochrony danych w fazie projektowania oraz z zasadą domyślnej ochrony danych” | eur-lex.europa.eu |
| EN | „Dlaczego trzeba zwrócić uwagę na Privacy by Design i Privacy by Default?” | niebezpiecznik.pl |
TAB. 4Obok w tej dziedzinie6
| umowa powierzenia przetwarzania danych osobowych | data processing agreement (DPA) | Umowa — lub inny instrument prawny — wymagana przez art. 28 ust. 3 RODO, wiążąca podmiot przetwarzający z administratorem i określająca przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych, kategorie osób, obowiązki i prawa stron oraz środki bezpieczeństwa; obowiązkowa forma pisemna, w tym elektroniczna. |
| ustawa o krajowym systemie cyberbezpieczeństwa (KSC) | National Cybersecurity System Act | Polska ustawa z 5 lipca 2018 r. (Dz.U. 2018 poz. 1560) wdrażająca unijne przepisy o cyberbezpieczeństwie do prawa krajowego, wyznaczająca obowiązki operatorów usług kluczowych i dostawców usług cyfrowych oraz rolę krajowych zespołów CSIRT; znowelizowana w 2026 r. („KSC2") w celu wdrożenia dyrektywy NIS2, z rozszerzeniem kręgu podmiotów do ok. 40 tys. organizacji. |
| ustawa o zwalczaniu nadużyć w komunikacji elektronicznej | Act on Combating Abuse in Electronic Communications | Polska ustawa z 28 lipca 2023 r., która nakłada na operatorów obowiązek blokowania SMS-ów zgodnych ze wzorcami smishingu i połączeń z podszytym numerem, na dostawców poczty — stosowania mechanizmów SPF, DKIM i DMARC, a na CSIRT NASK — prowadzenia listy ostrzeżeń i wykazów nadpisów nadawcy. |
| zabezpieczenie | security control | Pojedynczy środek techniczny, organizacyjny lub fizyczny wdrożony po to, by obniżyć konkretne ryzyko — na przykład uwierzytelnianie wieloskładnikowe, kopie zapasowe albo szkolenie personelu. |
| zarządzanie ryzykiem dostawców (TPRM) | third-party risk management (TPRM) | Systematyczne ocenianie i nadzorowanie ryzyka wnoszonego przez dostawców, podwykonawców i partnerów mających dostęp do danych lub systemów organizacji. |
| zgodność regulacyjna | compliance | Stan, w którym organizacja spełnia wymogi prawa, umów, norm i regulacji wewnętrznych oraz potrafi to udowodnić dowodami — co nie jest tożsame z faktycznym bezpieczeństwem. |