Hvað þýðir persónuvernd og „Privacy by design“? < Origo

 
 

Hvað þýðir persónuvernd og „Privacy by design“?

15.12.2017

Önnur bloggfærslan í umfjöllun okkar um GDPR.

Mikilvægi persónuverndarstefnu er ótvírætt – en hvað þýðir það eiginlega?

Það þýðir að verndun persónuupplýsinga hvað varðar samskipti við viðskiptavini þarf að vera til staðar á öllum sviðum fyrirtækis þíns og ná yfir allar vörur, þjónustu og vinnslu sem fyrirtækið hefur með höndum. Stefnan snýst um að hafa stjórn á rekjanleika persónugreinanlegra gagna, í stað þess að skrá upplýsingar handahófskennt og þurfa svo að leita að þeim eftir á.

Þetta er ástæða þess að þú þarft að tryggja að persónuverndarstefna fyrirtækisins sé skýr og greinileg og að hún samræmist kröfum GDPR. Hér eru nokkur atriði sem þarf að skoða:

  • Hvaða persónuupplýsingum er safnað frá neytendum?
  • Hvað er gert við upplýsingarnar og af hverju er verið að safna þeim?
  • Hvernig eru upplýsingarnar fluttar, varðveittar og birtar?

Tækifæri sem felast í „privacy by design“ nálguninni

Að innleiða „privacy by design” aðferðafræðina er nauðsynlegt til að draga úr persónuverndaráhættu og byggja upp traust. Þannig er persónuvernd höfð í huga strax í upphafi þegar verkefni, ferlar, vörur eða kerfi eru skilgreind og hefur það ákveðna kosti í för með sér:

  • Vandamál eru auðkennd á fyrstu stigum þegar það er ennþá einfalt og ódýrt að leysa þau.
  • Vitund fyrirtækja, samtaka og einstaklinga um persónu- og gagnavernd eykst.
  • Stofnanir eru líklegri til að mæta lögfræðilegum skuldbindingum sínum og ólíklegri til að brjóta gegn gagnaverndarlögum.
  • Löggjöfin verndar jafnvel persónutengd samskipti sem geta haft neikvæð áhrif á einstaklinga. 

Eitt aðalatriði „privacy by design“ nálgunarinnar er öryggisferlið sem flokka má í eftirfarandi skref:

4 skref

Í þessum skrefum felast 7 grundvallarreglur.

7 reglur

1. Fyrirbyggjandi í stað úrbóta (e. proactive not reactive; preventive not remedial)

„Privacy by design“ aðferðafræðin einkennist af fyrirbyggjandi aðgerðum fremur en úrbótum, en þetta þýðir að ákveðin skref eru tekin til að minnka líkur á brotum á persónuvernd. Hvort sem verið er að fjalla um upplýsingatækni, verkferla, viðmót starfsmanna eða netkerfi, þá felst nálgunin í því að snemma í hverju þrepi eru skýrar skilgreiningar á ávinningi þess að tileinka sér skilvirkari persónuverndarvenjur settar inn (til dæmis að koma í veg fyrir (innri) gagnaleka).

Þetta felur í sér:

  • Skýra skuldbindingu, á hæsta stigi, til að setja háa staðla um gæðastýringu og persónuvernd og framfylgja þeim – almennt hærri en þær kröfur sem settar eru fram í alþjóðlegum lögum og reglugerðum.
  • Að hafa að markmiði stöðugar umbætur og skýra stefnu sem hægt er að deila með notendum, samfélögum og hagsmunaaðilum.
  • Að stofna og virkja aðferðir til að bera kennsl á verklag sem krefst viðbragðsáætlana.

2. Sjálfgefin persónuvernd (e. privacy as the default)

Við getum öll verið sammála um að staðlað verklag er málið. Með því að gefa út skýrar verklagsreglur og skýrar upplýsingar um persónugreinanleg gögn getum við öll verið öruggari. Þá liggur ljóst fyrir hvernig bregðast skal við ef einhver óskar eftir persónuupplýsingum.

Þessi meginregla sem hægt er að lýsa sem „privacy as the default,“ felur í sér:

  • Skilgreiningu á tilgangi – söfnun persónuupplýsinga, notkun og geymsla þarf að hafa skilgreindan tilgang, og tilkynna skal einstaklingnum ástæðuna á meðan eða áður en upplýsingunum er safnað. Skilgreindur tilgangur ætti að vera skýr, takmarkaður og viðeigandi fyrir gefnar aðstæður.
  • Safntakmarkanir - Söfnun persónuupplýsinga verður að vera sanngjörn, lögmæt og takmörkuð við það sem er nauðsynlegt fyrir skilgreindan tilgang.
  • Lágmörkun á gögnum - Söfnun persónugreinanlegra gagna skal haldið í ströngu lágmarki. Áætlanir, upplýsinga- og fjarskiptatækni og kerfi ættu sjálfkrafa að byrja með ógreinanleg samskipti og viðskipti. Hvar sem unnt er, skal lágmarka auðkenningu, áreiðanleika og tengsl persónuupplýsinga. Sömuleiðis skal lágmarka notkun, varðveislu og birtingu persónuupplýsinga og takmarka við þann tilgang sem viðkomandi einstaklingur hefur samþykkt, nema annars sé krafist samkvæmt lögum. Persónugreinanleg gögn skulu aðeins geymd svo lengi sem nauðsynlegt er til að uppfylla framangreind markmið, og síðan eytt.

Ef þörf fyrir söfnun persónuupplýsinga og notkun þeirra er ekki ljós, þá ætti persónuvernd að vera í fyrirrúmi og varúðarráðstafanir virkar. Sjálfgefnar stillingar ættu að vera hámarks persónuvernd.

3. Persónuvernd innbyggð í verkið (e. privacy embedded into design)

„Privacy embedded into design“ felur í sér að persónuvernd er innbyggð í tölvukerfi og viðskiptahætti fyrirtækja. Athugið að persónuverndin á að vera hluti af kerfinu – mikilvægur kjarnaþáttur en ekki einhver viðbótareining.

  • Nota skal kerfis- og reglubundna nálgun til að samþætta persónuvernd og viðkomandi kerfi og byggja skal á viðurkenndum stöðlum og kröfum. Úttektir og endurskoðanir lögfræðinga og annarra sérfræðinga þurfa að vera mögulegar.
  • Þar sem unnt er, skal framkvæma ítarlegt áhættumat á persónuverndaráhrifum og skal það vera skýrt skjalfest, sem og allar mögulegar ráðstafanir sem gera má til að draga úr áhættunni.

Persónuverndaráhrifin ættu að vera sýnilega lágmörkuð og brot á reglum um persónuvernd torvelduð.

4. Full virkni með jákvæðu en ekki núll umburðarlyndi (e. full functionality – positive-sum, not zero-sum)

„Privacy by design“ leitast við að mæta öllum lögmætum hagsmunum og markmiðum með jákvæðni að leiðarljósi, en ekki með úreltu, núll umburðarlyndi, þar sem óþarfa tilslökun er gerð. „Privacy by design“ nálgunin forðast að gera upp á milli tveggja valmöguleika, svo sem persónuverndar vs. öryggis, og sýnir að það er mögulegt og mun æskilegra, að uppfylla hvorutveggja.

„Privacy by design“ nálgunin gengur ekki bara út á yfirlýsingar og skuldbindingar – heldur reynir að fullnægja öllum lögmætum markmiðum, þ.e.a.s. ekki einungis persónuverndarmarkmiðum. „Privacy by design“ nálgunin er þannig tvöföld í eðli sínu og býður upp á fulla virkni og hagnýtar niðurstöður fyrir flesta aðila.

  • Þegar persónuvernd er byggð inn í tiltekna tækni, ferli eða kerfi, þá skal það gert með þeim hætti að full virkni er ekki skert og að því marki sem mögulegt er, þannig að sem flestum skilyrðum sé mætt.
  • Oft þarf að velja á milli persónuverndar og annarra lögmætra hagsmuna, hönnunarmarkmiða eða tæknilegrar getu, sem þýðir að um núll umburðarlyndi er að ræða. „Privacy by design“ hafnar slíkri nálgun en reynir að aðlaga og verða við öllum lögmætum markmiðum um persónuvernd á nýjan og jákvæðan hátt.
  • Allir hagsmunir og markmið verða að vera skráð, viðeigandi virkni sett fram, mælikvarðar samþykktir og þeim beitt. Óþarfa tilslökunum er hafnað en reynt að finna lausn sem gerir flestum til hæfis.

5. Vernd á öllum lífsferli gagna (e. full lifecycle protection)

Persónuvernd verður að vera stöðugt tryggð, hvar sem vera skal og í gegnum allan lífsferil viðkomandi gagna hverju sinni. Ekkert hlé má gera á vernd eða ábyrgð á persónugreinanlegum gögnum.  Öryggis-reglan hefur sérstakt gildi hér þar sem kjarni hennar er, að án mikils öryggis getur ekki verið um persónuvernd að ræða.

  • Öryggi – Aðilar skulu taka ábyrgð á öryggi persónuupplýsinga (almennt í réttu hlutfalli við hversu viðkvæmar þær eru), á öllum lífsferli gagnanna, í samræmi við staðla sem hafa verið þróaðir af viðurkenndum aðilum.
  • Notaðir öryggisstaðlar verða að tryggja trúnað, heilindi og aðgengi persónuupplýsinga yfir allan lífsferil þeirra. Má þar nefna, meðal annars, aðferðir við örugga eyðileggingu gagna, viðeigandi dulkóðun, og stranga aðgangsstýringu og skráningaraðferðir.

Læstur snjallsími

6. Gagnsæi (e. visibility and transparency)

Sýnileiki og gagnsæi eru nauðsynlegir þættir til að koma á forsjá og trausti. Þessi „privacy by design“ meginregla er samhljóma hagnýtum upplýsingaaðferðum í heild sinni, en þegar kemur að úttektum eða endurskoðun þá má leggja sérstaka áherslu á eftirfarandi þætti:

  • Forsjá – Skýrt skal koma fram hver ber ábyrgð á persónuverndarstefnu og öllum verklagsreglum þar að lútandi. Skal þetta vera skjalfest og miðlað eftir því sem við á, og jafnframt úthlutað til ákveðins einstaklings. Þegar flytja þarf persónulegar upplýsingar til þriðja aðila, þá skal tryggja sambærilega persónuvernd með samningum eða öðrum ábyrgum hætti.
  • Hreinskilni – Hreinskilni og gagnsæi eru grunnþættir hvað traust og ábyrgð varðar. Upplýsingar um stefnu og aðferðir sem tengjast meðhöndlun persónuupplýsinga skulu gerðar aðgengilegar fyrir einstaklinga.
  • Hlíting – Ábendinga- og úrbótaferlum skal komið á fót og upplýsingum um þá miðlað til einstaklinga, þar á meðal hvernig úrvinnslu og eftirfylgni er háttað. Nauðsynleg skref þarf að taka til að vakta, greina og sannreyna hlítingu við persónuverndarstefnur og verklagsreglur.

7. Virðing fyrir gagnavernd notenda (e. respect for user privacy)

Hámarks árangur af „privacy by design“ nálguninni fæst þegar hún er nýtt í kringum hagsmuni og þarfir einstakra notenda, sem eðlilega hafa mestra hagsmuna að gæta varðandi stjórnun þeirra eigin persónuupplýsinga. Að efla einstaklinga til að taka virkan þátt í stjórnun eigin gagna er hugsanlega skilvirkasta leiðin til að sporna við misnotkun persónuupplýsinga.

Virðing fyrir gagnavernd notenda er studd af eftirfarandi þáttum:

  • Samþykki – Upplýst samþykki einstaklings er nauðsynlegt fyrir söfnun, notkun eða birtingu persónuupplýsinga, nema annað sé leyft samkvæmt lögum. Því viðkvæmari sem gögnin eru, því skýrara og nákvæmara þarf samþykki notandans að vera. Samþykki má afturkalla hvenær sem er.
  • Nákvæmni – persónuupplýsingar skulu vera eins nákvæmar, ítarlegar og vel uppfærðar eins og nauðsynlegt er til að þjóna viðkomandi tilgangi.
  • Aðgangur – Einstaklingar skulu fá aðgang að persónugögnum sínum og þeir upplýstir um notkun þeirra og birtingu. Þeir eiga að hafa heimild til að kanna nákvæmni og sannleiksgildi þessara upplýsinga og geta fengið þeim breytt eftir því sem við á.
  • Hlíting – Fyrirtæki skulu koma á fót ábendinga- og úrbótaferlum og miðla upplýsingum um þá til almennings, þar á meðal hvernig úrvinnslu og eftirfylgni er háttað.

Af framangreindu er ljóst að það er að mörgu að hyggja fyrir stofnanir og fyrirtæki til að uppfylla þær kröfur sem gerðar verða til þeirra frá og með 25. maí næstkomandi, hvað varðar geymslu og meðferð persónuupplýsinga. CCQ gæðastjórnunarlausnin gerir fyrirtækjum kleift að innleiða þá ferla og verklagsreglur sem nauðsynlegar eru til að setja sér vandaða persónuverndarstefnu með hjálp „privacy by design“ nálgunarinnar. Fyrirtæki fá betri yfirsýn yfir starfsemina og verða betur í stakk búin til að takast á við kröfur GDPR reglugerðarinnar.