Sigurnost obrade osobnih podataka ⇒

Člankom 25. Opće uredbe o zaštiti podataka (Opća Uredba) uređena je tehnička i integrirana zaštita podataka.

Uzimajući u obzir najnovija dostignuća, trošak provedbe te prirodu, opseg, kontekst i svrhe obrade, kao i rizike različitih razina vjerojatnosti i ozbiljnosti za prava i slobode pojedinaca koji proizlaze iz obrade podataka, voditelj obrade, i u vrijeme određivanja sredstava obrade i u vrijeme same obrade, provodi odgovarajuće tehničke i organizacijske mjere, poput pseudonimizacije, za omogućavanje učinkovite primjene načela zaštite podataka, kao što je smanjenje količine podataka, te uključenje zaštitnih mjera u obradu kako bi se ispunili zahtjevi iz Opće Uredbe i zaštitila prava ispitanika.

Tehničke i organizacijske mjere

Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade.

Ta se obveza primjenjuje na količinu prikupljenih osobnih podataka, opseg njihove obrade, razdoblje pohrane i njihovu dostupnost.

Točnije, takvim se mjerama osigurava da osobni podaci nisu automatski, bez intervencije pojedinca, dostupni neograničenom broju pojedinca.

Opća Uredba u članku 32. propisuje sigurnost obrade.

U istome je članku navedeno da voditelj obrade i izvršitelj obrade provode odgovarajuće tehničke i organizacijske mjere kako bi osigurali odgovarajuću razinu sigurnosti s obzirom na rizik, uključujući prema potrebi, pseudonimizaciju i enkripciju osobnih podataka.

Voditelj obrade provodi odgovarajuće tehničke i organizacijske mjere kojima se osigurava da integriranim načinom budu obrađeni samo osobni podaci koji su nužni za svaku posebnu svrhu obrade.

Interne politike

U uvodnoj odredbi 78 navedeno je da zaštita prava i sloboda pojedinaca s obzirom na obradu osobnih podataka zahtijeva da se poduzmu odgovarajuće tehničke i organizacijske mjere radi osiguravanja poštovanja uvjeta Opće Uredbe.

Radi dokazivanja sukladnosti s Općom Uredbom voditelj obrade trebao bi uvesti interne politike i provesti mjere koje osobito ispunjavaju načela tehničke zaštite podataka i integrirane zaštite podataka.

Takve mjere mogle bi se, među ostalim, sastojati od smanjenja količine obrade osobnih podataka, pseudonimizacije osobnih podataka što je prije moguće, transparentnosti u vezi s funkcijama i obradom osobnih podataka, omogućavanja ispitaniku da prati obradu podataka, omogućavanja voditelju obrade da stvara i poboljšava sigurnosne značajke.

Najnovije objave u našim NOVOSTIMA pratite »OVDJE!«

Procjena rizika za sigurnost podataka

Nadalje, uvodnom odredbom 83 navedeno je da bi, kako bi se očuvala sigurnost i spriječila obrada kojom se krši Opća Uredba, voditelj obrade ili izvršitelj obrade trebali procijeniti rizike povezane s obradom i provesti mjere za njihovo umanjivanje, kao što je enkripcija.

Tim bi se mjerama trebala osigurati odgovarajuća razina zaštite uključujući povjerljivost, uzimajući u obzir najnovija dostignuća i troškove provedbe u odnosu na rizike i prirodu osobnih podataka koji se trebaju zaštititi.

Prilikom procjene rizika za sigurnost podataka u obzir bi trebalo uzeti rizike koje predstavlja obrada osobnih podataka poput slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog odavanja ili pristupa osobnim podacima koji su preneseni, pohranjeni ili na drugi način obrađivani, a što osobito može dovesti do fizičke, materijalne ili nematerijalne štete.

Organizacijske mjere

Iz svega navedenog proizlazi da Opća Uredba ne propisuje obvezu pseudonimizacije osobnih podataka, već istu sugerira kao jednu od tehničkih i organizacijskih mjera kojima se postiže odgovarajuća razina sigurnosti obrade.

Glede sustava pohrane osobnih podataka, obveza je voditelja obrade poduzeti odgovarajuće organizacijske, kadrovske i tehničke mjere.

U tom smislu, pristup osobnim podacima ispitanika trebali bi imati samo zaposlene osobe određenog društva i to onih odjela kojima je taj pristup nužan u ispunjenje svrhe za koju su isti prikupljeni.

Izvor: Mišljenje Agencije za zaštitu osobnih podataka (www.azop.hr)