Az Általános Adatvédelmi Rendelet 25. cikke két alapelvet, a beépített adatvédelem ("privacy by design") és alapértelmezett adatvédelem  ("privacy by default") elveit ismerteti, amelyek célja a személyes adatok védelmének biztosítása már az adatkezelés tervezési szakaszától kezdődően. Mindkét elv célja, hogy a személyes adatok védelme beépüljön az adatkezelési folyamatokba és ezzel minimalizálhassuk az adatvédelmi kockázatokat, egyúttal biztosítsuk az érintetti jogok érvényesülését. Így technikailag is fel lehetünk készülve az adatok kezelésére, de akár a rendszereszközeink megóvására is az esetleges támadásokkal vagy adatvesztésekkel szemben. Ezen alapelvek szerinti működésnek különös jelentősége van akkor is, ha egy új adatkezelési folyamatot szeretnék elindítani. 

Az adatvédelem kérdéseiben ezért mindenképp egyeztessünk informatikai szolgáltató(i)nkkal is, amihez a cikkben további támpontokat adunk.

A Privacy by Design, azaz beépített adatvédelem elvét nevezhetjük proaktív adatvédelemnek is. 

A beépített adatvédelem elve azt jelenti, hogy az adatvédelmet már a kezdetektől, azaz a rendszerek, folyamatok, termékek és szolgáltatások tervezésekor figyelembe kell venni, hogy az adatkezelés megkezdését követően már csak a korábban meghatározott célok alapján történhessen adatkezelés.

Ez tehát arra a megközelítésre utal, amely szerint az informatikai/szervezeti rendszerek és üzleti folyamatok tervezését és működését már a kezdetektől (a konkrét adatkezelés megkezdése előtt) adatvédelmi szempontból is megvizsgáljuk. Ez az elv az adatkezelés teljes folyamatára vonatkozik, az adatok gyűjtésétől azok törléséig, illetve magában foglalja a tervezési és a vonatkozó eljárási szempontokat is. 

A beépített adatvédelem magában foglalja a következőket: 

1. Adatminimalizálás/adattakarékosság: Csak a tevékenységhez szükséges és releváns személyes adatokat gyűjtjük és dolgozzuk fel.
2. Adatok pszeudonimizálása és anonimizálása: Az anomiziálás egy gyakorlati példával illusztrálva azt jelenti, hogy egy online kérdőív kitöltése után a kitöltő adatait töröljük és csak az általa megadott válaszokkal dolgozunk. Az anonimizálás eredményeképpen a kérdőív kitöltőjének személye utóbb már nem állapítható meg, tehát véglegesen törlésre kerül. Ez történhet akkor is, ha az érintett utólag kéri adatainak törlését, viszont magára a válaszaira szükségünk van. Ezzel szemben a pszeudoanomizálás (álnevesítés) lényege, hogy az adatokhoz csak egy kód, feloldókulcs, jelszó ismeretében lehetséges hozzáférni.  Az adatokat tehát oly módon kezeljük, hogy azok illetéktelenek számára ne legyenek közvetlenül visszavezethetők, így csökkentve az adatkezeléssel járó  kockázatokat. A kockázatok megjelenhetnek egy számítógép elvesztése, egy hackertámadás, vagy egy elvesztett pendrive eredményeképpen is. Ha bármilyen nem kívánt esemény történik, akkor a titkosítási (álnevesítési) intézkedéseknek köszönhetően a bűnözők csak visszafejthetetlen  betű, vagy számhalmazokhoz férhetnek hozzá, de ügyfeleink személyes adatai védve maradnak. 

FONTOS: itt elsősorban a kapcsolódó titkosításra (pl. jelszóval védett felhasználói fiókok, mappák és dokumentumkezelésre) és a munkatársak adatbázisokhoz történő hozzáférésének szabályozására kell gondolnunk. Már ezzel sokat tettünk azért, hogy illetéktelenek ne férjenek hozzá az adatokhoz. Ennek magasabb szintje a pszeudoanonimizálásra alkalmas titkosítási protokollok használata, amellyel illetéktelenek rendszereinkbe való bejutása esetén is csak értemezhetetlen, titkosított tartalmakhoz férhetnek hozzá. 

3. Adatbiztonsági intézkedések: megfelelő (számítás)technikai és szervezési intézkedéseket (pl. szabályzatok) vezetünk be a személyes adatok védelme érdekében. Úgynevezett logikai-védelmi intézkedés lehet például a titkosítás és a hozzáférés-korlátozás vagy menedzsment.

Az Adatkezelők és az adatfeldolgozókesetében ezt az alapelvet úgy kell értelmezni,  hogy a tudomány és technológia mindenkori állása szerint a piacon elérhető legkorszerűbb terméket kell alkalmazni, természetesen figyelemmel a rendelkezésre álló szervezeti erőforrásokra (a szoftverek árának alacsonyan tartásához a civil szervezetek jelentős kedvezményeket kaphatnak a CivilTech.hu-n). Egyrészről figyelembe kell vennie a megvalósítás várható költségeit, másrészről pontosan meg kell értenünk, hogy az adatkezelés milyen célból történik, illetve hogy az adatkezelésnek melyek a körülményei (pl. ha a munkatársak akár az otthoni gépükön is beléphetnek a rendszerekbe, vagy esetleg önkéntesekkel dolgozunk, akik általunk ismeretlen technológiai körülmények között férnek az adatokhoz). Egy szervezet működése során a külvilágban változó súlyosságú kockázatok (gondoljunk a különféle kibertámadásokra) jelennek meg, de lehetnek személyi, technológiai vagy akár környezeti eseményekből eredő kockázatok is. 

Fontos: amennyiben külső informatikai szolgáltatóval, vagy belső rendszergazdával működünk együtt, mindenképpen foglaljuk megállapodásba  a beépített és alapértelmezett adatvédelem elvének való megfelelés követelményét (ld. Adatfeldolgozói megállapodások). Megrendelőként ki kell tudunk fejezni, hogy olyan informatikai rendszert szeretnénk, amely képes többek között az alábbiakra:

• az informatikai térben jelentkező fenyegetések ellen elvárható védelmet nyújt,
• az újonnan felmerülő fenyegetésekre preventív választ ad
• a biztonsági mentések biztosítottak
• üzletmenet folytonosság biztosítása - pl.  ha bizonyos rendszerelemek kiesnek, az nem jár a szervezeti munka teljes leállásával
• rendszeres frissítések történnek a rendszerben
• a felhasználó csak megfelelő biztonsági protokollokkal férhetnek hozzá a szervezeti tartalmakhoz
• a tartalmakhoz való hozzáférés megadása, fenntartás és visszavonása kontroll alatt és dokumentáltan történik
• az informatikai rendszerünk jelszóval, titkosítással, vírusirtó és monitoring (esetleg kockázatértékelő és elemző) szoftverrel védett
• a használt asztali és mobil munkaállomások (laptopok, tabletek, telefonok)on található tartalmak információbiztonsági szabályzatban előre meghatározott feltételek szerint használhatók

A beépített adatvédelem elve alapján létrehozott rendszer tehát  alkalmas arra,  hogy ezeket a kockázatokat megfelelő módon semlegesítse, kezelje és szavatolja az általunk kezelt adatok biztonságát. 

4. Adatvédelmi hatásvizsgálat készítése: Az adatkezelési tevékenységek hatásainak előzetes, írásos értékelése, különösen akkor merülhet fel, ha az adatkezelés nagy kockázattal jár az érintettek jogaira és szabadságaira nézve. A nagy kockázatú adatkezeléseinket az adatvédelmi hatóság vonatkozó útmutatója és  egy kockázatértékelési rendszer bevezetésével azonosíthatjuk. 

A technikai rendszerek kialakításakor az adatbiztonság mellett azt sem szabad elfelejteni, hogy az érintettek jogai érvényesítéséhez szükséges technikai megoldásokat és garanciákat mindig be kell építeni a szervezet  adatvédelmi rendszerébe. 

Az érintetti jogok érvényesítéséről

Az adományozók vagy munkavállalók (együtt: “ érintettek”)  jogainak gyakorlása között tulajdonképpen nincs különbség: mindenkit megillet az érintetti  jogok gyakorlása. Tudnunk kell késedelem nélkül, de legfeljebb egy hónapon belül teljesíteni az érintett alábbi kéréseit:

• személyes adataihoz való hozzáférését,
• személyes adatainak helyesbítését,
• személyes adatainak törlését,
• az adott adatkezelés korlátozását,
• személyes adatainak hordozhatóságát,
• továbbá tiltakozhat személyes adatai kezelése ellen.

Abból is láthatjuk, hogy ha egy szervezetnél nem érvényesül a beépített adatvédelem, akkor az érintett kérelmek megválaszolása nehézségekbe ütközik, mivel a munkavállalók adatkezelési vonatkozású felelősségi körei nem világosak, az adattárolás helye sem egyértelmű, vagy a technikai lehetőség nincs kiépítve pl. a korlátozott adathasználatra.

Egy beépített adatvédelmi intézkedés akkor tekintő megfelelőnek, ha tartalmát és eredeményét tekintve hatékonynak bizonyul. Az adatkezelő bizonyítási helyzetben van, tehát egy hatósági eljárásban bizonyítania kell, hogy az alkalmazott intézkedés valóban hozzájárult a szervezet saját és egyben hatékony szervezeti gyakorlatának kialakításához.

A hatóság álláspontja szerint a szervezeti teljesítményt lehet akár kvalitatív módon is értékelni, a SMART (Specifikus, Mérhető, Elérhető, Releváns, Időhöz kötött) módszer is ajánlott, de az értékelést végezheti az adatvédelmi tisztviselő vagy külsős auditáló cég is, illetve osztályozási rendszert vagy szakértői értékelést is lehet igénybe venni. Az adatkezelők megindokolhatják, hogy milyen megfontolások alapján választották bizonyos értékelési módszereket. 

TIPP: A hatóság támogatja a beépített és alapértelmezett adatvédelem elveinek való megfelelés ér­dekében azt, hogy a szervezeti működésben a magánélet védelmét erősítő technológi­ák (ún. Privacy Enhancing Technologies, PETs) is épüljenek be. Ilyenek technológiák lehetnek pl. anonimizálás, titkosítás, krip­tográfia, a webes böngészés követését megakadályozó eszkö­zök, vagy felhasználói interfészek alkalmazása. 

Az Alapértelmezett adatvédelem / Privacy by Default

A Privacy by Default elve pedig kifejezetten a folyamatok, termékek és szolgáltatások konfigurációs beállításaira vonatkozik, abból a célból, hogy ezek az alapértelmezés, vagy “alapbeállítás” szerint a legmagasabb szintű adatvédelmet biztosítsák. Ezt úgy kell értelmezni, hogy a felhasználónak nem kell külön erőfeszítést tennie az adatainak védelme érdekében. A beépített adatvédelem egyik kontroll eszköze lehet például az előzetes adatvédelmi hatásvizsgálat. 

Az alapértelmezett adatvédelem elve szerint az adatkezelés során minden beállításnak és folyamatnak úgy kell működnie, hogy az a legmagasabb szinten biztosítsa az adatok védelmét az adatkezelés teljes időtartama alatt, beleértve az adatok megsemmisítését is. Az adatkezelő olyan számítástechnikai, információbiztonsági intézkedéseket, illetve olyan, a szervezet működését érintő intézkedéseket vezet be,  amelyek garantálják azt, hogy az adatkezelő meghatározott célból elvárható gondossággal kezelje a személyes  adatokat. 

Mindezt kevés pénzből gazdálkodó civil szervezetek is meg tudják valósítani némi odafigyeléssel, mivel mindez magában foglalja az alábbi szempontok figyelembevételét:

1. Az adatminimalizás/adattakarékosság: csak azokat az adatokat gyűjtjük, amelyekre ténylegesen szükség van az adott adatkezelési cél eléréséhez (pl. hírlevél feliratkoztatás).
2. Korlátozott hozzáférés: az adatokhoz való hozzáférést csak azon személyek számára biztosított (pl. önkéntesek, munkatársak, megbízási szerződéssel foglalkoztatottak), akiknek az adatkezelési feladataik ellátásához erre feltétlenül szükségük van. Az informatikai rendszer súlyos sérülését idézheti elő az az állapot vagy helyzet, amikor a rendszerben tárolt adatok illetéktelen, vagy jogosultsággal nem rendelkező személyek számára válnak hozzáférhetővé. Ezt a Google rendszereiben pl. azzal segíthetjük elő, hogy magán fiók helyett szervezeti fiókot használunk, amely ráadásul ingyenes civileknek. Bővebben itt.
3. Korlátozott megőrzési idő: az adatokat csak addig tároljuk, amíg az feltétlenül szükséges a meghatározott célok eléréséhez.

4. Felhasználóbarát adatvédelem: A felhasználóknak könnyen elérhető és érthető adatvédelmi tájékoztatást, vagy elektronikus felületen keresztül pedig személyreszabott beállítások lehetőségét biztosítjuk.