Zaštita podataka kroz dizajn

Zaštita podataka kroz dizajn uređena je članom 25. stavom 1. GDPR-a. Voditelj obrade mora, već pri određivanju sredstava obrade i tokom same obrade, primijeniti odgovarajuće tehničke i organizacione mjere. Tim mjerama treba djelotvorno provesti načela zaštite podataka i zaštititi prava i slobode ispitanika.

Koje su mjere odgovarajuće zavisi, između ostalog, od stanja tehnike, troškova, prirode, obima, okolnosti i svrhe obrade, kao i od rizika za lica. Primjeri su minimizacija podataka, pseudonimizacija, odvojena prava pristupa, šifrovanje i logika brisanja koja odgovara svrsi obrade. Nije odlučujuća jedna tehnologija, nego odgovarajuće oblikovanje cijelog postupka obrade.

Zaštita podataka kroz dizajn nije jednokratna provjera niti certifikat. Odluke treba povezati s konkretnom obradom, tokovima podataka i zaštitnim mjerama i ponovo ih provjeriti kada se obrada promijeni. Od toga se razlikuje zaštita podataka po zadanim postavkama prema članu 25. stavu 2. GDPR-a. Početne postavke treba podesiti tako da se obrađuju samo podaci potrebni za konkretnu svrhu, u potrebnom obimu i periodu, uz odgovarajuće ograničenje dostupnosti.

Tema usklađenosti i upravljanja privatnošću daje okvir za primjenu. Provjera uloga pomaže pri raspodjeli odgovornosti, a kontrolna lista za izvršitelja obrade pri pripremi tehničkih i organizacionih zahtjeva za pružaoce usluga.