Opća uredba o zaštiti podataka (GDPR) uspostavlja nekoliko osnovnih principa koji definiraju kako se osobni podaci trebaju obrađivati na odgovoran način. Ovi principi čine temelj GDPR-a i moraju ih slijediti sve organizacije, bez obzira na veličinu ili sektor. Poštivanje ovih principa zahtijeva ne samo pravno znanje, već i tehničke i organizacijske prilagodbe: od dizajniranja sigurnih IT arhitektura i implementacije sustava za upravljanje pristankom, do održavanja detaljnih registara o obradi podataka i obučavanja zaposlenika u zaštiti podataka. U eri Big Data, umjetničke inteligencije i prekograničnog prijenosa podataka, GDPR naglašava potrebu za obradom osobnih podataka kao temeljne ljudske prava koja bi se trebala ispravno štititi, umjesto da se tretiraju kao poslovni instrument.
Tijela za nadzor i regulatorne agencije često nadgledaju kako nedostaci u zaštiti ovih principa mogu dovesti do ozbiljnih operativnih i reputacijskih rizika. Tužbe zbog pogrešnog upravljanja financijskim resursima ili prijevare često su povezane s nedovoljnim mjerama zaštite podataka, jer se kultura nesklonosti poštovanju brzo može proširiti na sve razine organizacije. Stroge sankcije, koje mogu doseći 20 milijuna eura ili 4 % globalnog prihoda, podcrtavaju da samo integrirani i na principima temeljen pristup – od uprave do podržavajućih službi – može učinkovito zaštititi i pogođene osobe i samu organizaciju.
Legalnost, pravičnost i transparentnost
Osobni podaci mogu se obrađivati samo na jasno definiranom i prikladnom pravnom temelju, a također ih treba jasno komunicirati pogođenim osobama. Transparentnost zahtijeva jasne politike privatnosti i obavijesti u stvarnom vremenu kada dođe do promjena u svrsi ili pravima obrade. S operativne točke gledišta, ovo znači da svi front-end sustavi – od korisničkih službi do chatbota – trebaju biti povezani s centralnim sustavom za pristanke koji automatski pruža informacije o kriterijima obrade i mehanizmima za povlačenje pristanka. S pravne točke gledišta, osnove kao što su pristanak, izvršenje ugovora ili legitimni interes moraju se procijeniti za svaku aktivnost, dokumentirati u registrima i redovito pregledavati.
Pravičnost znači da se osobni podaci ne smiju obrađivati na način koji je nerazmjerno u odnosu na svrhu obrade. Osjetljive kategorije podataka zahtijevaju dodatnu zaštitu. Tehničke mjere, kao što su dinamička kontrola pristupa i proširena pseudonimizacija, trebaju biti integrirane u tijekove rada. U isto vrijeme, komunikacijski kanali – kao što su e-mail kampanje i korisnički sučelja – trebaju slijediti standarde transparentnosti kako bi se izbjeglo da se registrirani ljudi obeshrabre tehničkom žargonu ili prekomjerno detaljnim politikama privatnosti.
Ograničenje svrhe
Prikupljeni osobni podaci smiju se koristiti samo za jasno definirane svrhe i ne smiju se obrađivati za nespojive svrhe. Ovo zahtijeva da se svrha već prilikom prvog prikupljanja podataka jasno definira u metapodacima. Platforme za upravljanje podacima trebaju provoditi automatske provjere koje označavaju nepravilnu obradu ako se zapis preuzima izvan utvrđenih okvira. S organizacijske točke gledišta, odgovorne osobe za procese trebaju definirati svoja područja odgovornosti kako bi funkcionalni timovi izbjegli pokretanje sekundarnih analitičkih tragova bez prethodne procjene zaštite podataka (DPIA).
Izričita dokumentacija svrhe trebala bi biti povezana sa svakim dijagramom obrade podataka kako bi se osigurala tragljivost od izvora do transformacije i pohrane. U strateškom izvještavanju o razvoju proizvoda, potrebno je provjeriti dosljednost svrhe prije nego što se kod implementira. Upravljanje odbori trebali bi redovito ocjenjivati jesu li planovi proizvoda i dalje usklađeni s izvornim ciljevima i poduzimati potrebne prilagodbe.
Minimalizacija podataka
Upravljačko zahtijeva da se prikupe samo nužni osobni podaci za ostvarenje predviđene svrhe. To znači da dizajnerski timovi unaprijed trebaju utvrditi kriterije minimizacije – na primjer, prikupljanje samo datuma rođenja umjesto punih podataka o datumu rođenja – te da inženjeri podataka trebaju integrirati ove zahtjeve u strukture baza podataka i dizajn API-ja. S operativne točke gledišta, ovo znači da ETL procesi trebaju automatski odvojiti, izbrisati ili anonimno obraditi suvišne podatke pomoću skripti koje stalno nadgledaju usklađenost.
Također, postojeći skupovi podataka trebaju se redovito pregledavati kako bi se prepoznali i uklonili suvišni ili zastarjeli podaci. Mjesta za izvedbu, kao što su postotak izbrisanih podataka i smanjenje prikupljenih polja, trebaju biti prikazana na upravljačkoj ploči za usklađenost. Revizije trebaju potvrditi da se principi minimizacije podataka zaista primjenjuju u praksi i da se analize provode samo s nužnim atributima.
Točnost
Osobni podaci trebaju biti točni, potpuni i ažurni, što znači da ih treba kontinuirano provjeravati s pouzdanim izvorima. Integracija vanjskih usluga za verifikaciju – kao što su registri stanovništva ili certificirani davatelji podataka – može pomoći u ažuriranju podataka kao što su adrese ili imena izravno. S operativne točke gledišta, tijekovi rada trebaju uključivati okidače obavijesti koji upozoravaju odgovorne osobe za podatke na nepravilnosti ili zastarjele podatke kako bi se mogla izvršiti ručna provjera.
Također, trebaju postojati mehanizmi povratnih informacija koji omogućuju registriranim osobama da jednostavno prijave promjene, na primjer putem sigurnih samoposlužnih portala. Ove promjene trebaju se obraditi kroz višestupanjski postupak, uključujući odobrenje od strane timova za usklađenost i sigurnost podataka, te automatski ažurirati u svim relevantnim sustavima. Cijela povijest promjena treba biti pohranjena u arhivu radi revizije.
Ograničenje pohrane
Podaci se smiju pohranjivati samo za vrijeme koje je potrebno za ostvarenje izvornog cilja, s automatskim okidačima za arhiviranje ili brisanje prema utvrđenim vremenskim okvirima. Sustavi za upravljanje podacima na platformama trebaju biti povezani s upravljanjem metapodacima tako da se svi podaci automatski dodijele odgovarajućoj fazi životnog ciklusa: aktivni, arhivirani ili izbrisani. Mjere sigurnosti pri arhiviranju, poput WORM (Write Once, Read Many), osiguravaju da arhivirani podaci ne mogu biti slučajno izmijenjeni.
Istovremeno, zahtjevi za pohranu prema zakonu – poput onih za računovodstvo ili izvještavanje o usklađenosti – trebaju se automatski povezati s kategorijama podataka i specifičnim vremenskim razdobljima. Automatizacija radnih tijekova trebala bi generirati upozorenja kada zakonska izuzeća budu u sukobu s uobičajenim mehanizmima brisanja. Odluke o izuzecima trebaju biti delegirane upravljačkim odborima, a svako izuzeće treba biti dokumentirano u registru obrade.
Integritet i povjerljivost
Sigurnosne mjere protežu se od certificirane enkripcije podataka u mirovanju i prijenosu do poboljšane autentifikacije u dva faktora i naprednog upravljanja ključevima. S operativne točke gledišta, sustavi za otkrivanje upada i automatizirane sigurnosne operacije (SOAR) trebaju odmah izolirati neuobičajene aktivnosti, dok nadzorne ploče u stvarnom vremenu za sumnjive aktivnosti trebaju biti dostupne. Redovita penetracijska testiranja i vanjski certifikacijski izvještaji (npr. SOC 2, ISO 27001) trebaju biti dio stalnog procesa poboljšanja.
Organizacijske kontrole, uključujući strogu funkcionalnu odvojenost, redovite sigurnosne obuke i formalne planove za hitne situacije, nadopunjuju tehničke mjere. Mjere za upravljanje rizicima trebaju obuhvatiti i nove prijetnje – poput prijetnji kvantnom kriptografijom – kao i postojeće ranjivosti. Revizije upravljanja trebale bi povezati tehničke rizike s poslovnim posljedicama kako bi uprava mogla donositi informirane odluke o ulaganjima u cybersigurnost.
Odgovornost
Voditelj obrade podataka odgovoran je za poštivanje GDPR-a i trebao bi to dokumentirati kroz vođenje registra koji prikazuje aktivnosti obrade, DPIA, bilješke o pristanku i rezultate revizija. S operativne točke gledišta, potrebno je implementirati automatizaciju usklađenosti koja stalno generira izvještaje o statusu usklađenosti, s nadzornim pločama u stvarnom vremenu za upravu.
Također, potrebne su redovite interne i vanjske revizije, kao i simulirane incidenata. Bilo kakva odstupanja, povrede ili povrede podataka trebaju se prijaviti kao incidenti i dokumentirati u registru upravljanja tako da se može dokazati tijekom inspekcija od strane nadzornih tijela da su svi principi zaštite podataka dosljedno primijenjeni i revidirani.
