Προστασία της ιδιωτικής ζωής εκ σχεδιασμού

Privacy by Design (GDPR)

1) Περί τίνος πρόκειται και γιατί

Η Privacy by Design (PbD) είναι η αρχή σύμφωνα με την οποία η ιδιωτική ζωή είναι ενσωματωμένη σε ένα προϊόν από την αρχή: στις επιχειρηματικές απαιτήσεις, την αρχιτεκτονική, τον κώδικα, τις διαδικασίες και τη λειτουργία. Όσον αφορά το GDPR, αυτό εκδηλώνεται ως «ιδιωτικότητα εκ σχεδιασμού και εξ ορισμού» (ελαχιστοποίηση των τελών, οι ρυθμίσεις αθέτησης είναι όσο το δυνατόν πιο ιδιωτικές, διαφάνεια και λογοδοσία).

• Ελαχιστοποίηση της συλλογής και επεξεργασίας δεδομένων προσωπικού χαρακτήρα (PD).
• Διασφάλιση της νομιμότητας, της διαφάνειας, της ορθότητας, του περιορισμού των στόχων και των προθεσμιών.
• Μείωση των κινδύνων (τεχνικών και νομικών), απλούστευση των ελέγχων και απόδειξη της συμμόρφωσης.

2) Ρόλοι, νομικά πλαίσια και αρχές του ΑΕγχΠ

2. 1 Ρόλοι

Ο ελεγκτής ορίζει τους στόχους/τα μέσα επεξεργασίας.
Επεξεργασία δεδομένων προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας στο πλαίσιο της σύμβασης DPA.
Υποκείμενο των δεδομένων: άτομο στο οποίο ανήκουν τα δεδομένα προσωπικού χαρακτήρα.
ΥΠΔ (Υπεύθυνος Προστασίας Δεδομένων): κατόπιν αιτήματος - ανεξάρτητη παρακολούθηση και διαβούλευση.

2. 2 Νομικοί λόγοι (επιλογή και έγγραφο)

Συναίνεση, σύμβαση, έννομο συμφέρον, νομική υποχρέωση, ζωτικά συμφέροντα, δημόσια καθήκοντα. Για κάθε στόχο, δεδομένα, διατήρηση, ανάκληση (συναίνεση).

2. 3 Αρχές επεξεργασίας (άρθρο 5)

Νομιμότητα, δικαιοσύνη, διαφάνεια

Περιορισμός του στόχου

Ελαχιστοποίηση δεδομένων

Ακρίβεια

Περιορισμός αποθήκευσης

Ακεραιότητα και εμπιστευτικότητα

Λογοδοσία - η ικανότητα απόδειξης της συμμόρφωσης.

3) Διεργασία PbD στην SDLC (πλαίσιο αναφοράς)

1. Έναρξη: διατύπωση στόχων επεξεργασίας και νομικών λόγων, εκχώρηση των ιδιοκτητών δεδομένων και σημείο DPO.
2. Χαρτογράφηση δεδομένων (χαρτογράφηση δεδομένων): πηγές → πεδία → εμπιστευτικό μοντέλο → όπου → ροή διαβάζει → πού αποθηκεύονται → όρος.
3. Εκτίμηση κινδύνων/DPIA: Μοντέλο LINDDUN για τις απειλές κατά της ιδιωτικής ζωής, εκτίμηση επιπτώσεων, μέτρα μετριασμού.
4. Αρχιτεκτονικές λύσεις: επιλογή της ελαχιστοποίησης, ψευδωνυμοποίηση, κρυπτογράφηση, διακριτικά σχήματα.
5. Απαιτήσεις για UX/συναινέσεις/κοινοποιήσεις: σαφή κείμενα, κοκκώδης συναίνεση, προκαθορισμένη ρύθμιση.
6. Εφαρμογή: ιδιωτικές αθετήσεις, ασφαλής τηλεμετρία, μη μυστική υλοτομία/PII.
7. Επαλήθευση: δοκιμές απορρήτου, στατική ανάλυση, δοκιμές ιδιωτικής μονάδας, πρωτόκολλα DPIA.
8. Λειτουργία: διαδικασίες DSAR, διατήρηση και διάθεση, παρακολούθηση συμβάντων, επανεξετάσεις πωλητών.
9. Τακτική επανεξέταση: νέα DPIA κατά την αλλαγή στόχων/τεχνολογιών.

4) Πρότυπα PbD μηχανικής

4. 1 Ελαχιστοποίηση και αποσύνθεση

Συλλέγονται μόνο τα απαιτούμενα πεδία. εφαρμόζουν προοδευτική διαμόρφωση προφίλ.
Χωριστή ταυτότητα και περιεχόμενο: να φυλάσσεται το κλειδί του συνδέσμου χωριστά (ένδειξη/αναφορά).

4. 2 Ψευδώνυμα και ανωνυμία

Ψευδώνυμο - Αποθηκεύεται η πραγματική ταυτότητα χωριστά. το στρώμα εργασίας βλέπει το σύμβολο.
Ανωνυμοποίηση: χρήση k-ανωνυμίας, l-ποικιλομορφίας, t-κλεισίματος. για την ανάλυση - διαφορική ιδιωτικότητα (ε -budget).

4. 3 Έλεγχος πρόσβασης και διαχωρισμός ρόλων

PoLP, ABAC/RBAC, διαχωρισμός καθηκόντων, χωριστά περιγράμματα για τους διαχειριστές και τους αναλυτές.
Αυτά. μέτρα: mTLS, SSO/OIDC, εκτεταμένες μάρκες, προσωρινοί λογαριασμοί για την πρόσβαση σε προσωπικά δεδομένα.

4. 4 Κρυπτογράφηση και απομόνωση

Κατά τη διαμετακόμιση: TLS 1. · Σε ηρεμία: AEAD/φάκελος + KMS/HSM.
Ξεχωριστά κλειδιά για τον ενοικιαστή/σύνολο δεδομένων. crypto διαγραφή του «δικαιώματος στη λήθη».

4. 5 Κατακράτηση και απομάκρυνση

σαφείς πολιτικές TTL ανά τομέα/στόχο· αυτόματη εκκαθάριση αγωγών· «διφασική» διαγραφή (λογική → φυσική).
Για αντίγραφα ασφαλείας - ξεχωριστά κλειδιά και σύντομα παράθυρα αποθήκευσης προσωπικών στιγμιότυπων.

4. 6 Ιδιωτική τηλεμετρία και υλοτομία

Η προκαθορισμένη δεν είναι PII. χρησιμοποιήστε μάρκες/θραύσματα με αλάτι.
Κάλυψη/μαρκαρισμός ευαίσθητων πεδίων στον παραγωγό.

4. 7 UX Προστασία της ιδιωτικής ζωής και συναίνεση

Κοκκώδης συναίνεση ανά κατηγορία (αναλυτική, εμπορία, εξατομίκευση).
«Ιδιωτικές αθετήσεις»: όλα δεν είναι κρίσιμα - απενεργοποιήθηκαν μέχρι να συμφωνηθεί.
Σαφής επιλογή «Ανάκληση της συγκατάθεσης» και έγκαιρη κοινοποίηση κατά τη νέα χρήση.

5) DPIA και LINDDUN (συνοπτικά)

DPIA (εκτίμηση επιπτώσεων για την προστασία δεδομένων): απαιτείται υψηλός κίνδυνος (μεγάλης κλίμακας παρακολούθηση, αξιολόγηση, νέα τεχνολογία). Συνίσταται σε περιγραφή της επεξεργασίας, της αναγκαιότητας/αναλογικότητας, της εκτίμησης επικινδυνότητας, των μέτρων μετριασμού.
LINDDUN угрозы: Δυνατότητα σύνδεσης, δυνατότητα αναγνώρισης, μη αποκήρυξη, ανιχνευσιμότητα, γνωστοποίηση πληροφοριών, αγνώριστη, μη συμμόρφωση. Για κάθε απειλή - αντίμετρα (ελαχιστοποίηση, ψευδωνυμοποίηση, DP, διαφάνεια, διαχείριση συναίνεσης, έλεγχος).

6) Διασυνοριακές μεταφορές

Προσδιορισμός τόπων αποθήκευσης/πρόσβασης πωλητή.
Χρήση SCC (τυποποιημένες συμβατικές διατάξεις) και διενέργεια εκτίμησης επιπτώσεων μεταβίβασης.
Τεχνικά μέτρα: διατερματική κρυπτογράφηση, κρυπτογραφία πελατών για ιδιαίτερα ευαίσθητα δεδομένα, περιορισμός της εξ αποστάσεως πρόσβασης.

7) Πωλητές και επεξεργαστές (Διαχείριση Προμηθευτών)

DPA/ένθετοι επεξεργαστές, τεχνικά και οργανωτικά μέτρα, υπεργολάβοι - υπό έλεγχο.
τακτικές επανεξετάσεις και λογιστικοί έλεγχοι· δικαίωμα επιθεώρησης· σχέδιο εξαγωγής δεδομένων.

8) Δικαιώματα των υποκειμένων των δεδομένων (DSAR)

Πρόσβαση, αποκατάσταση, διαγραφή, περιορισμός, φορητότητα, ένσταση, να μην είναι αντικείμενο AADM (διαμόρφωση προφίλ/αυτοματισμού).
SLA και αυτοματοποίηση: παρακολούθηση αιτήματος, απόδειξη ταυτότητας, καταγραφή απόκρισης.
Τεχνικά αγκίστρια στο προϊόν: ταχεία αναζήτηση και εξαγωγή με ταυτότητα. απομάκρυνση των κλιμάκων με κατακράτηση.

9) Αυτόματες λύσεις και διαμόρφωση προφίλ (άρθρο 22)

Εάν οι αποφάσεις με «σημαντικό αντίκτυπο» λαμβάνονται αυτομάτως - για να εξασφαλιστεί το δικαίωμα στην ανθρώπινη παρέμβαση, η σαφήνεια, η διαφάνεια των σημάτων.
Διαδρομή καταγραφής και έκδοση μοντέλου. μηχανισμός προσφυγής.

10) Ασφάλεια επεξεργασίας (άρθρο 32) και περιστατικά (άρθρο 33/34)

Μέτρα προσανατολισμένα στον κίνδυνο: κρυπτογράφηση, ακεραιότητα, ανθεκτικότητα, σχέδια αποκατάστασης (RTO/RPO).
Περιστατικά PD: → διαδικασία ανίχνευσης τριάδας → εκτίμηση κινδύνου → κοινοποίηση της ρυθμιστικής αρχής ≤ 72 ώρες (όπου απαιτείται) και υποκείμενα (εάν υπάρχει υψηλός κίνδυνος).
Ξεχωριστό βιβλίο παιχνιδιών, κατάλογος επαφών DPO/δικηγόρων, πρότυπα κοινοποίησης.

11) Προστασία της ιδιωτικής ζωής και ML/Ανάλυση

Σύνολα διακυβέρνησης δεδομένων: γραμμή δεδομένων, άδειες/λόγοι, συναινέσεις.
Τεχνικές: διαφορική ιδιωτικότητα, ομόσπονδη μάθηση, ασφαλής ομαδοποίηση, ελαχιστοποίηση χαρακτηριστικών.
Προστασία από επιθέσεις: αντιστροφή μέλους/μοντέλου - τακτικές εκτιμήσεις διαρροών, ρυθμίσεις ε, θόρυβος/κλιπ.
Συνθετικά δεδομένα - μόνο με επαλήθευση της απουσίας αποκατάστασης προσώπων.

12) Αρχιτεκτονικά διαγράμματα (πρότυπα)

12. 1 Αρχιτεκτονική ταυτότητας «διπλού βρόχου»

Βρόχος A (PDS - Personal Data Store): πραγματικά αναγνωριστικά δεδομένα (RID), πρόσβαση - αυστηρά περιορισμένη, κλειδιά/κρυπτογράφηση/έλεγχος.
Περίγραμμα Β (Επιχειρησιακά): επιχειρηματικά δεδομένα με μάρκες. επικοινωνίες μέσω ενός συμβολικού μεσίτη με όρια και ελέγχους.

12. 2 Υπηρεσία συγκατάθεσης

Μια κεντρική υπηρεσία που αποθηκεύει εκδόσεις συναίνεσης και ιστορία.
SDK: 'can _ use (κατηγορία, σκοπός)' - λύσεις στη μύγα. όλα είναι καταγεγραμμένα.

12. 3 Πολιτικές διατήρησης ως κώδικας

Ρυθμίσεις YAML - Πεδίο → οντότητας → TTL → Δράση λήξης (Anonymize/Delete/Coarse).
Ο προγραμματιστής εκτελεί εργασίες και υποβάλλει εκθέσεις στον ΥΠΔ.

13) Μίνι συνταγές

def collect(field, purpose):
if not is_required(field, purpose):
return None # do not collect v = read_input (field)
return truncate(v, policy. max_length(field))

yaml dataset: users fields:
email: { ttl: P18M, on_expire: pseudonymize }
phone: { ttl: P12M, on_expire: delete }
session_logs: { ttl: P3M, on_expire: aggregate }
consent: { ttl: P7Y, on_expire: archive }

analytics:
default: deny legal_basis: consent scope: anonymous_metrics marketing:
default: deny legal_basis: consent scope: email,push

GET /privacy/export? subject_id=... -> zip:
- profile. json (metadata, legal basis)
- activity. ndjson (events, aggregates)
- consents. json (consent history)
- processors. json (list of processors and transfers)

14) Τεκμηρίωση και λογοδοσία

ROPA (Αρχεία δραστηριοτήτων επεξεργασίας) - μητρώο πράξεων: σκοπός, νομική βάση, κατηγορίες δεδομένων/υποκειμένων, διαβιβάσεις, περίοδοι διατήρησης, μέτρα.
Πολιτικές: προστασία της ιδιωτικής ζωής, cookies, ενημερωτικές κοινοποιήσεις στο προϊόν (σε απλή γλώσσα).
Κατάρτιση του προσωπικού και ετήσια επανεξέταση.

15) Συχνά σφάλματα

Συλλογή «ακριβώς σε περίπτωση» και αποθήκευση «για πάντα».
Η συναίνεση ως αποκλειστικός λόγος, αν και ενδείκνυται η σύναψη σύμβασης/έννομου συμφέροντος.
«Κενά» πανό μπισκότων χωρίς πραγματικούς διακόπτες.
Δεν υπάρχει χαρτογράφηση δεδομένων και δεν είναι έτοιμη για το DSAR.
Αρχεία καταγραφής με PII, μη προστατευμένα αντίγραφα ασφαλείας, ανάμειξη δεδομένων REED και επιχειρησιακών δεδομένων.
Δεν υπάρχει έλεγχος των προμηθευτών και των διασυνοριακών μεταφορών.

16) Κατάλογοι ελέγχου

• Προσδιορίζονται ο σκοπός της επεξεργασίας και η νομική βάση. επικαιροποιείται από την ROPA.
• Η χαρτογράφηση δεδομένων και ο DPIA εκτελούνται (εάν απαιτείται).
• Εφαρμόστηκε ελαχιστοποίηση, ψευδαίσθηση, κρυπτογράφηση (καθ "οδόν/σε ηρεμία).
• Οι συναινέσεις είναι κοκκώδεις, με διαυγές UX. οι αθετήσεις είναι ιδιωτικές.
• Έχετε θεσπίσει πολιτικές διατήρησης ως κώδικα? έλεγχος διαγραφής/ανωνυμοποίησης.
• Καταγραφές/Τηλεμετρία - καμία PII; Το κάλυμμα είναι ενεργοποιημένο.
• Παρασκευασμένα άγκιστρα και εξαγωγές DSAR.
• Ολοκληρώθηκε η ομαδική εκπαίδευση και η έγκριση ΥΠΔ.

• Τριμηνιαία επανεξέταση των κρατήσεων και των νομικών λόγων.
• Περιοδικοί έλεγχοι επεξεργαστή/υπεργολάβου επεξεργασίας.
• Παρακολούθηση συμβάντων και ετοιμότητα κοινοποίησης ≤ 72 ωρών.
• Αναθεώρηση του DPIA με αλλαγές διαδικασίας/τεχνολογίας.
• Αποθήκευση αντικειμένων συμμόρφωσης (DPIA, ROPA, εκθέσεις δοκιμών).

17) ΣΥΧΝΈΣ ΕΡΩΤΉΣΕΙΣ

Ε: Είναι δυνατόν να «ξεφύγουμε» εντελώς από τη συγκατάθεση

Α: Ορισμένες φορές ναι (σύμβαση/νομική υποχρέωση/έννομο συμφέρον), αλλά μόνο όταν είναι απολύτως αναγκαίο και με αξιολόγηση της ισορροπίας συμφερόντων. Μάρκετινγκ και μη κριτική ανάλυση - οι περισσότερες φορές απαιτούν συγκατάθεση.

Ε: Αρκεί το ψευδώνυμο

Α: Όχι, είναι ακόμα προσωπικά δεδομένα. Για να βγείτε από τη σφαίρα GDPR, χρειάζεστε αξιόπιστη ανωνυμοποίηση (ελέγχεται για την αδυναμία επαναπροσδιορισμού).

Τι γίνεται με το ML και την εξατομίκευση

A: Ελαχιστοποίηση των χαρακτηριστικών, χρήση DP/ομόσπονδων προσεγγίσεων, αποφάσεις καταγραφής, εξασφάλιση του δικαιώματος στην ανθρώπινη παρέμβαση και μη διαμόρφωση προφίλ.

Ε: Τι πρέπει να κάνουμε όταν συγκρούονται οι επιχειρήσεις και η ιδιωτική ζωή

Α: Επανασχεδιασμός της συλλογής (προοδευτική διαμόρφωση προφίλ), μετάβαση σε συγκεντρωτικά στοιχεία/συνθετικά, επανεκτίμηση της νομικής βάσης, προσφορά επιλογής χωρίς εντοπισμό.

• «Μυστική διαχείριση»
• «Στην κρυπτογράφηση ανάπαυσης»
• «Κρυπτογράφηση διαμετακόμισης»
• «Λογιστικός έλεγχος και αμετάβλητα αρχεία καταγραφής»
• «Υπογραφή και επαλήθευση αιτήσεων»
• «Διαχείριση κλειδιών και εναλλαγή»