Prywatność według projektu

Prywatność według projektu (RODO)

1) O co chodzi i dlaczego

Prywatność przez Design (PbD) to zasada, zgodnie z którą prywatność jest wbudowana w produkt od samego początku: w wymagania biznesowe, architektura, kod, procesy i działanie. Jeśli chodzi o RODO, przejawia się to w „prywatności według projektu i domyślnie” (minimalizując opłaty, domyślne ustawienia są jak najbardziej prywatne, przejrzystość i odpowiedzialność).

• Zminimalizowanie gromadzenia i przetwarzania danych osobowych (PD).
• Zapewnienie legalności, przejrzystości, poprawności, ograniczenia celów i terminów.
• Ograniczenie ryzyka (technicznego i prawnego), uproszczenie audytów i udowodnienie zgodności.

2) RODO role, ramy prawne i zasady

2. 1 Role

Kontroler-Definiuje cele/sposoby przetwarzania.
Przetwarzający-Przetwarza dane osobowe w imieniu administratora zgodnie z umową DPA.
Osoba, której dane dotyczą: osoba, do której należą dane osobowe.
Inspektor ochrony danych: na żądanie - niezależne monitorowanie i konsultacje.

2. 2 Podstawy prawne (wybrać i dokument)

Zgoda, umowa, uzasadniony interes, obowiązek prawny, istotne interesy, zadanie publiczne. Dla każdego - cel, dane, zatrzymanie, odwołanie (za zgodą).

2. 3 Zasady przetwarzania (art. 5)

Legalność, sprawiedliwość, przejrzystość

Ograniczenie celu

Minimalizacja danych

Dokładność

Ograniczenie przechowywania

Integralność i poufność

Odpowiedzialność - zdolność do udowodnienia zgodności.

3) Proces PbD w SDLC (ramy odniesienia)

1. Inicjacja: formułowanie celów przetwarzania i podstaw prawnych, przypisanie właścicieli danych i punktu inspektora ochrony danych.
2. Mapowanie danych (mapowanie danych): źródła → pola → model poufny → gdzie przepływ → kto czyta → gdzie są przechowywane → termin.
3. Ocena ryzyka/DPIA: LINDDUN - model zagrożeń dla prywatności, ocena skutków, środki zmniejszające ryzyko.
4. Rozwiązania architektoniczne: wybór minimalizacji, pseudonimizacji, szyfrowania, schematów rozróżniania.
5. Wymagania dotyczące UX/consents/notifications: jasne teksty, granulowana zgoda, domyślne ustawienie.
6. Implementacja: domyślne prywatne, bezpieczna telemetria, secret-free logging/PII.
7. Weryfikacja: testy prywatności, analiza statyczna, testy jednostek prywatnych, protokoły DPIA.
8. Działanie: procesy DSAR, zatrzymywanie i dyspozycja, monitorowanie incydentów, recenzje sprzedawców.
9. Regularny przegląd: re- DPIA przy zmianie celów/technologii.

4) Inżynierskie wzory PbD

4. 1 Minimalizacja i rozkład

Zbierz tylko wymagane pola; zastosowanie profilowania progresywnego.
Oddzielny identyfikator i zawartość: przechowywać klucz łącza oddzielnie (token/reference).

4. 2 Aliasing i anonimizacja

Aliasing - Przechowywać prawdziwy identyfikator osobno; warstwa robocza widzi token.
Anonimizacja: wykorzystaj k-anonimowość, l-różnorodność, t-zamknięcie; dla analityki - prywatność różnicowa (-budget).

4. 3 Kontrola dostępu i separacja ról

PoLP, ABAC/RBAC, segregacja obowiązków, odrębne kontury dla administratorów i analityków.
Te. środki: mTLS, SSO/OIDC, skopiowane żetony, tymczasowe konta dostępu do danych osobowych.

4. 4 Szyfrowanie i izolacja

W tranzycie: TLS 1. 3/mTLS; W miejscu odpoczynku: AEAD/Envelope + KMS/HSM.
Oddzielne klucze dla najemcy/zbioru danych; krypta usuwa „prawo do bycia zapomnianym”.

4. 5 Zatrzymywanie i usuwanie

Wyraźna polityka TTL dla każdego pola/celu; automatyczne oczyszczanie rurociągów; „dwufazowe” usunięcie (logiczne → fizyczne).
Dla kopii zapasowych - oddzielne klucze i krótkie okna pamięci masowej do migawek osobistych.

4. 6 Prywatna telemetria i pozyskiwanie drewna

Domyślnie nie jest PII; używać żetonów/hashing z solą.
Maskowanie/tokenizacja pól wrażliwych na producenta.

4. 7 UX Prywatność i zgoda

Zgoda granularna według kategorii (analityka, marketing, personalizacja).
„Prywatne domyślne”: wszystko nie jest krytyczne - wyłączone, dopóki się nie zgodzi.
Wyczyść opcję „Wycofaj zgodę” i powiadomienie w odpowiednim czasie przy nowym użyciu.

5) DPIA i LINDDUN (krótki)

DPIA (ocena wpływu na ochronę danych): wymagana przy wysokim ryzyku (monitorowanie na dużą skalę, ocena, nowa technologia). Składa się z opisu przetwarzania, konieczności/proporcjonalności, oceny ryzyka, środków ograniczających ryzyko.
LINDDUN мерова: Zdolność do linkowania, identyfikowalność, brak repudiacji, wykrywalność, ujawnianie informacji, nieświadomość, niezgodność. Dla każdego zagrożenia - środki zaradcze (minimalizacja, pseudonimizacja, DP, przejrzystość, zarządzanie zgodą, audyt).

6) Transfery transgraniczne

Identyfikacja lokalizacji magazynu/dostępu dostawcy.
Wykorzystanie SCC (standardowe postanowienia umowne) i przeprowadzenie oceny wpływu transferu.
Środki techniczne: szyfrowanie typu end-to-end, kryptografia klienta dla szczególnie wrażliwych danych, ograniczenie dostępu zdalnego.

7) Sprzedawcy i przetwórcy (Zarządzanie dostawcami)

DPA/zagnieżdżone procesory, środki techniczne i organizacyjne, podwykonawcy - pod kontrolą.
regularne przeglądy i audyty; prawo do inspekcji; plan wywozu danych.

8) Prawa osób, których dotyczą dane (DSAR)

Dostęp, naprawa, usuwanie, ograniczenie, przenoszenie, sprzeciw, nie być obiektem AADM (profilowanie/automatyzacja).
SLA i automatyzacja: śledzenie żądań, dowód identyfikacji, dziennik odpowiedzi.
Haki techniczne w produkcie: szybkie wyszukiwanie i eksport przez ID; usunięcie kaskady przez zatrzymanie.

9) Zautomatyzowane rozwiązania i profilowanie (art. 22)

Jeżeli decyzje mające „znaczący wpływ” są podejmowane automatycznie - w celu zapewnienia prawa do interwencji człowieka, wyjaśnienia, przejrzystości znaków.
Ścieżka dziennika i wersioning modelu; mechanizm odwoławczy.

10) Zabezpieczenie przetwarzania (art. 32) i incydenty (art. 33/34)

Środki zorientowane na ryzyko: szyfrowanie, integralność, odporność, plany odzysku (RTO/RPO).
Incydenty PD: → proces wykrywania triage → ocena ryzyka → powiadomienie regulatora ≤ 72 godziny (w razie potrzeby) i uczestników (jeśli duże ryzyko).
Oddzielny system odtwarzania, lista kontaktów DPO/adwokatów, szablony powiadomień.

11) Prywatność i ML/analityka

Zestawy zarządzania danymi: wiersz danych, licencje/podstawy, zgody.
Techniki: prywatność różnicowa, uczenie się federowane, bezpieczna agregacja, minimalizacja funkcji.
Ochrona przed atakami: odwrócenie członkostwa/modelu - regularne oceny wycieku, nastawy, szum/klip.
Dane syntetyczne - tylko z weryfikacją braku przywrócenia osób.

12) Schematy architektoniczne (wzory)

12. 1 „Dual Loop” ID Architecture

Pętla A (PDS - Personal Data Store): prawdziwe dane identyfikacyjne (RID), dostęp - ściśle ograniczone, klucze/szyfrowanie/audyt.
Zarys B (operacyjny): dane biznesowe z tokenami; komunikacja poprzez łamacz token z limitami i audytami.

12. 2 Usługa zgody

Scentralizowana usługa, która przechowuje wersje zgody i historię.
SDK: 'can _ use (kategoria, cel)' - rozwiązuje w locie; wszystko jest zapisane.

12. 3 Polityka zatrzymywania jako kod

Konfiguracja YAML - Podmiot → Pole → TTL → Akcja wygaśnięcia (Anonymize/Delete/Gruby).
Harmonogram wykonuje zadania, raport jest dostępny dla inspektora ochrony danych.

13) Mini przepisy kulinarne

def collect(field, purpose):
if not is_required(field, purpose):
return None # do not collect v = read_input (field)
return truncate(v, policy. max_length(field))

yaml dataset: users fields:
email: { ttl: P18M, on_expire: pseudonymize }
phone: { ttl: P12M, on_expire: delete }
session_logs: { ttl: P3M, on_expire: aggregate }
consent: { ttl: P7Y, on_expire: archive }

analytics:
default: deny legal_basis: consent scope: anonymous_metrics marketing:
default: deny legal_basis: consent scope: email,push

GET /privacy/export? subject_id=... -> zip:
- profile. json (metadata, legal basis)
- activity. ndjson (events, aggregates)
- consents. json (consent history)
- processors. json (list of processors and transfers)

14) Dokumentacja i rozliczalność

ROPA (Rejestry działalności przetwórczej) - rejestr operacji: cel, podstawa prawna, kategorie danych/osób, przekazy, okresy przechowywania, środki.
Polityka: prywatność, pliki cookie, powiadomienia informacyjne w produkcie (w zwykłym języku).
Szkolenia personelu i coroczne przeglądy.

15) Częste błędy

Kolekcja „na wszelki wypadek” i przechowywanie „na zawsze”.
Zgoda jako jedyny powód, chociaż kontrakt/uzasadniony interes jest odpowiedni.
„Puste” banery bez prawdziwych przełączników.
Brak mapowania danych i nie jest gotowy do DSAR.
Dzienniki z PII, niezabezpieczone kopie zapasowe, mieszanie danych REED i operacyjnych.
Nie ma kontroli dostawców i transferów transgranicznych.

16) Listy kontrolne

• Cel przetwarzania i podstawa prawna są określone; zaktualizowany przez ROPA.
• Wykonano mapowanie danych i DPIA (jeżeli jest to wymagane).
• Zaimplementowana minimalizacja, aliasing, szyfrowanie (w drodze/w spoczynku).
• Zgody są ziarniste, z wyraźnym UX; domyślne są prywatne.
• Skonfigurowałeś politykę zatrzymywania jako kod; sprawdzone usunięcie/anonimizacja.
• Logs/Telemetry - no PII; Maskowanie jest włączone.
• Haki i eksport DSAR przygotowane.
• Ukończono szkolenie zespołu i zatwierdzenie inspektora ochrony danych.

• Kwartalny przegląd zatrzymań i podstawy prawne.
• Okresowe audyty procesorów/sub-procesorów.
• Monitorowanie zdarzeń i gotowość do zgłoszenia ≤ 72 godziny.
• Przegląd DPIA wraz ze zmianami technologicznymi/procesowymi.
• Przechowywanie artefaktów zgodności (DPIA, ROPA, sprawozdania z badań).

17) FAQ

P: Czy można całkowicie „uciec” od zgody?
Odp.: Czasami tak (obowiązek umowny/prawny/interes prawny), ale tylko wtedy, gdy jest to ściśle konieczne i z oceną równowagi interesów. Marketing i analityka nieistotna - najczęściej wymaga zgody.

P: Czy wystarczy aliasingu?
Odp.: Nie, to nadal dane osobowe. Aby wyjść z sfery RODO, potrzebujesz niezawodnej anonimizacji (sprawdzonej pod kątem niemożności ponownej identyfikacji).

P: A co z ML i personalizacją?
Odp.: Zminimalizuj funkcje, korzystaj z podejść DP/sfederowanych, podejmuj decyzje dziennika, zapewniaj prawo do interwencji człowieka i nie profilowania.

P: Co robić w przypadku konfliktu biznesowego i prywatności?
Odp.: Przeprojektowanie kolekcji (stopniowe profilowanie), przejście na agregaty/syntetykę, ponowna ocena podstawy prawnej, oferowanie opcji bez śledzenia.

• „Tajne zarządzanie”
• „W odpoczynku szyfrowanie”
• „W szyfrowaniu tranzytu”
• „Audyt i niezmienne kłody”
• „Podpisz i zweryfikuj żądania”
• „Kluczowe zarządzanie i rotacja”