Confidențialitate prin design

Confidențialitate prin design (GDPR)

1) Despre ce este vorba și de ce

Confidențialitatea prin Design (PbD) este principiul conform căruia confidențialitatea este încorporată într-un produs de la bun început: în cerințele de afaceri, arhitectură, cod, procese și operare. În ceea ce privește GDPR, acest lucru se manifestă prin „confidențialitate prin design și implicit” (minimizarea taxelor, setările implicite sunt cât mai private posibil, transparență și responsabilitate).

• Minimizarea colectării și prelucrării datelor cu caracter personal (PD).
• Asigurarea legalității, transparenței, corectitudinii, limitării obiectivelor și termenelor limită.
• Reducerea riscurilor (tehnice și juridice), simplificarea auditurilor și dovedirea conformității.

2) Roluri GDPR, cadre juridice și principii

2. 1 Roluri

Controler-Definește obiectivele/mijloacele de prelucrare.
Procesor-procesează date cu caracter personal în numele operatorului în temeiul contractului DPA.
Persoana vizată: o persoană căreia îi aparțin datele cu caracter personal.
DPO (responsabilul cu protecția datelor): la cerere - monitorizare și consultare independentă.

2. 2 Temeiuri legale (selectați și documentul)

Consimțământul, contractul, interesul legitim, datoria legală, interesele vitale, sarcina publică. Pentru fiecare - scop, date, retinere, revocare (pentru consimtamant).

2. 3 Principii de prelucrare (art. 5)

Legalitate, corectitudine, transparență

Limitarea obiectivului

Minimizarea datelor

Precizie

Restricție de stocare

Integritate și confidențialitate

Responsabilitatea - capacitatea de a dovedi conformitatea.

3) Procesul PbD în SDLC (cadru de referință)

1. Inițiere: formularea obiectivelor de prelucrare și a temeiurilor legale, atribuirea proprietarilor de date și punctul DPO.
2. Cartografierea datelor (Data Mapping): surse → câmpuri → model confidențial → unde fluxul → cine citește → unde sunt stocate pe termen →.
3. Evaluarea riscurilor/DPIA: LINDDUN-model de amenințări la adresa vieții private, evaluarea impactului, măsuri de atenuare.
4. Soluții arhitecturale: selecție de minimizare, pseudonimizare, criptare, scheme de distincție.
5. Cerințe pentru UX/consimțăminte/notificări: texte clare, consimțământ granular, setare implicită.
6. Implementare: defaults private, secure telemetry, secret-free logging/PII.
7. Verificare: teste de confidențialitate, analiză statică, teste unitare private, protocoale DPIA.
8. Operațiune: procese DSAR, retenție și dispoziție, monitorizarea incidentelor, recenzii ale furnizorilor.
9. Revizuire regulată: re-DPIA la schimbarea obiectivelor/tehnologiilor.

4) Inginerie PbD modele

4. 1 Minimizare și descompunere

Colectați numai câmpurile obligatorii; aplicați profiluri progresive.
ID separat și conținut: stocați separat cheia de legătură (token/referință).

4. 2 Aliasing și anonimizare

Aliasing - Stocați ID-ul real separat; stratul de lucru vede jetonul.
Anonimizare: utilizare k-anonimat, l-diversitate, t-închidere; pentru analiză - confidențialitate diferențială (ε -buget).

4. 3 Controlul accesului și separarea rolului

PoLP, ABAC/RBAC, segregarea taxelor, contururi separate pentru administratori și analiști.
Alea. măsuri: mTLS, SSO/OIDC, token-uri scoped, conturi temporare pentru accesul la date cu caracter personal.

4. 4 Criptare și izolare

În tranzit: TLS 1. 3/mTLS; În rest: AEAD/Plic + KMS/HSM.
Chei separate pentru chiriaș/set de date; ștergerea cripto pentru „dreptul de a fi uitat”.

4. 5 Retenţie şi îndepărtare

Politici TTL explicite per domeniu/obiectiv; auto-purjare în conducte; ștergerea „în două faze” (logică → fizică).
Pentru backup-uri - taste separate și ferestre de stocare scurte pentru instantanee personale.

4. 6 Telemetrie privată și exploatare forestieră

Implicit nu este PII; utilizați jetoane/hashing cu sare.
Mascarea/tokenizarea câmpurilor sensibile pe producător.

4. 7 UX Confidențialitate și consimțământ

Consimțământul granular pe categorii (analiză, marketing, personalizare).
„Defaults private”: totul nu este critic - oprit până când a fost de acord.
Opțiunea clară „Retrageți consimțământul” și notificarea just-in-time atunci când o nouă utilizare.

5) DPIA și LINDDUN (scurt)

DPIA (Evaluarea impactului asupra protecției datelor): este necesară la un risc ridicat (monitorizare pe scară largă, evaluare, noua tehnologie). Acesta constă într-o descriere a prelucrării, a necesității/proporționalității, a evaluării riscurilor, a măsurilor de atenuare.
LINDDUN угрозы: Linkability, Identificability, Non-repudiere, Detectability, Divulgarea informațiilor, Inconștiență, neconformitate. Pentru fiecare amenințare - contramăsuri (minimizare, pseudonimizare, DP, transparență, managementul consimțământului, audit).

6) Transferuri transfrontaliere

Identificați locațiile de stocare/acces ale furnizorilor.
Utilizați SCC (dispoziții contractuale standard) și efectuați evaluarea impactului transferului.
Măsuri tehnice: criptare end-to-end, criptografie client pentru date deosebit de sensibile, restricționarea accesului la distanță.

7) Furnizori și procesoare (Vendor Management)

Procesoare DPA/imbricate, măsuri tehnice și organizatorice, subprocesoare - sub control.
Revizuiri și audituri periodice; dreptul la inspecție; planul de export de date.

8) Drepturile persoanelor vizate (DSAR)

Accesul, remedierea, ștergerea, restricționarea, portabilitatea, obiecția, să nu fie obiect AADM (profilare/automatizare).
SLA și automatizare: urmărirea cererii, dovada de identificare, jurnalul de răspuns.
Cârlige tehnice în produs: căutare rapidă și export prin ID; îndepărtarea cascadei prin retenție.

9) Soluții automate și profilare (Art. 22)

Dacă deciziile cu un „impact semnificativ” sunt luate automat - pentru a asigura dreptul la intervenția umană, explicabilitatea, transparența semnelor.
Calea jurnalului și versionarea modelului; mecanism de apel.

10) Securitatea prelucrării (art. 32) şi incidente (art. 33/34)

Măsuri orientate spre risc: criptare, integritate, reziliență, planuri de redresare (RTO/RPO).
Incidente PD: → proces de detectare a triajului → evaluarea riscului → notificarea autorității de reglementare ≤ 72 de ore (dacă este necesar) și a subiecților (dacă prezintă un risc ridicat).
Playbook separat, lista de contacte DPO/avocați, șabloane de notificare.

11) Confidențialitate și ML/Analytics

Seturi de guvernanță a datelor: data-line, licențe/motive, consimțăminte.
Tehnici: confidențialitate diferențială, învățare federală, agregare sigură, minimizarea caracteristicilor.
Protecție împotriva atacurilor: membru/inversiune model - evaluări regulate ale scurgerilor, setări ε, zgomot/clip.
Date sintetice - numai cu verificarea absenței restaurării persoanelor.

12) Diagrame arhitecturale (modele)

12. 1 arhitectură ID „Dual Loop”

Loop A (PDS - Personal Data Store): date reale de identificare (RID), acces - strict limitat, chei/criptare/audit.
Contur B (Operațional): date de afaceri cu jetoane; comunicații prin intermediul unui broker token cu limite și audituri.

12. 2 Serviciul de consimțământ

Un serviciu centralizat care stochează versiuni de consimțământ și istorie.
SDK: „can _ use (categorie, scop)” - rezolvă din zbor; totul este logat.

12. 3 Politici de păstrare ca cod

Configurare YAML - Entitate → câmp → TTL → Acțiune de expirare (Anonimizare/Ștergere/Grosier).
Programatorul efectuează locuri de muncă, raportarea este disponibilă pentru DPO.

13) Mini rețete

def collect(field, purpose):
if not is_required(field, purpose):
return None # do not collect v = read_input (field)
return truncate(v, policy. max_length(field))

yaml dataset: users fields:
email: { ttl: P18M, on_expire: pseudonymize }
phone: { ttl: P12M, on_expire: delete }
session_logs: { ttl: P3M, on_expire: aggregate }
consent: { ttl: P7Y, on_expire: archive }

analytics:
default: deny legal_basis: consent scope: anonymous_metrics marketing:
default: deny legal_basis: consent scope: email,push

GET /privacy/export? subject_id=... -> zip:
- profile. json (metadata, legal basis)
- activity. ndjson (events, aggregates)
- consents. json (consent history)
- processors. json (list of processors and transfers)

14) Documentație și responsabilitate

ROPA (Evidența activităților de prelucrare) - registru de operațiuni: scop, temei juridic, categorii de date/subiecți, transferuri, perioade de păstrare, măsuri.
Politici: confidențialitate, cookie-uri, notificări de informații în produs (în limbaj simplu).
Instruirea personalului și revizuiri anuale.

15) Erori frecvente

Colecția „doar în caz” și depozitarea „pentru totdeauna”.
Consimțământul ca unic motiv, deși contractul/interesul legitim este adecvat.
„Gol” bannere cookie fără comutatoare reale.
Nu există cartografiere a datelor și nu este gata pentru DSAR.
Jurnale cu PII, copii de rezervă neprotejate, amestecarea REED și date operaționale.
Nu există control asupra furnizorilor și transferurilor transfrontaliere.

16) Liste de verificare

• Scopul prelucrării și baza legală sunt determinate; actualizat de ROPA.
• Cartografierea datelor și DPIA efectuate (dacă este necesar).
• Implementat minimizare, aliasing, criptare (pe rută/în repaus).
• Consimțămintele sunt granulare, cu UX clar; valorile implicite sunt private.
• Ați configurat politici de păstrare ca cod; ștergere/anonimizare verificată.
• Jurnale/Telemetrie - fără PII; mascarea este activată.
• Cârlige DSAR și exporturi pregătite.
• Instruirea echipei și aprobarea DPO finalizate.

• Revizuirea trimestrială a retențiilor și a temeiurilor legale.
• Periodic procesor/sub-procesor audituri.
• Monitorizarea incidentelor și pregătirea pentru notificare ≤ 72 de ore.
• Revizuirea DPIA cu modificări de proces/tehnologie.
• Stocarea artefactelor de conformitate (DPIA, ROPA, rapoarte de testare).

17) ÎNTREBĂRI FRECVENTE

Î: Este posibil să „fugi” complet de consimțământ?
R: Uneori da (contract/datorie juridică/interes juridic), dar numai atunci când este strict necesar și cu o evaluare a echilibrului de interese. Marketing și analiză non-critică - cel mai adesea necesită consimțământ.

Î: Este suficient aliasing?
R: Nu, sunt încă date personale. Pentru a ieși din sfera GDPR, aveți nevoie de anonimizare fiabilă (verificată pentru imposibilitatea re-identificării).

Î: Ce zici de ML și personalizare?
R: Minimizați caracteristicile, utilizați abordări DP/federate, decizii de jurnal, asigurați dreptul la intervenție umană și non-profilare.

Î: Ce trebuie să faceți atunci când conflictul de afaceri și de confidențialitate?
R: Reproiectați colecția (profilare progresivă), treceți la agregate/sintetice, reevaluați baza legală, oferiți o opțiune fără urmărire.

• „Managementul secret”
• „La criptare de odihnă”
• „În criptarea tranzitului”
• „Audit și jurnale imuabile”
• „Semnează și verifică cererile”
• „Managementul și rotația cheilor”