Privacy by Design — Kontzeptua
Privacy by Design Ann Cavoukian-ek garatu zuen kontzeptua da: pribatutasuna eta datuen babesa IT sistemen diseinu-fasean integratu behar direla, ez ondorioz gehitu. DBEO-k printzipio hau kodifikatzen du 25. artikuluan — diseinuzko eta lehenetsitako datuen babesa.
7 oinarrizko printzipioak
Privacy by Design zazpi printzipio nagusietan oinarritzen da:
- Proaktiboa, ez erreaktiboa — pribatutasun-arazoak gertatu aurretik prebenitu
- Lehenespen gisa pribatutasuna — erabiltzaileak ezer konfiguratu behar izan gabe, babesa maximoa lehenespenez
- Diseinuan integratuta — pribatutasuna sistemaren funtzionaltasunean integratuta, ez gehigarri gisa
- Funtzionaltasun osoa — pribatutasuna eta funtzionaltasuna ez dira elkarren kontrakoak
- Bizi-ziklo osoa — datuen babesa bilketatik ezabatzera
- Ikusgarritasuna eta gardentasuna — datuen tratamendua modu argian dokumentatuta eta egiaztagarria
- Erabiltzailea erdigunean — datuen babesak erabiltzailearen interesak lehenetsi behar ditu
Praktikako inplementazioa IT sistemetan
Privacy by Design IT sistema batean inplementatzeak esan nahi du:
- Datuen minimizazioa — soilik behar diren datuak bildu eta prozesatu
- Enkriptazioa — datuak biltegiratzean eta garraioan enkriptatuta
- Sarbide-kontrol granularra — erabiltzaile bakoitzak soilik behar dituen datuetarako sarbidea
- Anonimizazioa/Pseudonimizazioa — AA prozesatzean datu pertsonalak anonimizatzea
- Ikuskaritza-arrastoa — datuen sarbide eta tratamendu guztien erregistroa
- Datuen atxikipen-politikak — behar ez diren datuak automatikoki ezabatzea
- Baimenen kudeaketa — erabiltzaileen baimenak modu argian kudeatzea
DPIA — Datuen Babesaren Eraginen Ebaluazioa
DBEO-k DPIA (Datuen Babesaren Eraginen Ebaluazioa) exijitzen du arrisku handiko datuen tratamendurako. DPIA bat prozesua sistematikoki ebaluatzen du: zer datuak prozesatzen diren, zein helbururekin, zein arriskurekin eta zer neurriekin. AAk DPIA prozesu osoa azkarrago eta integralago egiten du — ehunka arrisku-eszenatoki aztertzea eta arintzeko neurriak automatikoki proposatzea.
Segurtasuna eta pribatutasuna kodo-mailan
Privacy by Design kode-mailan ere inplementatzen da: sarrera-baliozkapena (SQL injekzio, XSS prebentzioa), irteera-kodeketa, token-kudeaketa segurua, sesio-kudeaketa, CORS politikak eta CSP (Content Security Policy). Segurtasun-probek automatikoki egiaztatzen dute printzipio hauek betetzen direla kode-aldaketa bakoitzean.
Auditoreekin eta arautzaileekin
Privacy by Design inplementazioak dokumentatuta egon behar du DBEO ikuskaritzei eta arautzaileen galderetarako. Dokumentazio integralak barne hartzen du: datuen tratamenduaren erregistroa, DPIA txostenak, segurtasun-neurriak, betetze-ebidentziak eta aldaketa-historia.