Privacy by Design i zasady przechowywania danych

Privacy by Design (PbD) to opracowane przez Ann Cavoukian w latach 90. ramy, które traktują prywatność jako podstawowe wymaganie architektoniczne, a nie element dodawany po fakcie. Zamiast dołączać mechanizmy ochrony prywatności po zbudowaniu systemu, PbD uwzględnia je już od pierwszej decyzji projektowej. Artykuł 25 RODO formalnie ustanowił PbD wymogiem prawnym dla systemów skierowanych do użytkowników z UE, wymagając ochrony danych w fazie projektowania i domyślnej ochrony danych — oznacza to, że ustawienia domyślne muszą zawsze zapewniać najwyższy dostępny poziom ochrony prywatności.

Siedem zasad Cavoukian to: Proaktywność, nie reaktywność — przewidywanie zdarzeń związanych z prywatnością i zapobieganie im, zanim nastąpią. Prywatność jako ustawienie domyślne — ochrona prywatności bez konieczności podejmowania działań przez użytkownika. Prywatność wbudowana w projekt — nie dodawana jako osobna warstwa. Pełna funkcjonalność — prywatność nie wymaga kompromisów w zakresie bezpieczeństwa ani funkcjonalności. Bezpieczeństwo od początku do końca — ochrona przez cały cykl życia, od gromadzenia po utylizację. Widoczność i przejrzystość — działania otwarte na niezależną weryfikację. Poszanowanie prywatności użytkownika — mechanizmy kontroli zorientowane na użytkownika i bezpieczne ustawienia domyślne.

Prywatność jako ustawienie domyślne oznacza, że najbardziej chroniące prywatność ustawienia są aktywne od razu — użytkownicy nie powinni musieć rezygnować ze gromadzenia danych ani ograniczać ich udostępniania; udostępnianie powinno wymagać aktywnego wyrażenia zgody. Przykłady praktyczne: profil w mediach społecznościowych powinien być domyślnie prywatny, a nie publiczny; narzędzie analityczne powinno domyślnie gromadzić minimalną ilość danych; aplikacja nie powinna domyślnie żądać uprawnienia do lokalizacji. Zasady PbD wymagają od inżynierów automatycznego stosowania rozwiązań chroniących prywatność zamiast polegania na świadomości użytkowników.

Minimalizacja danych to zasada PbD i wymóg prawny RODO: należy gromadzić wyłącznie dane osobowe ściśle niezbędne do określonego celu. Przed zbudowaniem funkcji inżynierowie powinni zadać sobie pytanie: „Czy rzeczywiście potrzebujemy tego pola?”. Typowe techniki minimalizacji obejmują: gromadzenie wartości pochodnych zamiast danych surowych (przedziału wieku zamiast daty urodzenia), stosowanie pseudonimizacji (zastępowanie bezpośrednich identyfikatorów tokenami) oraz wdrażanie anonimizacji, gdy analiza na poziomie pojedynczych osób nie jest wymagana. Danych, których nigdy nie zgromadzono, nie można naruszyć.

Pseudonimizacja zastępuje dane umożliwiające bezpośrednią identyfikację sztucznym identyfikatorem (tokenem), zachowując jednocześnie tabelę mapowania, dzięki czemu przy użyciu klucza możliwa jest ponowna identyfikacja. RODO uznaje pseudonimizację za technikę ograniczania ryzyka, ale NIE wyłącza danych pseudonimizowanych spod RODO — nadal są to dane osobowe. Anonimizacja nieodwracalnie usuwa możliwość zidentyfikowania osób. Rzeczywiście anonimowe dane nie są objęte zakresem RODO, jednak prawdziwa anonimizacja jest technicznie trudna — wiele zbiorów danych uznawanych za anonimowe można ponownie zidentyfikować za pomocą danych pomocniczych lub ataków opartych na wnioskowaniu.

Ocena skutków dla prywatności (PIA), określana w RODO jako ocena skutków dla ochrony danych (DPIA), służy do oceny ryzyka dla prywatności przed uruchomieniem nowego systemu lub procesu. RODO nakazuje przeprowadzenie DPIA, gdy przetwarzanie prawdopodobnie wiąże się z wysokim ryzykiem — na przykład w przypadku przetwarzania wrażliwych danych na dużą skalę, systematycznego profilowania lub stosowania nowych technologii. DPIA dokumentuje: cel przetwarzania, ocenę niezbędności, identyfikację ryzyka oraz środki ograniczania ryzyka. Wczesne przeprowadzenie DPIA zapobiega kosztownemu przeprojektowywaniu już zbudowanych systemów.

Polityka przechowywania danych określa, jak długo przechowywana jest każda kategoria danych, zanim trzeba ją bezpiecznie usunąć. Decyzje dotyczące okresu przechowywania wymagają wyważenia dwóch sprzecznych potrzeb: przechowywania danych wystarczająco długo, aby spełnić wymagania prawne, operacyjne i audytowe, oraz nieprzechowywania ich tak długo, by stały się niepotrzebnym ryzykiem. Zasada ograniczenia przechowywania zawarta w RODO wymaga usunięcia danych, gdy nie są już potrzebne do pierwotnego celu. Harmonogramy przechowywania należy udokumentować i egzekwować technicznie za pomocą automatycznych zadań usuwania oraz ustawień wygasania archiwów.

Harmonogramy przechowywania muszą przewidywać mechanizm wyjątków dla blokad prawnych. Gdy można się spodziewać postępowania sądowego lub już się ono rozpoczęło, organizacje mają obowiązek zachować wszystkie potencjalnie istotne dane, niezależnie od standardowych harmonogramów przechowywania. Niszczenie danych objętych blokadą prawną może stanowić zniszczenie dowodów i skutkować niekorzystnymi rozstrzygnięciami sądu lub sankcjami. Oprogramowanie do obsługi blokad prawnych umieszcza na objętych nimi danych techniczną flagę zabezpieczenia, uniemożliwiając automatyczne usunięcie do czasu zwolnienia blokady przez zespół prawny. Blokady prawne należy śledzić i dokumentować przez cały okres ich obowiązywania.

Po upływie okresu przechowywania dane należy zniszczyć w sposób uniemożliwiający ich odzyskanie. W przypadku danych cyfrowych można zastosować: wymazywanie kryptograficzne (zniszczenie kluczy szyfrujących sprawia, że szyfrogram staje się bezużyteczny), rozmagnesowanie (w przypadku nośników magnetycznych), bezpieczne nadpisywanie (NIST SP 800-88 Clear lub Purge) albo zniszczenie fizyczne (rozdrabnianie, spalanie). Organizacje powinny wystawiać certyfikaty zniszczenia — szczególnie w przypadku niszczenia nośników przez podmioty zewnętrzne — jako dowód na potrzeby audytów zgodności. W przypadku pamięci masowej w chmurze wymazywanie kryptograficzne jest zazwyczaj jedyną realną metodą.

Organizacje, które opierają przetwarzanie na zgodzie jako podstawie prawnej, muszą prowadzić rejestry zgód potwierdzające: kto wyraził zgodę, kiedy to nastąpiło, jakiego konkretnego przetwarzania dotyczyła zgoda oraz za pomocą jakiego mechanizmu została udzielona. Rejestry te należy przechowywać przez cały okres przetwarzania oraz przez rozsądny czas po jego zakończeniu, aby umożliwić rozstrzyganie sporów. Platformy zarządzania zgodami (CMP) automatyzują obsługę zgód na pliki cookie, rejestrowanie preferencji i wycofywanie zgód. Ścieżka audytowa zmian zgód jest niezbędna — jeśli użytkownik wycofa zgodę, a jego dane nadal będą przetwarzane, organizacja naraża się na poważną odpowiedzialność na gruncie RODO.

Privacy by Design w praktyce oznacza, że architekci zadają pytania dotyczące prywatności już na etapie projektowania. Należy preferować renderowanie po stronie serwera zamiast beaconów analitycznych po stronie klienta. Zamiast przechowywać numery kart w postaci jawnej, należy używać tokenizacji. W bazach danych należy stosować szyfrowanie na poziomie kolumn dla pól wrażliwych. Należy projektować warstwy dostępu do danych, które wymuszają pobieranie minimalnego zakresu danych potrzebnego dla każdego zapytania. Dane PII należy przechowywać w oddzielnym, bardziej restrykcyjnym schemacie bazy danych. Wyniki analiz należy objąć prywatnością różnicową. Takie decyzje składają się na system, który jest naprawdę trudny do wykorzystania, nawet przez osoby mające dostęp wewnętrzny.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji dowiedział się Pan / dowiedziała się Pani, że: Privacy by Design uwzględnia prywatność w systemach od samego początku, opierając się na siedmiu podstawowych zasadach, w tym na prywatności jako ustawieniu domyślnym; minimalizacja danych i pseudonimizacja zmniejszają wartość danych dla atakujących, nadal umożliwiając analizy; a zasady przechowywania danych równoważą obowiązki prawne z ryzykiem niepotrzebnego przechowywania danych, przewidując ich bezpieczne usunięcie po zakończeniu okresu użytkowania. W następnej części omówimy bezpieczeństwo punktów końcowych: platformy antywirusowe, EDR i XDR.