Uus andmekaitse üldmäärus lähtub samast eeldusest, kuid erinev on olemasolevate põhimõtete konkretiseerimine ja uute loomine.
Niisiis konkretiseerib üldmäärus nii mõndagi olemasolevat põhimõtet:
• eesmärgi piirangu põhimõte (purpose limitation) nõuab üheselt, et olemasolevate andmete töötlemine ei ole hiljem lubatud eesmärkidel, mis on vastuolus algse kogumise eesmärgiga;
• võimalikult väheste andmete kogumise põhimõte (data minimisation) asendab „ülemäärase kogumise keelu“ kohustusega tagada, et kogutakse vaid vajalikke andmeid;
• õigsuse põhimõtet (nn accuracy) karmistatakse kohustusega viivitamatult kustutada või parandada töötlemise eesmärgi seisukohast ebaõiged andmed;
• säilitamise piirangu põhimõtte (data retention) kohaselt ei säilitata andmeid kauem, kui see on vajalik eesmärgi täitmiseks;
• vastutuse põhimõte nõuab nii seda, et töötleja vastutab põhimõtete täitmise (nii välis- kui siseriske arvestades) eest kui ka seda, et töötleja on võimeline tõendama põhimõtete täitmist. See nn tõendamisvõimelisus on üldmääruse riskipõhise lähenemise keskne osa ning sellest tuleb juttu ka blogisarja järgmistes osades.
Toon näite nimetatud põhimõtete järgi toimuva veebipõhise turunduskampaania kohta.
Turustajate soov on üldjuhul teada klientide kohta võimalikult palju informatsiooni – alates meili- ja postiaadressist ning lõpetades lemmikraamatuga. Üldmääruse alusel peaks töötleja olema võimeline tõendama, et nii meili- kui ka postiaadressi üheaegne kogumine on eesmärgikohaselt vajalik ning vähim, millega eesmärgini jõuda. Teabe kogumine lemmikraamatu kohta aga ei ole tõenäoliselt põhimõtetega a priori kooskõlas.
Vaikimisi ja lõimitud andmekaitse
Üldmäärus loetleb ka mõned uudsed põhimõtted, näiteks vaikimisi ja lõimitud andmekaitse põhimõtted.
Andmekaitsemäärusele on omane lähtumine sellest, et kõik elu- ja tegevusvaldkonnad on seotud infotehnoloogiaga ning infotehnoloogia on omakorda kasutajatele ning regulatiivsetele asutustele läbipaistmatu. Praktikas tähendab see, et andmekaitseasutustel ei ole võimekust rikkumisi efektiivselt ja süstemaatiliselt uurida ning karistada. Selle „nõrkuse“ tasakaalustamiseks ongi seadustatud viidatud põhimõtted.
Sisuliselt tähendab vaikimisi andmekaitse põhimõte, et toote või teenuse algseadistuseks peab olema maksimaalne andmekaitse (nn privacy by default).
Näiteks, töötleja järgib põhimõtet, kui mobiiltelefoni või sotsiaalmeedia konto algseadistus sisaldab selgesõnalist nn opt-in põhimõtet; vaikimisi on piiratud mis tahes jagamise funktsioonid; andmete kogumine on viidud miinimumini ning sisse on seatud andmete säilitamise põhimõtted ning subjekti õiguste realiseerimise võimalused (nt andmete kustutamine, kaasaskantavus).
Lõimitud andmekaitse on teine põhimõte, mille omaksvõtt on keeruline, eriti IT-ettevõtete jaoks (privacy by design). Nimelt võib mis tahes tarkvara arendaja kinnitada, et arenduse käigus on esmamureks toote/teenuse tuum-funktsionaalsusete arendamine ning andmekaitse üle murtakse pead pigem kiirustades ning lõppfaasis. Lõimimise põhimõte nõuab, et andmekaitse, nt teenuse turvalisuse üle muretsemine ning selle tagamine näiteks läbi krüptimise ja autentimise peaks muutuma tuum-funktsionaalsuseks, millega tuleb tegeleda projekti algusest alates ning iga toote/teenuse osa ja mooduli loomisel (“end-to-end” security).
Uudsete lõimitud ja vaikimisi andmekaitse põhimõtete eelduseks on näiteks see, et ettevõtted töötavad välja siseprotseduurid, mis neid arvesse võtaks. Näiteks peaks looma andmekaitsemõjude hindamise malli, mida on iga kord uue toote/teenuse väljatöötamisel lihtne ning kohustuslik täita; samuti looma uute protsesside kasutuselevõtul näiteks automaatse kustutamismehhanismi andmetele, mida ettevõttel ei ole enam vaja jne.
Järgmised sammud ehk asu tegutsema!
Praktikas tähendavad uued ja täpsustatud põhimõtted seda, et paljud ettevõtted peavad enda andmekaitsepoliitika ümber mõtestama.
Täna on aga õige aeg mitmeks tegevuseks. Tuleks
• analüüsida seni kogutud andmete vastavust „võimalikult väheste andmete kogumise“ ja „eesmärgi piirangu“ eesmärkidele ning otsustada olemasolevate andmete edasine kasutamine, kustutamine, krüptimine;
• analüüsida enda ettevõtte olemasolevad andmekaitse põhimõtteid ning andmete kogumise ja töötlemise viise, eesmärke ning teha järeldused sellest, kuidas ning millises ulatuses edaspidi andmeid kogutakse;
• uuendada olemasolevaid lepinguid partneritega, et reguleerida vastutust ja riski seoses lõimitud ja vaikimisi andmekaitse ja teiste põhimõtete nõuete täitmisega.
