Să presupunem că aplicația folosită într-o organizație are cele 3 componente clasice: front end (unde interacționează direct utilizatorul) – serverul de aplicație – serverul de baze de date (back end).

La aplicație au acces diverși angajați, inclusiv din zona IT (administratori). Aplicația face schimb de informații cu alte aplicații: de exemplu oferă posibilitatea transmiterii unui raport/liste prin email. Există și copii de siguranță pentru date pentru că pe undeva organizația are un „disaster recovery„.

Accesul la astfel de date este dat în virtutea îndeplinirii sarcinilor de serviciu și nu va putea fi revocat. Dar poate fi rafinat ținînd cont de două principii: „nevoia de a ști„ respectiv „cel mai mic privilegiu„.

Care sînt cerințele din GDPR care ne conduc spre zona tehnică?

Datele cu caracter personal ar trebui prelucrate într-un mod care să asigure în mod adecvat securitatea și confidențialitatea acestora, inclusiv în scopul prevenirii accesului neautorizat la acestea sau utilizarea neautorizată a datelor cu caracter personal și a echipamentului utilizat pentru prelucrare. (Preambul 39)

Prelucrarea datelor cu caracter personal în măsura strict necesară și proporțională în scopul asigurării securității rețelelor și a informațiilor, și anume capacitatea unei rețele sau a unui sistem de informații de a face față, la un anumit nivel de încredere, evenimentelor accidentale sau acțiunilor ilegale sau rău intenționate care compromit disponibilitatea, autenticitatea, integritatea și confidențialitatea datelor cu caracter personal stocate sau transmise, precum și securitatea serviciilor conexe oferite de aceste rețele și sisteme, sau accesibile prin intermediul acestora, de către autoritățile publice, echipele de intervenție în caz de urgență informatică, echipele de intervenție în cazul producerii unor incidente care afectează securitatea informatică, furnizorii de rețele și servicii de comunicații electronice, precum și de către furnizorii de servicii și tehnologii de securitate, constituie un interes legitim al operatorului de date în cauză. Acesta ar putea include, de exemplu, prevenirea accesului neautorizat la rețelele de comunicații electronice și a difuzării de coduri dăunătoare și oprirea atacurilor de „blocare a serviciului”, precum și prevenirea daunelor aduse calculatoarelor și sistemelor de comunicații electronice. (Preambul 49)

Măsurile respective ar trebui să asigure un nivel corespunzător de securitate, inclusiv confidențialitatea, luând în considerare stadiul actual al dezvoltării și costurile implementării în raport cu riscurile și cu natura datelor cu caracter personal a căror protecție trebuie asigurată.(Preambul 83)

prelucrate într-un mod care asigură securitatea adecvată a datelor cu caracter personal, inclusiv protecția împotriva prelucrării neautorizate sau ilegale și împotriva pierderii, a distrugerii sau a deteriorării accidentale, prin luarea de măsuri tehnice sau organizatorice corespunzătoare („integritate și confidențialitate”). (Art . 5(1) f)

Să presupunem că anterior s-a realizat  evaluarea riscurilor, analiza de impact și au rezultat „riscuri ridicate„ pentru că se știe destul de exact care este fluxul datelor personale: puncte de colectare-prelucrare-stocare-arhivare.

În acest caz, o rezolvare pentru scenariul propus poate fi:

1. actualizarea fișelor de post
2. criptarea datelor (comunicații, backup)
3. securitate/control dispozitive de stocare/endpoint
4. securitate/control rețea
5. monitorizare acces la echipament/aplicație/date/resurse (login/logout în aplicație/SO/BD, acces la date în BD….).

Mai rămîne de identificat de cîtă tehnologie are nevoie organizația „ținându-se seama atât de tehnologia disponibilă la momentul prelucrării, cât și de dezvoltarea tehnologică„.