(1) Ținând seama de natura, domeniul de aplicare, contextul și scopurile prelucrării, precum și de riscurile cu grade diferite de probabilitate și gravitate pentru drepturile și libertățile persoanelor fizice, operatorul pune în aplicare măsuri tehnice și organizatorice adecvate pentru a garanta și a fi în măsură să demonstreze că prelucrarea se efectuează în conformitate cu prezentul regulament. Respectivele măsuri se revizuiesc și se actualizează dacă este necesar.

1. Taking into account the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for the rights and freedoms of natural persons, the controller shall implement appropriate technical and organisational measures to ensure and to be able to demonstrate that processing is performed in accordance with this Regulation. Those measures shall be reviewed and updated where necessary.

Traducerea în limba română este greșită (nu este singura) și schimbă fundamental practica. Am mai scris pe aici despre riscuri și probabilități și probabil voi mai scrie…

Probabilitatea este…probabilitate și înseamnă matematică. Teoria probabilităților are la bază modelele matematice și  factori aleatori. Aleatorul este fundamentul probabilităților! În lipsa aleatorului nu putem discuta de probabilități.
Pentru a putea estima probabilitatea avem nevoie de populații/seturi mari de date. În lipsa lor, estimarea probabilității este o „ghiceală„. Chiar dacă am avea date istorice, este imposibil să calculezi probabilitatea riscurilor în IT atît timp cît nu avem nici o idee despre cum va evolua tehnologia. În IT nu sîntem în situația unei firme de producție unde studiem 20 de șuruburi dintr-un lot de 1000 și estimăm că probabilitatea ca cele 1000 de șurburi să fie de calitate este de 99.99%

De exemplu, la începutul anului 2013 nu se știa despre cryptolocker. Cum ar putea cineva să calculeze probabilitatea apariției unui eveniment despre care nu știe că există? Ce date statistice ar fi trebuit să utilizăm pentru a „intui„ riscul criptării datelor? De unde am putea ști că peste un an se descoperă o vulnerabilitate într-un SGBD sau SO? Dar că WPA2 va fi spartă?

Likelihood este folosit în limbajul cotidian ca sinonim pentru probability. În realitate, likelihood înseamnă verosimilitate.

Tehnic, teoria spune că probabilitatea este utilizată înainte ca datele să fie disponibile pentru a descrie o plauzibilitate a unui rezultat ulterior, dată fiind o valoare pentru parametru (exit poolurile de exemplu). Verosimilitatea este utilizată după ce sunt disponibile date pentru a descrie plauzibilitatea unei valori a parametrului. Verosimilitatea caută să indice că este posibil să se întâmple ceva sau să se fi întâmplat ceva.

Prin urmare, atunci cînd GDPR se referă la măsurile tehnice și administrative ce trebuie puse în aplicare pe baza „riscurilor cu grade diferite de probabilitate și gravitate„ spune de fapt că trebuie să stabilim cît de verosimile sînt estimările pe care le facem. Este motivul pentru care susțin că „metoda scenariilor„ este mai apropiată de ceea ce presupune estimarea riscurilor în IT.

Gravitatea (severity) – înseamnă că, dacă știu ce date personale prelucrez, pot estima cam ce se poate întîmpla rău cu aceste date și cam ce impact are acel „rău„ asupra persoanei vizate.

Verosimilitatea (likelihood) – se referă la cît de real apare scenariul (răul) la care ne-am gîndit în legătură cu datele personale

Exemplu

Care este probabilitatea ca, folosind o căutare Google după „Gigel Popescu„ AND „data nașterii„ să identificăm o persoană? Răspunsul este simplu: nu putem calcula o astfel de probabilitate! Putem spune însă că este „foarte verosimil„ ca acest lucru să fie adevărat/corect. Dar cît de versosmil este ca aceste date să fie prelucrate în sistemul nostru?

Trebuie să mai răspundem și la alte întrebări (nu le scriu în ordinea logică a scenariului): publicarea acestor informații este legală? Dacă nu este legală, ce impact are această divulgare asupra lui Gigel Popescu – este mai grav că s-a publicat „numele și data nașterii„ decît „numele și adresa„? Dacă nu este legală, ce „măsură tehnică„ există sau de care este nevoie pentru a asigura „confidențialitatea„ (cea administrativă nu este suficientă)? După implementarea controlului, cît de verosimil mai este acest scenariu?

Operatorul și persoana împuternicită implementează măsuri tehnice și administrative și pentru „a asigura confidențialitatea, integritatea, disponibilitatea și rezistența continue ale sistemelor și serviciilor de prelucrare„.

Riscurile din GDPR sînt de fapt o….cascadă: riscurile la adresa drepturilor și libertății persoanei vizate (prelucrare, modificare, divulgare ilegale etc…) rezultă din riscurile la adresa confdențialității, integrității și disponibilității datelor prelucrate pe echipamentele dintr-un sistem informațional (măsuri tehnice) prin intermediul unor angajați (măsuri administrative).

Dacă este verosimil să se întîmple ceva rău, este lipsit de importanță dacă probabilitatea este mai mare de zero: este posibil să fiu deja „mort„ ….sau în faliment din cauza amenzii….

(Pentru detalii statistice – Maximum Likelihood Estimation)