GDPR vo vývoji softvéru: ochrana údajov od návrhu, bez právnického divadla

Najdrahší spôsob, ako riešiť GDPR, je dodatočne: audit nájde problémy, právnik napíše posudok a vývojári prerábajú hotový systém. Ochrana údajov od návrhu (privacy by design) znamená spraviť sedem rozhodnutí na začiatku. Väčšina z nich je zadarmo.

Sedem rozhodnutí pred prvým riadkom kódu

1. 01Minimalizácia: zbierajte len údaje, ktoré viete obhájiť účelom.
2. 02Doba uchovávania: každá evidencia osobných údajov má lehotu a automatické mazanie.
3. 03Prístupy: roly a záznamy o prístupe od prvého dňa, nie „doplníme neskôr“.
4. 04Export: právo na prenosnosť má byť tlačidlo, nie trojdňová ručná práca.
5. 05Testovacie dáta: anonymizované. Ostrá databáza u vývojárov je časovaná bomba.
6. 06Šifrovanie: pri prenose aj v úložisku.
7. 07Zmluvy so sprostredkovateľmi: s každou službou tretej strany vrátane analytiky.

Pri vývoji softvéru na mieru sa tieto rozhodnutia robia v návrhu, nie pri odovzdaní.

Čo z toho má firma okrem pokoja

Paradoxne rýchlejší vývoj, lebo systém s jasnými rolami a lehotami sa ľahšie testuje aj rozširuje. A obchodnú výhodu pri veľkých klientoch: ich nákupné oddelenia dnes posielajú dotazníky o ochrane údajov a dodávateľ s pripravenými odpoveďami má náskok.

AI a GDPR: nová vrstva, na ktorú sa pýtajte

S nástupom AI pribudla otázka, kam tečú vaše dáta pri spracovaní modelom. Odpoveď nemá znieť „do cudzieho cloudu a uvidíme“. Citlivé údaje sa majú pred odoslaním anonymizovať alebo spracúvať lokálne a každú AI službu má kryť zmluva o spracúvaní údajov. Ochrana údajov od návrhu dnes zahŕňa aj AI: premyslieť ju treba skôr, než prvá otázka modelu opustí firmu.

Čo robiť pri úniku, skôr než nastane

GDPR dáva 72 hodín na nahlásenie úniku. Bez pripraveného postupu sa tieto hodiny premrhajú panikou a firma má problém nie pre samotný únik, ale pre chaos po ňom. Pripravený plán, teda kto rozhoduje, ako sa zisťuje rozsah a ako sa informuje, premení krízu na zvládnutý incident. Najlepší čas napísať ho je predtým, než ho budete potrebovať.

Pýtajte sa dodávateľa, či je ochrana údajov súčasťou úvodného návrhu a či dokumentácia k GDPR patrí k odovzdaniu. U nás sa dáta ukladajú v EÚ, pri AI vopred viete, ktorý údaj kam ide, a zmluva o spracúvaní podľa čl. 28 GDPR je bežnou súčasťou spolupráce.