Nawigacja
RODO > Artyku艂 25. Uwzgl臋dnianie ochrony danych w fazie projektowania oraz domy艣lna ochrona danych
Pobierz jako plik PDF

Artyku艂 25 RODO. Uwzgl臋dnianie ochrony danych w fazie projektowania oraz domy艣lna ochrona danych

Article 25 GDPR. Data protection by design and by default

1. Uwzgl臋dniaj膮c stan wiedzy technicznej, koszt wdra偶ania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolno艣ci os贸b fizycznych o r贸偶nym prawdopodobie艅stwie wyst膮pienia i wadze zagro偶enia wynikaj膮ce z przetwarzania, administrator 鈥 zar贸wno przy okre艣laniu sposob贸w przetwarzania, jak i w czasie samego przetwarzania 鈥搘dra偶a odpowiednie 艣rodki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezb臋dnych zabezpiecze艅, tak by spe艂ni膰 wymogi niniejszego rozporz膮dzenia oraz chroni膰 prawa os贸b, kt贸rych dane dotycz膮.

1. Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 14.2.1.

Here is the relevant paragraphs to article 25(1) GDPR:

6.11.2.1 Secure development policy

Implementation guidance

Policies for system development and design should include guidance for the organization鈥檚 processing of PII needs, based on obligations to PII principals and/or any applicable legislation and/or regulation and the types of processing performed by the organization. Clauses 7 and 8 provide control considerations for processing of PII, which can be useful in developing policies for privacy in systems design.


aby uzyska膰 dost臋p do pe艂nego tekstu

Powi膮zane teksty

2. Administrator wdra偶a odpowiednie 艣rodki techniczne i organizacyjne, aby domy艣lnie przetwarzane by艂y wy艂膮cznie te dane osobowe, kt贸re s膮 niezb臋dne dla osi膮gni臋cia ka偶dego konkretnego celu przetwarzania. Obowi膮zek ten odnosi si臋 do ilo艣ci zbieranych danych osobowych, zakresu ich przetwarzania, okresu ich przechowywania oraz ich dost臋pno艣ci. W szczeg贸lno艣ci 艣rodki te zapewniaj膮, by domy艣lnie dane osobowe nie by艂y udost臋pniane bez interwencji danej osoby nieokre艣lonej liczbie os贸b fizycznych.

2. The controller shall implement appropriate technical and organisational measures for ensuring that, by default, only personal data which are necessary for each specific purpose of the processing are processed. That obligation applies to the amount of personal data collected, the extent of their processing, the period of their storage and their accessibility. In particular, such measures shall ensure that by default personal data are not made accessible without the individual’s intervention to an indefinite number of natural persons.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.

Here is the relevant paragraph to article 25(2) GDPR:

7.4.2 Limit processing

Control

The organization should limit the processing of PII to that which is adequate, relevant and necessary for the identified purposes.


aby uzyska膰 dost臋p do pe艂nego tekstu

Wytyczne & Case Law Powi膮zane teksty

3. Wywi膮zywanie si臋 z obowi膮zk贸w, o kt贸rych mowa w ust. 1 i 2 niniejszego artyku艂u, mo偶na wykaza膰 mi臋dzy innymi poprzez wprowadzenie zatwierdzonego mechanizmu certyfikacji okre艣lonego w art. 42.

3. An approved certification mechanism pursuant to Article聽42 may be used as an element to demonstrate compliance with the requirements set out in paragraphs聽1 and 2 of this Article.

ISO 27701

(EN) ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.1.

Here is the relevant paragraph to article 25(3) GDPR:

5.2.1 Understanding the organization and its context

The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.


aby uzyska膰 dost臋p do pe艂nego tekstu

Powi膮zane teksty
Komentarz eksperta Motywy Wytyczne & Case Law zostaw komentarz
Komentarz eksperta
Motywy

(78) Ochrona praw i wolno艣ci os贸b fizycznych w zwi膮zku z przetwarzaniem danych osobowych wymaga wdro偶enia odpowiednich 艣rodk贸w technicznych i organizacyjnych, by zapewni膰 spe艂nienie wymog贸w niniejszego rozporz膮dzenia. Aby m贸c wykaza膰 przestrzeganie niniejszego rozporz膮dzenia, administrator powinien przyj膮膰 wewn臋trzne polityki i wdro偶y膰 艣rodki, kt贸re s膮 zgodne w szczeg贸lno艣ci z zasad膮 uwzgl臋dniania ochrony danych w fazie projektowania oraz z zasad膮 domy艣lnej ochrony danych. Takie 艣rodki mog膮 polega膰 m.in. na minimalizacji przetwarzania danych osobowych, jak najszybszej pseudonimizacji danych osobowych, przejrzysto艣ci co do funkcji i przetwarzania danych osobowych, umo偶liwieniu osobie, kt贸rej dane dotycz膮, monitorowania przetwarzania danych, umo偶liwieniu administratorowi tworzenia i doskonalenia zabezpiecze艅. Je偶eli opracowywane, projektowane, wybierane i u偶ytkowane s膮 aplikacje, us艂ugi i produkty, kt贸re opieraj膮 si臋 na przetwarzaniu danych osobowych albo przetwarzaj膮 dane osobowe w celu realizacji swojego zadania, nale偶y zach臋ca膰 wytw贸rc贸w tych produkt贸w, us艂ug i aplikacji, by podczas opracowywania i projektowania takich produkt贸w, us艂ug i aplikacji wzi臋li pod uwag臋 prawo do ochrony danych osobowych i z nale偶ytym uwzgl臋dnieniem stanu wiedzy technicznej zapewnili administratorom i podmiotom przetwarzaj膮cym mo偶liwo艣膰 wywi膮zania si臋 ze spoczywaj膮cych na nich obowi膮zk贸w ochrony danych. Zasad臋 uwzgl臋dniania ochrony danych w fazie projektowania i zasad臋 domy艣lnej ochrony danych nale偶y te偶 bra膰 pod uwag臋 w przetargach publicznych.

(78) The protection of the rights and freedoms of natural persons with regard to the processing of personal data require that appropriate technical and organisational measures be taken to ensure that the requirements of this Regulation are met. In order to be able to demonstrate compliance with this Regulation, the controller should adopt internal policies and implement measures which meet in particular the principles of data protection by design and data protection by default. Such measures could consist, inter alia, of minimising the processing of personal data, pseudonymising personal data as soon as possible, transparency with regard to the functions and processing of personal data, enabling the data subject to monitor the data processing, enabling the controller to create and improve security features. When developing, designing, selecting and using applications, services and products that are based on the processing of personal data or process personal data to fulfil their task, producers of the products, services and applications should be encouraged to take into account the right to data protection when developing and designing such products, services and applications and, with due regard to the state of the art, to make sure that controllers and processors are able to fulfil their data protection obligations. The principles of data protection by design and by default should also be taken into consideration in the context of public tenders.

Wytyczne & Case Law zostaw komentarz
[js-disqus]