Pravni okvir i regulacije vezane za digitalni identitet i privatnost

3. Ključna načela GDPR-a

Zakonitost, poštenost i transparentnost
– Ovo načelo zahtijeva da se osobni podatci obrađuju zakonito, pošteno i na transparentan način prema osobi na koju se podatci odnose. Obrada podataka mora biti utemeljena na jasno definiranoj zakonskoj osnovi, kao što je pristup korisnika (suglasnost), ispunjenje ugovornih obveza, zakonske obveze, zaštita životnih interesa, zadovoljenje javnog interesa ili legitimni interesi voditelja obrade.

Ograničenje svrhe
– Osobni podatci moraju biti prikupljeni za specifične, izričite i legitimne svrhe i kasnije se ne smiju upotrebljavati za druge svrhe koje nisu u skladu s početnom. To znači da organizacija mora jasno definirati i komunicirati korisnicima zašto prikuplja njihove podatke i zašto ih obrađuje i neće ih upotrebljavati za drugu svrhu.

Primjer: Ako organizacija prikuplja podatke za ispunjenje narudžbe (npr. ime, adresu, broj telefona), ti se podatci ne smiju upotrijebiti za slanje marketinških materijala, osim ako korisnik nije izričito pristao na to.

Smanjenje količine podataka
– Ovo načelo znači da se prikupljaju samo oni podatci koji su nužni za ostvarenje postavljenih ciljeva. Organizacije ne smiju prikupljati ili obrađivati podatke koji nisu relevantni ili neophodni za zadovoljenje svrhe obrade.

Primjer: Ako organizacija želi obraditi narudžbu, trebala bi prikupljati samo podatke koji su relevantni za ispunjenje te narudžbe (npr. ime, adresa, kontakt informacije), a ne dodatne podatke poput hobija korisnika.

Točnost podataka
– Osobni podatci moraju biti točni i kada je to potrebno, ažurirani. Organizacija mora poduzeti sve razumne mjere kako bi osigurala da su netočni podatci odmah ispravljeni ili izbrisani. Ovo načelo osigurava da korisnici ne budu oštećeni zbog netočnih informacija koje bi mogle biti upotrijebljene protiv njih.

Primjer: Ako korisnik promijeni svoju adresu, organizacija treba ažurirati podatke kako bi izbjegla slanje paketa na staru adresu.

Ograničenje pohrane
– Osobni podatci smiju se pohranjivati samo toliko dugo koliko je neophodno za svrhu za koju su prikupljeni. Nakon što podatci više nisu potrebni, moraju biti izbrisani ili anonimizirani kako bi se spriječila daljnja obrada. Ovo načelo osigurava da podatci ne ostaju pohranjeni dulje nego što je nužno, čime se smanjuje rizik od zloupotrebe.

Primjer: Ako je podatak prikupljen za izvršenje ugovora, podatci se moraju obrisati nakon isteka razumnog roka za izvršenje ugovora, osim ako zakoni ne nalažu duže pohranjivanje (npr. računovodstveni podatci).

Cjelovitost i povjerljivost
– Podatci moraju biti obrađivani na način koji osigurava njihovu sigurnost uključujući zaštitu od neovlaštene ili nezakonite obrade, gubitka, uništavanja ili oštećenja koristeći se odgovarajućim tehničkim i organizacijskim mjerama. Ovo uključuje šifriranje podataka, autentifikaciju, provjeru pristupa, sigurnosne kopije i druge metode zaštite.

Primjer: Upotreba enkripcije za prijenos osjetljivih podataka (npr. kreditne kartice ili osobni identifikacijski brojevi) osigurava da podatci neće biti otkriveni u slučaju kibernetičkog napada.

Odgovornost (accountability)
– Voditelji obrade podataka (organizacije koje obrađuju podatke) moraju biti odgovorni za poštovanje svih navedenih načela i obvezni su biti u mogućnosti dokazati svoju usklađenost s GDPR-om. To znači da organizacije moraju implementirati odgovarajuće politike, procedure i mjere kako bi osigurale poštovanje GDPR-a i biti spremne na nadzor i revizije koje provodi regulator (AZOP u RH).

Primjer: Organizacija mora imati zapisnik svih aktivnosti obrade podataka, provoditi redovite revizije sigurnosti i osigurati edukaciju zaposlenika o zaštiti podataka.