A beépített- és alapértelmezett adatvédelem elveit ugyan nem a GDPR hívta életre, hanem a "privacy by design" és "privacy by default" megközelítést Ontario állam egykori adatvédelmi biztosának (Information and Privacy Commissioner), Ann Cavoukiannak köszönhetjük, aki 2009-ben tette közzé a beépített adatvédelemmel ("privacy by design") kapcsolatos koncepcióját, ugyanakkor az vitathatatlan, hogy ezen elvárások GDPR-ban való rögzítése sokat tett az elvek köztudatba emeléséért.

A beépített- és alapértelmezett adatvédelem elveinek gyakorlati alkalmazása azonban még mindig kihívást jelenthet az adatkezelőknek és adatfeldolgozóknak (bár az Európai Adatvédelmi Testület részletes és gyakorlati példákat is tartalmazó iránymutatásban foglalkozott a témával, illetve a Testület - éppen a közelmúltban véglegesített - "sötét mintázatokkal" kapcsolatos iránymutatása szintén szoros kapcsolatban áll a beépített- és alapértelmezett adatvédelem elveinek alkalmazásával).   

Az adatkezelők és adatfeldolgozók viszont most újabb segítséget kaptak, különösen, ha a szoftverfejlesztés kapcsán felmerülő adatvédelmi kérdésekben keresnek gyakorlati segítséget: a Katalán Adatvédelmi Hatóság (APDCat) ugyanis 2023. februárjában tette közzé az elsősorban fejlesztőket megcélzó, témába vágó iránymutatását (ráadásul angol nyelven).  

Az iránymutatás - az elvek és a vonatkozó GDPR szabályok bemutatását követően - a beépített és alapértelmezett adatvédelem alkalmazása kapcsán az egyes szereplők (adatkezelő, adatfeldolgozó, al-adatfeldolgozó) helyzetét és feladatait tekinti át. Ezt követően pedig rátér az iránymutatás központi témájára az elvek hatékony alkalmazására, amelynek kapcsán az alábbi fejlesztési fázisokban vizsgálja az elvek érvényesítésének a lehetőségeit:

• tervezés, 
• fejlesztés és tesztelés,
• adatok gyűjtése, 
• adatok felhasználása, 
• kommunikáció és adatok hozzáférhetővé tétele, 
• adatok megőrzése és tárolása.

Fontos, kiemelni, hogy a beépített és alapértelmezett adatvédelem elvei nem konkrét megoldásokat írnak elő, hanem egy szemléletet tükröznek, amelynek az alkalmazásával az adott projekt vagy fejlesztés igényeire szabható megoldások kialakítására kerülhet sor. Ennek kapcsán az alábbi szempontokat mindenképpen érdemes (és szükséges) figyelembe venni: 

• az adatkezelés jellege, hatóköre, körülményei és céljai,
• az adatkezelés érintettek jogaira és szabadságaira jelentett kockázatai,
• a technológiai fejlettség állása, 
• az alkalmazás költségei. 

Tekintettel arra, hogy - különösen az első két pont tekintetében - az adatkezelő szerepe kiemelten fontos, így a szoros együttműködés a fejlesztést végzőkkel (akkor is, ha azok pl. adatfeldolgozóként kerülnek képbe) megkerülhetetlen. A megfelelő technológiai megoldások kialakítása ugyanis csak az adatkezelés alapvető paramétereinek gondos felmérés és mérlegelése, valamint a kockázatok alapos értékelése után és ezekre reagálva történhet. 

Az egyes adatkezelési fázisokban az alábbi kiemelt szempontokra hívja fel a figyelmet az iránymutatás: 

(i) Tervezés 

Az alábbi szempontkra figyelemmel érdemes eljárni a szoftver működésének tervezése kapcsán: 

• minimalizáció: az adatok kezelésének - a lehetőségekhez mérten - minimumra szorítása,  
• elrejtés: a személyes adatok elrejtése azok elől, akiknek nem szükséges hozzáférést biztosítani az adatokhoz (különböző megoldások jöhetnek szóba, pl. titkosítás, hozzáférésmenedzsment, stb.), 
• szegregáció: az adatok megosztott kezelése, egymástól annyira elkülönítve, amennyire csak lehetséges (ennek révén a teljes profilokhoz történő hozzáférés veszélye jelentősen csökkenthető), 
• aggregálás: az adatok - lehetőségekhez mérten - aggregált formában történő kezelése minden esetben, amikor ez a cél elérése kapcsán lehetséges,  
• tájékoztatás: az érintettek megfelelő tájékoztatásának biztosítása, 
• kontroll: annak biztosítása az érintettek számára, hogy az adataik feletti kontrollt megőrizhessék, 
• végrehajtás: a követelményeknek megfelelő adatkezelési tájékoztató és az ebben foglaltak teljesüléséhez szükséges eszközök biztosítása, 
• igazolás: annak bemutatására való képesség, hogy az adatkezelés az adatvédelmi követelményeknek megfelelően történik. 

Egy megoldás tervezése kapcsán fontos annak mielőbbi meghatározása, hogy a kezelt adatok milyen "utat járnak be" és milyen biztonsági intézkedések szükségesek az adott esetben. 

(ii) Fejlesztés és tesztelés

A fejlesztés és tesztelés során az alábbi tényezőket érdemes figyelembe venni: 

• ha a fejlesztés/tesztelés során személyes adatokhoz történik hozzáférés, akkor a fejlesztésben résztvevő külső partnerek adatfeldolgozók lesznek és ennek megfelelően kell kezelni ezeket a közreműködőket, 
• az adatok bizalmasságának és integritásának védelme érdekében szükséges az éles környezet elválasztása a fejlesztési és tesztelési környezettől (és szükséges biztosítani, hogy a fejlesztési és tesztelési környezet is biztonságos legyen),  
• ha a fejlesztés és tesztelés éles adatok (azaz valós személyekre vonatkozó személyes adatok) nélkül is végezhető, akkor ezt a lehetőséget szükséges választani (pl. szintetikus adatok használatával), ha tényleges (éles) személyes adatok használata elkerülhetetlen, akkor is érdemes ezeket pl. álnevesített formában használni (ha lehetséges), 
• az adatovábbítással kapcsolatos kérdésekre ebben a fázisban is ügyelni kell, így az igénybe vett szerverek földrajzi lokációjára figyelni kell (nem elég persze a szerverek EU-n belüli elhelyezkedése, az is lényeges, hogy honnan történik a hozzáférés az adatokhoz), 
• az adatokhoz történő hozzáférés szabályozásra megfelelő megoldásokat kell kialakítani, 
• a biztonsági mentések tekintetében meg kell feleni az adatvédelmi követelményeknek, 
• Wi-Fi hálózatok alkalmazása esetén a megfelelő biztonságot nyújtó protokollok alkalmazása szükséges, 
• a fejlesztés során használt szoftvercsomagok és könyvtárak friss verzióit szükséges használni, mert a korábbi verziók azóta már javított sérülékenységeket tartalmazhatnak (egy példa erre a magyar adatvédelmi hatóság gyakorlatából) 
• a fejlesztésben résztvevők adatvédelmi képzése szükséges és az irányukban megfelelő titoktartási követelményeket kell érvényesíteni, 
• olyan metódus alkalmazása, amely a szoftverkódok minőségét garantálni képes (ezek lehetnek manuális vagy automatizált megoldások is), 
• a biztonságos programozási irányelvek követése. 

(iii) Adatok gyűjtése

Az adatok gyűjtése során figyelembe kell venni 

• az adatminimalizálás elvét, 
• az adatgyűjtés és -kezelés kapcsán érvényesíteni kell a jogszerűség elvét, 
• az átláthatóságot, és az érintettek tisztességes kezelésének elvét.  

Kiemelt szempontok az adatminimalizálás kapcsán: 

• elérhető-e a cél személyes adatok kezelése nélkül vagy kevesebb személyes adat gyűjtésével (azaz van-e adatvédelmi szempontból előnyösebb alternatíva), 
• elkerülhető-e különleges személyes adatok felhasználása (pl. biometrikus azonosítás kiváltása kétfaktoros authentikációval),  
• kérdőívek kialakítása kapcsán átgondolandó, hogy milyen adatokra van tényleg szükség (különösen a kötelező mezők esetében), 
• csak olyan adatokhoz kérhető hozzáférés, amelyek a cél szempontjából valóban relevánsak, 
• kerülendő az olyan technikai azonosítók (pl. MAC cím, IP cím) megőrzése, amelyek tárolása nem feltétlenül szükséges a cél eléréséhez, 
• a szükségtelen kapcsolódó információk (pl. metaadatok) gyűjtése kerülendő, 
• megoldható-e egyes adatoknak a felhasználó eszközén történő kezelése (lásd pl. a COVID-19 járvány kapcsán alkalmazott decentralizált kontaktkutatási megoldások),  
• álnevesítés, anonimizálás lehetőségének vizsgálata,
• külső szoftverkomponensek kapcsán különösen körültekintően kell eljárni, megelőzve a nem kívánt, illetve nem dokumentált hozzáféréseket a személyes adatokhoz. 

A jogszerű adatkezelés kapcsán a hozzájárulások kezelésére vonatkozóan tartalmaz számos követelményt az iránymutatás, amelyek érvényesítése szükséges. (A Testület is külön iránymutatásban foglalkozott a hozzájárulások témakörével.)

Az átláthatóság és tisztességesség kapcsán a Katalán Adatvédelmi Hatóság iránymutatása nagy mértékben épít az Európai Adatvédelmi Testület "sötét mintázatokra" (dark patterns) vonatkozó - éppen a közelmúltban véglegesített - iránymutatására. 

(iv) Adatok felhasználása 

Az adatok felhasználása során releváns szempontok: 

• célszerű olyan belső kontrollok kialakítása, amely biztosítja, hogy az adatok felhasználása a célnak megfelelően történik, 
• megfelelő mechanizmusokkal kell biztosítani, hogy külső szereplők (pl. adatfeldolgozók) részéről ne történhessen visszaélés az adatokkal, 
• az érintettek jogainak érvényesítését szolgáló technológiai megoldások alkalmazása erősen ajánlott. 

(v) Kommunikáció és adatok hozzáférhetővé tétele

A megfelelő kommunikációs, átviteli csatornák megválasztása nagyon fontos, csakúgy mint a megfelelő titkosítás az adatok továbbítása során. 

(vi) Adatok megőrzése és tárolása

Az adatok megőrzése, tárolása során figyelembe kell venni 

• bizalmasság, integritás és elérhetőség szempontjait, 
• a korlátozott tárolhatóság elvét.

A bizalmasság és integritás körében érdemes figyelembe venni:  

• megfelelő belső szabályozás szükségességét, 
• megfelelő elektronikus tanúsítványok alkalmazása a felhasználók azonosítására, 
• ahol szükséges, többfaktoros azonosítás alkalmazása (biometrikus azonosítás kerülendő lehet, ha nem feltétlenül szükséges, a különleges adatok kezelésére vonatkozó szabályokra tekintettel),
• hozzáférési kulcsok kezelése, 
• megfelelő biztonsági követelmények kikényszerítése (pl. megfelelő, kellő erősségű jelszavak), 
• az adatok titkosított tárolása, amikor csak lehetséges, 
• elektronikus aláírás alkalmazása, 
• az álnevesítési és anonimizálási eljárások rendszeres felülvizsgálata, hogy ezek ne váljanak elavulttá. 

Elérhetőség vonatkozásában: 

• biztonsági másolatok megfelelő kezelése, 
• eltérő hozzáférési beállítások a biztonsági mentésekhez, 
• a visszaállítási eljárások rendszeres tesztelése, 
• megfelelő redundancia biztosítása. 

Az egyes fáziskohoz kapcsolódó fenti szempontokon túl az iránymutatás az adatok védelmére szolgáló néhány lehetséges eszközt is bemutat. Ezek az alábbiak: 

• titkosítás, 
• anonimizálás,
• álnevesítés.

Az iránymutatás gyakorlati segédlet jellegét erősíti a mellékletében szereplő döntési folyamatábra, amely a fejlesztések kapcsán elvégzendő előzetes elemzéseket segítheti, illetve a fenti fejlesztési fázisokhoz igazítottan összeállított ellenőrző lista, amely a fenti szempontok érvényesülésének nyomon követhetőségét mozdítjhatja elő.    

Összességében az iránymutatás jelentősége nem abban rejlik, hogy a beépített- és alapértelmezett adatvédelem elve kapcsán jelentős újdonságokkal szolgál, sokkal inkább abban, hogy egyrészt az általános követelményeket egy konkrét, a beépített- és alapértelmezett adatvédelem elveinek érényesüléséhez elengedhetetlen területen, a szoftverfejlesztés területén mutatja be, másrészt a témát gyakorlatiasan, konkrét példákkal és megoldási lehetőségek felvetésével dolgozza fel (illetve a mellékletében további jól használható segédleteket is ad). Az iránymutatást mindenképpen érdemes mindenkinek áttanulmányoznia, aki szoftverfejlesztéssel akár megrendelői oldalon, akár fejlesztőként foglalkozik.

(Aki a Katalán Adatvédelmi Hatóság további iránymutatását is áttanulmányozná, annak mindenképpen érdemes megnéznie az adatvédelmi hatásvizsgálatra vonatkozó, 2022-ben kiadott iránymutatást, illetve az ehhez kapcsolódó hatásvizsgálati mintadokumentumot.)