GDPR i sigurnost: povežite zaštitne mjere s obradom

Dobro vođen sustav upravljanja informacijskom sigurnošću (ISMS) pruža korisne procese za GDPR: upravljanje pristupom, postupanje s incidentima, procjenu dobavljača i otpornost. Rad na zaštiti privatnosti, međutim, postavlja i pitanje zašto je obrada zakonita, razmjerna i transparentna. Ta se pitanja susreću u istoj poslovnoj aktivnosti, ali zahtijevaju različite odluke.

Zadaća je uprave povezati ih, a da se jedno ne tretira kao zamjena za drugo. Sigurna baza podataka o klijentima i dalje može sadržavati podatke koje društvo nije smjelo prikupiti. Valjan ugovor s klijentom ne dokazuje da svatko tko ima pristup bazi podataka taj pristup i treba. Certifikat ISO 27001 ne rješava nijedno od tih pitanja.

Praktično polazište stoga je obrada, a ne katalog kontrola. Utvrdite što poslovanje želi raditi s osobnim podacima, procijenite je li ta aktivnost dopuštena, a zatim odaberite zaštitne mjere prema posljedicama mogućeg propusta. Sačuvajte obrazloženje, dokaze, odgovornog vlasnika i sljedeći događaj koji bi trebao pokrenuti preispitivanje.

Utvrdite koje su obrade i odgovornosti obuhvaćene

Opća uredba o zaštiti podataka (GDPR) uređuje obradu osobnih podataka. Obrada uključuje prikupljanje, pohranu, uvid, otkrivanje, izmjenu i brisanje. Osobni podaci su svi podaci koji se odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi; nisu ograničeni na imena ili očito osjetljive zapise.

Poslovne adrese e-pošte, identifikatori zaposlenika, identifikatori uređaja, povijest lokacija i razgovori s korisničkom podrškom mogu biti osobni podaci. Ispunjava li određeni identifikator taj uvjet, ovisi o kontekstu i o sredstvima za koja je razumno vjerojatno da će se upotrijebiti za identifikaciju osobe. Zamjena imena referentnim brojevima u pravilu daje pseudonimizirane, a ne anonimne podatke ako je ponovna identifikacija i dalje moguća. Pseudonimizirani osobni podaci i dalje su obuhvaćeni GDPR-om.

Provjerite teritorijalno područje primjene prije odabira operativnog modela

Članak 3. obuhvaća obradu u kontekstu poslovnog nastana u EU-u, čak i kada se sama obrada odvija drugdje. Može obuhvatiti i organizaciju izvan EU-a kada se njezina obrada odnosi na nuđenje robe ili usluga osobama u Uniji ili na praćenje njihova ponašanja u Uniji. Sama dostupnost internetske stranice ne odgovara na pitanje usmjerenosti; procijenite stvarnu ponudu i aktivnost praćenja.

Kada se primjenjuje članak 3. stavak 2., članak 27. može zahtijevati imenovanje predstavnika u Uniji. Iznimke od te obveze su ograničene i ne ovise samo o veličini društva. Iznimka za povremenu obradu također zahtijeva ispunjenje propisanih uvjeta u pogledu osjetljivih podataka i rizika. Predstavnik nije zamjena za voditelja obrade, službenika za zaštitu podataka (DPO) ni odgovornu upravu.

GDPR je stupio na snagu 24. svibnja 2016. i primjenjuje se od 25. svibnja 2018. Za današnje odluke razlikujte važeće pravo od predloženih pojednostavnjenja. Priopćenje za medije o mogućoj iznimci nije osnova za zaustavljanje postojećeg procesa usklađivanja.

Uloge određujte prema aktivnosti, a ne prema oznaci društva

Voditelj obrade određuje svrhe i sredstva obrade. Izvršitelj obrade obrađuje osobne podatke u ime voditelja obrade. Zajednički voditelji obrade zajednički određuju svrhe i sredstva i trebaju sporazum u skladu s člankom 26. koji odražava njihove odgovornosti.

Jedno društvo može imati više uloga. Pružatelj softvera može biti izvršitelj obrade za zapise koje su učitali klijenti, a voditelj obrade za vlastite plaće, administraciju korisničkih računa i dio sigurnosnih operacija. Oznaka u ugovoru s dobavljačem je relevantna, ali ne može nadjačati ono što strane stvarno rade.

Prvi rezultat trebao bi biti kratka odluka o opsegu: primjenjive aktivnosti, organizacijske jedinice, uloge voditelja ili izvršitelja obrade, tržišta i otvorena pitanja. Odredite vlasnika koji će razriješiti nejasnoće prije nego što povezana obrada započne ili se proširi.

Odvojite poslovnu svrhu od pravne osnove

Članci 5. i 6. postavljaju temelj za uobičajenu obradu osobnih podataka. Sigurnost je jedan dio tog temelja, a ne način da ga se zaobiđe.

Načela iz članka 5. obično se navode kao njih sedam: zakonitost, poštenost i transparentnost; ograničavanje svrhe; smanjenje količine podataka; točnost; ograničenje pohrane; cjelovitost i povjerljivost; te pouzdanost. Pouzdanost zahtijeva da voditelj obrade bude odgovoran za usklađenost i da je može dokazati. Ne zahtijeva određeni softverski proizvod, ali zahtijeva obranjivo objašnjenje potkrijepljeno odgovarajućim dokazima.

Svako načelo pretvorite u poslovno pitanje:

Odaberite osnovu za svaku svrhu

Članak 6. predviđa šest pravnih osnova. Njihovi uvjeti važniji su od njihovih naziva:

• Privola: dobrovoljno dano, posebno, informirano i nedvosmisleno izražavanje pristanka, uz mogućnost povlačenja.
• Ugovor: obrada nužna za izvršavanje ugovora s pojedincem ili za poduzimanje zatraženih radnji prije sklapanja ugovora.
• Pravna obveza: obrada nužna radi poštovanja primjenjive pravne obveze.
• Ključni interesi: obrada nužna za zaštitu nečijih ključnih interesa.
• Javni interes: obrada nužna za izvršavanje zadaće od javnog interesa ili pri izvršavanju službene ovlasti, uz potreban pravni temelj.
• Legitimni interesi: obrada nužna za potrebe legitimnih interesa, uz odvagivanje tih interesa u odnosu na interese, prava i slobode pojedinca.

Ne navodite više osnova kao međusobno zamjenjivo osiguranje. Utvrdite osnovu koja stvarno podupire svaku svrhu i točno je priopćite. Dodavanje odredbe u ugovor s klijentom ne čini obradu automatski nužnom za taj ugovor. Isto tako, legitimni interes zahtijeva procjenu; nije opće dopuštenje za korištenje dostupnih podataka.

Kao praktičnu preporuku, dokumentirajte procjenu legitimnog interesa koja obuhvaća interes koji se ostvaruje, nužnost, učinke na ljude, njihova razumna očekivanja i zaštitne mjere. Razmotrite manje invazivne alternative. Analiza neka bude razmjerna aktivnosti, ali dovoljno konkretna da je razumije i netko izvan projekta.

Privola nije uvijek sigurnija opcija. Mora biti stvarno neobvezna kada okolnosti zahtijevaju izbor, a povlačenje mora funkcionirati u praksi. Radni odnosi otvaraju posebna pitanja o tome je li pristanak dan dobrovoljno. Povlačenje okončava obradu utemeljenu na toj privoli ubuduće; ne briše automatski zapise na koje se primjenjuju zasebne zakonite obveze čuvanja. Istu obradu nemojte naknadno prebaciti na drugu osnovu samo zato što je privola povučena. Svaka zasebna obrada, primjerice zakonski propisano čuvanje, treba vlastitu primjenjivu osnovu i odgovarajuću transparentnost.

Posebne kategorije podataka, poput podataka o zdravlju, osim osnove iz članka 6. trebaju i uvjet iz članka 9. Za podatke o kaznenim osudama i kažnjivim djelima vrijede zasebni zahtjevi iz članka 10. Društvo ne bi smjelo odobriti nijednu od tih kategorija samo zato što je uobičajena obrada podataka o klijentima već procijenjena.

Izradite evidenciju obrade koja može voditi odluke

Evidencija aktivnosti obrade iz članka 30. korisna je jer povezuje pravnu analizu s operativnom stvarnošću. Evidencija voditelja obrade uključuje svrhe, kategorije ispitanika i podataka, primatelje, prijenose, predviđene rokove za brisanje kada je to moguće te opći opis sigurnosnih mjera kada je to moguće. Izvršitelji obrade imaju drukčiju obvezu vođenja evidencije koja obuhvaća obradu koju provode u ime voditelja obrade.

Iznimka za organizacije s manje od 250 zaposlenika je uvjetna. Ne obuhvaća obradu koja nije povremena, koja bi mogla prouzročiti propisani rizik ili koja uključuje propisane osjetljive kategorije. Malo poduzeće s kontinuiranom obradom podataka o zaposlenicima ili klijentima ne bi smjelo pretpostaviti da ga broj zaposlenih oslobađa obveze vođenja evidencije.

Kao organizacijsku jedinicu koristite aktivnosti obrade. „Infrastruktura u oblaku” obično je preširoka da bi objasnila zašto se podaci obrađuju. „Upravljanje zahtjevima korisničke podrške” korisnije je jer ima svrhu, prepoznatljive osobe, kategorije podataka, primatelje, pravila čuvanja i sustave koji ga podupiru.

Praktična radna evidencija može ići dalje od zakonski propisanih polja:

• Poslovni vlasnik i osoba koja provjerava zaštitu privatnosti.
• Svrha i relevantna pravna osnova.
• Izvori podataka, kategorije i pogođene skupine.
• Odnosi voditelja obrade, izvršitelja obrade ili zajedničkih voditelja obrade.
• Aplikacije, izvozi, zapisnici i daljnji primatelji.
• Pravila čuvanja i način provedbe brisanja.
• Upućivanja na obavijesti, postupanje s pravima, dobavljače i prijenose.
• Rezultat preliminarne provjere za DPIA i povezane zaštitne mjere.
• Datum odobrenja, otvorene radnje i okidači za preispitivanje.

Dodatna polja preporuka su za koordinaciju, a ne tvrdnja da članak 30. izričito zahtijeva svaku stavku. Njihova je vrijednost u tome što evidenciju čine upotrebljivom pri lansiranju, zahtjevu za pristup, promjeni dobavljača ili incidentu.

Uskladite evidenciju sa sustavima koje ljudi stvarno koriste

Godišnji upitnik vjerojatno neće otkriti svaki izvoz u proračunsku tablicu, probnu aplikaciju ili pretplatu na AI alat na razini tima. Usporedite evidenciju s podacima iz nabave, popisima odobrenih aplikacija, inventarima sustava i razgovorima s vlasnicima procesa. Pregledajte zajedničke diskove i ručne predaje kada bitno utječu na aktivnost.

Ne miješajte inventar imovine s evidencijom obrade. Inventar imovine objašnjava sustave i ovisnosti; evidencija obrade objašnjava uporabe osobnih podataka. Povežite ih tako da jedna aplikacija može podupirati više svrha, a da se te svrhe ne stope u nejasan opis.

Za dodatni kontekst tijeka rada pogledajte otkrivanje podataka i privatnost. Otkrivanje bi trebalo dati popis odstupanja koji se može provjeriti, a ne pretpostavku da je svako otkriveno polje ispravno klasificirano ili pravno procijenjeno.

Pretvorite članak 32. u zaštitne mjere za stvarne posljedice

Članak 32. GDPR-a zahtijeva od voditelja i izvršitelja obrade da provedu tehničke i organizacijske mjere primjerene riziku. Procjena uzima u obzir najnovija dostignuća, troškove provedbe, prirodu, opseg, kontekst i svrhe obrade te vjerojatnost i ozbiljnost rizika za prava i slobode ljudi.

Relevantne posljedice uključuju slučajno ili nezakonito uništenje, gubitak, izmjenu, neovlašteno otkrivanje i neovlašteni pristup. Zbog toga su dostupnost i cjelovitost jednako važne kao i povjerljivost. Gubitak pristupa usluzi može naštetiti ljudima čak i kada nijedan podatak nije ukraden.

Općenita izjava da se „primjenjuje sigurnost prema industrijskim standardima” nije dovoljna da objasni zašto zaštitne mjere odgovaraju određenoj aktivnosti. Počnite od scenarija: tko bi mogao biti pogođen, što bi se moglo dogoditi, koliko je to vjerojatno i koliko bi učinak mogao biti ozbiljan. Zatim svaki važan scenarij povežite s preventivnim, detektivnim i mjerama oporavka.

Ograničenja pristupa trebaju slijediti svrhu

Za aktivnost podrške pitajte koji agenti trebaju koje zapise o klijentima, trebaju li osjetljivi privici zasebna ograničenja i kada bi privremeni pristup trebao isteći. Razmotrite privilegiranu administraciju, pristup podrške dobavljača, skupne izvoze, zajedničke račune i pristup u hitnim slučajevima.

Korisni dokazi uključuju definicije uloga, odobrenja pristupa, zapise o dolasku, premještaju i odlasku zaposlenika, rješenja za privilegirani pristup i provedene preglede pristupa. Politika pristupa dokazuje namjeravano pravilo. Nedavni pregled koji pokazuje da su nepotrebna ovlaštenja uklonjena dokaz je da se pravilo stvarno primjenjuje.

Uprava bi trebala pitati može li organizacija razlikovati ovlašteni pristup od primjerene uporabe. Zaposlenik može imati tehnički valjan račun, a ipak koristiti podatke u neovlaštenu svrhu. Važni su osposobljavanje, nadzor, dizajn pristupa i istražni postupci.

Enkripcija zahtijeva odluku o implementaciji

Članak 32. navodi enkripciju i pseudonimizaciju među mjerama koje treba razmotriti; ne nameće univerzalnu, sveobuhvatnu obvezu enkripcije za svaku situaciju. Kada se odabere enkripcija, navedite što štiti, a što ne.

Enkripcija u prijenosu štiti podatke koji putuju između krajnjih točaka kada su protokoli i autentifikacija krajnjih točaka ispravno konfigurirani. Enkripcija u mirovanju štiti pohranjene podatke u određenim scenarijima prijetnji. Nijedna od njih automatski ne sprječava ovlaštenu aplikaciju ili administratora da vidi otvoreni tekst.

Provjerite tko upravlja ključevima, kako je pristup njima razdvojen te kako se ključevi generiraju, rotiraju, opozivaju, sigurnosno kopiraju i oporavljaju. Enkripcija kojom upravlja pružatelj može biti primjerena za neke rizike, dok druge ostavlja neriješenima. Enkripcija čiji su ključevi dostupni istom kompromitiranom akteru možda neće odgovoriti na scenarij koji se procjenjuje.

Izvršna odluka nije koji algoritam osobno implementirati. Odluka je odgovara li dizajn relevantnom riziku i može li tehnički vlasnik potkrijepiti taj zaključak. Za razlike na razini kontrola pogledajte enkripciju i upravljanje ključevima.

Otpornost treba dokazati, a ne pretpostaviti

Članak 32. odnosi se na trajnu povjerljivost, cjelovitost, dostupnost i otpornost, kao i na sposobnost pravodobne ponovne uspostave dostupnosti i pristupa nakon incidenta. Uspješno izvršen posao sigurnosnog kopiranja ne dokazuje da poslovanje može ponovno uspostaviti upotrebljivu uslugu.

Očekivanja za oporavak postavite na temelju obrade i posljedica prekida. Testirajte ponovnu uspostavu, ovisnosti, vjerodajnice i postupanje s osobnim podacima u oporavljenim okruženjima. Čuvajte dokaze o tome što je vraćeno, koliko je trajalo, što nije uspjelo i što je ispravljeno. Pravila čuvanja i brisanja moraju uzeti u obzir i ponašanje sigurnosnih kopija.

Testirajte učinkovitost relevantnim dokazima

Članak 32. uključuje postupak redovitog testiranja, ocjenjivanja i procjenjivanja mjera. Primjerena metoda ovisi o kontroli: pregledi pristupa, vježbe ponovne uspostave, provjere konfiguracije, procjena ranjivosti, pregled dobavljača i vježbe incidenata mogu pridonijeti.

Penetracijski test može biti koristan, ali nije univerzalna zamjena za te aktivnosti niti opći zahtjev GDPR-a. Zabilježite testirani opseg i ograničenja. Test jedne aplikacije ne dokazuje da su novo uvedeni marketinški izvoz, veza s dobavljačem ili postupak oporavka primjereno kontrolirani.

Za svaku bitnu zaštitnu mjeru vodite vlasnika, opis implementacije, relevantne dokaze, datum procjene i sljedeći okidač za preispitivanje. To je praktična struktura dokaza, a ne propisani predložak iz članka 32.

Ponovno iskoristite ISMS, ali ne stapajte sigurnosne i privatnosne zaključke

ISO/IEC 27001 odnosi se na sustav upravljanja informacijskom sigurnošću s definiranim opsegom. Njegova procjena rizika, obrada rizika, operativni procesi, interni audit i upravina ocjena mogu podupirati upravljanje zaštitnim mjerama za GDPR.

Preklapanje je vrijedno. Dokazi o upravljanju pristupom, procjene dobavljača, vježbe incidenata i testovi oporavka često se ne moraju ponovno izrađivati za potrebe privatnosti. Njihovu relevantnost, međutim, treba provjeriti u odnosu na aktivnost obrade i trenutačni opseg.

Certifikacija koju provodi neovisno certifikacijsko tijelo odnosi se na navedeni opseg ISMS-a. Ne obuhvaća automatski svaki proizvod, subjekt, dobavljača ili aktivnost obrade. Izjava o primjenjivosti bilježi primjenjivost kontrola i odluke o obradi rizika; nije izjava da je ispunjena svaka obveza iz GDPR-a.

ISO 27001 ni sam po sebi nije opći zakonski režim prijave povreda. Obveze obavješćivanja prema GDPR-u moraju se procijeniti zasebno. Obrnuto, usklađenost s GDPR-om ne dokazuje da je organizacija provela svaki zahtjev potreban za certifikaciju prema ISO 27001.

GDPR doista predviđa mehanizme certificiranja prema člancima 42. i 43. Takvo certificiranje ne umanjuje odgovornost voditelja ili izvršitelja obrade i nije jednakovrijedno certifikatu ISO 27001 ni univerzalnoj izjavi o zakonskoj usklađenosti.

Pitanje za upravu stoga je ponovna uporaba dokaza uz zasebne zaključke: što ova stavka dokazuje, za koje sustave i razdoblje te koja pitanja privatnosti ostaju bez odgovora?

Dodijelite upravi, sigurnosti i zaštiti privatnosti zasebne odgovornosti

Funkcionalan operativni model treba više od zajedničkog sandučića za usklađenost. Poslovni vlasnici trebaju opisati i opravdati svoju obradu; sigurnost treba procijeniti i provesti relevantne zaštitne mjere; stručnjaci za zaštitu privatnosti trebaju savjetovati o zakonskim zahtjevima, pravima, obavijestima i procjenama. Uprava mora osigurati resurse i donositi bitne odluke u okvirima zakona.

Službenik za zaštitu podataka nije automatski obvezan za svako društvo. Članak 37. obuhvaća tijela javne vlasti i javna tijela, uz iznimku za sudove, te organizacije čije osnovne djelatnosti ispunjavaju propisane uvjete praćenja velikih razmjera ili obrade osjetljivih podataka. Nacionalno pravo može dodati zahtjeve, pa provjerite relevantne jurisdikcije.

Kada je imenovan, službenik za zaštitu podataka ima neovisne savjetodavne i nadzorne dužnosti, mora biti uključen na primjeren i pravodoban način te izravno odgovara najvišoj razini uprave. Službeniku za zaštitu podataka ne bi se smjelo nalagati da dođe do željenog zaključka niti mu dodjeljivati suprotstavljene odgovornosti kojima se određuju svrhe i sredstva obrade.

Ne činite službenika za zaštitu podataka vlasnikom svake kontrole, odobravateljem svake poslovne svrhe i osobom koja revidira te iste odluke. Time se koncentriraju nespojive odgovornosti, a operativni timovi mogu steći dojam da je odgovornost prenesena s njih.

Koristan zapis o odobrenju navodi vlasnika koji predlaže, stručni savjet, razmotrene dokaze, donositelja odluke, uvjete i otvorene radnje. Ako uprava odabere drukčiji zakoniti pristup od preporučenog, zabilježite obrazloženje. Uprava ne može nedostajuću pravnu osnovu ili obveznu ugovornu odredbu pretvoriti u usklađenost tako da ih označi kao „prihvaćeni rizik”.

Vodič o odgovornostima CISO-a i službenika za zaštitu podataka detaljnije objašnjava granicu vlasništva. Za izvršnog direktora ključno nadzorno pitanje je dolaze li neslaganja do nekoga tko može promijeniti obradu, financirati zaštitnu mjeru ili zaustaviti prijedlog, a ne samo odobriti dokument.

Procjenjujte dobavljače kroz ulogu, ugovor i provedbu

Sigurnosni pregled dobavljača i pregled dobavljača prema GDPR-u preklapaju se, ali nisu istovjetni. Najprije utvrdite je li dobavljač izvršitelj obrade, samostalni voditelj obrade, zajednički voditelj obrade ili ima različite uloge za različite usluge.

Prema članku 28., voditelji obrade moraju koristiti izvršitelje obrade koji pružaju dostatna jamstva za primjerene tehničke i organizacijske mjere. Odnosi s izvršiteljima obrade zahtijevaju obvezujući ugovor ili drugi odgovarajući pravni akt koji obuhvaća propisani sadržaj. Sama klauzula o povjerljivosti ne ispunjava taj zahtjev.

Zahtjevi iz članka 28. uključuju:

• Predmet, trajanje, prirodu i svrhu obrade.
• Vrste osobnih podataka i kategorije ispitanika.
• Obveze i prava voditelja obrade.
• Obradu prema zabilježenim uputama, uključujući relevantne odredbe o prijenosu.
• Povjerljivost i sigurnosne mjere iz članka 32.
• Uvjete za angažiranje drugih izvršitelja obrade.
• Pomoć pri zahtjevima za ostvarivanje prava i određenim obvezama usklađenosti.
• Vraćanje ili brisanje podataka po završetku usluga, podložno primjenjivim zakonskim zahtjevima.
• Informacije i mehanizme revizije kojima se dokazuje usklađenost.

Uz sporazum pregledajte i stvarne uvjete usluge. Dobavljač može obećati brisanje, a istodobno zadržati neke zapisnike za zasebnu svrhu u kojoj je voditelj obrade. Poslovna pretplata može ograničiti uporabu za treniranje, dok probni račun to ne čini. Izvršitelj obrade može koristiti više podizvršitelja s različitim lokacijama i rješenjima za podršku.

Ovlaštenje za podizvršitelje obrade prema članku 28. može biti posebno ili opće. Kada se koristi opće pisano ovlaštenje, izvršitelj obrade mora obavijestiti voditelja obrade o namjeravanim dodavanjima ili zamjenama i tako mu dati priliku za prigovor. Operativno je pitanje tko prima te obavijesti i procjenjuje ih prije nego što nestanu u sandučiću koji nitko ne prati.

Pregled ugovora držite odvojeno od procjene prijenosa. Sporazum iz članka 28. sam po sebi ne pruža mehanizam prijenosa iz poglavlja V. Ni potpisivanje sporazuma o obradi ne utvrđuje zakonitu osnovu za aktivnost voditelja obrade.

Uvjete o kojima se ne može pregovarati tretirajte kao poslovnu odluku

Manji klijenti mogu imati ograničenu pregovaračku moć. Zbog toga je rana procjena još važnija, a ne neobvezna. Dokumentirajte nedostatak, zatražite dostupne alternative i razmotrite promjenu konfiguracije, smanjenje podataka, odabir druge usluge ili odustajanje.

Kada obvezni zahtjev ostane neispunjen, odobrenje uprave to ne može ispraviti. Kada je riječ o izboru između zakonitih opcija s različitim preostalim rizicima, uprava može odlučiti uz dokumentirani savjet. Nabava bi trebala razlikovati te situacije, a ne svrstavati svaku zabrinutost u jednu kategoriju iznimaka.

Pregled dobavljača trebao bi završiti odlukom, uvjetima, upućivanjima na dokaze i okidačima za ponovni pregled, a ne samo ispunjenim upitnikom.

Osmislite postupanje s pravima prije prvog teškog zahtjeva

Članci 15. do 22. predviđaju prava koja uključuju pristup, ispravak, brisanje, ograničenje obrade, prenosivost, prigovor i zaštitu u vezi s određenim isključivo automatiziranim odlukama. Ta prava imaju različite uvjete i iznimke; jedinstven tijek rada „izbriši sve” neće poslužiti za sva.

Prema članku 12., organizacije moraju odgovoriti bez nepotrebnog odgađanja i u pravilu u roku od mjesec dana od zaprimanja zahtjeva. Produljenje za najviše dodatna dva mjeseca moguće je kada je to potrebno, uzimajući u obzir složenost i broj zahtjeva, ali osoba mora biti obaviještena unutar prvog mjeseca uz navođenje razloga. Zahtjevi su u pravilu besplatni; naknade ili odbijanje ograničeni su na uvjete iz Uredbe, primjerice očito neutemeljene ili pretjerane zahtjeve, što voditelj obrade mora dokazati.

Izgradite operativni put koji funkcionira kroz kanale podrške, ljudskih potencijala, prodaje i zaštite privatnosti:

1. Zabilježite zaprimanje, zatražena prava i rok.
2. Potvrdite relevantnog voditelja obrade i opseg.
3. Razmjerno provjerite identitet kada postoje opravdane sumnje.
4. Pronađite podatke i utvrdite relevantne sustave, primatelje i izvršitelje obrade.
5. Procijenite primjenjive uvjete, iznimke i prava drugih osoba.
6. Pripremite odgovor ili radnju i provjerite ih.
7. Isporučite sigurno i zadržite primjeren zapis o dovršetku.

Nemojte rutinski tražiti identifikacijske isprave kada bi bila dovoljna manje invazivna provjera. Jednako tako, ne otkrivajte osjetljive zapise samo zato što netko zna adresu e-pošte. Sama provjera obrađuje osobne podatke i zahtijeva razmjeran pristup.

Odgovor na zahtjev za pristup obično treba više od popisa kategorija. Članak 15. uključuje kopiju osobnih podataka koji se obrađuju i dodatne informacije. Prije otkrivanja provjerite informacije o trećim osobama i njihova prava; prisutnost tuđeg imena ne smatrajte opravdanjem za uskraćivanje svega.

Brisanje nije apsolutno. Mogu se primjenjivati zakonske obveze čuvanja i druge iznimke iz članka 17. Kada je brisanje obvezno, utvrdite kako ono dopire do povezanih usluga i relevantnih primatelja te kako se pri vraćanju sigurnosnih kopija sprječava da se izbrisani zapisi olako ponovno pojave. Sva zakonita ograničenja objasnite točno.

Automatizacija može pratiti rokove i organizirati pretraživanja, ali netko mora odlučiti jesu li rezultati potpuni, jesu li zacrnjenja opravdana i primjenjuje li se iznimka. Brzo generiran standardni odgovor nije koristan ako izostavi sustav koji sadrži zatražene podatke.

Detaljniji tijek rada potražite u članku o zahtjevima ispitanika za pristup. Uprava bi trebala povremeno testirati reprezentativan zahtjev od zaprimanja do sigurne isporuke umjesto da se oslanja samo na objavljen postupak.

Koristite DPIA da biste preispitali dizajn prije odobrenja

Procjena učinka na zaštitu podataka (DPIA) iz članka 35. obvezna je prije obrade koja bi mogla prouzročiti visok rizik za prava i slobode ljudi. Uredba navodi posebne slučajeve, uključujući određene značajne automatizirane procjene, obradu osjetljivih podataka velikih razmjera i sustavno praćenje javno dostupnih područja u velikoj mjeri. Treba uzeti u obzir i relevantne popise nadzornih tijela.

Predložene aktivnosti provjerite rano. Kao praktičnu preporuku, sačuvajte obrazloženje kada preliminarna provjera zaključi da DPIA nije potrebna, osobito u graničnim slučajevima. Kratak zapis preliminarne provjere omogućuje da se odluka ponovno razmotri kada se promijene opseg, tehnologija ili svrha.

Potpuna DPIA trebala bi obuhvatiti četiri povezana elementa:

• Sustavan opis predviđene obrade i svrha, uključujući legitimne interese kada je to relevantno.
• Nužnost i proporcionalnost u odnosu na te svrhe.
• Rizike za prava i slobode pojedinaca.
• Predviđene mjere za rješavanje rizika i dokazivanje usklađenosti.

Ne počinjite i ne završavajte popisom sigurnosnih prijetnji. Najprije pitajte jesu li predloženi podaci, učestalost, primatelji i postupak odlučivanja nužni. Manje invazivan dizajn može ukloniti rizik učinkovitije od dodatne tehničke kontrole.

Primjerice, projekt produktivnosti zaposlenika mogao bi predložiti kontinuirano prikupljanje snimki zaslona. Enkripcija i ograničen pristup mogli bi smanjiti rizik od otkrivanja, ali bi ostala ozbiljna pitanja o proporcionalnosti, nadzoru, očekivanjima zaposlenika i prikladnosti manje invazivnih mjera. Poslovnu svrhu treba ispitati prije nego što sigurnosni dizajn može imati smisla.

Procjenjujte rizik za ljude, a ne samo izloženost društva

Razmotrite financijski gubitak, diskriminaciju, zlouporabu identiteta, gubitak povjerljivosti, isključenje iz usluga i druge relevantne učinke. Scenarij može imati ograničen financijski učinak na društvo, a znatan učinak na pojedinca.

Dokumentirajte predložene mjere ublažavanja, vlasnike provedbe i procjenu preostalog rizika. Zatražite savjet službenika za zaštitu podataka ako je imenovan. Preispitajte zahtijevaju li promjene u radu ili riziku ažuriranje procjene.

Članak 36. zahtijeva prethodno savjetovanje s nadzornim tijelom kada DPIA pokaže da bi obrada dovela do visokog rizika ako se ne poduzmu mjere za njegovo ublažavanje. Ako organizacija ne može dostatno riješiti taj visoki rizik, ne može obvezno savjetovanje zamijeniti internim statusom „prihvaćeno”. Uprava može redizajnirati, odgoditi ili napustiti aktivnost; ne može raspolagati pravima drugih ljudi kao da je riječ isključivo o poslovnom riziku.

Povežite odgovor na incidente s odlukama o obavješćivanju prema GDPR-u

Povreda osobnih podataka uključuje kršenje sigurnosti koje dovodi do slučajnog ili nezakonitog uništenja, gubitka, izmjene, neovlaštenog otkrivanja osobnih podataka ili neovlaštenog pristupa njima. Šira je od napadača koji krade bazu podataka. Pogrešno poslan privitak, izgubljen nezaštićen uređaj ili incident koji utječe na dostupnost ili cjelovitost osobnih podataka može zahtijevati procjenu.

Prema člancima 33. i 34., voditelji obrade procjenjuju dva različita praga obavješćivanja:

Razdoblje od 72 sata teče od trenutka saznanja, a ne jednostavno od vremenske oznake izvornog incidenta ili od sljedećeg radnog dana. Ako se izvješćivanje provede kasnije, mora sadržavati razloge kašnjenja. Informacije se mogu dostaviti u fazama kada ih nije moguće dostaviti sve odjednom bez daljnjeg nepotrebnog odgađanja.

Lanac eskalacije pripremite unaprijed: voditelj incidenta, savjetnik za zaštitu privatnosti, odgovorni donositelj odluka na strani voditelja obrade, tehnički istražitelji, komunikacije i kontakti dobavljača. Put prijave nadležnom tijelu pronađite prije hitnog slučaja. Izvršitelj obrade ne bi smio čekati vlastiti konačni zaključak o riziku prije nego što obavijesti voditelja obrade.

Zapis o incidentu trebao bi obuhvatiti što se dogodilo, pogođene podatke i osobe, vjerojatne posljedice, obuzdavanje i sanaciju te odluke o obavješćivanju. Članak 33. stavak 5. zahtijeva dokumentiranje povreda osobnih podataka, uključujući činjenice, posljedice i poduzete korektivne mjere. Sačuvajte obrazloženje odluke o neobavješćivanju kako bi se odluka kasnije mogla razumjeti.

Enkripcija može utjecati na rizik i analizu prema članku 34., ali samo kada je njezina zaštita relevantna i učinkovita. „Usluga koristi enkripciju” nije dovoljno ako je napadač pristupio otvorenom tekstu putem kompromitiranog računa. Članak 34. uključuje i druge iznimke, primjerice naknadne mjere kojima se osigurava da više nije vjerojatno da će se visoki rizik ostvariti; procijenite stvarne uvjete umjesto da primjenjujete generičku iznimku.

Uvježbajte jedan scenarij koji uključuje dobavljača i drugi koji uključuje interno otkrivanje. Vježba bi trebala testirati prikupljanje dokaza i ovlasti odlučivanja, a ne samo tehničko obuzdavanje.

Međunarodne prijenose tretirajte kao zasebnu procjenu

Zahtjevi za prijenos iz poglavlja V. postoje uz ostatak GDPR-a. Mehanizam prijenosa ne daje pravnu osnovu iz članka 6., a pravna osnova ne uklanja potrebu za odgovarajućim rješenjem za prijenos.

Mapirajte stvarne primatelje i putove pristupa. Smještaj u podatkovnom centru u EU-u je relevantan, ali sam po sebi ne dokazuje da ne dolazi do prijenosa u treću zemlju ni da su ispunjene sve obveze zaštite privatnosti. Razmotrite pristup podrške, podizvršitelje obrade, administrativni pristup, daljnje otkrivanje i uključene strane.

Okvir GDPR-a za prijenose uključuje odluke o primjerenosti iz članka 45., odgovarajuće zaštitne mjere iz članka 46. i ograničena odstupanja iz članka 49. Provjerite relevantan mehanizam i njegov opseg u trenutku odluke.

Kada se oslanjate na rješenje o primjerenosti ograničeno na organizacije koje u njemu sudjeluju, provjerite točnog primatelja i obuhvaćenu aktivnost. Društvo iz grupe ili sličan trgovački naziv nije nužno obuhvaćeni primatelj. Sačuvajte rezultat i datum provjere.

Kada se koriste standardne ugovorne klauzule, odaberite klauzule koje odgovaraju stvarnim ulogama strana i ispunite relevantne priloge. Procijenite zakone i praksu odredišne zemlje te jesu li potrebne dodatne mjere kako bi zaštita bila učinkovita. Sam potpisani ugovor ne odgovara na svako pitanje o riziku prijenosa.

Praktična dokumentacija o prijenosu trebala bi navesti izvoznika i uvoznika, podatke i svrhe, lokacije i pristup, daljnje prijenose, odabrani mehanizam, relevantnu procjenu, tehničke ili organizacijske mjere i okidače za preispitivanje. Dokumentacija pružatelja može poduprijeti taj rad, ali pitanje „ima li pružatelj procjenu” nije isto što i ocjena njegovih relevantnih nalaza.

Uprava bi trebala znati koje usluge ovise o određenom mehanizmu i koje bi promjene zahtijevale ponovnu procjenu. To podupire promišljen plan za izvanredne situacije, a da se pritom ne implicira da svaki dobavljač treba jednako ugovorno pričuvno rješenje.

Uporabu umjetne inteligencije procjenjujte kao obradu, a ne samo kao novi alat

AI aplikacija može uvesti nove primatelje, izvesti dodatne osobne podatke zaključivanjem, zadržavati upite ili omogućiti novu svrhu. Te promjene su važne čak i ako aplikacija ponovno koristi postojeću jedinstvenu prijavu i kontrole pristupa organizacije.

Prije odobrenja uporabe osobnih podataka u AI usluzi utvrdite:

• Točan zadatak i jesu li osobni podaci nužni.
• Kategorije ulaznih podataka, izlaznih podataka i pogođenih pojedinaca.
• Ulogu pružatelja za svaku uporabu, uključujući sve svrhe treniranja ili poboljšanja.
• Čuvanje, ljudski pristup, podizvršitelje obrade i rješenja za prijenos.
• Ugovorne obveze i relevantne konfiguracijske postavke.
• Rizike u pogledu točnosti, otkrivanja, postupanja s pravima i donošenja odluka.

Ne pretpostavljajte da je svaki pružatelj modela isključivo izvršitelj obrade. Njegova uloga ovisi o obradi koju provodi i svrhama koje određuje. Isto tako, sporazum iz članka 28. ne čini predloženi prijenos podataka automatski zakonitim. Procijenite svrhu, pravnu osnovu, transparentnost, nužnost i sve ostale primjenjive zahtjeve.

Ako je društvo samo izvršitelj obrade, uvođenje pružatelja AI usluga može stvoriti odnos s podizvršiteljem obrade. Prije slanja podataka klijenata provjerite upute klijenata i dogovoreni postupak ovlašćivanja. Nova izmjena ugovora nije uvijek potrebna, ali usklađenost s postojećim ugovornim i zakonskim rješenjima jest.

Članak 22. odnosi se na određene odluke koje se temelje isključivo na automatiziranoj obradi i proizvode pravne ili na sličan način značajne učinke. Nominalni ljudski pregled ne rješava problem ako osoba koja pregledava ne može smisleno procijeniti ili promijeniti ishod. Odluke o zapošljavanju, ispunjavanju uvjeta i financijske odluke zahtijevaju posebnu pozornost.

Akt o umjetnoj inteligenciji i GDPR nameću zasebne obveze. Procjena prema Aktu o umjetnoj inteligenciji ne zamjenjuje DPIA, a usklađenost s GDPR-om ne dokazuje usklađenost s Aktom o umjetnoj inteligenciji. Za datume primjene koristite aktualni pregled Akta o umjetnoj inteligenciji Europske komisije umjesto da stari vremenski plan uvođenja prenosite u aktualan projekt.

Za interni rad na zaštiti privatnosti umjetna inteligencija može sastavljati opise iz odobrenih izvora, uspoređivati dokumente ili predlagati pitanja. Njezin rezultat tretirajte kao nacrt. Uvjerljiva, ali pogrešna pravna osnova, propušteni primatelj ili netočna izjava o čuvanju mogu dotjeran dokument učiniti bitno pogrešnim.

Automatizirajte koordinaciju, a zadržite odgovoran pregled

Organizacije u rastu gomilaju ponavljajući rad: ažuriranja evidencije obrade, rokove za zahtjeve za ostvarivanje prava, dokumente dobavljača, radnje iz procjena, istek dokaza i odluke o pregledu. Automatizacija može organizirati ulazne podatke i rokove. Ne bi smjela zamagliti razliku između prikupljanja informacija i donošenja obranjivog zaključka.

Počnite sa stabilnim procesom i jasnim vlasništvom. Automatizacija nejasne predaje može nejasnoću samo brže raširiti. Definirajte što otvara zadatak, tko ga prima, koji su dokazi potrebni, tko provjerava rezultat i što označava završetak posla.

Kod sastavljanja uz pomoć umjetne inteligencije sačuvajte odobrene izvore i označite nesigurnosti. Ne dopustite da generirani sažetak neprimjetno zamijeni ugovor s dobavljačem ili procjenu. Osobe koje provjeravaju trebale bi moći razlikovati dostavljene činjenice, izvedene prijedloge i otvorena pitanja.

Načelo najmanjih ovlasti primijenite i na sam tijek rada. Spisi zahtjeva za ostvarivanje prava, zapisi o incidentima i procjene zaposlenika mogu sadržavati osjetljive informacije. Širok pristup radnom prostoru za usklađenost može potkopati ograničenja koja se dokumentiraju. Smanjite osobne podatke u dokazima i ograničite pristup materijalu koji stvarno zahtijeva identifikaciju.

Korisni pokazatelji za upravu uključuju zakašnjele radnje, nedostajuće vlasnike, zapise koji čekaju pregled nakon bitne promjene i kontrole sa zastarjelim ili nedostatnim dokazima. Puki broj dokumenata manje je informativan. Mjerite dovršavaju li se odluke i korektivni rad, a ne samo je li generirano više teksta.

Primjer iz prakse: marketinška integracija koja ponovno koristi sigurnosne kontrole

Sljedeći primjer služi samo kao ilustracija. Pretpostavimo da B2B softversko društvo u rastu ima uhodanu bazu podataka o klijentima, ISMS koji obuhvaća njegovu produkcijsku uslugu i predloženu platformu za kampanje. Marketing želi slati poruke za uvođenje korisnika, a kasnije promovirati dodatne proizvode. Platforma bi primala kontaktne podatke, događaje korištenja proizvoda i bilješke podrške u slobodnom tekstu. Ne podrazumijeva se nikakav stvarni ishod za klijente ni mogućnost Secanija.

1. Odvojite predložene svrhe

Početni zahtjev glasi „poboljšati angažman klijenata”. Poslovni vlasnik ga preformulira u konkretne svrhe: nužno uvođenje korisnika u uslugu, neobvezne promotivne komunikacije i analizu uspješnosti kampanja.

Osoba koja provjerava zaštitu privatnosti procjenjuje osnovu za svaku svrhu umjesto da ugovor s klijentom primijeni na sve tri. Promotivne komunikacije mogu podlijegati i primjenjivim nacionalnim pravilima o elektroničkom marketingu. Društvo ne pretpostavlja da analiza legitimnog interesa prema GDPR-u sama po sebi rješava te zasebne zahtjeve.

Prvi rezultat je odluka o svrsi i osnovi s dodijeljenim otvorenim pitanjima. Marketing ne može započeti proširenu uporabu samo zato što je integracija prošla tehničku sigurnosnu provjeru.

2. Smanjite predloženi tok podataka

Bilješke podrške praktične su za personalizaciju, ali nisu nužne za odobrenu poruku za uvođenje. Mogu sadržavati i informacije za koje klijenti nisu očekivali da će se prenamijeniti za marketing. Dizajn ih uklanja.

Tehnički vlasnik ograničava događaje proizvoda na one potrebne za odobreni tijek rada i isključuje detaljne povijesti korisnika kada su dovoljni agregirani ili jednostavniji podaci o događajima. Time se smanjuje izloženost prije dodavanja nove kontrole.

Evidencija obrade sada opisuje stvarna polja, pogođene korisnike, primatelja, svrhe i pristup čuvanju. Obavijest o privatnosti provjerava se u odnosu na odobrenu aktivnost, a ne na izvorni široki zahtjev.

3. Provjerite rješenja s dobavljačem i za prijenos

Nabava utvrđuje ulogu platforme za isporuku kampanja i provjerava postoje li zasebne svrhe pružatelja. Tim pregledava sporazum iz članka 28., rješenja za podizvršitelje obrade, uvjete brisanja, pristup podrške i primjenjivi mehanizam prijenosa.

Mogućnost smještaja u EU-u bilježi se kao relevantna činjenica, a ne tretira se kao kraj analize prijenosa. Ako nedostaju potrebne informacije, zadatak ostaje otvoren, a uvjet za lansiranje navodi što treba riješiti.

4. Pažljivo ponovno iskoristite sigurnosne dokaze

Integracija može ponovno koristiti korporativne kontrole identiteta i postojeći proces upravljanja pristupom. Dokazi o tim kontrolama povezuju se, a ne izrađuju iznova. Nova platforma za kampanje, međutim, ima vlastita ovlaštenja, izvoze i postavke čuvanja.

Vlasnik sigurnosti procjenjuje kompromitaciju računa, neovlašteni skupni izvoz, pogrešno mapiranje događaja i gubitak postavki odjave. Tim ograničava pristup, odobrava potrebna integracijska ovlaštenja, testira mapiranje prikladnim testnim podacima i provjerava kako se zapisi brišu ili blokiraju.

Postojeća vježba oporavka produkcijske usluge ne dokazuje da se postavke za kampanje mogu ispravno vratiti. Vlasnik zasebno provjerava ponašanje pri oporavku relevantno za ovaj tijek rada.

5. Dovršite procjenu i odobrenje

Osoba koja provjerava zaštitu privatnosti provodi preliminarnu provjeru za DPIA na temelju stvarne aktivnosti i bilježi obrazloženje. Tim također provjerava kako zahtjevi za pristup, prigovor i brisanje dolaze do platforme. Posebno, prigovor na marketing ne smije poništiti sljedeća sinkronizacija baze podataka.

Uprava pregledava sažet paket za odlučivanje: odobrene svrhe, uklonjene podatke, zaključke o dobavljaču i prijenosu, zaštitne mjere, otvorene uvjete, postupanje s pravima i imenovane vlasnike. Svaki neriješeni obvezni zahtjev blokira pogođenu obradu umjesto da se pretvori u prihvaćenu poslovnu iznimku.

6. Sačuvajte sljedeći okidač

Odobrenje je vezano uz procijenjenu konfiguraciju. Dodavanje bihevioralnog bodovanja, učitavanje bilješki podrške, promjena uvjeta treniranja kod pružatelja ili uvođenje novog primatelja pokreće preispitivanje. Tim može ponovno iskoristiti nepromijenjene sigurnosne dokaze dok iznova procjenjuje nova pitanja privatnosti.

To je ključna razlika: zajedničke zaštitne mjere mogu ostati valjane dok se svrha, primatelj ili učinak na ljude bitno mijenjaju.

Primijenite pristup u praksi s usmjerenim prvim opsegom

Odaberite jednu aktivnost obrade s vidljivim poslovnim vlasništvom i upravljivim ovisnostima. Korisnička podrška, uvođenje novih zaposlenika ili reprezentativan tijek rada proizvoda mogu otkriti nedostatke, a da najprije nije potreban redizajn cijele organizacije.

Kao praktičnu preporuku, počnite s četiri rezultata:

• Dogovoreni opis obrade i procjena uloga.
• Popis odluka o zaštiti privatnosti, uključujući osnovu, obavijest, čuvanje, prava i preliminarnu provjeru za DPIA.
• Procjena zaštitnih mjera temeljena na scenarijima i povezana s postojećim sigurnosnim dokazima.
• Zapis o odobrenju s vlasnicima, otvorenim radnjama i okidačima za promjene.

U Secaniju timovi mogu započeti s usmjerenim opsegom, modelirati aplikacije, sustave, usluge i pružatelje koji podupiru obradu te povezati dokaze sa zahtjevima, kontrolama i odlukama. Nedostajući dokazi i otvorena pitanja za pregled mogu postati dodijeljeni zadaci. Prijedlozi uz pomoć umjetne inteligencije ostaju nacrt, uz sljedivost izvora i izričito ljudsko odobrenje. Time osobe koje provjeravaju sigurnost i zaštitu privatnosti dobivaju zajednički kontekst dokaza, a njihovi zasebni zaključci ostaju vidljivi; to ne zamjenjuje evidencije obrade, ostvarivanje prava ni pravnu analizu.

Proširujte tek nakon što je prvi tijek rada isproban. Testirajte na njemu promjenu dobavljača, zahtjev za ostvarivanje prava i relevantan scenarij incidenta. Ako tim ne može utvrditi vlasnika, pronaći dokaze ili objasniti odluku, ispravite operativni proces prije dodavanja novih aktivnosti.

Za upravinu ocjenu postavite tri pitanja: odgovara li evidencija trenutačnoj obradi, odgovaraju li zaštitne mjere posljedicama za ljude i hoće li bitna promjena pouzdano ponovno otvoriti odluku? Ta pitanja daju praktičan sljedeći korak za povezivanje sigurnosnog jamstva s pouzdanošću prema GDPR-u.

Pitanja koja uprava treba izričito riješiti

Može li izvršni direktor odobriti iznimku od GDPR-a?

Uprava može birati između zakonitih opcija i raspoređivati resurse za rješavanje rizika. Ne može se odreći zakonskih zahtjeva, odobriti obradu bez primjenjive osnove niti obvezno prethodno savjetovanje zamijeniti internim odobrenjem.

Treba li svaka promjena obrade novu DPIA-u?

Ne. Procijenite promjenu u odnosu na prag visokog rizika i preispitajte postojeće procjene kada se promijene rad ili rizik. Dokumentirana odluka preliminarne provjere korisnija je od automatske izrade potpune DPIA-e ili od pretpostavke da stari rezultat uvijek vrijedi.

Što prvo pregledati kada su resursi ograničeni?

Dajte prednost obradi s potencijalno ozbiljnim posljedicama za ljude, neriješenim pitanjima zakonitosti ili ugovora te operativnim rokovima poput zahtjeva za ostvarivanje prava i odgovora na povrede. Nedostatke u dokazima koristite kao smjernicu za istragu, ali ne pretpostavljajte da aktivnost s najviše nedostajućih dokumenata nužno predstavlja najveći rizik.

Koje tijelo provodi GDPR i koliko mogu stajati povrede?

Utvrdite nadležno nadzorno tijelo za obradu. Za prekograničnu obradu koja ispunjava uvjete, mehanizam vodećeg nadzornog tijela u pravilu ovisi o glavnom ili jedinom poslovnom nastanu voditelja ili izvršitelja obrade u EU-u, uz uključivanje drugih predmetnih tijela. Predstavnik iz članka 27. ne stvara poslovni nastan u EU-u niti pristup tom mehanizmu.

Članak 83. predviđa dva glavna razreda najviših upravnih novčanih kazni: do 10 milijuna eura ili 2 % ukupnog svjetskog godišnjeg prometa poduzetnika u prethodnoj financijskoj godini te do 20 milijuna eura ili 4 %, ovisno o tome što je veće u svakom razredu. Primjenjivi razred ovisi o povredi; to su gornje granice, a ne automatske kazne. Tijela uzimaju u obzir okolnosti i mogu naložiti i korektivne mjere ili ograničiti obradu. Članak 82. zasebno predviđa naknadu štete kada povreda prouzroči materijalnu ili nematerijalnu štetu.