Unijne rozporządzenie dotyczące ochrony danych osobowych wprowadza nowe instrumenty, które mają poprawić ochronę naszych danych. Są to m.in.: podejście oparte na ryzyku, pseudonimizacja i certyfikacja.

Koncepcja podejścia opartego na ryzyku (Risk Based Approach, RBA), zakłada, że im ryzyko związane z przetwarzaniem danych osobowych jest większe, tym większy powinien być zakres obowiązków ciążących na administratorze danych. Dr Edyta Bielak-Jomaa, Generalny Inspektor Ochrony Danych Osobowych (GIODO) w rozmowie z redaktor Beatą Marek dla rpodo.eu podkreśliła, że w rozwiązanie to będzie miało szczególnie istotny wpływ na działalność tych podmiotów, które korzystają np. z BIG DATA bądź chmury obliczeniowej (cloud computing).

Zaznaczała, że zarówno Parlament, jak i Rada w projektach ogólnego rozporządzenia wskazują, iż ocena ryzyka powinna zostać przeprowadzona z uwzględnieniem charakteru, zakresu, kontekstu i celu przetwarzania oraz prawdopodobieństwa i powagi zagrożenia dla praw i wolności osób fizycznych. – Przykładowo im zakres przetwarzanych danych jest szerszy bądź obejmuje dane osobowe wrażliwe, tym poziom zabezpieczenia powinien być wyższy – mówiła dr Edyta Bielak-Jomaa.

Pytana o dobrowolną certyfikację dla wykazania przez administratora lub przetwarzającego zgodności działania z ochroną danych osobowych, wskazała, że w procesie tworzenia systemów certyfikacyjnych, czy to na poziomie krajowym, czy na poziomie europejskim, ważną rolę będą musiały odgrywać organy ochrony danych osobowych, gdyż wprowadzenie mechanizmów certyfikacji w żadnym razie nie może prowadzić do obniżenia standardów ochrony danych osobowych określonych przepisami prawa.– Jednocześnie certyfikacja nie wyłączy uprawnień kontrolnych organów ochrony danych osobowych – podkreśliła.

Odnosząc się zaś do kwestii pseudonimizacji proponowanej w projektach rozporządzenia podkreśliła, że wskazane byłoby wręcz wprowadzenie ogólnego obowiązku anonimizacji lub pseudonimizacji danych osobowych, tam gdzie jest to wykonalne i proporcjonalne w stosunku do celu przetwarzania danych.