- Τα περιβάλλοντα αυτά αποτελούν εγγύηση για την περαιτέρω χρήση ευαίσθητων δεδομένων, ιδίως δεδομένων υγείας, δεδομένου ότι τα δεδομένα υποβάλλονται σε επεξεργασία χωρίς να εξέρχονται από ελεγχόμενο περιβάλλον.
- Και οι δύο αρχές τονίζουν ότι η οντότητα που παρέχει το περιβάλλον πρέπει να διατηρεί πραγματικό και αποτελεσματικό έλεγχο, μεταξύ άλλων όταν βασίζεται σε τρίτους
- Ο οδηγός περιλαμβάνει μια μεθοδολογία ανάλυσης κινδύνου μαζί με έναν κατάλογο μέτρων, μια ανάλυση τεχνικών μηχανικής προστασίας δεδομένων και μια περιπτωσιολογική μελέτη για την έρευνα στον τομέα της υγείας που αναπτύχθηκε σε φάσεις
Η Ελληνική και η Ισπανική Αρχή Προστασίας Δεδομένων (AEPD) συνέταξαν και δημοσίευσαν από κοινού τον οδηγό Secure Processing Environments from a Data Protection Perspective (Ασφαλή περιβάλλοντα επεξεργασίας από άποψη προστασίας δεδομένων). Η μελέτη εξετάστηκε επίσης από εμπειρογνώμονες της Eurostat, της Ιταλικής Αρχής Προστασίας Δεδομένων, του Γραφείου του Επιτρόπου Πληροφοριών του Ηνωμένου Βασιλείου (ICO) και της Γενικής Διεύθυνσης Δεδομένων του Ισπανικού Υπουργείου Ψηφιακού Μετασχηματισμού και Δημόσιας Υπηρεσίας, οι οποίοι συνέβαλαν με χρήσιμες παρατηρήσεις και προτάσεις που αξιοποιήθηκαν κατά την οριστικοποίηση του κειμένου, ενισχύοντας την επιστημονική πληρότητα της μελέτης και τη διεθνή της διάσταση.
Τα ασφαλή περιβάλλοντα επεξεργασίας (Secure Processing Environments - SPE) είναι υποδομές που επιτρέπουν την πρόσβαση σε προστατευόμενα ή ευαίσθητα δεδομένα, όπως δεδομένα υγείας, και την επεξεργασία τους χωρίς ο χρήστης να τα λαμβάνει ή να τα μεταφορτώνει. Αποτελούν βασική συνιστώσα της Πράξης για τη Διακυβέρνηση Δεδομένων και του Κανονισμού για τον Ευρωπαϊκό Χώρο Δεδομένων για την υγεία. Το τελευταίο προβλέπει ότι η πρόσβαση σε δεδομένα υγείας για δευτερογενή χρήση, για σκοπούς όπως η έρευνα, η καινοτομία ή η χάραξη πολιτικής, πρέπει απαραιτήτως να πραγματοποιείται μέσω SPE. Για τους πολίτες, αυτά τα περιβάλλοντα αποτελούν την εγγύηση ότι τα δεδομένα υγείας τους μπορούν να επαναχρησιμοποιηθούν, προστατεύοντας παράλληλα τα δικαιώματα και τις ελευθερίες τους.
Ο οδηγός παρέχει καθοδήγηση στους υπευθύνους επεξεργασίας, στους υπεύθυνους προστασίας δεδομένων, στους συμβούλους και σε άλλους φορείς που συμμετέχουν στον σχεδιασμό, στην ανάπτυξη και στη λειτουργία αυτών των περιβαλλόντων. Το έγγραφο τονίζει ότι ένα SPE βασίζεται σε ένα σύνολο νομικών, οργανωτικών και τεχνικών μέτρων που υπερβαίνουν τη συμβατική ασφάλεια στον κυβερνοχώρο και ότι οι αρχές προστασίας των δεδομένων πρέπει να ενσωματωθούν σε αυτό ήδη από τον σχεδιασμό. Εξηγεί επίσης ότι τα περιβάλλοντα αυτά καθιστούν δυνατή τη μετάβαση από την παραδοσιακή έννοια της κοινοχρησίας δεδομένων, με τη μεταφορά δεδομένων που αυτή συνεπάγεται, στην έννοια της πρόσβασης σε δεδομένα, στην οποία ο χρήστης έχει πρόσβαση στα δεδομένα χωρίς να απαιτείται διαβίβασή τους.
Μία από τις πτυχές που επισημαίνουν και οι δύο Aρχές είναι ότι η οντότητα που παρέχει το SPE πρέπει να έχει πραγματικό και αποτελεσματικό έλεγχο επί της υποδομής και των πράξεων επεξεργασίας, ακόμη και όταν η υποδομή παρέχεται από τρίτο μέρος. Οι συμβατικές εγγυήσεις ή πιστοποιήσεις δεν επαρκούν από μόνες τους: πρέπει να υποστηρίζονται από κατάλληλα τεχνικά μέτρα, εποπτεία και πραγματική ικανότητα ελέγχου.
Ο οδηγός εξετάζει επίσης την ολοκληρωμένη διαχείριση κινδύνων, συμπεριλαμβανομένης της εξάρτησης από τους παρόχους και της ψηφιακής κυριαρχίας (digital sovereignty). Η διαχείριση αυτή πρέπει να υπερβαίνει τους συμβατικούς κινδύνους για την κυβερνοασφάλεια και την προστασία των δεδομένων, υιοθετώντας μια προσέγγιση που καλύπτει επίσης τους κινδύνους που σχετίζονται με τη διανοητική ιδιοκτησία, το εμπορικό απόρρητο ή την εθνική ασφάλεια, μεταξύ άλλων. Για τον σκοπό αυτό, προτείνει μια μεθοδολογία ανάλυσης κινδύνου που συνδυάζει τις δέκα κατηγορίες απειλών LIINE4DU με το πλαίσιο Five Safes. Το έγγραφο υπενθυμίζει επίσης ότι η εκτίμηση αντικτύπου σχετικά με την προστασία των δεδομένων (ΕΑΠΔ) είναι, κατά γενικό κανόνα, υποχρεωτική για τις εν λόγω πράξεις επεξεργασίας.
Επιπλέον, ο οδηγός αναλύει τεχνικές μηχανικής προστασίας δεδομένων και περιλαμβάνει περιπτωσιολογική μελέτη σχετικά με έρευνα στον τομέα της υγείας.
Η συνεργασία της Ελληνικής με την Ισπανική Αρχή προστασίας Δεδομένων, μαζί με τη συμβολή άλλων ευρωπαϊκών οργανισμών, αναδεικνύει την αξία της συνεργασίας και της ανταλλαγής γνώσεων και εμπειριών για τη διαμόρφωση επιστημονικά τεκμηριωμένων κατευθύνσεων, που μπορούν να αξιοποιηθούν από υπευθύνους επεξεργασίας, επαγγελματίες και άλλους ενδιαφερόμενους φορείς για την αποτελεσματική προστασία των προσωπικών δεδομένων.
Ο Οδηγός είναι διαθέσιμος εδώ και θα δημοσιευθεί σύντομα στα ελληνικά.
Αυτοτελές Τμήμα Επικοινωνίας και Δημοσίων Σχέσεων
