Impactul tehnologiilor emergente asupra datelor cu caracter personal și posibile soluții de reducere a riscurilor

Articol scris de Daniel Vinerean, Managing Associate la D&B David și Baias, și Andrei Niculescu, Technology Lawyer la D&B David și Baias

Având în vedere utilitatea pe care o aduce orice astfel de evoluție tehnologică (e.g. aplicații pentru cumpărături online sau aplicații pentru întâlniri personale ori profesionale), nu este o surpriză faptul că prezența online, reprezentată de numărul de utilizatori care își partajează datele, este în continuă creștere. Ca efect direct al acestei creșteri, întregul ciclu de viață al datelor a fost extins, împreună cu numărul entităților care au acces la ele,  în calitate de operatori de date cu caracter personal. 

Conform prevederilor art. 25 din Regulamentul nr. 679 din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date („GDPR”), operatorul de date cu caracter personal trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate, atât în momentul stabilirii mijloacelor de prelucrare, cât și în cel al prelucrării în sine, în scopul respectării principiilor de protecție a datelor și integrării garanțiilor necesare în cadrul prelucrării, dar și pentru a îndeplini cerințele GDPR și a proteja drepturile utilizatorilor finali, în calitate de persoane vizate. 

Importanța respectării GDPR în implementarea tehnologiilor emergente

Din nefericire, adesea, aceste noi tehnologii sunt introduse fără o evaluare prealabilă a impactului asupra vieții private și asupra protecției datelor. În acest context, prelucrarea datelor cu caracter personal este de cele mai multe ori caracterizată prin absența unui scop prestabilit și prin descoperirea tardivă de noi informații privind modul în care aceste tehnologii prelucrează, în fapt, astfel de date. Aceste “probleme” se regăsesc de regula în cadrul tehnologiilor emergente care implică: 

• „big data” – seturi mai mari și mai complexe de date, provenite în special din surse noi de date. Aceste seturi de date sunt atât de voluminoase, încât software-ul tradițional de procesare a datelor pur și simplu nu le poate gestiona. Dar aceste volume masive de date pot fi utilizate pentru a rezolva problemele de afaceri, altfel de neabordat; sau 
• „machine learning” – un subset al inteligenței artificiale, care se axează pe construcția sistemelor care pot învăța sau își pot îmbunătăți performanțele, în funcție de datele pe care le procesează.

Cu titlu exemplificativ, problemele asociate tehnologiilor emergente, din perspectiva protecției datelor cu caracter personal, pot include:

• lipsa de control și transparență pentru utilizator în ceea ce privește modul de utilizare al datelor sale;
• posibila reutilizare a datelor utilizatorului, fără știința acestuia și fără ca acesta să se aștepte în mod rezonabil la acest lucru;
• reidentificarea utilizatorilor ale căror date au fost, în aparență, pseudonimizate sau anonimizate, pe baza volumului foarte mare de date disponibile și posibilitățile extinse de corelare sau conexare a acestor date;
• crearea de profiluri și luarea automată a deciziilor, fără informarea prealabilă și consimțământul valabil exprimat de utilizator.

Acest modus operandi intră în conflict direct cu principiile privind limitările legate de scop (purpose limitation principle) și reducerea la minim a datelor (data minimisation principle) din GDPR. 

Printre tehnologii emergente cel mai des întâlnire, menționăm:

• blockchain și tehnologia registrului distribuit (DLT – distributed ledger technology), care oferă oportunitatea înlocuirii tranzacțiilor bazate pe intermediere în detrimentul unei pierderi substanțiale a controlului utilizatorilor asupra datelor lor, acestea rămânând vizibile în blockchain pentru toți participanții, atâta timp cât acest registru distribuit este activ sau poate chiar dincolo de acel moment. În funcție de cazul concret de utilizare, o astfel de situație contravine principiului GDPR al minimizării datelor și constituie un obstacol sever în calea exercitării dreptului de ștergere pe care îl are utilizatorul în calitate de persoană vizată;
• sistemele de inteligență artificială (AI – artificial intelligence), care ar putea fi împuternicite să ia decizii cu un anumit grad de autonomie pentru a atinge obiective specifice (de exemplu, în evaluarea scorului de credit în domeniul financiar). O astfel de autonomie ar putea, cu ușurință, să intre în conflict cu cerințele GDPR referitoare la crearea de profiluri și luarea de decizii automate și care implică niște condiții foarte stricte.

După cum a demonstrat practica, implementarea principiilor din GDPR în astfel de contexte este o provocare, acestea neputând fi implementate într-un mod tradițional și „intuitiv” când vine vorba de tehnologii emergente. 

Întrucât principiul asigurării protecției datelor începând cu momentul conceperii (data privacy by design principle) este adesea trecut cu vederea în procesul de creație și de cele mai multe ori chiar în timpul procedurilor de conformare cu prevederile GDPR, operațiunile de prelucrare trebuie regândite și / sau reproiectate, uneori radical, eventual cu definirea de noi entități participante și răspunderi în ceea ce privește procesul de prelucrare al datelor. 

Cum poate fi îmbunătățită confidențialitatea informațiilor cu ajutorul tehnologiei 

În ciuda tuturor acestor „piedici”, tehnologia joacă totuși un rol esențial în procesul de conformare cu prevederile GDPR. În acest sens au apărut tehnologiile de îmbunătățire a confidențialității (Privacy Enhancing Technologies). 

În concret, aceste includ o gamă largă de soluții, descrise în cele ce urmează și care sunt concepute ca elemente de bază pentru respectarea principiilor de protecție a datelor. 

Anonimizarea este o tehnică foarte cunoscută, fiind utilizată pe scară largă pentru a implementa principiile de protecție a datelor, cum ar fi cel al minimizării datelor.

Anonimizarea datelor este o problemă de optimizare între doi parametri conflictuali: utilitatea datelor și protecția împotriva reidentificării. Acest lucru implică modificarea datelor, fie prin adăugarea unor informații suplimentare irelevante (noising), fie prin generalizarea informațiilor. 

Asigurarea unei protecții puternice împotriva reidentificării necesită, de obicei, modificarea puternică a setului de date și, prin urmare, acest lucru are un impact negativ asupra utilității setului de date respectiv. Prin urmare, anonimizarea datelor implică găsirea celui mai bun compromis între acești doi parametri, iar acest compromis depinde adesea de scop și de context. 

Fără a intra în mai multe detalii, două dintre cele mai populare abordări de anonimizare se numesc k-anonimitate (k-anonymity) și confidențialitate e-diferențială (e-differential privacy).

Mascarea datelor și calculele de păstrare a confidențialității (Data Masking and Privacy-Preserving Computations)

Acest tip de tehnologii emergente, odată aplicate datelor, ascund informațiile pe care acestea le transmit. Cele mai cunoscute exemple sunt criptarea (encryption) și hashingul (hashing).Soluțiile propuse includ tehnici suplimentare (detaliate în cele ce urmează) și facilitează respectarea principiului integrității și confidențialității din GDPR, iar și în funcție de tehnica sau contextul operațiunii de prelucrare pot acoperi și principiile responsabilității și limitării legate de scop.

• Homomorphic Encryption – stă la baza multor tehnologii menite să asigure protecția datelor cu caracter personal. Aceasta tehnologie permite efectuarea de calcule pe date criptate, fără a fi nevoie ca acestea să fie decriptate mai întâi. Cazul de utilizare tipic este atunci când prelucrarea este efectuată de o terță parte, cum ar fi un furnizor de servicii cloud, iar utilizatorul nu dorește dezvăluirea acestor date către terța parte.
• Secure Multiparty Computation – se referă la o familie de protocoale criptografice, care încearcă să rezolve problema de încredere reciprocă între un două părți prin aplicarea unor funcții peste datele celor două părți, obținând astfel un rezultat fără ca datele analizate să fie dezvăluite. Aceasta tehnologie este folosită preponderent în tehnologia blockchain.
• Trusted Execution Environments – criptarea este un instrument puternic de protejare a datelor; cu toate acestea, devine inutilizabil dacă dispozitivul care este utilizat pentru stocarea, criptarea sau decriptarea datelor este compromis. Acesta se află, de obicei, pe procesorul principal al unui dispozitiv, funcționând în paralel cu sistemul de operare și utilizând atât componente hardware, cât și software, fiind destinat să fie mai sigur decât mediul tradițional de procesare al dispozitivului. Mediul de execuție de încredere este utilizat pe scară largă în diverse dispozitive, cum ar fi smartphone-uri, tablete și alte dispozitive smart.
• Private Information Retrieval – recuperarea informațiilor private este o tehnică criptografică care permite unui utilizator să recupereze o intrare dintr-o bază de date fără a dezvălui custodelui de date care element a fost interogat. Suplimentar, această tehnologie poate fi folosită în respectarea principiului minimizării datelor.
• Synthetic Data – Datele sintetice reprezintă o nouă zonă de prelucrare a datelor în care datele sunt elaborate într-un mod care să semene în mod realist cu datele reale (atât cu caracter personal, cât și nepersonal), fără a se referi la persoană specifică identificată sau identificabilă sau la o persoană reală. Prin utilizarea datelor sintetice, un operator va respecta confidențialitatea persoanelor, întrucât acestea diferă de datele reale, iar generarea și prelucrarea datelor sintetice nu va invada sfera personală a utilizatorilor (de exemplu, atunci când datele reale se referă la caracteristicile sensibile ale persoanelor fizice precum datele de sănătate).

În concluzie, aceste tehnologii de îmbunătățire a confidențialității (Privacy Enhancing Technologies), în principiu benefice în procesul de conformare cu prevederile din GDPR, ar trebui totuși implementate după o analiză detaliată a beneficiilor și riscurilor pe care le implică pentru modelul de business practicat de operatorul de date cu caracter personal. 

Necesitatea unei analize prealabile pleacă de la numărul ridicat de variabile pe care trebuie să le ia în calcul un operator de date cu caracter personal sau un împuternicit în momentul alegerii unei astfel de tehnologii. Printre aceste variabile se află: (i) numeroasele tipuri de tehnologii de îmbunătățire a confidențialității disponibile pe piață; (ii) lipsa unor informații clare privind eficiența acestora în timp; (iii) aplicabilitatea acestora în funcție de tipul de date cu caracter personal prelucrate și (iv) compatibilitatea acestora cu modelul de business în care sunt implementate. 

Toate aceste variabile pot afecta negativ atât implementarea tehnologiilor de îmbunătățire a confidențialității, cât și respectarea obligațiilor în materia protecției datelor cu caracter personal, așadar efectuarea unei analize prealabile implementării reprezintă o practică proactivă și recomandabilă.