Πεδίο εφαρμογής του GDPR: προστασία δεδομένων προσωπικού χαρακτήρα, όχι κυβερνοασφάλεια

Ο GDPR αφορά πρωτίστως την προστασία των δεδομένων προσωπικού χαρακτήρα και τα δικαιώματα των ατόμων, δηλαδή των υποκειμένων των δεδομένων, επί αυτών των δεδομένων. Καλύπτει τον τρόπο με τον οποίο οι οργανισμοί συλλέγουν, αποθηκεύουν, επεξεργάζονται και κοινοποιούν δεδομένα προσωπικού χαρακτήρα και παρέχει στα πρόσωπα δικαιώματα όπως πρόσβαση, διόρθωση και διαγραφή. Μια συγκεκριμένη αντίθεση: ο GDPR δεν είναι γενικός νόμος για την κυβερνοασφάλεια — δεν επιβάλλει τη χρήση τειχών προστασίας ή λογισμικού προστασίας από ιούς — μολονότι απαιτεί κατάλληλα μέτρα ασφαλείας για την προστασία δεδομένων προσωπικού χαρακτήρα. Ομοίως, δεν είναι νόμος για το περιεχόμενο πλατφορμών, όπως ο Digital Services Act (DSA), ο οποίος εστιάζει στο παράνομο περιεχόμενο και στη λογοδοσία των πλατφορμών. Επομένως, αν ένα σενάριο εξετάσεων αναφέρει παραβίαση συστήματος ή συντονισμό περιεχομένου, έλεγξε αν το βασικό ζήτημα αφορά κακή χρήση δεδομένων προσωπικού χαρακτήρα ή κάτι άλλο.

Για να αποφύγεις παγίδες, να θυμάσαι τρία τεχνάσματα αποκλεισμού. Πρώτον, αν η ερώτηση αναφέρεται στην προστασία εμπορικών απορρήτων ή διανοητικής ιδιοκτησίας μιας εταιρείας, ο GDPR δεν εφαρμόζεται — πρόκειται για διαφορετικό πεδίο. Δεύτερον, αν το σενάριο αφορά παραβίαση δεδομένων, ο GDPR εφαρμόζεται μόνον αν έχουν διακυβευθεί δεδομένα προσωπικού χαρακτήρα, π.χ. ονόματα, διευθύνσεις ηλεκτρονικού ταχυδρομείου ή δεδομένα υγείας· παραβίαση ανωνυμοποιημένων ή μη προσωπικών δεδομένων δεν εμπίπτει στο πεδίο εφαρμογής του. Τρίτον, ο GDPR εφαρμόζεται σε κάθε οργανισμό που επεξεργάζεται δεδομένα προσωπικού χαρακτήρα κατοίκων της EU, ανεξάρτητα από την έδρα του οργανισμού — επομένως, καλύπτεται και μια εταιρεία των ΗΠΑ που απευθύνεται σε χρήστες της EU. Όταν βλέπεις σε μια ερώτηση «δεδομένα προσωπικού χαρακτήρα» και «δικαιώματα ατόμων», αυτό είναι το σήμα για τον GDPR· αν βλέπεις «κυβερνοασφάλεια» ή «περιεχόμενο πλατφόρμας», αναζήτησε αλλού.

Ένας γρήγορος τρόπος να ελέγξεις την κατανόησή σου: ρώτησε τον εαυτό σου: «Η κύρια ανησυχία εδώ αφορά τις προσωπικές πληροφορίες κάποιου και τον έλεγχό του επ’ αυτών;» Αν ναι, σκέψου τον GDPR. Αν η ανησυχία αφορά την ασφάλεια του συστήματος ή επιβλαβές περιεχόμενο, σκέψου άλλους νόμους. Ένα βοήθημα μνήμης: GDPR = «Give Data Protection Rights» — εστίασε στα στοιχεία «προσωπικά» και «δικαιώματα», όχι στις τεχνικές λεπτομέρειες ασφάλειας.