Zakres GDPR: ochrona danych osobowych, a nie cyberbezpieczeństwo

GDPR dotyczy przede wszystkim ochrony danych osobowych oraz praw osób fizycznych (osób, których dane dotyczą) w odniesieniu do tych danych. Reguluje sposób, w jaki organizacje gromadzą, przechowują, przetwarzają i udostępniają dane osobowe, oraz przyznaje osobom fizycznym takie prawa jak prawo dostępu, sprostowania i usunięcia danych. Konkretne rozróżnienie: GDPR nie jest ogólnym aktem prawnym dotyczącym cyberbezpieczeństwa — nie nakazuje stosowania zapór sieciowych ani oprogramowania antywirusowego — chociaż wymaga wdrożenia odpowiednich środków bezpieczeństwa w celu ochrony danych osobowych. Nie jest również aktem prawnym dotyczącym treści na platformach, takim jak Digital Services Act (DSA), który koncentruje się na nielegalnych treściach i odpowiedzialności platform. Jeżeli więc scenariusz egzaminacyjny dotyczy włamania lub moderowania treści, należy sprawdzić, czy istota problemu polega na niewłaściwym wykorzystaniu danych osobowych, czy na czymś innym.

Aby uniknąć pułapek, zapamiętaj trzy sposoby eliminowania błędnych odpowiedzi. Po pierwsze, jeżeli pytanie dotyczy ochrony tajemnic handlowych lub własności intelektualnej przedsiębiorstwa, GDPR nie ma zastosowania — jest to inna dziedzina. Po drugie, jeżeli scenariusz dotyczy naruszenia ochrony danych, GDPR ma zastosowanie tylko wtedy, gdy naruszone zostały dane osobowe (np. imiona i nazwiska, adresy e-mail, informacje o zdrowiu); naruszenie dotyczące danych zanonimizowanych lub danych nieosobowych nie wchodzi w jego zakres. Po trzecie, GDPR ma zastosowanie do każdej organizacji przetwarzającej dane osobowe mieszkańców EU, niezależnie od miejsca jej siedziby — obejmuje więc również przedsiębiorstwo z USA kierujące swoje usługi do użytkowników w EU. Gdy w pytaniu pojawiają się „dane osobowe” i „prawa osób fizycznych”, jest to wskazówka, że chodzi o GDPR; jeżeli pojawiają się „cyberbezpieczeństwo” lub „treści na platformach”, należy szukać odpowiedzi w innych przepisach.

Szybki sposób na sprawdzenie swojej wiedzy polega na zadaniu sobie pytania: „Czy głównym przedmiotem troski są tutaj czyjeś dane osobowe i kontrola tej osoby nad nimi?”. Jeżeli tak, pomyśl o GDPR. Jeżeli problem dotyczy bezpieczeństwa systemów lub szkodliwych treści, pomyśl o innych przepisach. Pomocna technika pamięciowa: GDPR = „Give Data Protection Rights” („zapewnij prawa do ochrony danych”) — skup się na elementach dotyczących „osobistego” charakteru danych i „praw”, a nie na technicznych szczegółach bezpieczeństwa.