Data protection by design and default : a study on new European operational data protection principles under the article 25 of the new European general data protection regulation and on their application in practice from the perspective of the private data controllers and processors

Abstract

The purpose of this study is to examine the content of Data Protection by Design and Data Protection by Default principles under Article 25 and related provisions of the EU’s new General Data Protection Regulation, and their concrete effects occurring to data controllers and data processors. The conclusion is firstly the circumstance that the GDPR’s provisions in question may prove to be too vague or generous, and hence sufficient application and assessment in practice of their provisions may cause confusion, especially to data controllers and processors of personal data. Secondly, despite the need for change in regulation, the division of liability between one or more controller and data processor’s in regards of processing of personal data have remained regrettably unclear. Thirdly it should be however noted that, despite the other inadequacies, the general principles of the GDPR promote completeness, and are very workable tool also for interpretation of the Article 25. Appropriate application of the Article 25 and implementing its provisions as automatic part of corporates’ operations is paramount crucial, taking into account rights of an individual and requirements of digital market economy. In my opinion the one and only solution for this is an appropriate, active and consistent guidance from authorities, together with providing necessary more accurate guidelines as soon as possible. Rather than stick approach, focus should be put on carrot, and besides clarifying the regulations the certification and varying cachets should be brought into use quickly. It is essential that corporates would understand the economic benefits of implementing the principles of Privacy by Design and default, which would also promote digital internal markets. From the commercial perspective, when applying in practice the most secure manner to fulfil the requirements under the Article 25 is to adapt general principles as part of processing of personal data from the planning throughout the whole process. However, the final content and success of Article 25 remains to be seen in the Court decisions.

Tutkielman tarkoituksena on selventää EU:n uuden tietosuoja-asetuksen artiklan 25 mukaisten Data Protection by Design ja Data Protection by Default - toimintaperiaatteiden ja niihin liittyvien muiden määräysten sisältöä, sekä selventää millaisia konkreettisia vaikutuksia nämä uudet säännökset tuovat rekisterinpitäjille ja henkilötietojen käsittelijöille. Tutkielman huomattavimpana johtopäätöksenä on, että edellä mainitut uuden tietosuoja-asetuksen määräykset voivat todennäköisesti osoittautua liian epäselviksi tai suurpiirteisiksi, jolloin niiden soveltaminen käytännön toiminnassa sekä niihin liittyvien vaikutusten arvioiminen asianmukaisella tavalla voi osoittautua haasteelliseksi etenkin rekisterinpitäjille sekä henkilötietojen käsittelijöille. Toisekseen, huolimatta sääntelyn nykytilan muutostarpeesta, rekisterinpitäjien sekä henkilötietojen käsittelijöiden keskinäisten vastuiden ja roolien jakautuminen on jäänyt myös tietosuojaasetuksessa harmillisen epäselviksi. Kolmanneksi, on hyvä huomata, että tietosuojaasetuksen yleiset periaatteet kuitenkin ehentävät sääntelykokonaisuutta huomattavasti ja ovat oikein käyttökelpoisia työkaluja artiklan 25 käytännön soveltamiseen kokonaissääntelyn vajavaisuuksista huolimatta. Ottaen huomioon yksilön oikeudet ja digitaalisen markkinatalouden asettamat vaatimukset on Artiklan 25 asianmukainen soveltaminen ja automaattinen sisällyttäminen osaksi etenkin yritysten toimintaa ensiarvoisen tärkeää. Mielestäni ainoa oikea ratkaisu näihin haasteisiin on asianmukainen, aktiivinen ja johdonmukainen opastus viranomaistaholta, sekä tarpeellisten tarkempien suuntaviivojen laatiminen mahdollisimman pian. Kepin sijasta tulisikin keskittyä porkkanaan, ja määräysten selkeyttämisen lisäksi sertifioinnit ja erilaiset laatumerkit tulisi saada nopeasti käyttöön. Olisi tärkeää saada yritykset ymmärtämään toimintaperiaatteiden toteuttamisen taloudelliset hyödyt, mikä samalla edistäisi digitaalisia sisämarkkinoita. Yrityksien näkökulmasta käytännön soveltamisessa toistaiseksi varmin keino täyttää artiklan 25 asettamat vaatimukset on juurikin näiden yleisten periaatteiden tuominen osaksi henkilötietojen käsittelyä aina suunnittelusta koko prosessin loppuun asti. Artiklan 25 lopullisen sisällön ja onnistumisen tulemme kuitenkin näkemään vasta oikeuskäytännössä.