Francouzský úřad pro ochranu osobních údajů (CNIL) zveřejnil komplexní analýzu typických scénářů sdílení informací prostřednictvím rozhraní API. U každé zkoumá možná slabá místa a zranitelnosti a zároveň nabízí doporučení pro odpovědné sdílení dat. Analýza je zaměřená velmi prakticky, obsahuje řadu užitečných tipů a poznatků a její závěry jsou snadno přenositelné i do české či slovenské reality.
Než se pustíme do jednotlivých scénářů, poznatků a praktický tipů, je důležité porozumět, proč se firmy, organizace a vývojáři rozhodují využívat rozhraní pro programování aplikací (API).
Efektivní integrace systémů: API umožňuje efektivní a poměrně jednoduchou integraci různých systémů. Výhodou API je snadné propojení a výměnu dat mezi různými aplikacemi a technologickými platformami. Tímto způsobem organizace mohou optimalizovat své procesy a dosáhnout vyšší účinnosti v každodenním provozu.
Rychlý a jednoduchý přístup k datům: API poskytuje rychlý a standardizovaný způsob přístupu k datům. S jasně definovanými rozhraními a protokoly mohou uživatelé snadno získávat potřebné informace bez nutnosti složitých manuálních procesů. To nejenže šetří čas, ale také zvyšuje přesnost dat, resp. datovou kvalitu.
Podpora inovací a vývoje aplikací: API umožňuje vývojářům rychle vytvářet nové aplikace nebo rozšiřovat existující služby. Otevřený přístup k datům prostřednictvím API podporuje inovace a kreativitu, což umožňuje dynamický rozvoj digitálního ekosystému.
Flexibilita v obchodních vztazích: Pomocí API mohou organizace snadno navazovat partnerské vztahy a spolupracovat s externími partnery nebo dodavateli. Tím se zvyšuje flexibilita a schopnost reagovat na měnící se podmínky na trhu a rychle přizpůsobit své služby podle potřeb zákazníků.
Zlepšení uživatelského zážitku: Prostřednictvím API mohou organizace vytvářet lepší služby pro klienty tím, že jim umožňují propojení účtů, dat a preferencí napříč různými platformami a službami. To vede k vyšší spokojenosti zákazníků a k jejich loajalitě.
Zvyšování konkurenceschopnosti: Organizace, které efektivně využívají API, získávají konkurenční výhodu. Schopnost rychle a bezpečně sdílet data v digitálním ekosystému se stává klíčovým faktorem pro úspěch v dnešním konkurenčním prostředí.
Sdílení dat prostřednictvím API rozhraní je zkrátka rychlé, efektivní, moderní a většinou i bezpečné.
Nyní projděme typické situace, kdy je API rozhraní využíváno, a řekneme si, jak ještě posílit ochranu osobních údajů.
Sdílení korporátních dat
Tento scénář se točí kolem sdílení dat mezi firmami, často uskutečňovaného právě prostřednictvím rozhraní pro programování aplikací (API). Faktory zranitelnosti zahrnují přesnost dat, meziodborovou koordinaci a potenciální rizika spojená s nesprávným využitím sdílených dat.
Doporučení od CNIL:
Přesnost dat:
Stanovte standardizované protokoly pro formát dat a zajištění jejich kvality.
Pravidelně provádějte audity a kontroly přesnosti sdílených dat.
Meziodborová koordinace:
Rozvíjejte robustní komunikační kanály mezi spolupracujícími organizacemi.
Zaveďte online propojení přes API.
Bezpečnost dat:
Používejte robustní metody šifrování.
Pravidelně provádějte bezpečnostní audity a kontroly k identifikaci a řešení zranitelností.
Sdílení zdravotních dat
Ve zdravotnickém sektoru je sdílení dat klíčové pro poskytnutí komplexní zdravotní služby a zefektivnění poskytování péče. Sdílení citlivých pacientských dat však přináší i složité výzvy týkající se ochrany soukromí, souhlasu a možného neoprávněného přístupu. Doporučení se zaměřují na robustní mechanismy souhlasu, anonymizaci dat a přísná bezpečnostní opatření.
Doporučení od CNIL:
Mechanismy informovaného souhlasu:
Zaveďte transparentní a uživatelsky přívětivé procesy pro získání souhlasu se sdíleným dat (tam, kde je souhlas nutný).
Informujte jednotlivce o účelech a důsledcích sdílení dat na základě jejich souhlasu.
Anonymizace dat:
Investujte do pokročilých anonymizačních technik k ochraně soukromí pacientů.
Pravidelně přehodnocujte a aktualizujte metody anonymizace v souladu s vyvíjejícími nejlepšími postupy.
Infrastruktura bezpečnosti:
Používejte bezpečnostní opatření nejvyšší kvality, včetně kontrol přístupu a šifrování.
Pravidelně školte zdravotnické profesionály v kybernetické bezpečnosti ke snížení interních rizik.
Otevírání dat státní správy
Tento scénář zahrnuje zpřístupnění různých kategorií dat ze strany veřejného sektoru. Rozsáhlé či automatizované stahování dat může vést k neočekávaným požadavkům a potenciálnímu přetížení serverů s negativním dopadem na dostupnost osobních údajů. Doporučení zdůrazňují trasovatelnost dat, správu a bezpečnost dat a minimalizaci rozsahu osobních údajů.
Doporučení od CNIL:
Trasovatelnost dat:
Zaveďte opatření pro trasování datových toků a k monitorování objemu dat a možného přetížení serverů.
Nastavte systému pro včasné upozornění na kritickou zátěž serveru.
Správa a ochrana práv:
Předvídejte změny v poptávce po datech a stanovte opatření pro ochranu práv jednotlivců.
Zaveďte efektivní procesy pro řešení žádostí souvisejících s právy jednotlivců.
Bezpečnost dat:
Monitorujte zátěž serverů a objem přijatých dotazů pro zajištění dostupnosti dat.
Přizpůsobte bezpečnostní opatření na základě posouzené úrovně rizika.
Minimalizace dat:
Minimalizujte rozsah zpracovávaných osobních údajů ke snížení potenciálních rizik.
Interní sdílení dat v rámci organizace
Tento scénář zkoumá sdílení dat mezi různými odděleními organizace, jak v oblasti veřejné, tak soukromé. Identifikované zranitelnosti zahrnují rizika integrity dat, koordinační problémy a potenciální porušení důvěrnosti dat. Doporučení se zaměřují na správnost a přesnost údajů, správu, trasovatelnost, minimalizaci a bezpečnost dat.
Doporučení od CNIL:
Přesnost dat:
Zaveďte nástroje k ověření správnosti, přesnosti a formátu dat.
Stanovte mechanismy pro aktualizace dat v reálném čase, včetně oprav chyb.
Správa a ochrana práv:
Rozvíjejte důsledná opatření pro zajištění integrity dat.
Nastavte a dokumentuje jasná pravidly a postupy pro kontrolu přístupu k datům.
Trasovatelnost dat:
Zaveďte robustní opatření trasovatelnosti pro rychlou identifikaci a reakci na rizika.
Integrujte jednotlivce do procesu ověřování k zvýšení transparentnosti:
Pokud je ke sdílení dat nutný souhlas, dbejte na jeho jednoznačnou transparentnost,
Umožněte jednotlivcům přístup k jejich osobním údajům,
Aktivně informujte jednotlivce o jakékoliv podezřivé aktivitě,
Poskytnete dotčeným osobám možnost sledovat a spravovat přístupová práva k jejich údajům.
Minimalizace dat:
Omezte sdílená data na základní informace, respektující princip minimalizace osobních údajů.
Bezpečnost dat:
Přizpůsobte bezpečnostní opatření rizikům spojeným se sdílenými daty.
Sdílení dat zahrnující fyzickou osobu
Tento scénář zahrnuje bezpečné sdílení informací jednotlivce s různými organizacemi, např. zdravotnické organizace, pojišťovny, vzdělávací instituce, finanční instituce atd. Zranitelnosti zahrnují rizika spojená s ověřením fyzické osoby a potenciální dopady na dostupnost služeb. Doporučení zdůrazňují informace a trasovatelnost dat, správu, přesnost dat, minimalizaci údajů a bezpečnost.
Doporučení od CNIL:
Informace a trasovatelnost dat:
Zavádějte robustní opatření trasovatelnosti pro možnost identifikace či autentizace a ověření uživatele a služby.
Zapojte jednotlivce do procesu ověřování k zvýšení transparentnosti a důvěry:
Pokud je ke sdílení dat nutný souhlas, dbejte na jeho jednoznačnou transparentnost,
Umožněte jednotlivcům přístup k jejich osobním údajům,
Aktivně informujte jednotlivce o jakékoliv podezřivé aktivitě,
Poskytnete subjektům údajů možnost sledovat a spravovat přístupová práva k jejich údajům.
Správa a ochrana práv:
Stanovte přísná opatření správy k omezení přístupu k datům zpřístupněným organizaci.
Vyviňte mechanismy umožňující jednotlivcům uplatnit svá práva a vyjádřit námitku před některými účely použití jejich dat (např. marketing či jiná zpracování prováděná na základě oprávněného zájmu).
Přesnost dat:
Zajistěte přesnost sdílených dat k zabránění nepříznivým dopadům na klíčové služby.
Zaveďte nástroje a kontroly k ověření správnosti, úplnosti a přesnosti dat.
Minimalizace dat:
Omezte sdílená data na nezbytné informace v souladu s principem minimalizace osobních údajů.
Bezpečnost dat:
Přizpůsobte bezpečnostní opatření rizikům spojeným s citlivostí sdílených dat.
Ochrana osobních údajů při využívání API rozhraní
Scénáře představené v dokumentu od CNILu zdůrazňují potřebu flexibilních a konkrétních přístupů pro zajištění ochrany osobních údajů při sdílení dat. Pro vytvoření jasného základu pro odpovědné a bezpečné praktiky sdílení dat je klíčová kombinace trasovatelnosti, správy, přesnosti dat, minimalizace a odpovídajících bezpečnostních opatření.
Organizace by měly pravidelně hodnotit a zdokonalovat své strategie, aby udržely krok s novými hrozbami a riziky pro sdílení dat v digitální éře. Tímto způsobem mohou podporovat důvěru, chránit individuální práva a zajistit plynulý tok informací ve vzájemně propojeném světě.
