3.3. Забезпечення конфіденційності особистої інформації та персональних даних

Суть принципу забезпечення конфіденційності особистої інформації та персональних даних міститься у тому, що під час здійснення он-лайн транзакцій або отримання електронних послуг має бути забезпечено можливість надання тільки тих даних, які потрібні для отримання такої послуги або здійснення транзакції. Наприклад, для купівлі білету до кінотеатру необхідно надати докази лише того, що людина досягнула 18 річного віку, але не важливе її місце проживання, статус або інші данні. Подібні аспекти, які порушують конфіденційність персональних даних, мають бути максимально усунені під час надання електронних послуг та здійснення он-лайн транзакцій.

Діяльність постачальників (провайдерів) послуг електронної ідентифікації та електронних послуг має будуватися на основі таких принципів забезпечення конфіденційності особистої інформації та персональних даних:

• прозорість: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг мають бути прозорими в контексті своєї діяльності та інформувати осіб щодо збору, використання, розповсюдження та технічної обробки їх персональних даних;

• особиста участь: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг мають відкрито та безперешкодно залучати конкретних осіб у процес використання їх персональних даних та узгоджувати з ними збір, використання, розповсюдження та технічну обробку персональних даних. Також ці суб’єкти повинні надавати механізми забезпечення доступу, корегування та відновлення персональних даних;

• уточнення мети: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, мають вказати орган, який уповноважив їх збирати персональні дані, а також мету збору, використання та обробки персональних даних.

• мінімізація даних: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, мають використовувати тільки ті дані, які мають безпосереднє відношення та необхідні для вказаної мети та зберігати персональні дані тільки протягом часу, який необхідний для виконання вказаної задачі;

• обмежене використання: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, мають використовувати персональної дані виключно з метою, що вказана у повідомленні про мету обробки. Обмін персональними даними має здійснюватися виключно в межах цілей, для яких були надані персональні дані;

• якість та повнота даних: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, шляхом проведення процедур верифікації мають переконатися в тому, що ідентифікаційні дані є точними, актуальними, своєчасними та повними;

• безпека: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, мають впроваджувати комплекс організаційних та технічних заходів для захисту персональних даних (на будь яких носіях та середовищі) та надавати відповідні рівень гарантій безпеки відносно ризиків втрати, несанкціонованого доступу або зловживання, знищення, зміни, ненавмисного або навмисного розголошення персональних даних;

• підзвітність та аудит: суб’єкти, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, мають нести відповідальність за додержання наведених умов, забезпечувати підготовку всіх своїх співробітників та контрагентів, що використовують персональні дані, контролювати фактичне використання персональних даних та демонструвати виконання принципів та вимог забезпечення конфіденційності персональних даних.

Впровадження цих принципів у практику діяльності постачальників (провайдерів) послуг електронної ідентифікації та електронних послуг є основою свідомого вибору громадянами щодо використання особистої інформації у кіберпросторі. Прийняття цих принципів також гарантує:

• обмеження збору персональних даних організаціями, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг;

• використання та розповсюдження лише тієї особистої інформації, яка дійсно необхідна для надання конкретної електронної послуги або здійснення он-лайн транзакції;

• потрібний рівень захисту особистої інформації та рівень гарантій безпеки;

• відповідальність та підзвітність суб’єктів, що є постачальниками (провайдерами) послуг електронної ідентифікації та електронних послуг, перед власниками особистої інформації.

Повна реалізація наведених вище принципів є основою побудови довірчої інфраструктури електронної ідентифікації у кіберпросторі України та забезпечити відповідних рівень гарантій безпеки персональних даних.