wytyczne Grupy Roboczej Art. 29

Wytyczne Grupy Roboczej Art. 29, poprzedniczki EROD, wciąż stanowią punkt odniesienia w interpretacji RODO.

Skąd pochodzą wytyczne WP29 i jaki mają status

Wytyczne Grupy Roboczej Art. 29, oznaczanej skrótem WP29, były dokumentami interpretacyjnymi dotyczącymi ochrony danych i stosowania unijnych przepisów w praktyce. Grupa działała na podstawie art. 29 dyrektywy 95/46/WE i skupiała przedstawicieli krajowych organów ochrony danych, organu ochrony danych instytucji Unii Europejskiej oraz Komisji Europejskiej. Jej dokumenty nie były programami komputerowymi, normami technicznymi ani przepisami przyjmowanymi w formie rozporządzenia.

Po rozpoczęciu stosowania rozporządzenia 2016/679 zadania interpretacyjne przejęła Europejska Rada Ochrony Danych, czyli EROD. Podczas pierwszego posiedzenia plenarnego EROD zatwierdziła część dokumentów WP29 związanych z rozporządzeniem 2016/679. Na oficjalnej liście znajdują się między innymi wytyczne WP259 rev.01 dotyczące zgody, WP260 rev.01 dotyczące przejrzystości, WP250 rev.01 dotyczące zgłaszania naruszeń, WP242 rev.01 dotyczące przenoszenia danych oraz WP248 rev.01 dotyczące oceny skutków dla ochrony danych.

Identyfikatory dokumentów przydatne przy pracy z systemem

Wytyczne WP29 są rozpoznawane przede wszystkim po numerach dokumentów, oznaczeniu rewizji i tytule. Przykładowo WP260 rev.01 to dokument dotyczący przejrzystości na gruncie rozporządzenia 2016/679, a WP251 rev.01 dotyczy zautomatyzowanego podejmowania decyzji i profilowania. Takie oznaczenia pozwalają odróżnić konkretne stanowisko od późniejszych wytycznych EROD, które mogły je zastąpić albo rozwinąć. W dokumentacji systemu warto zapisywać pełny tytuł, numer WP, wersję rewizji i datę wykorzystania.

W praktyce informatycznej rozróżnienie wersji ma znaczenie podczas projektowania formularzy, rejestrów i procedur obsługi żądań użytkowników. System może przechowywać odwołanie do konkretnego dokumentu w repozytorium wymagań, w komentarzu do zadania albo w rejestrze decyzji projektowych. Nie oznacza to, że sama aplikacja „wdraża wytyczne” przez instalację modułu. Wytyczne opisują sposób interpretacji obowiązków, natomiast ich techniczne odzwierciedlenie może obejmować między innymi pola informacyjne, mechanizmy kontroli dostępu, rejestrowanie operacji oraz procedury eksportu danych.

Przełożenie zaleceń na dane, logi i interfejs aplikacji

Dokumenty WP29 dotyczące przejrzystości, naruszeń, przenoszenia danych i profilowania odnoszą się do procesów, które w systemach komputerowych mają konkretne reprezentacje. Informacja przekazywana użytkownikowi może być zapisana jako treść strony, komunikat w aplikacji, wiadomość e-mail albo element formularza. Żądanie dostępu lub przeniesienia danych może wymagać wyszukania rekordów w bazie, powiązania ich z konkretnym kontem, sprawdzenia uprawnień oraz przygotowania pliku w ustrukturyzowanym formacie. Rejestr zdarzeń powinien pozwalać ustalić, kiedy wykonano operację i jaki komponent systemu ją obsłużył.

W systemie obsługującym incydenty istotne jest rozdzielenie faktów technicznych od interpretacji prawnej. Log może wskazywać czas nieuprawnionego odczytu, identyfikator konta serwisowego, adres urządzenia, zakres pobranych rekordów i wynik kontroli dostępu. Sam wpis nie rozstrzyga jednak, czy zdarzenie jest naruszeniem wymagającym określonego działania. Do analizy potrzebne są także informacje o konfiguracji, kopiach zapasowych, retencji logów, szyfrowaniu transmisji i sposobie odtworzenia zakresu zdarzenia. Wytyczne WP29 mogą służyć jako materiał interpretacyjny przy opisywaniu takich procesów, ale nie zastępują konfiguracji zabezpieczeń ani dokumentacji architektury.

Jak czytać starsze wytyczne podczas przeglądu komputera i oprogramowania

Podczas analizy aplikacji, komputera lub nośnika danych warto traktować wytyczne WP29 jako źródło kontekstu, a nie jako instrukcję naprawy konkretnego urządzenia. Dokumenty nie określają komend systemu Windows, parametrów dysku SSD, ustawień BIOS-u ani procedur odzyskiwania plików. Mogą natomiast pomóc uporządkować pytania dotyczące tego, jakie dane są przetwarzane przez aplikację, jakie operacje zapisują logi, kto ma dostęp do kont administracyjnych i czy użytkownik otrzymuje zrozumiałe informacje o działaniu systemu.

Przy korzystaniu z archiwalnych materiałów trzeba sprawdzić, czy dany dokument został zatwierdzony przez EROD, zastąpiony nowszym dokumentem albo wykorzystany tylko jako historyczne objaśnienie. Szczególnie ważne jest odróżnienie numeru WP od numeru późniejszej wytycznej EROD oraz zachowanie informacji o rewizji. Taki sposób pracy ogranicza ryzyko przypisania konkretnej rekomendacji niewłaściwemu dokumentowi i ułatwia audyt konfiguracji, logów oraz przepływu danych w używanym oprogramowaniu.