PDF dokumentai ir GDPR: ką reikia žinoti apie asmens duomenų apsaugą

Kiekvieną dieną daugybė įmonių ir fizinių asmenų siunčia, saugo ir kuria PDF dokumentus, kuriuose yra asmens duomenų: vardai, pavardės, el. pašto adresai, sutartys, sveikatos įrašai ar net finansinė informacija. Tačiau ar visi žino, kad šie failai patenka į GDPR — Bendrojo duomenų apsaugos reglamento taikymo sritį? Šiame straipsnyje išnagrinėsime, kokie reikalavimai taikomi PDF failams ir kaip juos atitikti be didelių pastangų.

Kas yra GDPR ir kodėl jis liečia PDF failus?

GDPR (angl. General Data Protection Regulation) — tai 2018 m. gegužę įsigaliojęs Europos Sąjungos reglamentas, reglamentuojantis asmens duomenų tvarkymą. Jis taikomas visoms organizacijoms, kurios renka, saugo ar tvarko ES gyventojų duomenis — nepaisant to, ar tai didelė korporacija, ar mažas verslas.

PDF formatas yra vienas populiariausių dokumentų formatų pasaulyje, todėl natūralu, kad jame dažnai atsiduria asmens duomenys. Kiekvieną kartą, kai PDF faile yra bet kuri iš šių reikšmių, GDPR reikalavimai aktyvuojami:

• Vardas, pavardė arba inicialai
• El. pašto adresas ar telefono numeris
• Fizinis adresas arba IP adresas
• Asmens kodas, paso ar asmens tapatybės kortelės numeris
• Finansiniai duomenys (IBAN, sąskaitos numeris)
• Sveikatos informacija, diagnozės ar receptai
• Parašas — skaitmeninis arba nuskaitytas

Trumpai tariant: jeigu dokumente yra bet kokie duomenys, pagal kuriuos galima identifikuoti fizinį asmenį, tas dokumentas patenka po GDPR skėčiu.

Dažniausios klaidos tvarkant PDF su asmens duomenimis

Daugelis organizacijų daro panašias klaidas, kurios gali kainuoti brangiai — GDPR baudos gali siekti iki 20 mln. eurų arba 4 % metinės pasaulinės apyvartos. Štai tipiniai pažeidimai susiję su PDF failais:

1. Nešifruoti PDF siunčiami el. paštu. Nešifruotas PDF su sutarties detalėmis ar paciento duomenimis el. laiško priede — tai aiškus GDPR pažeidimas.
2. Seni dokumentai saugomi neribotą laiką. GDPR reikalauja, kad duomenys būtų saugomi tik tiek, kiek tai būtina jų tikslui pasiekti. Dokumentai, kurių nebereikia, turi būti saugiai ištrinti.
3. Neteisingas prieigos valdymas. Jei bendri failų aplankai pasiekiami visiems darbuotojams, tai reiškia, kad žmonės gali matyti duomenis, kurių jiems nereikia.
4. Pamiršti metaduomenys. PDF metaduomenyse gali būti pasisleipę autoriaus vardas, įmonės pavadinimas ar net ankstesnės dokumento versijos su ištrinta, bet atkuriama informacija.
5. Debesies saugykla be aiškios duomenų tvarkymo sutarties. Jeigu PDF saugomi „Google Drive", „Dropbox" ar kitoje debesies platformoje, turi būti sudaryta duomenų tvarkymo sutartis su tiekėju.

Kaip tinkamai apsaugoti PDF su asmens duomenimis?

Gera žinia ta, kad GDPR reikalavimų laikytis nėra taip sunku, jeigu laikysitės kelių paprastų principų. Štai ką rekomenduoja duomenų apsaugos specialistai:

• Šifruokite slaptažodžiu visus PDF failus, kuriuose yra asmens duomenų, prieš juos siunčiant el. paštu ar per pranešimų programas.
• Naudokite saugius kanalus — geriau PDF siųsti per saugią platformą nei el. paštu, kuris iš esmės nėra šifruotas.
• Apribokite prieigą — naudokite PDF prieigos teisių valdymą, kad dokumentų negalėtų spausdinti, kopijuoti ar redaguoti neautorizuoti asmenys.
• Išvalykite metaduomenis prieš bendrindami dokumentą išorėje. Tai galite padaryti nemokamai pdftools.lt platformoje.
• Nustatykite saugojimo terminus — reguliariai peržiūrėkite, ar saugomi PDF failai vis dar reikalingi, ir naikinkite tuos, kurių nebereikia.

PDF saugojimas ir duomenų subjektų teisės

GDPR suteikia duomenų subjektams (t. y. žmonėms, kurių duomenys yra dokumentuose) keletą svarbių teisių, kurias turite gerbti ir užtikrinti net tada, kai duomenys yra PDF failuose:

• Teisė būti pamirštam. Jei asmuo pareikalauja ištrinti jo duomenis, privalote tai padaryti — įskaitant tos asmens informacijos ištrynimą iš PDF archyvų arba pačių dokumentų sunaikinimą.
• Teisė susipažinti su duomenimis. Asmuo gali prašyti pateikti visus PDF dokumentus, kuriuose yra jo duomenys.
• Teisė į duomenų perkeliamumą. Turite sugebėti pateikti asmens duomenis jo norimu formatu — PDF yra plačiai priimtinas, tačiau struktūruotas formatas (pvz., CSV) gali būti reikalingas papildomai.

Praktiškai tai reiškia, kad turite žinoti, kuriuose PDF failuose yra konkretaus asmens duomenys. Jeigu failų tūkstančiai, turėtumėte svarstyti duomenų inventorizacijos sprendimus.

Kaip saugiai ištrinti PDF dokumentus su asmens duomenimis?

Paprasta „Delete" klavišo paspaudimas kompiuteryje nepakanka — failas gali būti atkurtas iš šiukšliadėžės arba disko atstatymo įrankiais. GDPR reikalauja, kad duomenys būtų sunaikinti neatstatomai. Rekomenduojami metodai:

• Saugus failų trynimas naudojant specialią programinę įrangą, kuri perrašo disko sektorius (pvz., „Eraser" sistemoje Windows).
• Fizinis kietojo disko sunaikinimas, kai įrenginys išmesamas ar perduodamas kitiems.
• Debesies failų galutinis pašalinimas — daugelis platformų turi „permanent delete" funkciją, kuri ištrina failą ne tik iš sąrašo, bet ir iš serverių.
• Jeigu dokumentai saugomi archyvuose ar atsarginėse kopijose, ir iš jų reikia ištrinti konkretų asmenį — proceso aprašymas turi būti įtrauktas į jūsų duomenų tvarkymo politiką.

Praktiniai žingsniai: PDF ir GDPR atitikties kontrolinis sąrašas

Štai greitas patikrinimo sąrašas, kurį galite taikyti savo organizacijoje jau šiandien:

1. Peržiūrėkite, kokie PDF failai šiuo metu saugomi jūsų serveriuose ar debesyje — ar visi jie vis dar reikalingi?
2. Patikrinkite, ar PDF su asmens duomenimis yra apsaugoti slaptažodžiu arba šifruoti.
3. Išvalykite metaduomenis iš dokumentų prieš juos bendrindami.
4. Sudarykite ar atnaujinkite duomenų tvarkymo sutartis su debesies paslaugų teikėjais.
5. Apmokyti darbuotojus, kurie kasdien dirba su dokumentais, — jie turi žinoti pagrindines taisykles.
6. Nustatykite aiškius dokumentų saugojimo terminus ir automatizuokite jų peržiūrą.

GDPR atitiktis nėra vienkartinis projektas — tai nuolatinis procesas. Tačiau laikantis šių paprastų taisyklių galima ženkliai sumažinti riziką ir apsaugoti tiek savo klientų duomenis, tiek savo organizacijos reputaciją.