Ο Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) — ο Ομοσπονδιακός Επίτροπος Προστασίας Δεδομένων της Γερμανίας — έχει ανέλθει ως ένα από τα πιο αυστηρά DPA της ΕΕ.
Το 2024, ο BfDI:
- Εξέδωσε €67 εκατ. σε πρόστιμα
- Εξέδωσε 42 αποφάσεις επιβολής
- Ερμηνεύει GDPR Άρθρο 32 (ασφάλεια δεδομένων) ως "πρέπει να χρησιμοποιήσετε πρότυπο κρυπτογράφησης ή καλώς-γνωστό εργαλείο"
Η Δημοσιογράφηση Λογικής Του BfDI
Όταν ο BfDI εξέδωσε πρόστιμο:
1. Υπαγόρευση του κρυπτογράφησης αλγορίθμου: Ο BfDI δεν αποδέχεται φράσεις "κρυπτογραφείται αλλά δεν διευκρινίζουμε ποιος αλγόριθμος". Απαιτεί φάνερη δήλωση (AES-256, ChaCha20, κ.λπ.).
2. Έλεγχος Κλειδιού Χρήσης: Ο BfDI απαιτεί έγγραφο:
- Πόσο καιρό κάθε κλειδί χρησιμοποιήθηκε
- Πώς αποθηκεύονταν κλειδιά (HSM, KMS, εμπιστευόμενος χώρα)
- Πώς τα κλειδιά περιστρέφηκαν ή αποσύρθηκαν
3. Έλεγχος Πρόσβασης Ημερολόγιο: Τα δεδομένα που κρυπτογραφούνται πρέπει να έχουν έλεγχο πρόσβασης που εγγράφεται (π.χ., ποιος εξήλθε το κλειδί, πότε).
Τεχνική Ερμηνεία Του BfDI
Ασφάλεια Δεδομένων (Άρθρο 32)
Ο BfDI ορίζει "κατάλληλα τεχνικά μέτρα" ως:
Ελάχιστα:
- AES-256 για κρυπτογράφηση ηρεμίας
- TLS 1.2+ για κρυπτογράφηση σε κατάσταση μεταφοράς
- PBKDF2-SHA256 ≥ 600,000 iterations για παραγωγή κλειδιού κωδικού
Βέλτιστη πρακτική (κατά BfDI):
- AES-256-GCM
- TLS 1.3
- bcrypt ή scrypt για κωδικούς πρόσβασης
Αλκοολούχα Δεδομένα (Άρθρο 9)
Για ειδικές κατηγορίες (υγεία, παρουσιολόγιο, κ.λπ.), ο BfDI απαιτεί ακόμη πιο αυστηρά μέτρα:
- Διπλή κρυπτογράφηση (κρυπτογράφηση κατάστασης + κρυπτογράφηση μεταφοράς)
- Ρήτρα ασφάλειας (πολλαπλά κλειδιά που δεν εμπιστεύονται σε μέρος)
Ενημέρωση: Τα Δεδομένα Που Δεν Θα Πρέπει Να Αποθηκεύονται Στη Γερμανία
Ο BfDI ανακάλυψε ότι ορισμένες εταιρείες αποθήκευαν δεδομένα πελατών της Γερμανίας σε αμερικανικούς διακομιστές χωρίς κρυπτογράφηση. Ο BfDI ήταν αυστηρός:
"Διαρροή δεδομένων μέσω US παρακολούθησης προγραμμάτων" (2022, €9,55M πρόστιμο) μόνο επειδή δεδομένα φιλοξενίας στο AWS US με δικαιώματα πρόσβασης των ΗΠΑ.
Ανάρτηση:
- Δεδομένα γερμανικών πολιτών δεν θα πρέπει να αποθηκεύονται σε US υποδομή χωρίς κρυπτογράφηση.
- Ακόμη κι αν κρυπτογραφημένα, η εταιρεία πρέπει να απαιτεί ότι ο διακομιστής δεν έχει πρόσβαση στα κλειδιά (φέρεται ως "zero-knowledge" hosting).
Πώς να Είστε Συμμόρφ Με το BfDI
1. Αποφασίστε Για Κρυπτογράφησης Πολιτική
Εκδώστε ένα έγγραφο που διευκρινίζει:
- Αλγόριθμος κρυπτογράφησης (AES-256)
- Χειρισμό κλειδιού (HSM ή KMS)
- Πόσο καιρί θα κρυπτογραφηθεί
- Πώς θα αποσυρθεί τα κλειδιά
2. Καταγράφει Πρόσβαση στο Κλειδί
Κάθε χρόνος που κάποιος εξήλθε ένα κλειδί κρυπτογραφημένης:
- Ποιος (όνομα ή ID)
- Πότε
- Γιατί (π.χ., ανάκτηση δεδομένων, περιστροφή κλειδιού)
3. Ενημέρωση Κρυπτογράφησης Μηνιαία
Ο BfDI θα ρωτά κατά τη δια/τι δηλώσης:
- Πότε ενημερώθηκε το κρυπτογράφησης πολιτική τελευταία
- Πόσο καιρί εις ο κρυπτογράφησης αλγόριθμος θεωρείται ασφαλής
4. Μετάφραση Δεδομένων Εκτός Γερμανίας
Εάν ήδη αποθήκευση δεδομένων γερμανικών πολιτών σε US υποδομή:
- Μετάφραση προς EU υποδομή
- Ή, κρυπτογράφηση με κλειδί που δεν έχει ακόμη πρόσβαση US εταιρεία
Παράδειγμα: Γερμανική Εταιρεία Που Συμμόρφ
Εταιρεία αποθήκευσης δεδομένα πελατών (όνομα, email, τηλέφωνο, σκοτεινή δημογραφικά) είχε:
- Κρυπτογράφηση: AES-256-GCM
- Χειρισμό Κλειδιού: AWS KMS με HSM support
- Πρόσβαση Ημερολόγιο: CloudTrail καταγράφει
- Πολιτική Ενημέρωσης: Ανάθεση ασφάλειας ανά 6 μήνες
- Κατέστημα Δεδομένων: Frankfurt AWS (DE) χώρο
Ο BfDI δεν ήταν ενάντια, επειδή:
- Πρότυπο κρυπτογράφησης
- EU χώρα
- Έλεγχος πρόσβασης ημερολόγιο
Διαφορές Από Άλλες DPA
| DPA | Κρυπτογράφησης Ερμηνεία | Δεδομένα Χώρα |
|---|---|---|
| BfDI (Γερμανία) | Πολύ αυστηρή — πρέπει διευκρινίστηκε ποιος αλγόριθμος, μήνυση για ενημέρωση | Προτιμώμενο EU |
| ICO (UK) | Αυστηρή — Κρυπτογράφηση ≥ State-of-the-art | Μεγ UK |
| CNIL (Γαλλία) | Μεσαία — Απαιτεί AES-256, δεν χρειάζεται λεπτομέρειες | Προτιμώμενο EU |
Χώρα Τακτικής Αναθεωρήσεων Της Σας Κρυπτογράφησης
-
**Εάν βρίσκονται σε γερμανικό ή EU:
- Αναθεώρηση κάθε 6 μήνες
- Απαιτεί AES-256 τουλάχιστον
- Αποθήκευση δεδομένα σε EU
-
Εάν δεδομένα αποθηκεύσιμα στο US (άμα απαιτούμενο):
- Μετάφραση κρυπτογράφησης κλειδιού σε EU ή zero-knowledge host
- Τεκμηρίωση γιατί δεδομένα πρέπει να είναι σε US
Πηγές: