EHDS compliance by design: dlaczego governance staje się infrastrukturą

EHDS jest jednym z najczytelniejszych przykładów tego, jak governance staje się wykonywalną infrastrukturą.

Na gruncie rozporządzenia (UE) 2025/327 compliance nie ogranicza się już do polityk, dokumentacji, umów czy procedur organizacyjnych.

Zamiast tego rozporządzenie wpisuje governance bezpośrednio w systemy techniczne poprzez logowanie, traceability, kontrolę dostępu, secure execution, ograniczenia wyników i zarządzanie retencją.

Ten tekst pokazuje, jak EHDS tworzy maszynowo egzekwowalne governance, odpowiedzialność na poziomie infrastruktury i operacyjne architektury compliance.

Artykuł omawia również uprawnienia egzekucyjne, sankcje, zakazy reidentyfikacji, obowiązki health data users oraz rolę audytowalności w utrzymaniu zaufania.

EHDS zmienia więc relację między prawem, governance i architekturą techniczną.

Decyzje infrastrukturalne coraz częściej stają się decyzjami regulacyjnymi.

Compliance przechodzi do runtime

EHDS sprawia, że compliance staje się widoczne w operacjach technicznych. Artykuł 66 rozporządzenia (UE) 2025/327 wymaga minimalizacji i ograniczenia celu. Artykuł 67 rozporządzenia (UE) 2025/327 wymaga opisu zabezpieczeń, narzędzi, czasu przetwarzania i potrzeb danych. Artykuł 68 rozporządzenia (UE) 2025/327 zamienia te kryteria w decyzję permitową. Artykuł 73 rozporządzenia (UE) 2025/327 wymaga secure processing environments, które ograniczają dostęp, logują aktywność, kontrolują pobieranie danych i wspierają audytowalność.

Łącznie oznacza to, że compliance nie może pozostać wyłącznie w dokumentach. System musi być w stanie wykazać, co się wydarzyło: który użytkownik uzyskał dostęp do których danych, na podstawie którego permitu, w jakim środowisku, w jakim celu i jaki wynik mógł opuścić środowisko.

Governance jako architektura produktu

Dla twórców systemów zmienia to architekturę produktów związanych z EHDS. Silniki polityk, zarządzanie tożsamością, katalogi datasetów, usługi pseudonimizacji, logi audytowe, output review, retencja i usuwanie danych stają się funkcjami podstawowymi, a nie administracyjnymi dodatkami.

Dla instytucji publicznych compliance-by-design oznacza też inny nadzór: zamiast sprawdzać zgodność dopiero po incydencie, trzeba budować systemy, w których zgodne zachowanie jest domyślną ścieżką.

Zakończenie

EHDS dobrze pokazuje, że regulacja cyfrowa coraz częściej działa poprzez infrastrukturę. Najlepiej poradzą sobie organizacje, które potraktują governance jako coś, co należy projektować, testować, monitorować i ulepszać, a nie doklejać po zbudowaniu systemu.