Wat Jou DPO moet Goedkeur vir Jou...

Die DPIA-Verkooperbeoordeling Vereis

GDPR Artikel 35 vereis Data Protection Impact Assessments vir verwerking waarskynlik tot hoë-risiko aan individue se regte en vryhede. Groot-skaal persoonlike data-verwerking (Artikel 35(3)(b)) val binne hierdie vereis. Wanneer 'n organisasie 'n anonimiseringshulpmiddel vir groot-skaal PII-verwerking plaas, moet die DPIA die hulpmiddel as 'n dataverwerkter onder GDPR Artikel 28 evalueer.

Artiekel 28 vereis dat dataverwerkingters "voldoende waarborge" bied dat hulle GDPR-nalewig sal wees. Dit sluit sekuriteit-kontroles, derde-party prosesseraar-agreements, en nalewig-attestering in.

Vir DPO's wat anonimiseringshulpmiddel-evalueering doen, hier is die artikel 28-kontrolelys:

Kontrolegebied 1: Sekuriteit-Kontroles

1. ISO 27001-Sertifikasie: Het die hulpmiddel-verkoper 'n geldige ISO 27001-sertifikasie?

   • Geldiger tot: [Datum]
   • Sertifiseraar: [Firma]
   • Beskoepingsverklaring: Bevestig dat sekuriteit-kontroles for anonimiseringsfunksies ingesluit is

2. Enkripsiesterktes: Het die hulpmiddel:

   • Data-in-transit enkripsie (TLS 1.2+)?
   • Data-at-rest enkripsie (AES-256)?
   • Enkripsie-sleutel-bestuursprotokol (derde-party HSM, of bedrijfsseie KMS)?

3. Toegangkontroles: Dokumenteer:

   • Rol-gebaseerde toegangsbeheer (RBAC)
   • Multi-factor autentifisering (MFA) vir administreerders
   • Sessie-time-out en rekening-slotting beleid

4. Odit en Logging: Het die hulpmiddel:

   • Volledige ouditspore van elke anonimiseering-operasie?
   • Tamper-proof logs (bv. append-only database)?
   • Log-besturingsduur (minstens 1 jaar)?

5. Netwerksekuriteit: Bevestig:

   • Firewall-isolasie van anonimiseering-serverbasiese toestelle
   • Geen direkte internettoegang (WAF, API-grasie)
   • DDoS-beskerming

Kontrolegebied 2: Data-Besturingslys (Subprocessors)

1. Derde-Party Rekenaarprosesseraar-Lys: Vra om 'n volledige lys van alle derde-party ondernemers wat persoonlike data verwerk.

   • Naam, doel, lokasie
   • Artikel 28 Ondernemers-Agreement ondertekening
   • Deur die DPA goedgekeur?

2. Datasentrums-Ligging: Bevestig dat alle persoonlike data op EU-gebaseerde serverbasiese toestelle verwerk word (OF, as US-serverbasiese toestelle, is Artikel 46-oorbraagmeganiee gedokumenteer).

3. Subprocessor-Veranderinge: Vra om 'n proses hoe die hulpmiddel-verkoper DPA's meedelen van nuwe subprocessors met 30+ dae-kennisgewing.

Kontrolegebied 3: DPIA-Dokumentasie

1. Gekopieerde DPIA: Vra om die verkoper se eie DPIA vir hul anonimiseringplattform.

   • Verwerkings-doeleindes
   • Noodsaaklikheid-beoordeling
   • Risiko-beoordeling (Geslacht heridentifiserings-risiko's, herbeklings-risiko's, derde-party risiko's)
   • Behepte-implementering
   • Toeverslagbeoordeling

2. Jou Organisasie se DPIA: Voer jou eie DPIA uit wat:

   • Die hulpmiddel as 'n Artikel 28-verwerkter evalueer
   • Oordrag-risiko's evalueer (as die hulpmiddel nie EU-gebaseerd is)
   • Herkoppeling-risiko's evalueer (as pseudonimisering gebruik word)

Kontrolegebied 4: Nalewig-Attestering

1. SOC 2 of eGVA-Rapport: Vra om:

   • 'n Jongste SOC 2 Tipe II rapport (minstens jaarliks)
   • 'n eGVA-rapport (EU-gebasseerde hulpmiddel-verkopers)
   • Bevestiging dat sleutelarea's gegek word (enkripsie, toegangkontroles, logging)

2. Veiligheid-Vraelys-Antwoorde: Voer 'n standaard 150–200-vraag-veiligheid-vraelys uit (AICPA, Cloud Security Alliance, of ISO 27001-gebaseer)

   • Geskakelde antwoorde
   • Bewyse vir elke kontrole (logs, sertifikate, dokumente)

3. Nalewig-Sertifikate:

   • ISO 27001
   • HIPAA Business Associate Agreement (indien van toepassing)
   • EU-Data Residency Werklys
   • GDPR Nalewig Attestering

Kontrolegebied 5: Insident-Respons

1. Insident-Notiserings-Pligtigheid: Bevestig dat die hulpmiddel-verkoper jou organisasie binne 24 ure van enige vermeende datadoorbreking meedelen sal.

2. Insident-Ondersoeks-Bystand: Bevestig dat die hulpmiddel-verkoper:

   • Logs en bewyse sal levering vir ondersoeks
   • Forensiese analise sal uitvoer
   • 'n nalawingenrapport sal levering

3. Artikel 33 Steun: Bevestig dat die hulpmiddel-verkoper jou organisasie sal help met Artikel 33-notiseeringe aan DPA's en Artikel 34-notiseeringe aan individue.

Kontrolegebied 6: Artikel 28-Kontrak-Klousule

Bevestig dat 'n Artikel 28 Data Processing Agreement (DPA) ondergetekend is, met:

1. Verwerking-Doeleindes: "Anonimisering van persoonlike data onder organisasie se toesig"

2. Persoonlike Data-Kategorieë: Spesifiseer watter persoonlike datakategorieë (bv. "sosiaalversekeringsnommers", "e-posadresse", "betalingsinligting") die hulpmiddel sal verwerk.

3. Duur van Verwerking: Spesifiseer hoe lank die data in die hulpmiddel bly (bv. "30 dae", "soos nodig vir anonimisering, dan verwijder").

4. Hulpmiddel-Verkoops-Verantwoordelikhede:

   • Implementering van Artikel 32-sekuriteit-behepte
   • Nalewig met subprocessor-vereistes (Artikel 28(2)–(3))
   • Ondersteuning van DPA-regte (Artikel 28(3)(e))
   • Dataherstel-toestellings-lys
   • Artikel 17 en 18-regte-borging

5. Organisasie-Verantwoordelikhede:

   • Artikel 35 DPIA-uitvoering
   • Artikel 33 insident-notisering (as van toepassing)
   • Data-onderwerp-regte-verwerking

6. Beëindigings-Klousule: Bevestig:

   • Organisasie kan die overeenkomst opzeggen sonder boete
   • Hulpmiddel-verkoper sal alle persoonlike data verwijder (of teruggegeven) op beëindigings-datum
   • Geen "aggenture-verwerking" na beëindigings-datum

Kontrolegebied 7: Komp-Onderwerpen-Regte

Bevestig dat de hulpmiddel-verkoper jou organisasie sal ondersteunen vir:

1. Artikel 17 (Regte tot Uitwissing): Hulpmiddel sal:

   • Alle werklike (non-anonimiseerde) kopies van persoonlike data verwijderen
   • Backups purger
   • Artikel 17-versoeke binne 30 dae verwerken

2. Artikel 15 (Regte tot Toegang): Hulpmiddel sal:

   • Anonimiseerde data levering, of
   • Bevestig dat data anonimiseerd is en daarom niet beschikbaar is

3. Artikel 20 (Regte tot Poontabiliteit): Hulpmiddel sal:

   • Anonimiseerde data in machinelesbare formaat levering (CSV, JSON)

Implementasie-Proces

Fase 1 (Vendor-Selectie, 2 weke):

1. Vra om ISO 27001-sertifikasie en SOC 2-rapport
2. Voer 150-vraag-veiligheid-vraelys uit
3. Evalueer Artikel 28 DPA-voorvoorstel

Fase 2 (DPIA, 4 weke):

1. Voer jou eie DPIA uit
2. Werk op vend-risiko's
3. Finaliseer Artikel 28 DPA

Fase 3 (Implementasie, 4-6 weke):

1. Configureer hulpmiddel
2. Voer penetrasietesting uit
3. Implementeer logging en oudit
4. Finaliseer incident-respons-proses

Fase 4 (Jaarlikse Bewakinge):

1. Hernieuwing van ISO 27001 + SOC 2-rapporte
2. Jaarlikse veiligheid-vraelys-update
3. Jaarlikse Artikel 28-DPA-update

Gevolgtrekking

De Artikel 28 vendor-beoordeling-lyst vergew staat dat jou DPO ('n rigoureuze, gedokumenteerde proses kan volgen vir anonimiseringshulpmiddel-selectie — en dat jou organisasie GDPR-nalewing kan demonstreren aan DPA's.