НПО са изправени пред реални правила по GDPR
Една организация за подкрепа на бежанци в Германия записва приемни интервюта. Всеки файл съдържа имена, семейни подробности и медицински бележки. GDPR е задължителен. Технологичният бюджет е 0 евро.
Това е ежедневието на хиляди НПО и благотворителни организации в цяла Европа. Те обработват много чувствителни записи. Тези записи биха могли да застрашат животи, ако изтекат. И трябва да спазват същите правила като големи фирми с цели екипи по поверителност.
Защо съществува пропастта
GDPR се прилага за всички. Обхваща глобална фармацевтична фирма с 50 милиона записа. Обхваща и НПО за бежанци с 500 интервюта годишно. Размерът няма значение. Бюджетът няма значение.
Член 32 изисква "подходящи технически и организационни мерки" от всички обработващи. Реалните технически защитни мерки са задължителни.
Големите компании могат да купуват инструменти и да назначават персонал по поверителност. НПО без бюджет са изправени пред същите правила. Не разполагат с нито един от тези ресурси.
Пропастта наранява най-уязвимите хора. Помислете за досиета в приюти за жертви на домашно насилие. Или за записи на бенефициенти на хуманитарни групи. Тези файлове се нуждаят от най-силна защита. Те often получават най-малко.
Какво могат да покрият безплатните инструменти
Не всяко изискване по GDPR изисква платен софтуер. Безплатните инструменти могат да отговарят на основните правила:
Минимизиране на данните (член 5(1)(в)): Премахнете или анонимизирайте личните данни, които не са необходими. Ръчният преглед работи, но е бавен. Безплатните автоматизирани инструменти намаляват разходите значително.
Псевдонимизация (член 4(5)): Заменете реалните имена с псевдоними. Това намалява риска, като запазва аналитичната стойност. Обратимото криптиране се квалифицира, когато ключът се съхранява отделно от файла.
Контроли за достъп: Ограничете кой може да преглежда лични файлове. Повечето системи за документи включват това без допълнителни разходи.
Анонимизиране за споделяне на изследвания: Споделянето на изследователски записи изисква съгласие или правилна анонимизация. Ръчното деидентифициране струва 2-5 евро на документ. Автоматизираните инструменти струват 0,001-0,01 евро.
Безплатни инструменти за НПО
Безплатно ниво на anonym.legal: Това е постоянно безплатно ниво. Не е пробен период. Дава 200 токена на месец. За НПО с нисък обем документи, това покрива основните нужди.
Безплатното ниво включва:
- Интерфейс на уеб браузър - не се изисква настройка
- 285+ типа обекти: имена, местоположения, медицински идентификатори и още
- Множество методи: редактиране, замяна, маскиране или криптиране
- Хостинг в ЕС - данните остават на европейски сървъри
- Обработка, съвместима с GDPR
За лека употреба 200 токена на месец може да са достатъчни. За по-голям обем планът Basic струва 3 евро на месец. Това е около 36 евро годишно.
Инструменти с отворен код (изискват техническа настройка):
- Microsoft Presidio: безплатен, изисква умения за Python и Docker
- ARX: безплатно настолно приложение за статистическа анонимизация
- Amnesia: безплатен, базиран на браузър, използва k-анонимност
Инструментите с отворен код имат едно ключово ограничение. Ако екипът ви няма технически персонал, не можете да ги внедрите. Безплатното ниво на anonym.legal работи в браузър. Всеки социален работник може да го използва директно.
Как работи на практика
Организация: НПО за подкрепа на бежанци, Германия Данни: Приемни интервюта - имена, семейни подробности, медицински бележки Цел: Споделяне на досиета с партньорски организации Проблем: Не може да споделя лични записи без съгласие или анонимизация Бюджет: 0 евро
Работният процес:
- Социален работник записва приемното интервю
- Документ качен в безплатното ниво на anonym.legal
- Имена, местоположения, дати на раждане и медицински подробности са анонимизирани
- Анонимизираното копие отива в партньорската организация
- Оригиналът остава в досието за вътрешна употреба
Това отговаря на членове 25 и 32 на GDPR при нулеви разходи. НПО регистрира този процес в регистъра на данните. Този запис е доказателство за комплайанс.
Ръчна работа срещу автоматизирани инструменти
За НПО, преглеждаща 1 000 документа годишно:
Ръчен преглед на лични данни:
- Време: 15-20 минути на документ
- При 20 евро/час: 5 000-6 700 евро годишно в работно време
- Процент на грешки: 5-10% пропускане
Автоматизирана анонимизация:
- Безплатно ниво: 200 токена на месец
- Планът Basic: 3 евро/месец = 36 евро/година за 1 000 токена/месец
- Процент на грешки: под 1% с NLP откриване
За 10 000 документа годишно, автоматизираните инструменти струват приблизително 10 евро/година. Това е спестяване от 99,8% спрямо ръчната работа.
Университетите са изправени пред същата стена
Изследователските екипи в университетите и медицинските центрове се сблъскват със същия проблем. GDPR изисква анонимизация преди споделяне на изследователски резултати. Бюджетите са ограничени. Изследователите не са IT персонал. Нуждаят се от инструменти, които могат да използват сами.
Изследователското изключение на GDPR (член 89) позволява обработка за изследвания с подходящи защитни мерки. Анонимизацията е една от тези мерки. Безплатните инструменти отварят врати, които разходите за комплайанс биха затворили.
Ценообразуването на база използване при 0,0001 евро на токен се мащабира с размера на екипа. Малките групи плащат много малко. Това работи добре за НПО и академични отдели.
Пет стъпки за всяко НПО
Стъпка 1: Изброете дейностите по обработка. Регистрирайте каква лична информация обработвате, защо и как я споделяте. Това е вашият Регистър на дейностите по обработка. GDPR го изисква от всички организации.
Стъпка 2: Намерете къде помага анонимизацията. За всяка дейност: може ли анонимизацията да отговори на нуждата? Или имате нужда от идентифицируеми записи за тази цел?
Стъпка 3: Изберете инструментите. Нетехнически екипи: използвайте безплатното ниво на anonym.legal. Екипи с IT поддръжка: обмислете Microsoft Presidio.
Стъпка 4: Документирайте какво правите. Отбележете, че използвате автоматизирана анонимизация като техническа защитна мярка. Това е вашето доказателство по член 32.
Стъпка 5: Запознайте екипа. Една 15-минутна сесия обхваща какво представляват личните данни, защо имат значение и как да се използва инструментът. Простите инструменти правят обучението кратко.
Комплайансът е достижим
Комплайансът с GDPR не е по избор за НПО. Но не е нужно да бъде скъп. Безплатните инструменти и ясните процеси могат да отговорят на техническите изисквания. Не ви трябва корпоративен бюджет.
Бежанци, оцелели и изследователски субекти заслужават силна защита на поверителността. Безплатните инструменти правят тази защита достъпна за групите, обслужващи най-уязвимите хора.
Научете как anonym.legal обработва техническите изисквания на GDPR. За типовете обекти и настройката вижте прегледа на сигурността и комплайанса. Чести въпроси са отговорени в FAQ за анонимизиране.