Selhání auditu GDPR: Roztříštěné nástroje OÚ
Aktualizováno pro rok 2026.
Váš auditor se zeptá na jednu otázku: jaké technické kontroly chrání osobní data? Špatná odpověď: používáme pět různých nástrojů. Zde je vysvětlení, proč používání pěti nástrojů u auditů GDPR selhává — a jak vypadá čistá odpověď.
Moment auditu
Vyšetřovatel Úřadu pro ochranu osobních údajů (DPA) se setká s pracovníkem compliance. DPA prošetřuje stížnost subjektu údajů. Bývalý zákazník tvrdí, že s jeho daty bylo nesprávně nakládáno.
Otázka: Jaké kontroly vaše organizace používá k ochraně osobních dat, když je zaměstnanci zpracovávají?
Pracovník compliance: Naši právníci používají doplněk pro Word. Pracovníci podpory používají rozšíření Chrome. Náš datový tým má skript v Pythonu. Pro jednorázové požadavky může kdokoli použít webovou aplikaci.
Vyšetřovatel: Jsou to stejné nástroje? Stejný engine? Stejné pokrytí?
Pracovník compliance: Ne. Fungují různě.
V ten moment se audit stává obtížným.
Proč roztříštěné nástroje selhávají u článku 32
Článek 32 GDPR vyžaduje vhodná technická a organizační opatření. Standard má dvě části.
Přiměřenost riziku. Opatření musí odpovídat riziku. Pro osobní data zpracovávaná napříč mnoha pracovními postupy je vyžadována konzistentní detekce OÚ. Detekce, která se liší podle nástroje, tuto hranici nesplňuje.
Prokazatelnost. Opatření musí být prokazatelná. Článek 5(2) — zásada odpovědnosti — vyžaduje, aby správci byli schopni prokázat soulad. To znamená důkazy o konzistentní kontrole. Nikoli maximální úsilí. Konzistenci.
Rozdělení nástrojů selhává v prokazatelnosti. Nástroj A detekuje 285 typů entit. Nástroj B detekuje 50. Nástroj C detekuje 200, ale s jinými prahovými hodnotami. S takovým nástrojovým stackem nelze prokázat konzistentní ochranu. Lze pouze ukázat, že některé nástroje běžely v některých kontextech.
Zjištění DPA týkající se rozděleného nástrojového stacku zní: Technické kontroly pro ochranu OÚ jsou napříč pracovními postupy nekonzistentní. To vytváří mezery v pokrytí a brání centralizovanému přezkumu auditního záznamu.
Problém odhalení mezery
Často nevíte, kde jsou vaše mezery v pokrytí, dokud nedojde k porušení.
Řekněme, že nástroj B (používaný datovým týmem) nedetekuje čísla národních identifikačních dokladů EU. Nástroj A (používaný právníky) ano. Tato mezera je za normálního provozu neviditelná. Soubory se zpracovávají. Žádná upozornění se nespouštějí. Nic nevypadá špatně.
Mezera se objeví, když:
- Číslo národního identifikačního dokladu EU se objeví v souboru zpracovaném datovým týmem
- Tento soubor je sdílen bez kontrol
- Subjekt údajů odhalí expozici a podá stížnost GDPR
Nyní DPA odhalí mezeru. Datový tým spustil nástroj s jiným pokrytím než ostatní týmy. Mezera, která měla být nalezena a uzavřena.
Sjednocené pokrytí to napraví. Stejné typy entit jsou detekovány ve všech kontextech. Mezery se stanou viditelnými — nulová detekce entity X v jakémkoli pracovním postupu — spíše než skrytými.
Viz GDPR článek 32 a monitorování nástrojů AI pro informace o tom, co auditoři hledají v technických kontrolách.
Jak vypadá čistá odpověď na soulad
Pracovník compliance se sjednocenou platformou odpovídá jinak.
Používáme jednu platformu pro detekci OÚ napříč všemi pracovními postupy. Právníci, pracovníci podpory a datoví inženýři používají stejný detekční engine. Rozhraní se liší — doplněk Word, rozšíření Chrome, desktopová aplikace — ale model a nastavení jsou stejné. Veškeré zpracování se zaznamenává do centrálního auditního záznamu. Naše nastavení pokrývá 285+ typů entit s přednastavenými hodnotami odpovídajícími jurisdikci. Mohu vytáhnout jakékoli časové období, které potřebujete.
Tato odpověď je:
- Konkrétní. Jmenuje platformu a vysvětluje nastavení pro více platforem.
- Konzistentní. Stejný detekční engine se přímo zabývá obavou o pokrytí.
- Prokazatelná. Centrální auditní záznam znamená, že důkazy jsou připraveny na vyžádání.
Když vyšetřovatel požádá o auditní záznam pro konkrétní subjekt údajů, žádost je okamžitě splněna.
Standard konzistence napříč platformami
Pro silnou pozici podle článku 32 jsou toto minimální požadavky.
Konzistence detekce:
- Stejný detekční model nebo API napříč všemi platformami
- Stejné pokrytí typů entit — pokud webová aplikace kontroluje 285 entit, desktopová aplikace musí také
- Stejné prahové hodnoty spolehlivosti — žádný nástroj není uvolněnější ani přísnější pro stejný typ entity
- Stejné náhradní tokeny pro stejné typy entit
- Centrální auditní záznam napříč všemi platformami
Požadavky na dokumentaci:
- Snímek konfigurace: aktuální pokrytí entit a prahové hodnoty
- Historie změn: co se změnilo a kdy
- Důkaz pokrytí: všechny platformy sdílejí stejné nastavení
Toto lze vybudovat pro nástrojový stack s více nástroji. Ale vyžaduje to formální správu konfigurace a pravidelné meziplatformní audity. Jedna platforma dává jednoduchou odpověď: Toto je nastavení. Platí všude. Toto je auditní záznam.
Pro širší pohled na konzistenci napříč platformami viz Soulad s ochranou OÚ napříč platformami: Mac, Linux, Windows.
Praktický přechod: Od roztříštění ke sjednocení
Krok 1: Zmapujte nástroje a pokrytí
- Vypište každý nástroj podle týmu a pracovního postupu
- Zdokumentujte, jaké typy OÚ každý nástroj detekuje
- Najděte mezery — co detekuje nástroj A, co nástroj B přehlédne?
Krok 2: Definujte standard pokrytí
- Na základě vašich povinností — typy entit GDPR, PHI HIPAA, kategorie CCPA
- Nastavte jeden standard platný pro všechny pracovní postupy
Krok 3: Vyberte sjednocenou platformu
- Může být nasazena napříč webem, desktopem, Wordem a prohlížečem?
- Splňuje váš standard pokrytí?
- Poskytuje centralizovaný auditní záznam?
Krok 4: Migrujte
- Začněte s pracovními postupy s nejvyšším rizikem
- Přecházejte tým po týmu a deaktivujte starší nástroje, jak uživatelé migrují
- Zaznamenejte migraci do svého compliance logu
Roztříštění nástrojů je jednou z nejčastějších mezer v kontrolách GDPR nalezených při auditech. Informace o tom, jak se to projevuje v distribuovaných týmech, naleznete v článku Vzdálená práce a GDPR: Nekonzistence platforem.