Jeden nástroj, tři rámce
Tým ochrany soukromí zpracovává soubory zákazníků z EU podle GDPR v pondělí. Zdravotnické záznamy podle HIPAA v úterý. Data spotřebitelů z Kalifornie podle CCPA ve středu.
Každý zákon má jiná pravidla. Každý dokument potřebuje jiné nastavení.
Přepínání mezi třemi sadami pravidel každý den vytváří chyby. Špatné nastavení na špatném souboru způsobí selhání souladu s předpisy nebo ztrátu dat.
Pojmenované profily souladu to opravují. Jedno uložené nastavení na zákon. Žádná ruční překonfigurace.
GDPR — Co pokrývá
GDPR se vztahuje na veškeré osobní údaje. Platí pro jakékoli fyzické osoby z EU, které lze identifikovat. Neexistuje pevný seznam toho, co se počítá. Jakékoli informace vztahující se k osobě jsou v rozsahu.
Zvláštní kategorie — zdravotní data, náboženské přesvědčení, politické názory — dostávají extra ochranu podle článku 9.
Běžné typy entit pro práci s dokumenty: jména, adresy, národní identifikátory, e-maily, telefonní čísla, IP adresy, kreditní karty.
Spráné rozhodnutí závisí na kontextu. GDPR nemá pevný seznam.
HIPAA — Co pokrývá
HIPAA Safe Harbor definuje přesně 18 typů identifikátorů. Všech 18 musí být odstraněno ze zdravotních záznamů.
Dvě pravidla překvapí týmy:
- Data se redukují pouze na rok. Měsíc a den jsou odstraněny. Rok zůstává.
- Geografické oblasti menší než stát musí být odstraněny.
Tato pravidla se vztahují pouze na kryté subjekty a jejich obchodní partnery.
CCPA — Co pokrývá
CCPA pokrývá osobní informace propojené s residents Kalifornie. Rozsah je široký. Zahrnuje přímé identifikátory, internetovou aktivitu, historii nákupů, geolokační data, biometrická data a profilové inference.
Pro práci s dokumenty se zaměřte na přímé identifikátory: jména, SSN, řidičské průkazy, čísla pasů, e-maily, čísla účtů, IP adresy, ID zařízení.
Historie nákupů a protokoly procházení se v dokumentu jako prostý text vyskytují zřídka.
Proč ruční přepínání selhává
Ruční přepínání vytváří chyby. Soubor GDPR spuštěný s nastavením HIPAA zachytí pravidla pro data, která GDPR nepotřebuje. Soubor HIPAA spuštěný s nastavením GDPR přehlédne geografická pravidla, která Safe Harbor vyžaduje.
Studie ukazují, že ruční přepínání rámců produkuje chyby přibližně v 15 % případů. Každá chyba je buď selhání souladu s předpisy, nebo událost ztráty dat.
Pracovníci musí mít na paměti tři sady pravidel a pokaždé aplikovat tu správnou. To není proces. Je to každodenní odhad.
Tři pojmenovaná nastavení
„Standard GDPR — Zákazníci EU”
Detekuje: jména, adresy, národní identifikátory, e-maily, telefonní čísla, IP adresy, kreditní karty.
Metoda: Redact.
Vyluč data, pokud datum narození není v rozsahu. Zahrň IP adresy pro práci s online daty.
„HIPAA Safe Harbor — Zdravotnictví”
Detekuje: jména osob, data, polohy pod úrovní státu, telefon, fax, e-mail, SSN, čísla zdravotních záznamů, ID zdravotních plánů, čísla účtů, čísla certifikátů, ID vozidel, ID zařízení, URL, IP adresy, biometrická ID. To pokrývá všech 18 typů Safe Harbor.
Metoda: Redact. Pro data: ponechej rok. Odstraň měsíc a den.
Přidej vlastní vzor pro formát čísla zdravotního záznamu vašeho zařízení.
„CCPA — Spotřebitel z Kalifornie”
Detekuje: jména, adresy, telefonní čísla, e-maily, SSN, řidičské průkazy, čísla pasů, kreditní karty, IP adresy, URL, čísla účtů, ID zařízení.
Metoda: Replace (nejlepší pro analytiku) nebo Redact.
Každé uložené nastavení uzamkne rozhodnutí o souladu s předpisy. Operátor vybere profil, který odpovídá právnímu kontextu dokumentu. Žádný seznam entit k sestavení. Žádná metoda k výběru.
Míry chyb před a po
Před pojmenovanými profily: Pracovníci ručně překonfigurují pro každý zákon. Míra chyb je blízko 15 %. Roční audity každý rok nacházejí zjištění ohledně aplikace rámců.
Po pojmenovaných profilech: Pracovníci vybírají uložený profil. Nastavení je pevné. Míra chyb klesne pod 2 %. Zbývající chyby pocházejí z výběru špatného profilu. Přezkum QA je zachytí. Audity procházejí bez zjištění.
Klíčová změna: rozhodnutí o souladu s předpisy se přesouvá z každodenního výkonu na vytváření profilu. Specialista se rozhodne jednou. Každý operátor to aplikuje bez přemýšlení.
Řízení týmu s více rámci
Přiřaďte vlastnictví. Jeden vedoucí na zákon. Vedoucí GDPR vlastní profil GDPR. Compliance officer HIPAA vlastní nastavení HIPAA. Každý vedoucí přezkoumává svůj profil každé čtvrtletí.
Směrujte podle zdroje. Data zákazníků z EU používají profil GDPR. Data zdravotnictví z USA používají profil HIPAA. Data spotřebitelů z Kalifornie používají profil CCPA.
Zaznamenávejte každý běh. Záznamy o zpracování zaznamenávají, který profil byl použit pro každou dávku. Když auditor ptá se, jak byl soubor zpracován, odpovědí je název profilu, datum a protokol konfigurace.
Posouvejte aktualizace. Když EDPB vydá nové pokyny, vedoucí GDPR aktualizuje sdílené nastavení. Všechny budoucí běhy si změnu vyzvednou. Nikoho není třeba informovat.
Pro hlubší pohled na správu profilu a auditní důkazy viz přednastavení anonymizace a konzistence auditu GDPR. Pro podrobné pokrytí entit HIPAA Safe Harbor viz de-identifikace HIPAA Safe Harbor pro zdravotnický výzkum.
Závěr
Tři zákony. Tři uložené profily. Jeden nástroj.
Složitost leží na úrovni definice profilu. Ne v každodenním zpracování. Operátoři nemusí znát pravidla HIPAA pro data. Musí vědět, který profil odpovídá dokumentu před nimi.
Pojmenovaná nastavení snižují kognitivní zátěž. Snižují chyby. Prokazují soulad s předpisy.