Hvorfor DPO'er skal gennemlyse anonymiseringsværktøjer
GDPR kræver en konsekvensanalyse vedrørende databeskyttelse (DPIA) ved højrisikobehandling. Behandling af PII i stor skala er højrisiko. Et anonymiseringsværktøj er en databehandler. Det er underlagt databehandlerreglerne. Du skal vurdere det, inden du går i drift.
To ting er påkrævet. Databehandlere skal tilbyde "tilstrækkelige garantier" for sikkerhed. Al behandling skal styres af en skriftlig kontrakt. Som DPO skal du dokumentere værktøjets sikkerhedskontroller, dets underdatabehandlere, hvor det hoster dine filer, hvordan det håndterer brud, og databehandleraftalen (DPA).
ISO 27001-certificering reducerer arbejdsbyrden. BSI fandt, at certificerede firmaer reducerer tidsforbruget på sikkerhedsspørgeskemaer med 73 %. Gartner fandt, at ISO 27001 kræves i 78 % af Fortune 500-udbud. Et certificeret værktøj lader dig citere certifikatet. Du behøver ikke gennemgå hver enkelt kontrol manuelt. Ikke-certificerede værktøjer kræver mere manuel gennemgang.
Se vores compliance-oversigt og sikkerhedsside for at lære, hvordan vi opfylder disse regler.
Syv ting at kontrollere
Brug denne liste til ethvert anonymiseringsværktøj eller leverandør.
1. Databehandleraftale. Er der indgået en GDPR-kompatibel DPA? Den skal dække: behandling kun efter dine instrukser, omsorgspligt, sikkerhedsforanstaltninger, kontrol med underdatabehandlere, hjælp til rettighedsanmodninger, bortskaffelse eller returnering af filer og revisionsrettigheder.
2. Sikkerhedsdokumentation. Er sikkerhedsforanstaltningerne skriftligt dokumenteret? ISO 27001-certificerede leverandører kan pege på deres certifikat og Statement of Applicability. Det opfylder kravet.
3. Liste over underdatabehandlere. Bruger værktøjet underdatabehandlere? Er de navngivet? Du har krav på forudgående varsel om enhver ændring. Cloudværter, CDN'er og OCR-værktøjer tæller alle med. Manglende navne er et hyppigt hul.
4. Hvor filer hostes. Er dine data hostet i EU? EU-hosting er nemmest for EU-baserede firmaer. Zero-knowledge-værktøjer er også fine — ingen filer forlader overhovedet din enhed. USA-baserede leverandører kræver Standard Contractual Clauses (SCC'er).
5. Brudmeddelelse. Hvor hurtigt vil leverandøren informere dig om et brud? Loven kræver underretning til din tilsynsmyndighed inden for 72 timer. Din leverandør skal advare dig først. Kontroller, at DPA'en bekræfter dette.
6. Leverandørens DPIA. Har leverandøren udarbejdet deres egen DPIA? Kan du læse den? Ingen DPIA betyder et hul i din egen dokumentation. Dette er et hyppigt problem.
7. Sletning og portabilitet. Kan leverandøren håndtere slette- og portabilitetsanmodninger? Zero-knowledge-værktøjer lagrer ingen filer, så sletning gælder muligvis ikke. DPIA'en skal sige det.
En god leverandør giver dig fire elementer: ISO 27001-certifikat, bevis for EU-hosting, deres DPIA og en underskrevet DPA. Disse fire elementer udfylder ethvert hul i din egen DPIA. Din tilsynsmyndighed vil være tilfreds.
Læs vores DPO FAQ for hyppige spørgsmål om leverandørgennemgang.