DPOek Zergatik Anonimizazio-Tresnak Ebaluatu Behar Dituzten
GDPRk Datu Babesaren Inpaktu Ebaluaketa (DPIA) bat eskatzen du arrisku handiko lanetarako. Eskala handiko PII prozesatzea arrisku handia da. Anonimizazio-tresna bat datu-prozesatzaile bat da. Prozesatzaile-arauetan sartzen da. Martxan jarri aurretik ebaluatu behar duzu.
Bi gauza behar dira. Prozesatzaileek segurtasunerako "berme nahikoak" eskaini behar dituzte. Prozesatze guztia idatzizko kontratu baten bidez gobernatu behar da. DPO gisa, erregistratu tresnaren segurtasun-kontrolak, azpiprozesatzaileak, zure fitxategiak nola ostatzen dituzten, hausteei nola erantzuten dieten, eta datu-prozesatze-akordioa (DPA).
ISO 27001 ziurtagiriak lana murrizten du. BSI-k ikusi du ziurtatutako enpresek segurtasun-galdeketetan %73 denbora gutxiago erabiltzen dutela. Gartner-ek ikusi du ISO 27001 Fortune 500 eskaintzen %78an eskatzen dela. Tresna ziurtatuak ziurtagiria aipa dezake. Ez dituzu kontrol bakoitza eskuz egiaztatu beharrik. Ziurtatu gabeko tresnek ikuskapen eskuzko gehiago behar dute.
Ikusi gure betetzeko laburpena eta segurtasun-orria nola arau horiek betetzen ditugun jakiteko.
Egiaztatzeko Zazpi Gauza
Erabili zerrenda hau edozein anonimizazio-tresna edo hornitzailerentzat.
1. Datu-prozesatze-akordioa. GDPRrekin bateragarria den DPA bat al dago? Hauek estali behar ditu: zure aginduetan soilik prozesatzea, arreta-betebeharra, segurtasun-urratsak, azpiprozesatzaileen kontrola, eskubide-eskarei laguntza, fitxategien suntsitzea edo itzulera, eta ikuskaritza-eskubideak.
2. Segurtasun-erregistroak. Segurtasun-urratsak idatzita al daude? ISO 27001 ziurtatutako hornitzaileek ziurtagiria eta Aplikagarritasun-Adierazpena erakutsi dezakete. Hori eskakizuna betetzen du.
3. Azpiprozesatzaileen zerrenda. Tresnak azpiprozesatzaileak erabiltzen al ditu? Izendatuta al daude? Aldaketa orok aurretiko jakinarazpena behar du. Hodei-ostatatzaileak, CDNak eta OCR tresnak guztiak zenbatzen dira. Izenik ez egotea hutsune ohikoa da.
4. Fitxategiak non ostatuta dauden. Zure datuak EBn ostatuta al daude? EU ostalaritze EBko enpresentzat errazena da. Ezagutza-hutseko tresnak ere ondo daude -- fitxategirik ez da zure gailutik ateratzen. AEBetan oinarritutako hornitzaileek Klausula Estandar Kontratuzkoak (SCCak) behar dituzte.
5. Hauste-jakinarazpena. Zein azkar abisatuko dizu hornitzaileak hauste baten berri? Legeak zure arautzaileari 72 ordutan jakinaraztea eskatzen du. Zure hornitzaileak lehenengo abisatu behar dizu. Egiaztatu DPAk hau berresten duela.
6. Hornitzailearen DPIA. Hornitzaileak bere DPIA egin al du? Ikus al dezakezu? DPIArik gabeak zure erregistroetan hutsunea esan nahi du. Arazo ohikoa da.
7. Ezabaketa eta eramangarritasuna. Hornitzaileak ezabaketa eta eramangarritasun-eskaerak kudea al ditzake? Ezagutza-hutseko tresnek fitxategirik gordetzen ez dutenez, ezabaketa agian ez da aplikagarria. DPIAk hori esan behar du.
Hornitzaile onak lau item ematen dizkizu: ISO 27001 ziurtagiria, EU ostalaritzearen froga, haien DPIA eta sinatutako DPA. Lau item horiek zure DPIAko hutsune guztiak betetzen dituzte. Zure arautzailea aseko da.
Irakurri gure DPOren FAQ hornitzaileen egiaztatzeei buruzko galdera ohikoetarako.