NGOها با قوانین واقعی GDPR روبرو هستند
یک گروه پناهندگان در آلمان مصاحبههای پذیرش را ثبت میکند. هر پرونده شامل نام، جزئیات خانوادگی و یادداشتهای پزشکی است. GDPR الزامی است. بودجه فناوری 0 یورو است.
این زندگی روزانه هزاران NGO و خیریه در سراسر اروپا است. آنها سوابق بسیار حساسی را مدیریت میکنند. اگر این سوابق لو برود، میتواند جانها را در معرض خطر قرار دهد. و باید از همان قوانینی پیروی کنند که شرکتهای بزرگ با تیمهای کامل حریم خصوصی دارند.
چرا این شکاف وجود دارد
GDPR برای همه اعمال میشود. یک شرکت داروسازی جهانی با 50 میلیون سابقه را پوشش میدهد. یک NGO پناهندگان با 500 مصاحبه در سال را هم پوشش میدهد. اندازه اهمیت ندارد. بودجه اهمیت ندارد.
ماده 32 از همه پردازشکنندگان «اقدامات فنی و سازمانی مناسب» میخواهد. پادمانهای فنی واقعی الزامی هستند.
شرکتهای بزرگ میتوانند ابزار بخرند و کارمندان حریم خصوصی استخدام کنند. NGOها با بودجه صفر با همان قوانین روبرو هستند. آنها هیچیک از این منابع را ندارند.
این شکاف به آسیبپذیرترین افراد آسیب میزند. به پروندههای موارد در پناهگاههای خشونت خانگی فکر کنید. یا سوابق ذینفعان گروههای امدادی. این پروندهها به قویترین حفاظت نیاز دارند. اغلب کمترین حفاظت را دریافت میکنند.
آنچه ابزارهای رایگان میتوانند پوشش دهند
نه هر الزام GDPR به نرمافزار پولی نیاز دارد. ابزارهای رایگان میتوانند قوانین اصلی را برآورده کنند:
بهحداقلرسانی داده (ماده 5(1)(c)): PII که لازم نیست را حذف یا ناشناس کنید. بررسی دستی کار میکند اما کند است. ابزارهای رایگان خودکار هزینه را به شدت کاهش میدهند.
شبهنامسازی (ماده 4(5)): نامهای واقعی را با شبهنام جایگزین کنید. این ریسک را کاهش میدهد و در عین حال ارزش تحلیلی را حفظ میکند. رمزنگاری برگشتپذیر واجد شرایط است وقتی کلید جدا از پرونده ذخیره شود.
کنترل دسترسی: محدود کنید چه کسی میتواند پروندههای شخصی را ببیند. اکثر سیستمهای سند این را بدون هزینه اضافی شامل میشوند.
ناشناسسازی برای اشتراکگذاری تحقیقات: اشتراکگذاری سوابق تحقیقاتی نیازمند رضایت یا ناشناسسازی مناسب است. شناساییزدایی دستی 2 تا 5 یورو در هر سند هزینه دارد. ابزارهای خودکار 0.001 تا 0.01 یورو هزینه دارند.
ابزارهای رایگان برای NGOها
سطح رایگان anonym.legal: این یک سطح رایگان دائمی است. آزمایشی نیست. 200 توکن در ماه میدهد. برای یک NGO با حجم سند کم، این نیازهای اساسی را پوشش میدهد.
سطح رایگان شامل میشود:
- رابط مرورگر وب ـ بدون نیاز به راهاندازی
- بیش از 285 نوع موجودیت: نام، مکان، شناسههای پزشکی و موارد دیگر
- روشهای متعدد: ویرایش، جایگزینی، ماسک یا رمزنگاری
- میزبانی در اتحادیه اروپا ـ دادهها روی سرورهای اروپایی باقی میمانند
- پردازش مطابق با GDPR
برای استفاده سبک، 200 توکن در ماه ممکن است کافی باشد. برای حجم بیشتر، طرح پایه 3 یورو در ماه هزینه دارد. این حدود 36 یورو در سال است.
گزینههای منبع باز (نیازمند راهاندازی فنی):
- Microsoft Presidio: رایگان، نیازمند مهارت Python و Docker
- ARX: برنامه دسکتاپ رایگان برای ناشناسسازی آماری
- Amnesia: رایگان، مبتنی بر مرورگر، از k-anonymity استفاده میکند
ابزارهای منبع باز یک محدودیت کلیدی دارند. اگر تیم شما کارمند فنی ندارد، نمیتوانید آنها را راهاندازی کنید. سطح رایگان انوملگال در یک مرورگر اجرا میشود. هر کارمند مددکاری میتواند مستقیماً از آن استفاده کند.
نحوه عملکرد در عمل
سازمان: NGO حمایت از پناهندگان، آلمان داده: مصاحبههای پذیرش ـ نام، جزئیات خانوادگی، یادداشتهای پزشکی هدف: اشتراکگذاری پروندههای موارد با سازمانهای شریک مشکل: نمیتوان سوابق شخصی را بدون رضایت یا ناشناسسازی به اشتراک گذاشت بودجه: 0 یورو
روند کار:
- مددکار مصاحبه پذیرش را ثبت میکند
- سند در سطح رایگان انوملگال آپلود میشود
- نامها، مکانها، تاریخ تولد و جزئیات پزشکی ناشناس میشوند
- نسخه ناشناس به سازمان شریک میرود
- نسخه اصلی برای استفاده داخلی در پرونده میماند
این ماده 25 و ماده 32 GDPR را با هزینه صفر برآورده میکند. NGO این فرآیند را در ثبت دادههای خود ثبت میکند. آن ثبت مدرک انطباق است.
کار دستی در برابر ابزارهای خودکار
برای یک NGO که سالانه 1,000 سند بررسی میکند:
بررسی دستی PII:
- زمان: 15 تا 20 دقیقه در هر سند
- با دستمزد 20 یورو در ساعت: 5,000 تا 6,700 یورو در سال در زمان کارمندان
- نرخ خطا: 5 تا 10 درصد موارد از دست رفته
ناشناسسازی خودکار:
- سطح رایگان: 200 توکن در ماه
- طرح پایه: 3 یورو در ماه = 36 یورو در سال برای 1,000 توکن در ماه
- نرخ خطا: زیر 1 درصد با شناسایی NLP
برای 10,000 سند در سال، ابزارهای خودکار تقریباً 10 یورو در سال هزینه دارند. این 99.8 درصد صرفهجویی نسبت به کار دستی است.
دانشگاهها با همین دیوار روبرو هستند
تیمهای تحقیقاتی در دانشگاهها و مراکز پزشکی با همین مشکل روبرو هستند. GDPR قبل از اشتراکگذاری نتایج تحقیقاتی نیازمند ناشناسسازی است. بودجهها محدود است. محققان کارمندان IT نیستند. آنها به ابزارهایی نیاز دارند که بتوانند خودشان اجرا کنند.
استثنای تحقیقاتی GDPR (ماده 89) با پادمانهای مناسب اجازه پردازش برای تحقیقات را میدهد. ناشناسسازی یکی از این پادمانها است. ابزارهای رایگان درهایی را که هزینههای انطباق میبستند باز میکنند.
قیمتگذاری مبتنی بر استفاده با 0.0001 یورو در توکن با اندازه تیم مقیاس میشود. گروههای کوچک بسیار کم پرداخت میکنند. این برای NGOها و گروههای دانشگاهی خوب کار میکند.
پنج مرحله برای هر NGO
مرحله 1: فعالیتهای پردازش خود را فهرست کنید. ثبت کنید چه اطلاعات شخصی پردازش میکنید، چرا و چطور آن را به اشتراک میگذارید. این ثبت فعالیتهای پردازش شما است. GDPR آن را برای همه سازمانها الزامی میکند.
مرحله 2: جایی که ناشناسسازی کمک میکند را پیدا کنید. برای هر فعالیت: آیا ناشناسسازی میتواند نیاز را برآورده کند؟ یا برای آن هدف به سوابق قابل شناسایی نیاز دارید؟
مرحله 3: ابزارهای خود را انتخاب کنید. تیمهای غیرفنی: از سطح رایگان انوملگال استفاده کنید. تیمهایی با پشتیبانی IT: Microsoft Presidio را در نظر بگیرید.
مرحله 4: آنچه انجام میدهید را ثبت کنید. یادداشت کنید که از ناشناسسازی خودکار به عنوان یک پادمان فنی استفاده میکنید. این مدرک ماده 32 شما است.
مرحله 5: تیم خود را آموزش دهید. یک جلسه 15 دقیقهای پوشش میدهد که PII چیست، چرا اهمیت دارد و چگونه از ابزار استفاده کنید. ابزارهای ساده آموزش را کوتاه نگه میدارند.
انطباق در دسترس است
انطباق GDPR برای NGOها اختیاری نیست. اما لازم نیست گران باشد. ابزارهای رایگان و فرآیندهای واضح میتوانند الزامات فنی را برآورده کنند. به بودجه سازمانی نیاز ندارید.
پناهندگان، بازماندگان و موضوعان تحقیق حفاظت قوی از حریم خصوصی را لایق هستند. ابزارهای رایگان این حفاظت را در دسترس گروههایی قرار میدهند که به آسیبپذیرترین افراد خدمت میکنند.
بیاموزید چطور انوملگال الزامات فنی GDPR را مدیریت میکند. برای انواع موجودیت و راهاندازی، مروری بر امنیت و انطباق را ببینید. سؤالات متداول در پرسشهای متداول ناشناسسازی پاسخ داده شدهاند.