כלי אחד, שלוש מסגרות
צוות פרטיות מעבד קבצי לקוחות EU לפי GDPR ביום שני. רשומות רפואיות לפי HIPAA ביום שלישי. נתוני צרכנים קליפורנים לפי CCPA ביום רביעי.
לכל חוק כללים שונים. כל מסמך דורש הגדרה שונה.
מעבר בין שלוש קבוצות כללים כל יום יוצר שגיאות. ההגדרה הלא-נכונה על הקובץ הלא-נכון גורמת לכשל ציות או אובדן נתונים.
פרופילי ציות בשם מתקנים זאת. הגדרה שמורה אחת לכל חוק. ללא הגדרה מחדש ידנית.
GDPR — מה הוא מכסה
GDPR מכסה את כל הנתונים האישיים. הוא חל על כל פרט EU שניתן לזיהוי. אין רשימה קבועה של מה שנחשב. כל מידע הנוגע לאדם נמצא בתחולה.
קטגוריות מיוחדות — נתוני בריאות, אמונות דתיות, דעות פוליטיות — מקבלות הגנה נוספת לפי סעיף 9.
סוגי ישויות נפוצים לעבודת מסמכים: שמות, כתובות, מזהים לאומיים, אימיילים, מספרי טלפון, כתובות IP, כרטיסי אשראי.
הבחירה הנכונה תלויה בהקשר. ל-GDPR אין רשימה קבועה.
HIPAA — מה הוא מכסה
HIPAA Safe Harbor מגדיר בדיוק 18 סוגי מזהים. כל 18 חייבים להיות מוסרים מרשומות בריאות.
שני כללים מפתיעים צוותים:
- תאריכים מצטמצמים לשנה בלבד. חודש ויום מוסרים. השנה נשארת.
- אזורים גיאוגרפיים קטנים ממדינה חייבים להיות מוסרים.
כללים אלה חלים רק על גופים מכוסים ושותפי עסק שלהם.
CCPA — מה הוא מכסה
CCPA מכסה מידע אישי המקושר לתושבי קליפורניה. ההיקף רחב. הוא כולל מזהים ישירים, פעילות אינטרנט, היסטוריית רכישות, נתוני מיקום גיאוגרפי, נתונים ביומטריים והסקות פרופיל.
לעבודת מסמכים, התמקדו במזהים ישירים: שמות, מספרי SSN, רישיונות נהיגה, מספרי דרכון, אימיילים, מספרי חשבון, כתובות IP, מזהי מכשיר.
היסטוריית רכישות ויומני גלישה לעיתים נדירות מופיעים כטקסט פשוט במסמך.
מדוע מעבר ידני נכשל
מעבר ידני יוצר שגיאות. קובץ GDPR שמורץ עם הגדרת HIPAA מאסוף כללי תאריך ש-GDPR אינו צריך. קובץ HIPAA שמורץ עם הגדרת GDPR מפספס את כללי הגיאוגרפיה ש-Safe Harbor דורש.
מחקרים מראים שמעברים ידניים בין מסגרות מייצרים שגיאות בכ-15% מהמקרים. כל שגיאה היא פספוס ציות או אירוע אובדן נתונים.
עובדים חייבים לזכור שלוש קבוצות כללים ולהחיל את הנכונה בכל פעם. זה אינו תהליך. זה ניחוש יומי.
שלוש הגדרות בשם
"תקן GDPR — לקוחות EU"
מזהה: שמות, כתובות, מזהים לאומיים, אימיילים, מספרי טלפון, כתובות IP, כרטיסי אשראי.
שיטה: Redact.
החריגו תאריכים אלא אם תאריך לידה נמצא בתחולה. כללו כתובות IP לעבודת נתונים מקוונת.
"HIPAA Safe Harbor — בריאות"
מזהה: שמות אנשים, תאריכים, מיקומים תת-מדינתיים, טלפון, פקס, אימייל, SSN, מספרי רשומות רפואיות, מזהי תוכנית בריאות, מספרי חשבון, מספרי תעודה, מזהי רכב, מזהי מכשיר, כתובות URL, כתובות IP, מזהים ביומטריים. זה מכסה את כל 18 סוגי Safe Harbor.
שיטה: Redact. לתאריכים: שמרו את השנה. הסירו חודש ויום.
הוסיפו דפוס מותאם לפורמט מספר הרשומה הרפואית של המתקן שלכם.
"CCPA — צרכן קליפורני"
מזהה: שמות, כתובות, מספרי טלפון, אימיילים, מספרי SSN, רישיונות נהיגה, מספרי דרכון, כרטיסי אשראי, כתובות IP, כתובות URL, מספרי חשבון, מזהי מכשיר.
שיטה: Replace (עדיף לניתוח) או Redact.
כל הגדרה שמורה נועלת את החלטת הציות. המפעיל בוחר את הפרופיל המתאים להקשר המשפטי של המסמך. אין רשימת ישויות לבנות. אין שיטה לבחור.
שיעורי שגיאות לפני ואחרי
לפני פרופילים בשם: עובדים מגדירים מחדש ידנית לכל חוק. שיעור שגיאות קרוב ל-15%. ביקורות שנתיות מוצאות ממצאי יישום מסגרת בכל שנה.
אחרי פרופילים בשם: עובדים בוחרים פרופיל שמור. ההגדרה קבועה. שיעור שגיאות יורד מתחת ל-2%. שגיאות שנותרות נובעות מבחירת הפרופיל הלא-נכון. סקירת QA מזהה אותן. ביקורות עוברות ללא ממצאים.
השינוי המרכזי: החלטת הציות עוברת מביצוע יומי ליצירת פרופיל. מומחה מחליט פעם אחת. כל מפעיל מחיל זאת ללא מחשבה.
הפעלת צוות רב-מסגרתי
הקצו בעלות. אחד אחראי לכל חוק. אחראי GDPR מחזיק בפרופיל GDPR. קצין HIPAA מחזיק בהגדרת HIPAA. כל אחראי סוקר את הפרופיל שלו מדי רבעון.
נתבו לפי מקור. נתוני לקוחות EU משתמשים בפרופיל GDPR. נתוני בריאות US משתמשים בפרופיל HIPAA. נתוני צרכנים קליפורנים משתמשים בפרופיל CCPA.
רשמו כל ריצה. יומני עיבוד רושמים איזה פרופיל שימש בכל אצווה. כאשר מבקר שואל כיצד טיפלו בקובץ, התשובה היא שם פרופיל, תאריך ויומן תצורה.
דחפו עדכונים. כאשר EDPB פרסם הנחיות חדשות, אחראי GDPR מעדכן את ההגדרה המשותפת. כל הריצות העתידיות מאמצות את השינוי. אין צורך להודיע לאף אחד.
למבט מעמיק יותר על ממשל פרופילים וראיות ביקורת, ראו ערכות אנונימיזציה ועקביות ביקורת GDPR. לכיסוי ישויות HIPAA Safe Harbor בפירוט, ראו דה-זיהוי HIPAA Safe Harbor למחקר בריאות.
סיכום
שלושה חוקים. שלושה פרופילים שמורים. כלי אחד.
המורכבות שוכנת ברמת הגדרת הפרופיל. לא בעיבוד יומי. מפעילים אינם צריכים לדעת את כללי התאריך של HIPAA. הם צריכים לדעת איזה פרופיל מתאים למסמך שלפניהם.
הגדרות בשם מפחיתות עומס קוגניטיבי. הן מצמצמות שגיאות. הן הופכות את הציות לניתן להוכחה.