Zašto DPO-i moraju provjeravati alate za anonimizaciju
GDPR zahtijeva Procjenu utjecaja na zaštitu podataka (DPIA) za visokorizicni rad. Obrada PII-a u velikom obimu je visokorizicna. Alat za anonimizaciju je obradjivac podataka. Spada pod pravila o obradjivacima. Morate ga procijeniti prije puštanja u rad.
Nuzne su dvije stvari. Obradjivaci moraju pruziti "odgovarajuca jamstva" za sigurnost. Svaka obrada mora biti uredjena pisanim ugovorom. Kao DPO, dokumentirajte sigurnosne kontrole alata, njegove podobradjivace, gdje smješta vaše datoteke, kako postupa s povredama i Sporazum o obradi podataka (DPA).
ISO 27001 certifikacija smanjuje posao. BSI je utvrdio da certificirane tvrtke smanjuju vrijeme za sigurnosne upitnike za 73%. Gartner je utvrdio da ISO 27001 zahtijeva 78% Fortune 500 natjecaja. Certificirani alat omogucuje vam da se pozovete na certifikat. Ne trebate rucno provjeravati svaku kontrolu. Necertificirani alati zahtijevaju vise rucnog pregleda.
Pogledajte naš pregled uskladjenosti i stranicu sigurnosti kako biste saznali kako ispunjavamo ova pravila.
Sedam stvari za provjeru
Koristite ovaj popis za bilo koji alat za anonimizaciju ili dobavljaca.
1. Sporazum o obradi podataka. Je li na snazi DPA uskljedjen s GDPR-om? Mora pokrivati: obradu samo prema vašim nalozima, duznost paznje, sigurnosne mjere, nadzor podobradjivaca, pomoc s zahtjevima za prava, odlaganje ili vracanje datoteka i prava revizije.
2. Sigurnosna dokumentacija. Jesu li sigurnosne mjere pisano dokumentirane? ISO 27001 certificirani dobavljaci mogu uputiti na certifikat i Izjavu o primjenjivosti. To zadovoljava zahtjev.
3. Popis podobradjivaca. Koristi li alat podobradjivace? Jesu li navedeni? Potrebno vam je prethodne obavijesti o svakoj promjeni. Claudi posluzitelji, CDN-ovi i OCR alati svi se racunaju. Nedostajuca imena cest su propust.
4. Gdje se cuvaju datoteke. Nalaze li se vaši podaci na EU posluziteljima? EU hosting najjednostavniji je za tvrtke sa sjedištem u EU-u. Alati koji obraduju datoteke samo na vašem uredjaju takodjer su prihvatljivi — odatle se nista ne salje. anonym.legal nije jedan od njih: njegova detekcija izvodi se na API-ju koji se nalazi u EU. Americki dobavljaci trebaju Standardne ugovorim klauzule (SCC).
5. Obavijest o povredi. Koliko ce brzo dobavljac obavijestiti o povredi? Zakon zahtijeva obavijest vašem nadzornom tijelu u roku od 72 sata. Vaš dobavljac mora vas upozoriti prva. Provjerite potvrduje li DPA ovo.
6. DPIA dobavljaca. Je li dobavljac napravio vlastitu DPIA-u? Mozete li je procijeniti? Bez DPIA-e znaci jaz u vašim evidencijama. To je ucestali problem.
7. Brisanje i prenosivost. Moze li dobavljac postupati sa zahtjevima za brisanje i prenosivost? Alati s nultim znanjem ne pohranuju datoteke, pa se brisanje mozda ne primjenjuje. DPIA to mora navesti.
Dobar dobavljac daje vam cetiri stavke: ISO 27001 certifikat, dokaz o EU hostingu, vlastitu DPIA-u i potpisani DPA. Te cetiri stavke popunjavaju svaki jaz u vašoj DPIA-i. Vaše nadzorno tijelo bit ce zadovoljno.
Procitajte naš DPO FAQ za uobicajena pitanja o provjeri dobavljaca.