Jedan alat, tri okvira
Privacy tim u ponedjeljak obradjuje EU klijentske datoteke prema GDPR-u. U utorak zdravstvene zapise prema HIPAA-u. U srijedu podatke kalifornijskih potrošaca prema CCPA-u.
Svaki zakon ima drugacija pravila. Svaki dokument treba drugaciju postavku.
Prebacivanje izmedju tri skupa pravila svaki dan stvara pogreške. Pogrešna postavka na pogrešnoj datoteci uzrokuje compliance propust ili gubitak podataka.
Imenski compliance profili to ispravljaju. Jedna pohranjena postavka po zakonu. Bez rucne rekonfiguracije.
GDPR - što pokriva
GDPR pokriva sve osobne podatke. Primjenjuje se na bilo kojeg EU pojedinca koji se može identificirati. Ne postoji fiksni popis što se ubraja. Sve informacije koje se odnose na osobu su u opsegu.
Posebne kategorije - zdravstveni podaci, vjerska uvjerenja, politicki stavovi - dobivaju dodatnu zaštitu prema clanku 9.
Uobicajene vrste entiteta za rad s dokumentima: imena, adrese, nacionalni ID-ovi, e-mail adrese, brojevi telefona, IP adrese, kreditne kartice.
Pravi izbor ovisi o kontekstu. GDPR nema fiksni popis.
HIPAA - što pokriva
HIPAA Safe Harbor definira tocno 18 vrsta identifikatora. Svih 18 mora biti uklonjeno iz zdravstvenih zapisa.
Dva pravila iznenade timove:
- Datumi se smanjuju samo na godinu. Miesec i dan se uklanjaju. Godina ostaje.
- Geografska podrucja manja od države moraju biti uklonjena.
Ova pravila primjenjuju se samo na pokrivene entitete i njihove poslovne partnere.
CCPA - što pokriva
CCPA pokriva osobne informacije povezane s kalifornijskim stanovnicima. Opseg je širok. Ukljucuje izravne identifikatore, internetsku aktivnost, povijest kupnji, geolokacijske podatke, biometricke podatke i zakljucke profila.
Za rad s dokumentima, usredotocite se na izravne identifikatore: imena, matične brojeve, vozacke dozvole, brojeve putovnica, e-mail adrese, brojeve racuna, IP adrese, ID-ove uredaja.
Povijest kupnji i zapisnici pregledavanja rijetko se pojavljuju kao obicni tekst u dokumentu.
Zasto rucno prebacivanje ne uspijeva
Rucno prebacivanje stvara pogreške. GDPR datoteka pokrenuta s HIPAA postavkom prihvaca pravila datuma koja GDPR ne treba. HIPAA datoteka pokrenuta s GDPR postavkom propušta geografska pravila koja Safe Harbor zahtijeva.
Studije pokazuju da rucna prebacivanja okvira produciraju pogreške u oko 15% slucajeva. Svaka pogreška je compliance promašaj ili dogadjaj gubitka podataka.
Osoblje mora imati na umu tri skupa pravila i svaki put primijeniti pravi. To nije proces. To je nagadjanje koje se dogadja svaki dan.
Tri imenovane postavke
"GDPR standard - EU klijenti"
Detektira: imena, adrese, nacionalne ID-ove, e-mail adrese, brojeve telefona, IP adrese, kreditne kartice.
Metoda: Brisanje.
Isljucite datume osim ako je datum rodenja u opsegu. Ukljucite IP adrese za rad s online podacima.
"HIPAA Safe Harbor - Zdravstvo"
Detektira: imena osoba, datume, sub-državne lokacije, telefon, faks, e-mail, SSN, medicinske zapisne brojeve, ID-ove zdravstvenih planova, brojeve racuna, brojeve certifikata, ID-ove vozila, ID-ove uredaja, URL-ove, IP adrese, biometricke ID-ove. To pokriva svih 18 vrsta Safe Harbora.
Metoda: Brisanje. Za datume: zadržite godinu. Uklonite mesec i dan.
Dodajte prilagodeni uzorak za format medicinskog zapisnog broja vaše ustanove.
"CCPA - Kalifornijski potrošac"
Detektira: imena, adrese, brojeve telefona, e-mail adrese, maticne brojeve, vozacke dozvole, brojeve putovnica, kreditne kartice, IP adrese, URL-ove, brojeve racuna, ID-ove uredaja.
Metoda: Zamjena (najbolja za analitiku) ili Brisanje.
Svaka pohranjena postavka zakljucava compliance odluku. Operator bira profil koji odgovara pravnom kontekstu dokumenta. Nema liste entiteta za izgradnju. Nema metode za odabir.
Stope pogrešaka prije i poslije
Prije imenovanih profila: Osoblje rucno rekonfigurira za svaki zakon. Stopa pogrešaka je blizu 15%. Godišnje revizije svake godine pronalaze nalaze primjene okvira.
Nakon imenovanih profila: Osoblje bira pohranjeni profil. Postavka je fiksna. Stopa pogrešaka pada ispod 2%. Preostale pogreške dolaze od odabira pogrešnog profila. QA pregled ih hvata. Revizije prolaze bez nalaza.
Kljucni pomak: compliance odluka prelazi s dnevnog izvršavanja na kreiranje profila. Specijalist odluci jednom. Svaki operator to primjenjuje bez razmišljanja.
Vodenje tima s više okvira
Dodijelite vlasništvo. Jedan voditelj po zakonu. GDPR voditelj posjeduje GDPR profil. HIPAA officer posjeduje HIPAA postavku. Svaki voditelj pregleda svoj profil svako tromjesecje.
Usmjerite prema izvoru. EU podaci o klijentima koriste GDPR profil. Zdravstveni podaci SAD-a koriste HIPAA profil. Podaci kalifornijskih potrošaca koriste CCPA profil.
Evidentirajte svako pokretanje. Zapisnici obrade bilježe koji je profil korišten za svaki batch. Kada revizor pita kako je datoteka obradjena, odgovor je naziv profila, datum i konfiguracijsko zapisnik.
Propagirajte ažuriranja. Kada EDPB izda nove smjernice, GDPR voditelj ažurira dijeljenu postavku. Sva buduca pokretanja preuzimaju promjenu. Nikome nije potrebno reci.
Za dublji pogled na governance profila i dokaze revizije, pogledajte predlošci anonimizacije i dosljednost GDPR revizije. Za detalje pokrivenosti HIPAA Safe Harbor entiteta, pogledajte HIPAA Safe Harbor de-identifikacija za zdravstveno istraživanje.
Zakljucak
Tri zakona. Tri pohranjena profila. Jedan alat.
Složenost živi na razini definicije profila. Ne u dnevnoj obradi. Operateri ne moraju znati HIPAA pravila datuma. Moraju znati koji profil odgovara dokumentu ispred njih.
Imenane postavke smanjuju kognitivno opterecenje. Smanjuju pogreške. Cine uskladjenost dokazivom.