A Többjoghatóságú Megfelelési Kihívás
A globálisan elosztott csapatokkal rendelkező, távmunkát előnybe részesítő szervezetek egy könnyen alábecsülhető adatvédelmi megfelelési kihívással szembesülnek: a különböző joghatóságokban tartózkodó alkalmazottak különböző adatvédelmi törvényeknek vannak alávetve, de ugyanazokat az adatokat dolgozzák fel.
Egy Németországban (GDPR), Kaliforniában (CCPA/CPRA) és Szingapúrban (PDPA) elosztott ügyfélszolgálati csapat egyaránt hozzáférhet ugyanahhoz az ügyfél-adatbázishoz. Az általuk feldolgozott adatok — ügyfelnevek, e-mail-címek, fiókadatok — ugyanazok, amelyek három különböző jogszabályi keretrendszer hatálya alá esnek, mindegyik eltérő követelményekkel.
GDPR (EU/EEA):
- Minden feldolgozási célhoz explicit jogi alap szükséges
- Érintett jogai: hozzáférés, törlés, helyesbítés, adathordozhatóság, korlátozás, tiltakozás
- Határokon átnyúló adattovábbítás: megfelelőségi határozat vagy ÁSZF szükséges
CCPA/CPRA (Kalifornia):
- Opt-out a személyes adatok "eladásától" és "megosztásától"
- Kategorizált adatkezelési közzétételek
- Szenzitív személyes adatok (SSN-ek, pénzügyi adatok, egészségügyi adatok) fokozott korlátozása
PDPA (Szingapúr):
- Hozzájárulás-alapú modell az adatgyűjtéshez
- Adatok hordozhatósága 2021 óta
- Kötelező adatszivárgás-értesítés 3 napon belül
Ahol Konvergálnak
A három keretrendszer mindegyike megköveteli:
- PII azonosítás: Tudni, hol vannak a személyes adatok
- Hozzáférési kontroll: Korlátozni, ki fér hozzá a személyes adatokhoz
- Adatminimalizálás: Csak a szükséges adatokat gyűjteni és megőrizni
- Technikai védelem: Biztonsági intézkedések alkalmazása a személyes adatokra
Ezek a konvergáló követelmények teszik lehetővé az egységes technikai megközelítést.
Az Egyetlen Eszköz Megközelítés
Az egyetlen PII-feldolgozási eszköz három joghatósághoz való konfigurálásához:
Entitástípus lefedettség: Az eszköznek US azonosítókat (SSN, vezető engedélyszám, ITIN), EU azonosítókat (NIR, BSN, különböző nemzeti azonosítók) és globális azonosítókat (útlevél számok, e-mail-cím, telefonszám nemzetközi formátumban) egyaránt észlelnie kell.
Előbeállítás konfiguráció joghatóságonként: Önálló GDPR-előbeállítás az EU ügyfelek adataihoz, CCPA-előbeállítás a kaliforniai ügyfelek adataihoz, PDPA-előbeállítás a szingapúri adatokhoz.
Dokumentált feldolgozási rekordok: A GDPR 30. cikke, a CCPA hatásvizsgálati dokumentáció és a PDPA adatkezelési nyilvántartások mindegyike audit-képes naplókat igényel. Egyetlen eszköz, egyetlen napló-formátum, egységes dokumentáció.
Forrás: