Egy eszköz, három keretrendszer
Egy adatvédelmi csapat hétfőn az EU-s ügyfélfájlokat GDPR alapján dolgozza fel. Kedden egészségügyi nyilvántartásokat HIPAA szerint. Szerdán kaliforniai fogyasztói adatokat CCPA alapján.
Mindhárom törvénynek más szabályai vannak. Minden dokumentumhoz más beállítás kell.
Három szabályrendszer közötti napi váltás hibákat okoz. A helytelen beállítás a helytelen fájlon megfelelési hibát vagy adatvesztést eredményez.
Elnevezett megfelelési profilok oldják meg ezt. Törvényenként egy mentett beállítás. Nincs kézi újrakonfiguráció.
GDPR — Mit fed le?
A GDPR minden személyes adatra kiterjed. Az EU bármely azonosítható egyénére vonatkozik. Nincs rögzített lista arról, mi számít annak. Minden, ami egy személyre vonatkozó információ, a hatályon belülre esik.
A különleges kategóriák — egészségügyi adatok, vallási meggyőződés, politikai nézetek — a 9. cikk alapján fokozott védelmet kapnak.
A dokumentumok feldolgozásakor jellemző entitástípusok: nevek, címek, nemzeti azonosítók, e-mail-címek, telefonszámok, IP-címek, bankkártyaadatok.
A helyes döntés a kontextustól függ. A GDPR-nak nincs rögzített listája.
HIPAA — Mit fed le?
A HIPAA Safe Harbor pontosan 18 azonosítótípust határoz meg. Mindegyiket el kell távolítani az egészségügyi nyilvántartásokból.
Két szabály éri váratlanul a csapatokat:
- A dátumok csak évre redukálódnak. A hónap és a nap eltávolításra kerül. Az év megmarad.
- Az állami szintnél kisebb földrajzi területeket el kell távolítani.
Ezek a szabályok csak a fedezett szervezetekre és üzleti partnereikre vonatkoznak.
CCPA — Mit fed le?
A CCPA a kaliforniai lakóhelyű személyekhez kapcsolt személyes adatokra terjed ki. A hatálya széles. Magában foglalja a közvetlen azonosítókat, az internetes tevékenységet, a vásárlási előzményeket, a geolokációs adatokat, a biometrikus adatokat és a profilinferenciákat.
A dokumentumfeldolgozáshoz a közvetlen azonosítókra összpontosítson: nevek, TB-számok, jogosítványok, útlevélszámok, e-mail-címek, számlaszámok, IP-címek, eszközazonosítók.
A vásárlási előzmények és a böngészési naplók ritkán jelennek meg egyszerű szövegként egy dokumentumban.
Miért vallanak kudarcot a kézi váltások?
A kézi váltás hibákat okoz. Egy GDPR-beállítással feldolgozott HIPAA-fájl olyan dátumszabályokat vesz fel, amelyeket a GDPR nem igényel. Egy GDPR-beállítással feldolgozott HIPAA-fájl kihagyja a Safe Harbor által megkövetelt földrajzi szabályokat.
Tanulmányok szerint a kézi keretrendszer-váltások körülbelül 15%-ban produkálnak hibákat. Minden hiba megfelelési hiányosság vagy adatvesztési esemény.
A munkatársaknak fejben kell tartaniuk három szabályrendszert, és minden alkalommal a megfelelőt kell alkalmazniuk. Ez nem folyamat. Ez naponta meghozott találgatás.
Három elnevezett beállítás
„GDPR-szabvány — EU-s ügyfelek”
Felismeri: neveket, címeket, nemzeti azonosítókat, e-mail-címeket, telefonszámokat, IP-címeket, bankkártyaadatokat.
Módszer: Kiszűrés.
Zárja ki a dátumokat, hacsak a születési dátum nem kerül a hatályon belülre. Online adatfeldolgozásnál vegye be az IP-címeket.
„HIPAA Safe Harbor — Egészségügy”
Felismeri: személyneveket, dátumokat, állami szint alatti helyszíneket, telefonszámot, faxszámot, e-mail-t, TB-számot, beteg nyilvántartási számokat, egészségbiztosítási azonosítókat, számlaszámokat, tanúsítványszámokat, járműazonosítókat, eszközazonosítókat, URL-eket, IP-címeket, biometrikus azonosítókat. Ez lefedi mind a 18 Safe Harbor-típust.
Módszer: Kiszűrés. Dátumoknál: tartsa meg az évet. Távolítsa el a hónapot és a napot.
Adjon hozzá egyedi mintát az intézmény beteg nyilvántartási szám formátumához.
„CCPA — Kaliforniai fogyasztó”
Felismeri: neveket, címeket, telefonszámokat, e-mail-címeket, TB-számokat, jogosítványokat, útlevélszámokat, bankkártyaadatokat, IP-címeket, URL-eket, számlaszámokat, eszközazonosítókat.
Módszer: Csere (legjobb elemzéshez) vagy Kiszűrés.
Mindegyik mentett beállítás rögzíti a megfelelési döntést. Az operátor a dokumentum jogi kontextusához illő profilt választja. Nincs entitáslistát felépíteni. Nincs módszert választani.
Hibaarányok előtte és utána
Elnevezett profilok előtt: A munkatársak minden törvénynél kézzel konfigurálnak. A hibaarány közel 15%. Az éves ellenőrzések minden évben keretrendszer-alkalmazási észrevételeket tárnak fel.
Elnevezett profilok után: A munkatársak egy mentett profilt választanak. A beállítás rögzített. A hibaarány 2% alá csökken. A maradék hibák a rossz profil kiválasztásából adódnak. A minőség-ellenőrzési felülvizsgálat ezeket kiszűri. Az ellenőrzések észrevételek nélkül teljesülnek.
A kulcsfontosságú váltás: a megfelelési döntés a napi végrehajtásból a profilkészítés szintjére kerül. Egy szakember egyszer dönt. Minden operátor anélkül alkalmazza, hogy gondolkodnia kellene rajta.
Többkeretrendszeres csapat irányítása
Rendelje hozzá a felelősséget. Törvényenként egy vezető. A GDPR-vezető a GDPR-profil tulajdonosa. A HIPAA-vezető a HIPAA-beállítás tulajdonosa. Minden vezető negyedévente felülvizsgálja a saját profilját.
Forrás szerint irányítson. Az EU-s ügyféladatok a GDPR-profilt használják. Az amerikai egészségügyi adatok a HIPAA-profilt. A kaliforniai fogyasztói adatok a CCPA-profilt.
Naplózzon minden futtatást. A feldolgozási naplók rögzítik, melyik profilt alkalmazták az egyes kötegekre. Amikor egy ellenőr megkérdezi, hogyan kezeltek egy fájlt, a válasz egy profilnév, egy dátum és egy konfigurációs napló.
Terjesszen ki frissítéseket. Amikor az EDPB új útmutatást ad ki, a GDPR-vezető frissíti a megosztott beállítást. Minden jövőbeli futtatás felveszi a változtatást. Senkit sem kell értesíteni.
A profil-irányításról és az audit-bizonyítékról bővebben lásd: anonimizálási presetek és GDPR-audit-következetesség. A HIPAA Safe Harbor entitáslefedettségéről részletesen lásd: HIPAA Safe Harbor de-azonosítás egészségügyi kutatáshoz.
Összefoglalás
Három törvény. Három mentett profil. Egy eszköz.
A bonyolultság a profildefiníció szintjén él. Nem a napi feldolgozásban. Az operátoroknak nem kell ismerniük a HIPAA dátumszabályait. Tudniuk kell, melyik profil illik az előttük lévő dokumentumhoz.
Az elnevezett beállítások csökkentik a kognitív terhelést. Csökkentik a hibákat. Bizonyíthatóvá teszik a megfelelést.