Mengapa DPO Perlu Mengevaluasi Alat Anonimisasi
GDPR mewajibkan Data Protection Impact Assessment (DPIA) untuk pekerjaan berisiko tinggi. Pemrosesan PII berskala besar adalah risiko tinggi. Alat anonimisasi adalah prosesor data. Ia berada di bawah aturan prosesor. Anda perlu menilainya sebelum beroperasi.
Dua hal diperlukan. Prosesor harus menawarkan "jaminan yang memadai" untuk keamanan. Semua pemrosesan harus diatur oleh kontrak tertulis. Sebagai DPO, catat kontrol keamanan alat, sub-prosesornya, tempat hosting berkas Anda, cara penanganan pelanggaran, dan perjanjian pemrosesan data (DPA).
Sertifikasi ISO 27001 mengurangi pekerjaan ini. BSI menemukan perusahaan bersertifikat mengurangi waktu kuesioner keamanan sebesar 73%. Gartner menemukan ISO 27001 diperlukan dalam 78% penawaran Fortune 500. Alat bersertifikat memungkinkan Anda mengutip sertifikat tersebut. Anda tidak perlu memeriksa setiap kontrol secara manual. Alat yang tidak bersertifikat memerlukan tinjauan manual yang lebih banyak.
Lihat ikhtisar kepatuhan dan halaman keamanan kami untuk mengetahui cara kami memenuhi aturan-aturan ini.
Tujuh Hal yang Perlu Diperiksa
Gunakan daftar ini untuk alat atau pemasok anonimisasi mana pun.
1. Perjanjian pemrosesan data. Apakah DPA yang sesuai GDPR sudah ada? Harus mencakup: pemrosesan hanya atas perintah Anda, kewajiban perawatan, langkah keamanan, kontrol sub-prosesor, bantuan permintaan hak, pembuangan atau pengembalian berkas, dan hak audit.
2. Catatan keamanan. Apakah langkah keamanan didokumentasikan? Pemasok bersertifikat ISO 27001 dapat menunjukkan sertifikat dan Statement of Applicability mereka. Itu memenuhi persyaratan.
3. Daftar sub-prosesor. Apakah alat menggunakan sub-prosesor? Apakah mereka disebutkan namanya? Anda perlu pemberitahuan sebelumnya atas setiap perubahan. Host cloud, CDN, dan alat OCR semuanya dihitung. Nama yang hilang adalah kesenjangan umum.
4. Tempat hosting berkas. Apakah data Anda di-host di EU? Hosting EU paling mudah untuk perusahaan berbasis EU. Alat zero-knowledge juga aman — tidak ada berkas yang meninggalkan perangkat Anda sama sekali. Pemasok berbasis AS memerlukan Standard Contractual Clauses (SCC).
5. Pemberitahuan pelanggaran. Seberapa cepat pemasok akan memberi tahu Anda tentang pelanggaran? Hukum mewajibkan pemberitahuan kepada regulator Anda dalam 72 jam. Pemasok Anda perlu memperingatkan Anda terlebih dahulu. Periksa DPA mengonfirmasi hal ini.
6. DPIA pemasok. Apakah pemasok telah melakukan DPIA mereka sendiri? Dapatkah Anda membacanya? Tidak ada DPIA berarti kesenjangan dalam catatan Anda sendiri. Ini adalah masalah yang sering terjadi.
7. Penghapusan dan portabilitas. Dapatkah pemasok menangani permintaan penghapusan dan portabilitas? Alat zero-knowledge tidak menyimpan berkas, sehingga penghapusan mungkin tidak berlaku. DPIA harus menyatakan hal ini.
Pemasok yang baik memberi Anda empat item: sertifikat ISO 27001, bukti hosting EU, DPIA mereka, dan DPA yang ditandatangani. Keempat item tersebut mengisi setiap kesenjangan dalam DPIA Anda sendiri. Regulator Anda akan puas.
Baca FAQ DPO kami untuk pertanyaan umum tentang pemeriksaan pemasok.