Satu Alat, Tiga Kerangka Kerja
Tim privasi memproses berkas pelanggan EU di bawah GDPR pada hari Senin. Catatan kesehatan di bawah HIPAA pada hari Selasa. Data konsumen California di bawah CCPA pada hari Rabu.
Setiap undang-undang memiliki aturan yang berbeda. Setiap dokumen memerlukan pengaturan yang berbeda.
Beralih antara tiga set aturan setiap hari menimbulkan kesalahan. Pengaturan yang salah pada berkas yang salah menyebabkan kegagalan kepatuhan atau kehilangan data.
Profil kepatuhan bernama memperbaiki ini. Satu pengaturan tersimpan per undang-undang. Tidak ada rekonfigurasi manual.
GDPR — Apa yang Dicakupnya
GDPR mencakup semua data pribadi. Berlaku untuk setiap individu EU yang dapat diidentifikasi. Tidak ada daftar tetap tentang apa yang dihitung. Setiap informasi yang berkaitan dengan seseorang berada dalam cakupan.
Kategori khusus — data kesehatan, keyakinan agama, pandangan politik — mendapat perlindungan ekstra di bawah Pasal 9.
Jenis entitas umum untuk pekerjaan dokumen: nama, alamat, ID nasional, email, nomor telepon, alamat IP, kartu kredit.
Keputusan yang tepat tergantung pada konteks. GDPR tidak memiliki daftar tetap.
HIPAA — Apa yang Dicakupnya
HIPAA Safe Harbor mendefinisikan tepat 18 jenis pengenal. Semua 18 harus dihapus dari catatan kesehatan.
Dua aturan mengejutkan tim:
- Tanggal dikurangi menjadi tahun saja. Bulan dan hari dihapus. Tahun tetap ada.
- Area geografis yang lebih kecil dari satu negara bagian harus dihapus.
Aturan ini hanya berlaku untuk entitas yang dicakup dan mitra bisnis mereka.
CCPA — Apa yang Dicakupnya
CCPA mencakup informasi pribadi yang terhubung ke penduduk California. Cakupannya luas. Ini mencakup pengenal langsung, aktivitas internet, riwayat pembelian, data geolokasi, data biometrik, dan inferensi profil.
Untuk pekerjaan dokumen, fokus pada pengenal langsung: nama, SSN, SIM, nomor paspor, email, nomor akun, alamat IP, ID perangkat.
Riwayat pembelian dan log penelusuran jarang muncul sebagai teks biasa dalam dokumen.
Mengapa Peralihan Manual Gagal
Peralihan manual menimbulkan kesalahan. Berkas GDPR yang dijalankan dengan pengaturan HIPAA mengambil aturan tanggal yang tidak diperlukan GDPR. Berkas HIPAA yang dijalankan dengan pengaturan GDPR melewatkan aturan geografis yang diwajibkan Safe Harbor.
Study menunjukkan peralihan kerangka manual menghasilkan kesalahan sekitar 15% dari waktu. Setiap kesalahan adalah kegagalan kepatuhan atau kejadian kehilangan data.
Staf harus menyimpan tiga set aturan dalam pikiran dan menerapkan yang tepat setiap kali. Itu bukan proses. Itu adalah tebakan yang dibuat setiap hari.
Tiga Pengaturan Bernama
"GDPR Standar — Pelanggan EU"
Mendeteksi: nama, alamat, ID nasional, email, nomor telepon, alamat IP, kartu kredit.
Metode: Redact.
Kecualikan tanggal kecuali tanggal lahir berada dalam cakupan. Sertakan alamat IP untuk pekerjaan data online.
"HIPAA Safe Harbor — Layanan Kesehatan"
Mendeteksi: nama orang, tanggal, lokasi sub-negara bagian, telepon, faks, email, SSN, nomor rekam medis, ID rencana kesehatan, nomor akun, nomor sertifikat, ID kendaraan, ID perangkat, URL, alamat IP, ID biometrik. Ini mencakup semua 18 jenis Safe Harbor.
Metode: Redact. Untuk tanggal: simpan tahunnya. Hapus bulan dan hari.
Tambahkan pola khusus untuk format nomor rekam medis fasilitas Anda.
"CCPA — Konsumen California"
Mendeteksi: nama, alamat, nomor telepon, email, SSN, SIM, nomor paspor, kartu kredit, alamat IP, URL, nomor akun, ID perangkat.
Metode: Replace (terbaik untuk analitik) atau Redact.
Setiap pengaturan tersimpan mengunci keputusan kepatuhan. Operator memilih profil yang sesuai dengan konteks hukum dokumen. Tidak ada daftar entitas yang harus dibangun. Tidak ada metode yang harus dipilih.
Tingkat Kesalahan Sebelum dan Sesudah
Sebelum profil bernama: Staf mengonfigurasi ulang secara manual untuk setiap undang-undang. Tingkat kesalahan mendekati 15%. Audit tahunan menemukan temuan penerapan kerangka kerja setiap tahun.
Setelah profil bernama: Staf memilih profil tersimpan. Pengaturan tetap. Tingkat kesalahan turun di bawah 2%. Kesalahan yang tersisa berasal dari memilih profil yang salah. Tinjauan QA menangkap ini. Audit lulus tanpa temuan.
Peralihan utama: keputusan kepatuhan berpindah dari pelaksanaan harian ke pembuatan profil. Spesialis memutuskan sekali. Setiap operator menerapkannya tanpa berpikir.
Menjalankan Tim Multi-Kerangka
Tetapkan kepemilikan. Satu pemimpin per undang-undang. Pemimpin GDPR memiliki profil GDPR. Petugas HIPAA memiliki pengaturan HIPAA. Setiap pemimpin meninjau profil mereka setiap kuartal.
Rutekan berdasarkan sumber. Data pelanggan EU menggunakan profil GDPR. Data kesehatan AS menggunakan profil HIPAA. Data konsumen California menggunakan profil CCPA.
Catat setiap jalankan. Log pemrosesan mencatat profil mana yang digunakan pada setiap batch. Ketika auditor menanyakan bagaimana berkas ditangani, jawabannya adalah nama profil, tanggal, dan log konfigurasi.
Dorong pembaruan. Ketika EDPB mengeluarkan panduan baru, pemimpin GDPR memperbarui pengaturan bersama. Semua jalankan mendatang mengambil perubahan tersebut. Tidak ada yang perlu diberitahu.
Untuk tinjauan lebih mendalam tentang tata kelola profil dan bukti audit, lihat preset anonimisasi dan konsistensi audit GDPR. Untuk cakupan entitas HIPAA Safe Harbor secara detail, lihat de-identifikasi HIPAA Safe Harbor untuk penelitian kesehatan.
Kesimpulan
Tiga undang-undang. Tiga profil tersimpan. Satu alat.
Kompleksitasnya ada di tingkat definisi profil. Bukan dalam pemrosesan harian. Operator tidak perlu tahu aturan tanggal HIPAA. Mereka perlu tahu profil mana yang sesuai dengan dokumen di hadapan mereka.
Pengaturan bernama mengurangi beban kognitif. Mengurangi kesalahan. Membuat kepatuhan dapat dibuktikan.