Hvers vegna persónuverndarfulltrúar þurfa að meta nafnleyngjatæki
GDPR krefst persónuverndaráhrifamats (DPIA) fyrir áhættusamar vinnslur. Stórmælt vinnsla persónuupplýsinga er áhættusamar. Nafnleyngjatæki er gagnavinnsluaðili. Það fellur undir reglur um vinnsluaðila. Þú þarft að meta það áður en þú fer í gagnið.
Tvær kröfur gilda. Vinnsluaðilar þurfa að bjóða upp á "fullnægjandi tryggingar" fyrir öryggi. Öll vinnsla þarf að vera stjórnað með skriflegum samningi. Sem persónuverndarfulltrúi skaltu skrá öryggisráðstafanir tækisins, undirvinnsluaðila þess, hvar það hýsir gögn þín, hvernig það meðhöndlar brot og gagnavinnslusamninginn (DPA).
ISO 27001-vottun styttir vinnuna. BSI komst að því að vottuð fyrirtæki minnka tíma við öryggiskannanir um 73%. Gartner komst að því að ISO 27001 er krafist í 78% af boðum frá Fortune 500-fyrirtækjum. Vottað tæki gerir þér kleift að vísa í vottunina. Þú þarft ekki að fara yfir hverja stýringu handvirkt. Óvotuð tæki krefjast meiri handvirkrar yfirferðar.
Sjá reglufylgniyfirlit og öryggissíðu okkar til að læra hvernig við uppfyllum þessar kröfur.
Sjö atriði til að athuga
Notaðu þennan lista fyrir hvert nafnleyngjatæki eða birgja.
1. Gagnavinnslusamningur. Er GDPR-samræmur DPA til staðar? Hann þarf að ná yfir: vinnslu aðeins samkvæmt fyrirmælum þínum, varnarskyldu, öryggisráðstafanir, stjórnun undirvinnsluaðila, aðstoð við réttindabeiðnir, förgun eða afhendingu skráa og endurskoðunarrétt.
2. Öryggisskrár. Eru öryggisráðstafanirnar skjalfstar? ISO 27001-vottaðir birgjar geta bent á vottun sína og yfirlýsingu um gildissvið. Þetta uppfyllir kröfuna.
3. Listi yfir undirvinnsluaðila. Notar tækið undirvinnsluaðila? Eru þeir nefndir? Þú þarft fyrirfram tilkynningu um hverja breytingu. Skýjagestgjafar, CDN-þjónustur og OCR-tæki teljast öll. Vantar nöfn er algent bil.
4. Hvar skrár eru hýstar. Eru gögn þín hýst í ESB? ESB-hýsing er einfaldust fyrir ESB-fyrirtæki. Núll-þekkingatæki eru líka í lagi -- engar skrár yfirgefa tæki þitt. Bandarískir birgjar þurfa staðlaðar samningsskilmálar (SCCs).
5. Tilkynning um brot. Hversu fljótt mun birgirinn tilkynna þér um brot? Löggjöfin krefst tilkynningar til eftirlitsaðila innan 72 klukkustunda. Birgirinn þarf að vara þig við fyrst. Athugaðu að DPA staðfesti þetta.
6. DPIA birgja. Hefur birgirinn gert sitt eigið DPIA? Getur þú lesið það? Ekkert DPIA þýðir bil í eigin skrám þínum. Þetta er tíður vandamál.
7. Eyðing og flutningshæfi. Getur birgirinn séð um eyðingar- og flutningshæfisbeiðnir? Núll-þekkingatæki geyma engar skrár, svo eyðing á hugsanlega ekki við. DPIA þarf að geta um þetta.
Góður birgir gefur þér fjögur atriði: ISO 27001-vottun, staðfestingu á ESB-hýsingu, DPIA sitt og undirritaðan DPA. Þessi fjögur atriði fylla öll bil í eigin DPIA þínu. Eftirlitsaðili þinn verður sáttur.
Lestu DPO-FAQ okkar fyrir algengar spurningar um mat á birgjum.