Kāpēc DPO jāpārbauda anonimizācijas rīki
GDPR prasa Datu aizsardzības ietekmes novērtējumu (DPIA) augsta riska darbam. Liela mēroga PII apstrāde ir augsta riska. Anonimizācijas rīks ir datu apstrādātājs. Tas ietilpst apstrādātāja noteikumu darbības jomā. Tas jānovērtē pirms izmantošanas sākšanas.
Nepieciešamas divas lietas. Apstrādātājiem jāpiedāvā "pietiekamas garantijas" drošībai. Visai apstrādei jābūt regulētai ar rakstisku līgumu. Kā DPO reģistrējiet rīka drošības kontroles pasākumus, tā apakšapstrādātājus, kur tas mitina jūsu failus, kā tas rīkojas ar pārkāpumiem un datu apstrādes līgumu (DPA).
ISO 27001 sertifikācija samazina šo darbu. BSI atklāja, ka sertificēti uzņēmumi samazina laiku drošības anketās par 73%. Gartner atklāja, ka ISO 27001 ir nepieciešams 78% Fortune 500 piedāvājumu. Sertificēts rīks ļauj norādīt sertifikātu. Nav jāpārbauda katrs kontroles pasākums manuāli. Nesertificēti rīki prasa vairāk manuālas pārbaudes.
Skatiet mūsu atbilstības pārskatu un drošības lapu, lai uzzinātu, kā mēs izpildām šīs prasības.
Septiņas lietas, ko pārbaudīt
Izmantojiet šo sarakstu jebkuram anonimizācijas rīkam vai piegādātājam.
1. Datu apstrādes līgums. Vai ir spēkā GDPR atbilstošs DPA? Tam jāaptver: apstrāde tikai pēc jūsu norādījumiem, rūpības pienākums, drošības pasākumi, apakšapstrādātāju kontrole, palīdzība tiesību pieprasījumos, failu iznīcināšana vai atgriešana un audita tiesības.
2. Drošības ieraksti. Vai drošības pasākumi ir uzrakstīti? ISO 27001 sertificēti piegādātāji var norādīt savu sertifikātu un Piemērojamības deklarāciju. Tas apmierina prasību.
3. Apakšapstrādātāju saraksts. Vai rīks izmanto apakšapstrādātājus? Vai tie ir nosaukti? Jums nepieciešams iepriekšējs paziņojums par jebkādām izmaiņām. Mākoņa mitinātāji, CDN un OCR rīki visi tiek iekļauti. Trūkstoši vārdi ir bieža plaisa.
4. Kur faili tiek mitināti. Vai jūsu dati tiek mitināti ES? ES mitināšana ir visvienkāršākā ES bāzētiem uzņēmumiem. Piemēroti ir arī rīki, kas failus apstrādā tikai jūsu ierīcē — nekas netiek sūtīts ārpus tās. anonym.legal nav viens no tiem: tā atpazīšana darbojas ES mitinātā API. ASV bāzētiem piegādātājiem nepieciešamas Standarta līguma klauzulas (SCC).
5. Paziņojums par pārkāpumu. Cik ātri piegādātājs jūs informēs par pārkāpumu? Likums prasa paziņojumu regulatoram 72 stundu laikā. Piegādātājam vispirms jābrīdina jūs. Pārbaudiet, vai DPA to apstiprina.
6. Piegādātāja DPIA. Vai piegādātājs ir veicis savu DPIA? Vai varat to lasīt? Nav DPIA nozīmē plaisu jūsu pašu ierakstos. Tas ir bieži sastopams jautājums.
7. Dzēšana un pārnesamība. Vai piegādātājs var apstrādāt dzēšanas un pārnesamības pieprasījumus? Nulles zināšanu rīki neglabā failus, tāpēc dzēšana var nebūt piemērojama. DPIA jāpasaka tā.
Labs piegādātājs sniedz jums četrus vienumus: ISO 27001 sertifikātu, ES mitināšanas pierādījumu, viņu DPIA un parakstītu DPA. Šie četri vienumi aizpilda katru plaisu jūsu pašu DPIA. Jūsu regulators būs apmierināts.
Lasiet mūsu DPO FAQ par bieži uzdotajiem jautājumiem par piegādātāju pārbaudēm.