GDPR audita neveiksme: sadrumstaloti PII rīki
Atjaunināts 2026. gadam.
Jūsu auditors uzdod vienu jautājumu: "Kādas tehniskas kontroles aizsargā personas datus?" Nepareizā atbilde: "Mēs izmantojam piecus dažādus rīkus." Lūk, kāpēc piecu rīku izmantošana neizdodas GDPR auditos — un kā izskatās tīra atbilde.
Audita brīdis
Datu aizsardzības iestādes izmeklētājs tiekas ar atbilstības darbinieku. DPI pārskata datu subjekta sūdzību. Bijušais klients apgalvo, ka viņa dati tika nepareizi apstrādāti.
Jautājums: "Kādas kontroles jūsu organizācija izmanto, lai personas dati būtu droši, kad darbinieki tos apstrādā?"
Atbilstības darbinieks: "Mūsu juristi izmanto Word pievienojumprogrammu. Atbalsta darbinieki izmanto Chrome paplašinājumu. Mūsu datu komandai ir Python skripts. Vienreizējiem pieprasījumiem ikviens var izmantot tīmekļa lietotni."
Izmeklētājs: "Vai šie ir viens un tas pats rīks? Viens dzinējs? Vienāds pārklājums?"
Atbilstības darbinieks: "Nē. Tie darbojas atšķirīgi."
Tieši tad audits kļūst grūts.
Kāpēc sadrumstaloti rīki neizdodas saskaņā ar 32. pantu
GDPR 32. pants prasa "atbilstošus tehniskus un organizatoriskus pasākumus". Standartam ir divas daļas.
Atbilstība riskam. Pasākumiem ir jāatbilst riskam. Personas datiem, kas apstrādāti daudzos darbplūsmas procesos, ir nepieciešama konsekventas PII noteikšana. Noteikšana, kas mainās atkarībā no rīka, neatbilst šai prasībai.
Pierādījums. Pasākumiem ir jābūt pierādāmiem. 5. panta 2. punkts — atbildības princips — prasa, lai pārziņi "spētu demonstrēt atbilstību". Tas nozīmē konsekventa kontrole pierādījumus. Ne labākajā gadījumā. Konsekventi.
Sadalīti rīki neizdodas pierādīšanā. A rīks nosaka 285 entītes tipus. B rīks nosaka 50. C rīks nosaka 200, bet ar atšķirīgām robežvērtībām. Ar šo kopumu jūs nevarat pierādīt konsekventu aizsardzību. Jūs varat tikai parādīt, ka daži rīki darbojās dažos kontekstos.
DPI atradums par sadalītiem rīkiem skan: "Tehniskās kontroles PII aizsardzībai ir nekonsekventi darbplūsmas procesos. Tas rada pārklājuma plaisas un neļauj centralizētu audita pierakstu pārskatīšanu."
Pārklājuma plaisu noteikšanas problēma
Jūs bieži nezināt, kur ir jūsu pārklājuma plaisas, līdz notiek pārkāpums.
Pieņemsim, ka B rīks (ko izmanto datu komanda) nenosaka ES nacionālo ID numurus. A rīks (ko izmanto juristi) to dara. Šī plaisa ir neredzama parasta darba laikā. Faili tiek apstrādāti. Nekādi brīdinājumi nevar tikt. Nekas neizskatās nepareizs.
Plaisa atklājas, kad:
- ES nacionālais ID parādās failā, ko apstrādāja datu komanda
- Šis fails tiek kopīgots bez kontrolēm
- Datu subjekts atklāj iedarbību un iesniedz GDPR sūdzību
Tagad DPI atklāj plaisu. Datu komanda darbināja rīku ar atšķirīgu pārklājumu nekā citas komandas. Plaisa, kas bija jāatrod un jāaizver.
Vienotais pārklājums to labo. Vieni un tie paši entītes tipi tiek noteikti visos kontekstos. Plaisas kļūst redzamas — nulles noteikšana X entītes tipam jebkurā darbplūsmas procesā — nevis slēptas.
Skatiet GDPR 32. pants un AI rīku uzraudzība par to, ko auditori meklē tehniskajās kontrolēs.
Kā izskatās tīra atbilstības atbilde
Atbilstības darbinieks ar vienotu platformu atbild atšķirīgi.
"Mēs izmantojam vienu PII noteikšanas platformu visos darbplūsmas procesos. Juristi, atbalsta aģenti un datu inženieru izmanto vienu un to pašu noteikšanas dzinēju. Interfeisi atšķiras — Word pievienojumprogramma, Chrome paplašinājums, galddatora lietotne — bet modelis un iestatījums ir vienādi. Visa apstrāde tiek protokolēta centrālajā audita pierakstā. Mūsu iestatījums aptver 285+ entītes tipus ar jurisdikcijām atbilstošiem priekšiestatījumiem. Es varu iegūt jebkuru vajadzīgo laika periodu."
Šī atbilde ir:
- Specifiska. Tā nosauc platformu un izskaidro vairāku platformu iestatījumu.
- Konsekventa. "Viens noteikšanas dzinējs" tieši risina pārklājuma problēmu.
- Demonstrējama. Centrālais audita pieraksts nozīmē, ka pierādījumi ir gatavi pēc pieprasījuma.
Kad izmeklētājs pieprasa audita pierakstu konkrētam datu subjektam, pieprasījums tiek izpildīts uzreiz.
Vairāku platformu konsekvences standarts
Spēcīgai 32. panta nostājai šīs ir minimālās prasības.
Noteikšanas konsekvence:
- Viens noteikšanas modelis vai API visos platformos
- Viens entītes tipa pārklājums — ja tīmekļa lietotne pārbauda 285 entītes, galddatora lietotnei jādara tas pats
- Vienādas ticamības robežvērtības — neviens rīks nav vaļīgāks vai stingrāks par to pašu entītes tipu
- Vienādi aizstāšanas marķieri tiem pašiem entītes tipiem
- Centrālais audita pieraksts visos platformos
Dokumentācijas prasības:
- Konfigurācijas momentuzņēmums: pašreizējais entītes pārklājums un robežvērtības
- Izmaiņu vēsture: kas mainījās un kad
- Pārklājuma pierādījums: visi platformi koplieto vienu iestatījumu
Jūs varat to izveidot vairāku rīku kopumam. Bet tas prasa formālu konfigurācijas pārvaldību un regulārus starpplatformu auditus. Viena platforma padara atbildi vienkāršu: "Lūk, iestatījums. Tas attiecas uz visu. Lūk, audita pieraksts."
Plašāku vairāku platformu konsekvences pārskatu skatiet Vairāku platformu PII atbilstība: Mac, Linux, Windows.
Praktiskā pāreja: sadrumstalota uz vienotu
1. solis: kartēt rīkus un pārklājumu
- Uzskaitiet katru rīku pēc komandas un darbplūsmas procesa
- Dokumentējiet, kurus PII tipus katrs rīks nosaka
- Atrodiet plaisas — ko A rīks nosaka, ko B rīks nokavē?
2. solis: definēt pārklājuma standartu
- Pamatojoties uz jūsu saistībām — GDPR entītes tipi, HIPAA PHI, CCPA kategorijas
- Noteikt vienu standartu, kas attiecas uz visiem darbplūsmas procesiem
3. solis: izvēlēties vienoto platformu
- Vai tā var izvietot tīmeklī, galddatorā, Word un pārlūkā?
- Vai tā atbilst jūsu pārklājuma standartam?
- Vai tā nodrošina centralizētu audita pierakstu?
4. solis: migrēt
- Sāciet ar augstākā riska darbplūsmas procesiem
- Pārejiet komandu pa komandai un atceļiet mantotie rīkus, migrējot lietotājus
- Ierakstiet migrāciju atbilstības protokolā
Sadalīts rīku komplekts ir viena no biežākajām GDPR kontroles plaisām, kas tiek konstatētas auditos. Par to, kā tas parādās izplatītās komandās, skatiet Attālinātais darbs un GDPR: platformas nekonsekvence.