Mengapa DPO Perlu Menilai Alat Tanpa Nama
GDPR memerlukan Penilaian Kesan Perlindungan Data (DPIA) untuk kerja berisiko tinggi. Pemprosesan PII berskala besar adalah berisiko tinggi. Alat tanpa nama adalah pemproses data. Ia tertakluk kepada peraturan pemproses. Anda perlu menilainya sebelum digunakan.
Dua perkara diperlukan. Pemproses perlu menawarkan "jaminan yang mencukupi" untuk keselamatan. Semua pemprosesan perlu ditadbir oleh kontrak bertulis. Sebagai DPO, catat kawalan keselamatan alat, sub-pemproses, tempat ia menghos fail anda, cara ia mengendalikan pelanggaran, dan perjanjian pemprosesan data (DPA).
Pensijilan ISO 27001 mengurangkan kerja. BSI mendapati firma yang diperakui mengurangkan masa pada soal selidik keselamatan sebanyak 73%. Gartner mendapati ISO 27001 diperlukan dalam 78% tawaran Fortune 500. Alat yang diperakui membolehkan anda merujuk sijil tersebut. Anda tidak perlu memeriksa setiap kawalan secara manual. Alat yang tidak diperakui memerlukan lebih banyak semakan manual.
Lihat gambaran keseluruhan pematuhan dan halaman keselamatan kami untuk mengetahui cara kami memenuhi peraturan ini.
Tujuh Perkara untuk Diperiksa
Gunakan senarai ini untuk mana-mana alat tanpa nama atau pembekal.
1. Perjanjian pemprosesan data. Adakah DPA yang mematuhi GDPR tersedia? Ia perlu merangkumi: pemprosesan hanya atas arahan anda, kewajipan penjagaan, langkah keselamatan, kawalan sub-pemproses, bantuan dengan permintaan hak, pelupusan atau pemulangan fail, dan hak audit.
2. Rekod keselamatan. Adakah langkah keselamatan didokumentasikan? Pembekal yang diperakui ISO 27001 boleh merujuk sijil mereka dan Penyataan Kebolehgunaan mereka. Itu memenuhi keperluan.
3. Senarai sub-pemproses. Adakah alat menggunakan sub-pemproses? Adakah mereka dinamakan? Anda memerlukan notis awal sebarang perubahan. Hos awan, CDN, dan alat OCR semuanya dikira. Nama yang hilang adalah jurang biasa.
4. Tempat fail dihos. Adakah data anda dihos di EU? Pengehosan EU adalah paling mudah untuk firma berasaskan EU. Alat sifar-pengetahuan juga boleh diterima - tiada fail meninggalkan peranti anda sama sekali. Pembekal berasaskan AS memerlukan Klausa Kontrak Standard (SCC).
5. Notis pelanggaran. Berapa cepat pembekal akan memaklumkan anda tentang pelanggaran? Undang-undang memerlukan notis kepada pengawal selia anda dalam masa 72 jam. Pembekal anda perlu memberi amaran kepada anda dahulu. Semak DPA mengesahkan perkara ini.
6. DPIA pembekal. Adakah pembekal telah melakukan DPIA mereka sendiri? Bolehkah anda membacanya? Tiada DPIA bermakna jurang dalam rekod anda sendiri. Ini adalah isu yang kerap berlaku.
7. Pemadaman dan mudah alih. Bolehkah pembekal mengendalikan permintaan pemadaman dan mudah alih? Alat sifar-pengetahuan tidak menyimpan fail, jadi pemadaman mungkin tidak terpakai. DPIA perlu menyatakan demikian.
Pembekal yang baik memberi anda empat item: sijil ISO 27001, bukti pengehosan EU, DPIA mereka, dan DPA yang ditandatangani. Empat item tersebut mengisi setiap jurang dalam DPIA anda sendiri. Pengawal selia anda akan berpuas hati.
Baca FAQ DPO kami untuk soalan biasa tentang pemeriksaan pembekal.