Dlaczego IOD muszą weryfikować narzędzia do anonimizacji
RODO wymaga przeprowadzenia Oceny Skutków dla Ochrony Danych (DPIA) w przypadku przetwarzania wysokiego ryzyka. Przetwarzanie danych osobowych na dużą skalę jest przetwarzaniem wysokiego ryzyka. Narzędzie do anonimizacji jest podmiotem przetwarzającym. Podlega przepisom dotyczącym podmiotów przetwarzających. Należy je ocenić przed uruchomieniem.
Wymagane są dwie rzeczy. Podmioty przetwarzające muszą oferować „wystarczające gwarancje” bezpieczeństwa. Całe przetwarzanie musi być objęte pisemną umową. Jako IOD powinieneś udokumentować: środki bezpieczeństwa stosowane przez narzędzie, jego podprocesory, miejsce przechowywania danych, sposób postępowania z naruszeniami oraz umowę o przetwarzaniu danych (DPA).
Certyfikacja ISO 27001 znacznie ogranicza nakład pracy. BSI stwierdziło, że certyfikowane firmy skracają czas poświęcany na kwestionariusze bezpieczeństwa o 73%. Gartner ustalił, że ISO 27001 jest wymagane w 78% przetargów Fortune 500. Certyfikowane narzędzie pozwala powołać się na certyfikat — bez konieczności ręcznego sprawdzania każdego zabezpieczenia. Narzędzia bez certyfikatu wymagają bardziej szczegółowego przeglądu.
Zapoznaj się z naszym przeglądem zgodności i stroną dotyczącą bezpieczeństwa, aby dowiedzieć się, jak spełniamy te wymogi.
Siedem rzeczy do sprawdzenia
Skorzystaj z tej listy przy weryfikacji każdego narzędzia do anonimizacji lub dostawcy.
1. Umowa o przetwarzaniu danych. Czy obowiązuje umowa DPA zgodna z RODO? Musi ona obejmować: przetwarzanie wyłącznie na Twoje polecenia, obowiązek staranności, środki bezpieczeństwa, kontrolę podprocesorów, pomoc w realizacji praw podmiotów danych, usunięcie lub zwrot danych po zakończeniu umowy oraz uprawnienia audytowe.
2. Dokumentacja bezpieczeństwa. Czy środki bezpieczeństwa są udokumentowane? Dostawcy z certyfikatem ISO 27001 mogą wskazać certyfikat i Deklarację Stosowania. To spełnia wymóg.
3. Lista podprocesorów. Czy narzędzie korzysta z podprocesorów? Czy są wymienieni z nazwy? Musisz otrzymywać wcześniejsze powiadomienia o każdej zmianie. Dostawcy chmury, sieci CDN i narzędzia OCR — wszystkie się liczą. Brakujące nazwy to częsta luka.
4. Miejsce przechowywania danych. Czy dane są hostowane w UE? Hosting w UE jest najprostszym rozwiązaniem dla firm działających w EOG. Narzędzia zero-knowledge również są właściwym wyborem — dane w ogóle nie opuszczają Twojego urządzenia. Dostawcy z USA wymagają Standardowych Klauzul Umownych (SCCs).
5. Powiadomienie o naruszeniu. Jak szybko dostawca poinformuje Cię o naruszeniu? Prawo wymaga zgłoszenia do organu nadzorczego w ciągu 72 godzin. Dostawca musi Cię uprzedzić jako pierwszego. Sprawdź, czy DPA to potwierdza.
6. DPIA dostawcy. Czy dostawca przeprowadził własną DPIA? Czy możesz się z nią zapoznać? Brak DPIA oznacza lukę w Twojej własnej dokumentacji. To częsty problem.
7. Usunięcie danych i przenoszalność. Czy dostawca obsługuje żądania usunięcia danych i przenoszalności? Narzędzia zero-knowledge nie przechowują żadnych plików, więc usunięcie może nie mieć zastosowania. DPIA powinna to stwierdzać.
Rzetelny dostawca przekazuje cztery dokumenty: certyfikat ISO 27001, dowód hostingu w UE, własną DPIA oraz podpisaną umowę DPA. Te cztery elementy wypełniają każdą lukę w Twojej własnej DPIA. Organ nadzorczy będzie usatysfakcjonowany.
Zapoznaj się z naszym FAQ dla IOD, gdzie znajdziesz odpowiedzi na często zadawane pytania dotyczące weryfikacji dostawców.