De ce DPO-ii trebuie să evalueze instrumentele de anonimizare
GDPR impune o Evaluare a Impactului asupra Protecției Datelor (DPIA) pentru activitățile cu risc ridicat. Procesarea la scară largă a datelor cu caracter personal prezintă risc ridicat. Un instrument de anonimizare este un operator de date. Intră sub incidența regulilor privind operatorii. Trebuie să îl evaluați înainte de a-l pune în funcțiune.
Sunt necesare două lucruri. Operatorii trebuie să ofere „garanții suficiente" pentru securitate. Orice procesare trebuie să fie reglementată de un contract scris. Ca DPO, documentați controalele de securitate ale instrumentului, sub-operatorii acestuia, locul unde sunt găzduite fișierele dvs., modul în care gestionează breșele și acordul de procesare a datelor (DPA).
Certificarea ISO 27001 reduce volumul de muncă. BSI a constatat că firmele certificate reduc timpul alocat chestionarelor de securitate cu 73%. Gartner a constatat că ISO 27001 este obligatoriu în 78% din licitațiile Fortune 500. Un instrument certificat vă permite să invocați certificatul. Nu trebuie să verificați manual fiecare control. Instrumentele necertificate necesită o revizuire manuală mai amplă.
Consultați prezentarea generală a conformității și pagina de securitate pentru a afla cum respectăm aceste cerințe.
Șapte aspecte de verificat
Utilizați această listă pentru orice instrument de anonimizare sau furnizor.
1. Acordul de procesare a datelor. Există un DPA conform GDPR? Trebuie să acopere: procesarea exclusiv la instrucțiunile dvs., obligația de diligență, măsurile de securitate, controlul sub-operatorilor, asistența cu cererile privind drepturile, eliminarea sau returnarea fișierelor și drepturile de audit.
2. Documentația de securitate. Sunt documentate măsurile de securitate? Furnizorii certificați ISO 27001 pot indica certificatul și Declarația de Aplicabilitate. Aceasta satisface cerința.
3. Lista sub-operatorilor. Instrumentul folosește sub-operatori? Sunt nominalizați? Aveți nevoie de notificare prealabilă pentru orice modificare. Furnizorii de cloud, CDN-urile și instrumentele OCR contează cu toții. Numirile lipsă reprezintă un decalaj frecvent.
4. Locul de găzduire a fișierelor. Datele dvs. sunt găzduite în UE? Găzduirea în UE este cea mai simplă soluție pentru firmele europene. Instrumentele cu cunoștințe zero sunt de asemenea acceptabile — niciun fișier nu părăsește dispozitivul dvs. Furnizorii din SUA necesită Clauze Contractuale Standard (SCC).
5. Notificarea breșei. Cât de repede vă va informa furnizorul despre o breșă? Legea impune notificarea autorității de reglementare în termen de 72 de ore. Furnizorul dvs. trebuie să vă avertizeze primul. Verificați că DPA confirmă acest lucru.
6. DPIA a furnizorului. A realizat furnizorul propria DPIA? O puteți consulta? Lipsa DPIA reprezintă un decalaj în propriile dvs. documente. Aceasta este o problemă frecventă.
7. Ștergerea și portabilitatea. Poate furnizorul să gestioneze cererile de ștergere și portabilitate? Instrumentele cu cunoștințe zero nu stochează fișiere, deci ștergerea poate să nu fie aplicabilă. DPIA trebuie să precizeze acest lucru.
Un furnizor bun vă pune la dispoziție patru elemente: certificat ISO 27001, dovada găzduirii în UE, propria DPIA și un DPA semnat. Aceste patru elemente acoperă fiecare decalaj din propria DPIA. Autoritatea dvs. de reglementare va fi mulțumită.
Citiți FAQ-ul pentru DPO pentru întrebări frecvente despre verificarea furnizorilor.