Почему DPO обязан проверять инструменты анонимизации
GDPR требует проведения оценки воздействия на защиту данных (DPIA) для высокорискованной обработки. Масштабная обработка персональных данных относится к таким операциям. Инструмент анонимизации является обработчиком данных и подпадает под соответствующие требования — его необходимо проверить до начала использования.
Требования двояки: обработчики обязаны обеспечивать «достаточные гарантии» безопасности, а вся обработка данных должна регулироваться письменным договором. Как DPO, вы обязаны задокументировать меры безопасности инструмента, список его субобработчиков, место хранения ваших данных, порядок реагирования на инциденты и наличие соглашения об обработке данных (DPA).
Сертификация ISO 27001 существенно снижает объём этой работы. По данным BSI, сертифицированные компании тратят на заполнение анкет безопасности на 73% меньше времени. По данным Gartner, ISO 27001 требуется в 78% тендеров компаний из списка Fortune 500. Наличие сертификата у инструмента позволяет просто сослаться на него — ручная проверка каждого контроля не требуется. Несертифицированные инструменты требуют более тщательной ручной проверки.
Подробнее о соответствии требованиям — в нашем обзоре соответствия и на странице безопасности.
Семь обязательных пунктов проверки
Используйте этот список при оценке любого инструмента анонимизации или поставщика.
1. Соглашение об обработке данных. Заключено ли соответствующее GDPR соглашение об обработке данных? Оно должно охватывать: обработку исключительно по вашим инструкциям, обязанность проявлять должную осмотрительность, меры безопасности, контроль над субобработчиками, содействие в реализации прав субъектов данных, удаление или возврат данных по окончании договора, а также право на аудит.
2. Документация по безопасности. Задокументированы ли меры безопасности? У поставщиков с сертификатом ISO 27001 достаточно сослаться на сертификат и Декларацию о применимости — это закрывает требование.
3. Список субобработчиков. Использует ли инструмент субобработчиков? Перечислены ли они поимённо? Вы должны получать предварительное уведомление о любых изменениях. Облачные провайдеры, CDN и инструменты OCR — всё это субобработчики. Отсутствие конкретных наименований — типичный пробел.
4. Место хранения данных. Данные хранятся на серверах в ЕС? Европейский хостинг — простейшее решение для европейских компаний. Инструменты, обрабатывающие файлы только на вашем устройстве, также допустимы: с него ничего не отправляется. anonym.legal к ним не относится: обнаружение выполняется на API, размещённом в ЕС. Американским поставщикам необходимы Стандартные договорные условия (SCC).
5. Уведомление об инцидентах. Насколько оперативно поставщик известит вас об утечке данных? Закон обязывает уведомить регулятора в течение 72 часов — значит, поставщик должен сообщить вам значительно раньше. Проверьте, что DPA это подтверждает.
6. DPIA поставщика. Проводил ли поставщик собственную DPIA? Можно ли с ней ознакомиться? Отсутствие DPIA — пробел в вашей собственной документации. Это распространённая проблема.
7. Удаление и переносимость данных. Способен ли поставщик обрабатывать запросы на удаление и переносимость данных? Инструменты с нулевым разглашением не хранят файлы, поэтому удаление может не применяться — это должно быть отражено в DPIA.
Надёжный поставщик предоставляет четыре документа: сертификат ISO 27001, подтверждение европейского хостинга, собственную DPIA и подписанное соглашение об обработке данных. Эти четыре позиции закрывают все пробелы в вашей собственной DPIA и удовлетворят любого регулятора.
Часто задаваемые вопросы о проверке поставщиков — в нашем справочнике DPO.