Zakaj morajo pooblascenci za varstvo podatkov preveriti orodja za anonimizacijo
GDPR zahteva Oceno ucinkov na varstvo podatkov (DPIA) za visokotvegano delo. Obdelava PII v velikem obsegu je visoko tvegana. Orodje za anonimizacijo je obdelovalec podatkov. Spada pod pravila za obdelovalce. Preden zacnete z delom, ga morate oceniti.
Zahtevani sta dve stvari. Obdelovalci morajo zagotavljati "zadostna jamstva" za varnost. Vsa obdelava mora biti urejena s pisno pogodbo. Kot pooblascenec za varstvo podatkov dokumentirajte varnostne kontrole orodja, njegove podobdelovalce, kje gosti vase datoteke, kako obravnava krsitve, in pogodbo o obdelavi podatkov.
Certifikacija ISO 27001 zmanjsa to delo. BSI je ugotovil, da certificirana podjetja zmanjsajo cas, porabljen za varnostne vprasalnike, za 73 %. Gartner je ugotovil, da je ISO 27001 zahtevan v 78 % razpisov Fortune 500. Certificirano orodje vam omogoca, da navedete certifikat. Vsake kontrole vam ni treba preverjati rocno. Necertificirana orodja zahtevajo vec rocnega pregleda.
Oglejte si nas pregled skladnosti in varnostno stran za podrobnosti o tem, kako izpolnjujemo te zahteve.
Sedem stvari, ki jih je treba preveriti
Ta seznam uporabite za katero koli orodje za anonimizacijo ali dobavitelja.
1. Pogodba o obdelavi podatkov. Ali je vzpostavljena pogodba o obdelavi podatkov, skladna z GDPR? Zajemati mora: obdelavo samo po vasih navodilih, dolznost skrbnosti, varnostne korake, nadzor nad podobdelovalci, pomoc pri zahtevah za pravice, odstranitev ali vracilo datotek ter pravice do revizije.
2. Varnostna dokumentacija. Ali so varnostni koraki dokumentirani? Dobavitelji s certifikatom ISO 27001 lahko nakazejo na svojo potrdilo in Izjavo o primernosti. To zadosti zahtevi.
3. Seznam podobdelovalcev. Ali orodje uporablja podobdelovalce? Ali so poimenovani? Potrebujete predhodno obvestilo o vsaki spremembi. Oblacni gostitelji, CDN-ji in orodja za OCR vsi stejejo. Manjkajoca imena so pogosta vrzel.
4. Kje so datoteke gostiteljene. Ali so vasi podatki gostiteljeni v EU? Gostovanje v EU je najlazje za podjetja s sedejem v EU. Orodja brez poznavanja vsebine so prav tako sprejemljiva - datoteke sploh ne zapustijo vase naprave. Dobavitelji iz ZDA potrebujejo Standardne pogodbene klavzule.
5. Obvestilo o krsitvi. Kako hitro vas bo dobavitelj obvestil o krsitvi? Zakon zahteva obvestilo regulator ju v 72 urah. Vase dobavitelj vas mora opozoriti najprej. Preverite, da pogodba o obdelavi podatkov to potrjuje.
6. DPIA dobavitelja. Ali je dobavitelj opravil svojo lastno DPIA? Ali si jo lahko ogledate? Brez DPIA je vrzel v vaseh lastnih dokumentih. To je pogosta tezava.
7. Brisanje in prenosljivost. Ali dobavitelj zmore obravnavati zahteve za brisanje in prenosljivost? Orodja brez poznavanja vsebine ne hranijo datotek, zato brisanje morda ne velja. DPIA mora to navesti.
Dober dobavitelj vam da stiri elemente: certifikat ISO 27001, dokaz o gostovanju v EU, svojo DPIA in podpisano pogodbo o obdelavi podatkov. Ti stiri elementi zapolnijo vsako vrzel v vasei lastni DPIA. Vas regulator bo zadovoljen.
Preberite nas Pogosta vprasanja za pooblascence za varstvo podatkov za pogosta vprasanja o preverjanjih dobaviteljev.