Eno orodje, trije okviri
Ekipa za zasebnost v ponedeljek obdeluje datoteke strank iz EU po GDPR. V torek zdravstvene evidence po HIPAA. V sredo potrosniiske podatke Kalifornije po CCPA.
Vsak zakon ima drugacna pravila. Vsak dokument potrebuje drugacno nastavitev.
Menjavanje med tremi nizi pravil vsak dan ustvarja napake. Napacna nastavitev na napacni datoteki povzroci napako skladnosti ali izgubo podatkov.
Poimenovani profili skladnosti to popravijo. Ena shranjena nastavitev na zakon. Brez rocene ponovne konfiguracije.
GDPR -- Kaj zajema
GDPR zajema vse osebne podatke. Velja za vsako posameznika iz EU, ki ga je mogoce identificirati. Ni fiksnega seznama, kaj steje. Vsaka informacija, ki se nanasa na osebo, je v obsegu.
Posebne kategorije -- zdravstveni podatki, verska prepricanja, politicna stalisca -- dobijo dodatno zasceito po Clenu 9.
Pogoste vrste entitet za delo z dokumenti: imena, naslovi, nacionalni ID-ji, e-postni naslovi, telefonske stevilke, IP-naslovi, kreditne kartice.
Pravilna odlocitev je odvisna od konteksta. GDPR nima fiksnega seznama.
HIPAA -- Kaj zajema
HIPAA Safe Harbor tocno doloca 18 vrst identifikatorjev. Vseh 18 mora biti odstranjenih iz zdravstvenih evidenc.
Dve pravili ekipe presenecata:
- Datumi se zmanjsajo le na leto. Mesec in dan sta odstranjena. Leto ostane.
- Geografska obmocja, manjsa od drzave, morajo biti odstranjena.
Ta pravila veljajo samo za pokrite entitete in njihove poslovne partnerje.
CCPA -- Kaj zajema
CCPA zajema osebne podatke, povezane z rezidenti Kalifornije. Obseg je sirok. Vkljucuje neposredne identifikatorje, internetno dejavnost, zgodovino nakupov, podatke o geolokaciji, biometricne podatke in izpeljane profile.
Za delo z dokumenti se osredotocite na neposredne identifikatorje: imena, EMSO stevilke, vozniiska dovoljenja, stevilke potnih listov, e-postne naslove, stevilke racunov, IP-naslove, ID-je naprav.
Zgodovina nakupov in dnevniki brskanja se redko pojavljajo kot navadeno besedilo v dokumentu.
Zakaj rocno menjavanje odpove
Rocno menjavanje ustvarja napake. Datoteka GDPR, ki se zene s nastavitvijo HIPAA, prevzame pravila datumov, ki jih GDPR ne potrebuje. Datoteka HIPAA, ki se zene z nastavitvijo GDPR, zamudi geografska pravila, ki jih zahteva Safe Harbor.
Studije kazejo, da rocno menjavanje okvirov povzroca napake pri priblizno 15 % zamenjav. Vsaka napaka je zamujeno skladnost ali dogodek izgube podatkov.
Osebje mora imeti v mislih tri nize pravil in vsakic uporabiti pravega. To ni postopek. To je ugibanje, ki se ponavlja vsak dan.
Tri poimenovane nastavitve
"Standard GDPR -- Stranke iz EU"
Zazna: imena, naslove, nacionalne ID-je, e-postne naslove, telefonske stevilke, IP-naslove, kreditne kartice.
Metoda: Redakt.
Izlocite datume, razen ce je datum rojstva v obsegu. Vkljucite IP-naslove za delo s spletnimi podatki.
"HIPAA Safe Harbor -- Zdravstvo"
Zazna: osebna imena, datume, lokacije manjse od drzave, telefon, faks, e-posto, EMSO, stevilke zdravstvenih kartonov, ID-je zdravstvenih planov, stevilke racunov, stevilke potrdil, ID-je vozil, ID-je naprav, URL-je, IP-naslove, biometricne ID-je. To pokriva vseh 18 vrst Safe Harbor.
Metoda: Redakt. Za datume: ohranite leto. Odstranite mesec in dan.
Dodajte prilagojen vzorec za format stevilke zdravstvenega kartona vase ustanove.
"CCPA -- Potrosniki Kalifornije"
Zazna: imena, naslove, telefonske stevilke, e-postne naslove, EMSO stevilke, vozniiska dovoljenja, stevilke potnih listov, kreditne kartice, IP-naslove, URL-je, stevilke racunov, ID-je naprav.
Metoda: Zamenjava (najboljsa za analitiko) ali Redakt.
Vsaka shranjena nastavitev zakljuci odlocitev o skladnosti. Operater izbere profil, ki ustreza pravnemu kontekstu dokumenta. Ni seznama entitet za izgradnjo. Ni metode za izbiro.
Stopnje napak pred in po
Pred poimenovanimi profili: Osebje roci konfigurira za vsak zakon. Stopnja napak je blizu 15 %. Letne revizije vsako leto najdejo ugotovitve glede uporabe okvirov.
Po poimenovanih profilih: Osebje izbere shranjeni profil. Nastavitev je fiksna. Stopnja napak pade pod 2 %. Preostale napake izvirajo iz izbire napacnega profila. Pregled kakovosti jih ujame. Revizije se opravijo brez ugotovitev.
Kljucna sprememba: odlocitev o skladnosti se preseli iz dnevnega izvajanja v ustvarjanje profila. Specialist odloci enkrat. Vsak operater to uveljavi brez razmisljanja.
Vodenje ekipe z vec okviri
Dodelite lastnistvo. En vodja na zakon. Vodja GDPR je lastnik profila GDPR. Uradnik HIPAA je lastnik nastavitve HIPAA. Vsak vodja pregleda svoj profil vsako cetrletje.
Usmerjajte po viru. Podatki strank iz EU uporabljajo profil GDPR. Zdravstveni podatki iz ZDA uporabljajo profil HIPAA. Potrosniiske podatke Kalifornije se obdela s profilom CCPA.
Belezite vsak zagon. Dnevniki obdelave belezijo, kateri profil je bil uporabljen za vsako serijo. Ko revizor vprase, kako je bila datoteka obravnavana, je odgovor ime profila, datum in dnevnik konfiguracije.
Posiljajte posodobitve. Ko EDPB izda nova navodila, vodja GDPR posodobi skupno nastavitev. Vsi prihodnji zagoni prevzamejo spremembo. Nihce ne rabi biti obvescen.
Za poglobljen pogled na upravljanje profilov in revizijske dokaze glejte prednastavitve anonimizacije in doslednost revizij GDPR. Za podrobno pokritost entitet HIPAA Safe Harbor glejte de-identifikacijo HIPAA Safe Harbor za zdravstvene raziskave.
Zakljucek
Treje zakoni. Trije shranjeni profili. Eno orodje.
Zapletenost zivi na ravni definicije profila. Ne pri dnevni obdelavi. Operaterji ne potrebujejo vedeti pravil HIPAA za datume. Vedeti morajo, kateri profil ustreza dokumentu pred njimi.
Poimenovane nastavitve zmanjsajo kognitivno obremenitev. Zmanjsajo napake. Naredijo skladnost dokazljivo.