Jedan alat, tri okvira
Tim za privatnost obradjuje EU klijentske fajlove pod GDPR-om u ponedeljak. Zdravstvene kartone pod HIPAA-om u utorak. Podatke kalifornijskih potrosaca pod CCPA-om u sredu.
Svaki zakon ima drugacija pravila. Svaki dokument zahteva drugacije podesavanje.
Prelazetnje izmedju tri skupa pravila svaki dan stvara greške. Pogrešna konfiguracija na pogrešnom fajlu uzrokuje neuspeh uskladenosti ili gubitak podataka.
Ime nski profili uskladenosti ovo reseravaju. Jedno sacuvano podesavanje po zakonu. Bez rucnog rekonfiguracije.
GDPR - Šta pokriva
GDPR pokriva sve licne podatke. Primenjuje se na svakog EU gradjana koji se moze identifikovati. Ne postoji fiksna lista onoga što se broji. Svaka informacija koja se odnosi na osobu je u opsegu.
Specijalne kategorije - zdravstveni podaci, verska uverenja, politicka mišljenja - dobijaju dodatnu zaštitu prema clanu 9.
Uobicajene vrste entiteta za rad sa dokumentima: imena, adrese, nacionalni ID-jevi, e-mail adrese, brojevi telefona, IP adrese, kreditne kartice.
Pravi izbor zavisi od konteksta. GDPR nema fiksnu listu.
HIPAA - Šta pokriva
HIPAA Safe Harbor definise tacno 18 vrsta identifikatora. Svih 18 mora biti uklonjeno iz zdravstvenih kartona.
Dva pravila iznenadjuju timove:
- Datumi se svode na samo godinu. Mesec i dan se uklanjaju. Godina ostaje.
- Geografska podrucja manja od drzave moraju biti uklonjena.
Ova pravila se primenjuju samo na pokrivene entitete i njihove poslovne partnere.
CCPA - Šta pokriva
CCPA pokriva licne podatke povezane sa stanovnicima Kalifornije. Opseg je širok. Ukljucuje direktne identifikatore, internet aktivnost, istoriju kupovine, podatke o geolokaciji, biometricke podatke i zakljucke iz profila.
Za rad sa dokumentima, fokusirajte se na direktne identifikatore: imena, JMBG, vozacke dozvole, brojeve pasosa, e-mail adrese, brojeve racuna, IP adrese, ID-jeve uredjaja.
Istorija kupovine i evidencija pregledanja retko se pojavljuju kao prost tekst u dokumentu.
Zasto rucno prebacivanje ne uspeva
Rucno prebacivanje stvara greške. GDPR fajl pokrenut sa HIPAA konfiguracijom uzima pravila datuma koja GDPR ne zahteva. HIPAA fajl pokrenut sa GDPR konfiguracijom propušta geografska pravila koja Safe Harbor zahteva.
Istrazivanja pokazuju da rucna prebacivanja okvira produkuju greške u oko 15% slucajeva. Svaka greška je promašaj uskladenosti ili dogadjaj gubitka podataka.
Zaposleni moraju imati na umu tri skupa pravila i primeniti pravi svaki put. To nije proces. To je nagadjanje koje se svakodnevno pravi.
Tri imenovana podesavanja
"GDPR standard - EU klijenti"
Otkriva: imena, adrese, nacionalne ID-jeve, e-mail adrese, brojeve telefona, IP adrese, kreditne kartice.
Metoda: Redact.
Isključite datume osim ako datum rodjenja nije u opsegu. Ukljucite IP adrese za rad sa online podacima.
"HIPAA Safe Harbor - Zdravstvo"
Otkriva: imena lica, datume, podlokaicje na nivou ispod drzave, telefon, faks, e-mail, JMBG, medicinske brojeve kartona, ID-jeve zdravstvenih planova, brojeve racuna, brojeve sertifikata, ID-jeve vozila, ID-jeve uredjaja, URL-ove, IP adrese, biometricke ID-jeve. To pokriva svih 18 vrsta Safe Harbor-a.
Metoda: Redact. Za datume: zadrzati godinu. Ukloniti mesec i dan.
Dodajte prilagodjeni obrazac za format medicinskog broja kartona vase ustanove.
"CCPA - Kalifornijski potrosac"
Otkriva: imena, adrese, brojeve telefona, e-mail adrese, JMBG, vozacke dozvole, brojeve pasosa, kreditne kartice, IP adrese, URL-ove, brojeve racuna, ID-jeve uredjaja.
Metoda: Replace (najbolje za analitiku) ili Redact.
Svako sacuvano podesavanje zatvara odluku o uskladenosti. Operater bira profil koji odgovara pravnom kontekstu dokumenta. Nema liste entiteta za pravljenje. Nema metoda za biranje.
Stope greške pre i posle
Pre imenovanih profila: Zaposleni rucno rekonfigurišu za svaki zakon. Stopa greške je blizu 15%. Godišnje revizije svake godine nalaze propuste u primeni okvira.
Posle imenovanih profila: Zaposleni biraju sacuvani profil. Podesavanje je fiksirano. Stopa greške pada ispod 2%. Preostale greške dolaze od biranja pogrešnog profila. QA pregled ih hvata. Revizije prolaze bez nalaza.
Kljucna promena: odluka o uskladenosti premesta se sa svakodnevnog izvrsavanja na kreiranje profila. Specijalista odlucuje jednom. Svaki operater to primenjuje bez razmišljanja.
Vodjenje višeokvirnog tima
Dodelite vlasništvo. Jedan vodja po zakonu. Vodja za GDPR poseduje GDPR profil. Sluzbenik za HIPAA poseduje HIPAA podesavanje. Svaki vodja pregleda svoj profil svako tromesecje.
Rutiranje po izvoru. EU podaci o klijentima koriste GDPR profil. US zdravstveni podaci koriste HIPAA profil. Podaci kalifornijskih potrosaca koriste CCPA profil.
Belezcite svako pokretanje. Zapisi o obradi beleže koji je profil korišcen na svakom skupu. Kada revizor upita kako je fajl obradjivan, odgovor je naziv profila, datum i evidencija konfiguracije.
Guranje azuriranja. Kada EDPB izda novo uputstvo, vodja za GDPR azurira zajednicki skup. Sva buduca pokretanja preuzimaju izmenu. Niko ne mora biti obavešten.
Za dublji pogled na upravljanje profilima i revizijske dokaze, pogledajte predefinisani profili za anonimizaciju i doslednost GDPR revizije. Za detalje o pokrivenosti entiteta HIPAA Safe Harbor, pogledajte HIPAA Safe Harbor deidentifikacija za istrazivanje u zdravstvu.
Zakljucak
Tri zakona. Tri sacuvana profila. Jedan alat.
Kompleksnost zivi na nivou definisanja profila. Ne u svakodnevnoj obradi. Operateri ne moraju znati HIPAA pravila o datumima. Moraju znati koji profil odgovara dokumentu pred njima.
Imenovanakonfiguracija smanjuje kognitivno opterecenje. Smanjuje greške. Cini uskladenost dokazivom.