Varför DPO:er behöver granska anonymiseringsverktyg
GDPR kräver en konsekvensbedömning (DPIA) för högriskbehandling. Storskalig behandling av PII är högrisk. Ett anonymiseringsverktyg är ett personuppgiftsbiträde. Det omfattas av biträdets regler. Du måste bedöma det innan det tas i drift.
Två saker krävs. Biträden måste erbjuda "tillräckliga garantier" för säkerhet. All behandling måste regleras av ett skriftligt avtal. Som DPO ska du dokumentera verktygets säkerhetskontroller, dess underbiträden, var det lagrar dina filer, hur det hanterar intrång och personuppgiftsbiträdesavtalet.
ISO 27001-certifiering minskar arbetet. BSI fann att certifierade företag minskar tidsåtgången för säkerhetsenkäter med 73 %. Gartner fann att ISO 27001 krävs i 78 % av Fortune 500-upphandlingar. Ett certifierat verktyg gör att du kan hänvisa till certifieringen. Du behöver inte kontrollera varje kontroll manuellt. Ocertifierade verktyg kräver mer manuell granskning.
Se vår efterlevnadsöversikt och säkerhetssida för att se hur vi uppfyller dessa regler.
Sju saker att kontrollera
Använd denna lista för alla anonymiseringsverktyg eller leverantörer.
1. Personuppgiftsbiträdesavtal. Finns ett GDPR-kompatibelt biträdesavtal på plats? Det måste täcka: behandling enbart enligt dina instruktioner, omsorgsskyldighet, säkerhetsåtgärder, kontroll av underbiträden, stöd med rättighetsförfrågningar, borttagning eller återlämning av filer och revisionsrättigheter.
2. Säkerhetsdokumentation. Är säkerhetsåtgärderna dokumenterade? ISO 27001-certifierade leverantörer kan hänvisa till sin certifiering och sitt Statement of Applicability. Det uppfyller kravet.
3. Lista över underbiträden. Använder verktyget underbiträden? Är de namngivna? Du behöver förhandsmeddelande om varje förändring. Molnleverantörer, CDN:er och OCR-verktyg räknas alla. Saknade namn är ett vanligt problem.
4. Var filer lagras. Lagras dina uppgifter i EU? EU-lagring är enklast för EU-baserade företag. Zero-knowledge-verktyg fungerar också — inga filer lämnar din enhet alls. Amerikanska leverantörer behöver standardavtalsklausuler.
5. Intrångsmeddelande. Hur snabbt kommer leverantören att meddela dig om ett intrång? Lagen kräver anmälan till din tillsynsmyndighet inom 72 timmar. Din leverantör måste varna dig först. Kontrollera att biträdesavtalet bekräftar detta.
6. Leverantörens konsekvensbedömning. Har leverantören gjort sin egen konsekvensbedömning? Kan du ta del av den? Ingen konsekvensbedömning innebär en lucka i dina egna handlingar. Detta är ett vanligt problem.
7. Radering och portabilitet. Kan leverantören hantera begäran om radering och portabilitet? Zero-knowledge-verktyg lagrar inga filer, så radering kanske inte gäller. Konsekvensbedömningen måste ange detta.
En bra leverantör ger dig fyra saker: ISO 27001-certifiering, bevis på EU-lagring, deras konsekvensbedömning och ett undertecknat biträdesavtal. Dessa fyra saker fyller varje lucka i din egen konsekvensbedömning. Din tillsynsmyndighet kommer att vara nöjd.
Läs vår DPO FAQ för vanliga frågor om leverantörsgranskning.