องค์กรพัฒนาเอกชนต้องปฏิบัติตาม GDPR อย่างจริงจัง
กลุ่มผู้ลี้ภัยในเยอรมนีบันทึกการสัมภาษณ์รับเข้า แต่ละไฟล์มีชื่อ รายละเอียดครอบครัว และบันทึกทางการแพทย์ GDPR เป็นสิ่งบังคับ งบประมาณเทคโนโลยีเป็นศูนย์
นี่คือชีวิตประจำวันขององค์กรพัฒนาเอกชนและองค์กรการกุศลหลายพันแห่งทั่วยุโรป พวกเขาจัดการบันทึกที่ละเอียดอ่อนมาก บันทึกเหล่านั้นอาจเป็นอันตรายต่อชีวิตหากรั่วไหล และพวกเขาต้องปฏิบัติตามกฎเดียวกับบริษัทขนาดใหญ่ที่มีทีมความเป็นส่วนตัวเต็มรูปแบบ
เหตุใดช่องว่างจึงมีอยู่
GDPR ใช้กับทุกคน ครอบคลุมบริษัทยาระดับโลกที่มีข้อมูล 50 ล้านรายการ และยังครอบคลุมองค์กรพัฒนาเอกชนผู้ลี้ภัยที่มีการสัมภาษณ์ 500 ครั้งต่อปี ขนาดไม่สำคัญ งบประมาณไม่สำคัญ
มาตรา 32 กำหนดให้ "มาตรการทางเทคนิคและองค์กรที่เหมาะสม" จากผู้ประมวลผลทั้งหมด มาตรการป้องกันทางเทคนิคที่แท้จริงเป็นสิ่งจำเป็น
บริษัทขนาดใหญ่ซื้อเครื่องมือและจ้างพนักงานด้านความเป็นส่วนตัว องค์กรพัฒนาเอกชนที่ไม่มีงบประมาณเผชิญกฎเดียวกัน แต่ไม่มีทรัพยากรเหล่านั้น
ช่องว่างนี้กระทบคนที่เปราะบางที่สุด ลองนึกถึงไฟล์คดีที่ศูนย์พักพิงสำหรับผู้ที่ตกเป็นเหยื่อความรุนแรงในครอบครัว หรือบันทึกผู้รับประโยชน์ของกลุ่มช่วยเหลือ ไฟล์เหล่านั้นต้องการการป้องกันที่แข็งแกร่งที่สุด แต่มักได้รับการป้องกันที่น้อยที่สุด
สิ่งที่เครื่องมือฟรีสามารถครอบคลุม
ไม่ใช่ทุกข้อกำหนด GDPR ต้องการซอฟต์แวร์ที่ต้องซื้อ เครื่องมือฟรีสามารถตอบสนองกฎหลักได้:
การลดข้อมูลให้น้อยที่สุด (มาตรา 5(1)(c)): ลบหรือยกเลิกการระบุตัวตน PII ที่ไม่จำเป็น การทบทวนด้วยตนเองใช้ได้แต่ช้า เครื่องมืออัตโนมัติฟรีลดต้นทุนได้อย่างมาก
การ pseudonymization (มาตรา 4(5)): เปลี่ยนชื่อจริงเป็นนามแฝง ลดความเสี่ยงในขณะที่ยังคงคุณค่าการวิเคราะห์ การเข้ารหัสแบบย้อนกลับได้มีคุณสมบัติเมื่อเก็บกุญแจแยกจากไฟล์
การควบคุมการเข้าถึง: จำกัดผู้ที่สามารถดูไฟล์ส่วนบุคคล ระบบเอกสารส่วนใหญ่มีสิ่งนี้โดยไม่มีค่าใช้จ่ายเพิ่มเติม
การยกเลิกการระบุตัวตนสำหรับการแบ่งปันงานวิจัย: การแบ่งปันบันทึกงานวิจัยต้องการความยินยอมหรือการยกเลิกการระบุตัวตนที่เหมาะสม การยกเลิกการระบุตัวตนด้วยตนเองใช้ต้นทุน 2-5 ยูโรต่อเอกสาร เครื่องมืออัตโนมัติใช้ต้นทุน 0.001-0.01 ยูโร
เครื่องมือฟรีสำหรับองค์กรพัฒนาเอกชน
ระดับฟรีของ anonym.legal: นี่คือระดับฟรีถาวร ไม่ใช่การทดลองใช้ มอบ 200 โทเค็นต่อเดือน สำหรับองค์กรพัฒนาเอกชนที่มีปริมาณเอกสารน้อย สิ่งนี้ครอบคลุมความต้องการพื้นฐาน
ระดับฟรีรวมถึง:
- อินเทอร์เฟซเว็บเบราว์เซอร์ ไม่ต้องติดตั้ง
- 273 ประเภทเอนทิตี: ชื่อ สถานที่ ตัวระบุทางการแพทย์ และอื่นๆ
- หลายวิธี: ลบ แทนที่ ปิดบัง หรือเข้ารหัส
- โฮสต์ในสหภาพยุโรป ข้อมูลอยู่บนเซิร์ฟเวอร์ยุโรป
- การประมวลผลที่ปฏิบัติตาม GDPR
สำหรับการใช้งานเบาๆ 200 โทเค็นต่อเดือนอาจเพียงพอ สำหรับปริมาณมากขึ้น แผน Basic ราคา 3 ยูโรต่อเดือน หรือประมาณ 36 ยูโรต่อปี
ตัวเลือกโอเพ่นซอร์ส (ต้องการการตั้งค่าทางเทคนิค):
- Microsoft Presidio: ฟรี ต้องการทักษะ Python และ Docker
- ARX: แอพเดสก์ท็อปฟรีสำหรับการยกเลิกการระบุตัวตนเชิงสถิติ
- Amnesia: ฟรี ใช้เบราว์เซอร์ ใช้ k-anonymity
เครื่องมือโอเพ่นซอร์สมีข้อจำกัดสำคัญหนึ่งข้อ หากทีมไม่มีพนักงานด้านเทคนิค คุณไม่สามารถติดตั้งได้ ระดับฟรีของ anonym.legal ทำงานในเบราว์เซอร์ เจ้าหน้าที่คดีทุกคนสามารถใช้งานได้โดยตรง
วิธีการทำงานในทางปฏิบัติ
องค์กร: องค์กรพัฒนาเอกชนสนับสนุนผู้ลี้ภัย เยอรมนี ข้อมูล: การสัมภาษณ์รับเข้า — ชื่อ รายละเอียดครอบครัว บันทึกทางการแพทย์ เป้าหมาย: แบ่งปันไฟล์คดีกับองค์กรพันธมิตร ปัญหา: ไม่สามารถแบ่งปันบันทึกส่วนบุคคลโดยไม่มีความยินยอมหรือการยกเลิกการระบุตัวตน งบประมาณ: 0 ยูโร
กระบวนการ:
- เจ้าหน้าที่คดีบันทึกการสัมภาษณ์รับเข้า
- อัปโหลดเอกสารไปยังระดับฟรีของ anonym.legal
- ยกเลิกการระบุตัวตนชื่อ สถานที่ วันเกิด และรายละเอียดทางการแพทย์
- ส่งสำเนาที่ยกเลิกการระบุตัวตนไปยังองค์กรพันธมิตร
- ต้นฉบับอยู่ในไฟล์สำหรับการใช้งานภายใน
สิ่งนี้ตรงตาม GDPR มาตรา 25 และมาตรา 32 โดยไม่มีค่าใช้จ่าย องค์กรพัฒนาเอกชนบันทึกกระบวนการนี้ในทะเบียนข้อมูล ซึ่งเป็นหลักฐานการปฏิบัติตามกฎระเบียบ
การทบทวนด้วยตนเองเทียบกับเครื่องมืออัตโนมัติ
สำหรับองค์กรพัฒนาเอกชนที่ทบทวนเอกสาร 1,000 ฉบับต่อปี:
การทบทวน PII ด้วยตนเอง:
- เวลา: 15-20 นาทีต่อเอกสาร
- ที่ 20 ยูโร/ชั่วโมง: 5,000-6,700 ยูโรต่อปีในเวลาพนักงาน
- อัตราข้อผิดพลาด: พลาด 5-10%
การยกเลิกการระบุตัวตนอัตโนมัติ:
- ระดับฟรี: 200 โทเค็นต่อเดือน
- แผน Basic: 3 ยูโร/เดือน = 36 ยูโร/ปีสำหรับ 1,000 โทเค็น/เดือน
- อัตราข้อผิดพลาด: ต่ำกว่า 1% ด้วยการตรวจจับ NLP
สำหรับเอกสาร 10,000 ฉบับต่อปี เครื่องมืออัตโนมัติใช้ต้นทุนประมาณ 10 ยูโร/ปี นั่นคือการประหยัด 99.8% เมื่อเทียบกับการทำงานด้วยตนเอง
มหาวิทยาลัยเผชิญปัญหาเดียวกัน
ทีมวิจัยในมหาวิทยาลัยและศูนย์การแพทย์เผชิญปัญหาเดียวกัน GDPR กำหนดให้ต้องยกเลิกการระบุตัวตนก่อนแบ่งปันผลลัพธ์งานวิจัย งบประมาณมีจำกัด นักวิจัยไม่ใช่พนักงาน IT พวกเขาต้องการเครื่องมือที่สามารถรันได้เอง
ข้อยกเว้นการวิจัยของ GDPR (มาตรา 89) อนุญาตให้ประมวลผลสำหรับงานวิจัยพร้อมมาตรการป้องกันที่เหมาะสม การยกเลิกการระบุตัวตนเป็นหนึ่งในมาตรการป้องกันเหล่านั้น เครื่องมือฟรีเปิดประตูที่ค่าใช้จ่ายการปฏิบัติตามกฎระเบียบจะปิดไว้
ราคาตามการใช้งานที่ 0.0001 ยูโรต่อโทเค็นขยายตามขนาดทีม กลุ่มเล็กจ่ายน้อยมาก ซึ่งเหมาะสำหรับองค์กรพัฒนาเอกชนและภาควิชาวิชาการ
ห้าขั้นตอนสำหรับองค์กรพัฒนาเอกชนทุกแห่ง
ขั้นตอนที่ 1: ระบุกิจกรรมการประมวลผล บันทึกว่าคุณประมวลผลข้อมูลส่วนบุคคลใด เพราะอะไร และแบ่งปันอย่างไร นี่คือ Records of Processing Activities ของคุณ GDPR กำหนดให้ต้องมีสำหรับทุกองค์กร
ขั้นตอนที่ 2: หาจุดที่การยกเลิกการระบุตัวตนช่วยได้ สำหรับแต่ละกิจกรรม: การยกเลิกการระบุตัวตนสามารถตอบสนองความต้องการได้ไหม? หรือคุณต้องการบันทึกที่ระบุตัวตนได้สำหรับวัตถุประสงค์นั้น?
ขั้นตอนที่ 3: เลือกเครื่องมือ ทีมที่ไม่ใช่เทคนิค: ใช้ระดับฟรีของ anonym.legal ทีมที่มีการสนับสนุน IT: พิจารณา Microsoft Presidio
ขั้นตอนที่ 4: บันทึกสิ่งที่คุณทำ ระบุว่าคุณใช้การยกเลิกการระบุตัวตนอัตโนมัติเป็นมาตรการป้องกันทางเทคนิค นี่คือหลักฐานตามมาตรา 32 ของคุณ
ขั้นตอนที่ 5: อบรมทีม เซสชัน 15 นาทีครอบคลุมว่า PII คืออะไร ทำไมถึงสำคัญ และวิธีใช้เครื่องมือ เครื่องมือที่เรียบง่ายทำให้การฝึกอบรมสั้น
การปฏิบัติตามกฎระเบียบอยู่ในมือแล้ว
การปฏิบัติตาม GDPR ไม่ใช่ทางเลือกสำหรับองค์กรพัฒนาเอกชน แต่ไม่จำเป็นต้องแพง เครื่องมือฟรีและกระบวนการที่ชัดเจนสามารถตอบสนองข้อกำหนดทางเทคนิคได้ คุณไม่จำเป็นต้องมีงบประมาณระดับองค์กร
ผู้ลี้ภัย ผู้รอดชีวิต และผู้เข้าร่วมงานวิจัยสมควรได้รับการคุ้มครองความเป็นส่วนตัวที่แข็งแกร่ง เครื่องมือฟรีทำให้การคุ้มครองนั้นเข้าถึงได้สำหรับกลุ่มที่รับใช้คนที่เปราะบางที่สุด
เรียนรู้วิธีที่ anonym.legal จัดการข้อกำหนดทางเทคนิค GDPR สำหรับประเภทเอนทิตีและการตั้งค่า ดูภาพรวมความปลอดภัยและการปฏิบัติตามกฎระเบียบ คำถามทั่วไปตอบได้ในคำถามที่พบบ่อยเกี่ยวกับการยกเลิกการระบุตัวตน