Isang Tool, Tatlong Framework
Isang privacy team ang nagpoproseso ng mga file ng EU customer sa ilalim ng GDPR tuwing Lunes. Mga rekord ng healthcare sa ilalim ng HIPAA tuwing Martes. Data ng consumer ng California sa ilalim ng CCPA tuwing Miyerkules.
Bawat batas ay may iba't ibang panuntunan. Bawat dokumento ay nangangailangan ng iba't ibang setup.
Ang pagpapalit sa pagitan ng tatlong rule set araw-araw ay lumilikha ng mga pagkakamali. Ang maling setup sa maling file ay nagdudulot ng kabiguan sa pagsunod o pagkawala ng data.
Ayusin ng mga pinangalanang profile ng pagsunod ang problemang ito. Isang naka-save na setup sa bawat batas. Walang manual na muling pagsasaayos.
GDPR - Ano ang Sinasaklaw Nito
Sinasaklaw ng GDPR ang lahat ng personal na data. Naaangkop ito sa sinumang indibidwal ng EU na maaaring makilala. Walang nakaayos na listahan ng kung ano ang binibilang. Anumang impormasyon na may kaugnayan sa isang tao ay nasa saklaw.
Ang mga espesyal na kategorya - datos ng kalusugan, relihiyosong paniniwala, mga pampulitikang pananaw - ay nakakakuha ng karagdagang proteksyon sa ilalim ng Article 9.
Mga karaniwang uri ng entity para sa trabaho sa dokumento: mga pangalan, address, national ID, email, numero ng telepono, mga IP address, mga credit card.
Ang tamang tawag ay nakasalalay sa konteksto. Ang GDPR ay walang nakaayos na listahan.
HIPAA - Ano ang Sinasaklaw Nito
Tinutukoy ng HIPAA Safe Harbor ang eksaktong 18 uri ng identifier. Lahat ng 18 ay dapat alisin mula sa mga rekord ng kalusugan.
Dalawang panuntunan ang nagulat sa mga team:
- Ang mga petsa ay nababawasan sa taon lamang. Ang buwan at araw ay inalis. Nananatili ang taon.
- Ang mga heograpikong lugar na mas maliit kaysa sa isang estado ay dapat alisin.
Ang mga panuntunan na ito ay naaangkop lamang sa mga covered entity at sa kanilang mga business partner.
CCPA - Ano ang Sinasaklaw Nito
Sinasaklaw ng CCPA ang personal na impormasyon na konektado sa mga residente ng California. Ang saklaw ay malawak. Kasama nito ang mga direktang identifier, aktibidad sa internet, kasaysayan ng pagbili, datos ng geolocation, datos ng biometrics, at mga inferred na profile.
Para sa trabaho sa dokumento, tumuon sa mga direktang identifier: mga pangalan, SSN, mga driver's license, mga passport number, email, mga numero ng account, mga IP address, mga device ID.
Ang kasaysayan ng pagbili at mga log ng pag-browse ay bihirang lumabas bilang plain text sa isang dokumento.
Bakit Nabibigo ang Manual na Pagpapalit
Ang manual na pagpapalit ay lumilikha ng mga pagkakamali. Ang isang GDPR file na pinatakbo gamit ang HIPAA setup ay kumukuha ng mga panuntunan sa petsa na hindi kailangan ng GDPR. Ang isang HIPAA file na pinatakbo gamit ang GDPR setup ay napalampas ang mga heograpikong panuntunan na kinakailangan ng Safe Harbor.
Pinapakita ng mga pag-aaral na ang mga manual na pagpapalit ng framework ay gumagawa ng mga pagkakamali ng humigit-kumulang 15% ng oras. Bawat pagkakamali ay isang kabiguan sa pagsunod o isang kaganapan ng pagkawala ng data.
Kailangang tandaan ng kawani ang tatlong rule set at ilapat ang tamang isa sa bawat pagkakataon. Hindi iyon isang proseso. Isa itong hula na ginagawa araw-araw.
Tatlong Pinangalanang Setup
"GDPR Standard - EU Customers"
Natutuklas: mga pangalan, address, national ID, email, numero ng telepono, mga IP address, mga credit card.
Paraan: Redact.
Ibukod ang mga petsa maliban kung ang petsa ng kapanganakan ay nasa saklaw. Isama ang mga IP address para sa online na trabaho sa data.
"HIPAA Safe Harbor - Healthcare"
Natutuklas: mga pangalan ng tao, petsa, mga sub-state na lokasyon, telepono, fax, email, SSN, mga medical record number, mga health plan ID, mga numero ng account, mga certificate number, mga vehicle ID, mga device ID, mga URL, mga IP address, mga biometric ID. Sinasaklaw nito ang lahat ng 18 na uri ng Safe Harbor.
Paraan: Redact. Para sa mga petsa: panatilihin ang taon. Alisin ang buwan at araw.
Magdagdag ng custom na pattern para sa format ng medical record number ng iyong pasilidad.
"CCPA - California Consumer"
Natutuklas: mga pangalan, address, numero ng telepono, email, SSN, mga driver's license, mga passport number, mga credit card, mga IP address, mga URL, mga numero ng account, mga device ID.
Paraan: Replace (pinakamahusay para sa analytics) o Redact.
Bawat naka-save na setup ay nagla-lock ng desisyon sa pagsunod. Pinipili ng operator ang profile na akma sa legal na konteksto ng dokumento. Walang listahan ng entity na itatayo. Walang paraan na pipiliin.
Mga Rate ng Pagkakamali Bago at Pagkatapos
Bago ang mga pinangalanang profile: Ang mga kawani ay nag-reconfigure nang kamay para sa bawat batas. Ang rate ng pagkakamali ay malapit sa 15%. Ang mga taunang audit ay natutuklasan ng mga natuklasan sa aplikasyon ng framework bawat taon.
Pagkatapos ng mga pinangalanang profile: Pumipili ang mga kawani ng naka-save na profile. Ang setup ay naayos na. Ang rate ng pagkakamali ay bumaba sa ibaba ng 2%. Ang mga nananatiling pagkakamali ay nagmumula sa pagpili ng maling profile. Nahuhuli ng pagsusuri ng QA ang mga iyon. Pumapasa ang mga audit nang walang mga natuklasan.
Ang pangunahing pagbabago: ang desisyon sa pagsunod ay gumagalaw mula sa pang-araw-araw na pagpapatupad patungo sa paglikha ng profile. Nagpapasya ang isang espesyalista nang isang beses. Inilalapat ng bawat operator ito nang hindi nag-iisip.
Pagpapatakbo ng Multi-Framework na Team
Magtalaga ng pagmamay-ari. Isang lead sa bawat batas. Ang GDPR lead ang nagmamay-ari ng GDPR profile. Ang HIPAA officer ang nagmamay-ari ng HIPAA setup. Sinusuri ng bawat lead ang kanilang profile bawat quarter.
Mag-route ayon sa pinagmulan. Ang data ng EU customer ay gumagamit ng GDPR profile. Ang data ng US healthcare ay gumagamit ng HIPAA profile. Ang data ng consumer ng California ay gumagamit ng CCPA profile.
I-log ang bawat run. Ang mga log ng pagproseso ay nagtatala kung aling profile ang ginamit sa bawat batch. Kapag tinanong ng isang auditor kung paano pinangasiwaan ang isang file, ang sagot ay isang pangalan ng profile, isang petsa, at isang config log.
Itulak ang mga update. Kapag nag-isyu ng bagong gabay ang EDPB, ina-update ng GDPR lead ang ibinahaging setup. Lahat ng susunod na run ay kukuha ng pagbabago. Hindi na kailangang ipaalam kaninuman.
Para sa mas malalim na pagtingin sa pamamahala ng profile at ebidensya ng audit, tingnan ang mga preset ng anonymization at pagkakatugma ng GDPR audit. Para sa detalye ng saklaw ng entity ng HIPAA Safe Harbor, tingnan ang HIPAA Safe Harbor de-identification para sa pananaliksik sa healthcare.
Konklusyon
Tatlong batas. Tatlong naka-save na profile. Isang tool.
Ang kumplikado ay nakatira sa antas ng kahulugan ng profile. Hindi sa pang-araw-araw na pagproseso. Hindi kailangang malaman ng mga operator ang mga panuntunan sa petsa ng HIPAA. Kailangan nilang malaman kung aling profile ang akma sa dokumento sa harap nila.
Binabawasan ng mga pinangalanang setup ang cognitive load. Binabawasan nito ang mga pagkakamali. Ginagawa nitong napatunayan ang pagsunod.