Tek Araç, Üç Çerçeve
Bir gizlilik ekibi Pazartesi günü GDPR kapsamında AB müşteri dosyalarını işler. Salı günü HIPAA kapsamında sağlık kayıtlarını. Çarşamba günü CCPA kapsamında California tüketici verilerini.
Her yasanın farklı kuralları vardır. Her belge farklı bir kurulum gerektirir.
Her gün üç kural seti arasında geçiş yapmak hatalara yol açar. Yanlış dosyada yanlış kurulum kullanmak uyumluluk hatasına veya veri kaybına neden olur.
Adlandırılmış uyumluluk profilleri bunu giderir. Yasa başına bir kayıtlı kurulum. Manuel yeniden yapılandırma yok.
GDPR — Neyi Kapsar
GDPR tüm kişisel verileri kapsar. Tanımlanabilir herhangi bir AB bireyi için geçerlidir. Nelerin sayılacağına dair sabit bir liste yoktur. Bir kişiyle ilgili her türlü bilgi kapsama girer.
Özel kategoriler — sağlık verileri, dini inançlar, siyasi görüşler — Madde 9 kapsamında ekstra koruma alır.
Belge çalışması için yaygın varlık türleri: isimler, adresler, ulusal kimlikler, e-postalar, telefon numaraları, IP adresleri, kredi kartları.
Doğru seçim bağlama göre değişir. GDPR'ın sabit bir listesi yoktur.
HIPAA — Neyi Kapsar
HIPAA Güvenli Liman tam olarak 18 tanımlayıcı türü tanımlar. 18'inin tamamının sağlık kayıtlarından kaldırılması gerekir.
İki kural ekipleri şaşırtır:
- Tarihler yalnızca yıla indirgenir. Ay ve gün kaldırılır. Yıl kalır.
- Eyaletten küçük coğrafi alanlar kaldırılmalıdır.
Bu kurallar yalnızca kapsanan kuruluşlar ve iş ortakları için geçerlidir.
CCPA — Neyi Kapsar
CCPA, California sakinleriyle bağlantılı kişisel bilgileri kapsar. Kapsam geniştir. Doğrudan tanımlayıcılar, internet etkinliği, satın alma geçmişi, coğrafi konum verileri, biyometrik veriler ve profil çıkarımlarını içerir.
Belge çalışması için doğrudan tanımlayıcılara odaklanın: isimler, sosyal güvenlik numaraları, ehliyet numaraları, pasaport numaraları, e-postalar, hesap numaraları, IP adresleri, cihaz kimlikleri.
Satın alma geçmişi ve tarama kayıtları nadiren bir belgede düz metin olarak görünür.
Manuel Geçiş Neden Başarısız Olur
Manuel geçiş hatalara yol açar. GDPR dosyası HIPAA kurulumuyla çalıştırıldığında GDPR'ın ihtiyaç duymadığı tarih kuralları devreye girer. HIPAA dosyası GDPR kurulumuyla çalıştırıldığında Güvenli Liman'ın gerektirdiği coğrafi kurallar gözden kaçar.
Çalışmalar, manuel çerçeve geçişlerinin yaklaşık %15 oranında hata ürettiğini göstermektedir. Her hata bir uyumluluk hatası veya veri kaybı olayıdır.
Personelin üç kural setini akılda tutması ve her seferinde doğru olanı uygulaması gerekir. Bu bir süreç değildir. Her gün yapılan bir tahmindir.
Üç Adlandırılmış Kurulum
"GDPR Standardı — AB Müşterileri"
Tespit eder: isimler, adresler, ulusal kimlikler, e-postalar, telefon numaraları, IP adresleri, kredi kartları.
Yöntem: Sil.
Doğum tarihi kapsam dışındaysa tarihleri hariç tutun. Çevrimiçi veri çalışması için IP adreslerini dahil edin.
"HIPAA Güvenli Liman — Sağlık Hizmetleri"
Tespit eder: kişi isimleri, tarihler, eyalet altı konumlar, telefon, faks, e-posta, SGN, tıbbi kayıt numaraları, sağlık planı kimlikleri, hesap numaraları, sertifika numaraları, araç kimlikleri, cihaz kimlikleri, URL'ler, IP adresleri, biyometrik kimlikler. Bu 18 Güvenli Liman türünün tamamını kapsar.
Yöntem: Sil. Tarihler için: yılı tutun. Ay ve günü kaldırın.
Tesisin tıbbi kayıt numarası biçimi için özel bir kalıp ekleyin.
"CCPA — California Tüketicisi"
Tespit eder: isimler, adresler, telefon numaraları, e-postalar, sosyal güvenlik numaraları, ehliyet numaraları, pasaport numaraları, kredi kartları, IP adresleri, URL'ler, hesap numaraları, cihaz kimlikleri.
Yöntem: Değiştir (analitik için en iyisi) veya Sil.
Kayıtlı her kurulum uyumluluk kararını kilitler. Operatör, belgenin yasal bağlamına uyan profili seçer. Oluşturulacak varlık listesi yok. Seçilecek yöntem yok.
Öncesi ve Sonrasında Hata Oranları
Adlandırılmış profillerden önce: Personel her yasa için elle yeniden yapılandırır. Hata oranı %15'e yakındır. Yıllık denetimler her yıl çerçeve uygulama bulgularını ortaya çıkarır.
Adlandırılmış profillerden sonra: Personel kayıtlı profili seçer. Kurulum sabittir. Hata oranı %2'nin altına düşer. Kalan hatalar yanlış profil seçmekten kaynaklanır. Kalite kontrol incelemesi bunları yakalar. Denetimler bulgu olmadan geçer.
Temel değişim şudur: uyumluluk kararı günlük uygulamadan profil oluşturmaya taşınır. Bir uzman bir kez karar verir. Her operatör düşünmeden uygular.
Çok Çerçeveli Ekip Yönetimi
Sahiplik atayın. Yasa başına bir sorumlu. GDPR sorumlusu GDPR profiline sahiptir. HIPAA görevlisi HIPAA kurulumuna sahiptir. Her sorumlu profilini üç ayda bir inceler.
Kaynağa göre yönlendirin. AB müşteri verileri GDPR profilini kullanır. ABD sağlık verileri HIPAA profilini kullanır. California tüketici verileri CCPA profilini kullanır.
Her çalıştırmayı kaydedin. İşleme kayıtları her toplu işlemde hangi profilin kullanıldığını kaydeder. Bir denetçi dosyanın nasıl ele alındığını sorduğunda, yanıt bir profil adı, bir tarih ve bir yapılandırma kaydıdır.
Güncellemeleri yayın. EDPB yeni kılavuz yayınladığında GDPR sorumlusu paylaşılan kurulumu günceller. Gelecekteki tüm çalıştırmalar değişikliği alır. Kimsenin bilgilendirilmesi gerekmez.
Profil yönetimi ve denetim kanıtlarına daha ayrıntılı bir bakış için bkz. anonimleştirme ön ayarları ve GDPR denetim tutarlılığı. HIPAA Güvenli Liman varlık kapsamı için bkz. sağlık araştırmaları için HIPAA Güvenli Liman kimliksizleştirmesi.
Sonuç
Üç yasa. Üç kayıtlı profil. Tek araç.
Karmaşıklık profil tanımlama düzeyinde yaşar. Günlük işlemede değil. Operatörlerin HIPAA tarih kurallarını bilmesi gerekmez. Önlerindeki belgeye hangi profilin uyduğunu bilmeleri gerekir.
Adlandırılmış kurulumlar bilişsel yükü azaltır. Hataları düşürür. Uyumluluğu kanıtlanabilir kılar.