Anonymization پریسیٹس غیر مستقل مزاجی ختم کرتے ہیں
ایک قانونی ٹیم آٹھ معاونین کے ساتھ کلائنٹ فائلیں پروسیس کرتی ہے۔ ہر ایک کا "PII anonymize کریں" کا مختلف خیال ہے:
- معاون A: نام ریڈکٹ کرتا ہے، پتے نظرانداز کرتا ہے
- معاون B: نام کو فرضی ناموں سے بدلتا ہے، باقی سب ریڈکٹ کرتا ہے
- معاون C: نام اور ای میل ریڈکٹ کرتا ہے، فون نمبر بھول جاتا ہے
- معاون D: 2022 کے طریقہ کار دستاویز پر عمل کرتا ہے، جسے تب سے دو بار اپ ڈیٹ کیا گیا ہے
فائلیں یکساں نظر آتی ہیں۔ ہیں نہیں۔ ایک آڈٹ ایک ہی ہفتے اور ایک ہی کیس قسم کے کام میں مختلف طریقوں سے سنبھالی گئی ایک ہی PII اقسام پاتا ہے۔
یہ سیٹ اپ ڈرفٹ ہے۔ یہ ایک GDPR ناکامی ہے جسے جرمانے کے لیے ڈیٹا کی خلاف ورزی کی ضرورت نہیں ہے۔
آڈیٹرز مستقل مزاجی پر کیوں توجہ دیتے ہیں
GDPR آرٹیکل 5(2) کنٹرولرز سے تعمیل ثابت کرنے کا تقاضا کرتا ہے۔ نہ صرف حاصل کرنے کے لیے — بلکہ ثابت کرنے کے لیے۔ اس کا مطلب ہے حقیقی ثبوت کے ساتھ ایک منظم عمل دکھانا۔
ایک DPA آڈیٹر جو PII طریقوں کی جانچ کر رہا ہے تین چیزیں تلاش کرتا ہے:
- تحریری طریقہ کار: آپ کو کون سی PII اقسام پہچاننی چاہئیں اور انہیں کیسے سنبھالنا چاہیے؟
- ٹول سیٹ اپ: کیا آپ کی فعال ٹول سیٹنگز اس طریقہ کار سے مطابقت رکھتی ہیں؟
- اطلاق شدہ ثبوت: کیا فائلیں طریقہ کار کے مطابق پروسیس کی گئی ہیں؟
جب مختلف عملہ ایک ہی فائل قسم کے لیے مختلف آؤٹ پٹ پیدا کرتا ہے تو تعمیل ثابت کرنا ممکن نہیں ہوتا۔ آڈیٹر اس بات کی تصدیق نہیں کر سکتا کہ طریقہ کار پر عمل کیا گیا۔
GDPR آرٹیکلز 24 اور 32 ایسے تکنیکی کنٹرولز کا تقاضا کرتے ہیں جو منظم اور قابل توثیق ہوں۔ فی شخص متغیر سیٹنگز اس معیار کو پورا نہیں کرتیں۔
سیٹ اپ ڈرفٹ کیوں ہوتا ہے
سیٹ اپ ڈرفٹ اس وقت ہوتا ہے جب کئی شرائط ایک ساتھ پوری ہوتی ہیں:
کوئی منظور شدہ پروفائل موجود نہیں ہے۔ عملہ اپنی قواعد کی پڑھائی کی بنیاد پر سیٹنگز منتخب کرتا ہے۔
تربیت مبہم ہے۔ "PII ٹول استعمال کریں" یہ بتائے بغیر کہ کون سی اقسام پہچاننی ہیں یا کون سا طریقہ لاگو کرنا ہے کافی نہیں ہے۔
بہت زیادہ اختیارات۔ 285+ ایکویٹی اقسام دستیاب ہونے کے ساتھ، جب کوئی منظور شدہ پروفائل رہنمائی نہیں کرتی تو عملہ انتخاب تھکاوٹ کا سامنا کرتا ہے۔
طریقہ کار کاغذ پر رہتے ہیں۔ ایک تحریری چیک لسٹ ٹیم ممبر کو ٹول میں مختلف انتخاب کرنے سے نہیں روک سکتی۔
عملے کا ادل بدل۔ نئے ملازمین ایک جانچے اور منظور شدہ پروفائل کی وراثت لینے کے بجائے شروع سے اپنا سیٹ اپ بناتے ہیں۔
تکنیکی کنٹرولز کے طور پر پریسیٹس
مشترکہ پریسیٹس تکنیکی سطح پر سیٹ اپ ڈرفٹ کو ٹھیک کرتے ہیں۔
تعمیل انتخاب کو انکوڈ کریں۔ عملے کو "Redact طریقے سے نام، پتے، فون نمبر اور قومی IDs ریڈکٹ کریں" بتانے کے بجائے، ان عین سیٹنگز کے ساتھ "کلائنٹ جائزہ — GDPR معیار" نامی ایک پریسیٹ بنائیں۔ فیصلہ ایک بار ہوتا ہے۔ یہ ہر بار لاگو ہوتا ہے۔
فی شخص انتخاب ہٹائیں۔ آپریٹر کا کام بنتا ہے: پریسیٹ منتخب کریں، فائلیں اپ لوڈ کریں، آؤٹ پٹ ڈاؤن لوڈ کریں۔ کوئی سیٹنگز منتخب نہیں کرنی۔ کوئی PII اقسام منتخب نہیں کرنی۔ کوئی طریقہ طے نہیں کرنا۔
پوری ٹیم کے ساتھ شیئر کریں۔ ایک پریسیٹ تمام عملے کو جاتا ہے۔ نئے ملازمین پہلے دن سے ایک ہی سیٹ اپ حاصل کرتے ہیں۔ ادل بدل معیار کو دوبارہ ترتیب نہیں دیتا۔
ہر پریسیٹ کو اس کے کام کے لیے نام دیں:
- "کلائنٹ جائزہ — GDPR معیار"
- "HIPAA Safe Harbor — طبی ریکارڈز"
- "FOIA جواب — استثناء 6"
- "اندرونی HR ریکارڈز — EU پے رول"
عملہ اپنے کام کے مطابق پریسیٹ منتخب کرتا ہے۔ وہ شروع سے سیٹ اپ نہیں بناتے۔
قانونی ٹیم کیس اسٹڈی
آٹھ معاونین۔ غیر مستقل PII ہینڈلنگ۔ آڈٹ نتیجہ۔ حل یہ ہے:
مرحلہ 1: منظور شدہ سیٹنگز بیان کریں۔ پرائیویسی کونسل ہر فائل زمرے کے لیے PII اقسام اور طریقے بیان کرتا ہے۔ یہ فیصلہ ایک بار صحیح شخص کے ذریعے ہوتا ہے۔
مرحلہ 2: نام شدہ پریسیٹس بنائیں۔
- "کلائنٹ جائزہ — GDPR": نام، پتے، فون نمبر، قومی IDs — Redact
- "HR فائلیں": نام، تاریخ پیدائش، تنخواہ ڈیٹا، پتے — Pseudonymize
- "تھرڈ پارٹی میل": نام، ای میل، فون نمبر — Replace
مرحلہ 3: لائبریری شیئر کریں۔ تمام آٹھ معاونین کو رسائی ملتی ہے۔ پرانی خودساختہ سیٹنگز حذف کر دی جاتی ہیں۔
مرحلہ 4: طریقہ کار اپ ڈیٹ کریں۔ "کلائنٹ فائل جائزے کے لیے: 'کلائنٹ جائزہ — GDPR' پریسیٹ لاگو کریں۔" ایک لائن صفحات کی رہنمائی کی جگہ لیتی ہے۔
مرحلہ 5: آڈٹ ٹریل بنائیں۔ پروسیسنگ لاگز ریکارڈ کرتے ہیں کہ کون سا پریسیٹ کب لاگو ہوا۔ آڈیٹر پریسیٹ کا نام، اس کی عین سیٹنگز اور آخری جائزے کی تاریخ دیکھتا ہے۔ تعمیل قابل اثبات ہے۔
تعمیل مینیجر اب فی شخص سیٹنگز آڈٹ نہیں کرتا۔ پریسیٹ کنٹرول ہے۔
تعمیل ٹیمپلیٹس: ابتدائی نقطے
پہلے سے بنے ٹیمپلیٹس عام فریم ورکس کے لیے ابتدائی سیٹ اپ کا کام کم کرتے ہیں۔
GDPR معیار: نام، پتے، قومی IDs، ای میل، فون نمبر، تاریخ پیدائش۔ مکمل ڈیٹا کمی کے لیے Redact طریقہ۔
HIPAA Safe Harbor: متن میں قابل شناخت تمام 18 PHI شناخت کار اقسام۔ تاریخ ہینڈلنگ صرف سال رکھتی ہے۔
FOIA استثناء 6: نام، گھریلو پتے، ذاتی ای میل، ذاتی فون نمبر۔ کالے بار آؤٹ پٹ کے ساتھ Redact۔
PCI-DSS: کریڈٹ کارڈ نمبر (تمام بڑے برانڈز)، CVV نمونے، PIN نمبر۔ Redact طریقہ۔
یہ ابتدائی نقطے ہیں۔ ٹیمیں اپنا منظور شدہ پروفائل مکمل کرنے کے لیے حسب ضرورت PII اقسام — اندرونی شناخت کار، سائٹ مخصوص فارمیٹس — شامل کرتی ہیں۔
ریموٹ ٹیموں میں پریسیٹ گورننس کیسے کام کرتی ہے اس کے لیے ریموٹ ورک GDPR پلیٹ فارم غیر مستقل مزاجی اور GDPR تعمیل خطرے کے طور پر سیٹ اپ ڈرفٹ دیکھیں۔ ML ٹیمیں ایک ہی نقطہ نظر استعمال کر سکتی ہیں — ML ٹریننگ ڈیٹا کے لیے قابل تولید پرائیویسی پریسیٹس دیکھیں۔
نتیجہ
GDPR تعمیل صرف کسی دن PII کے درست ہینڈلنگ کے بارے میں نہیں ہے۔ یہ تمام کام میں ایک منظم اور مستقل عمل دکھانے کے بارے میں ہے۔ سیٹ اپ ڈرفٹ آڈٹ خطرہ ہے۔ یہ بغیر کسی ڈیٹا کی خلاف ورزی کے جرمانہ لگا سکتا ہے۔
مشترکہ پریسیٹس تعمیل انتخاب کو تکنیکی سطح پر انکوڈ کرتے ہیں۔ آڈٹ ٹریل ظاہر کرتا ہے کہ کون سا پریسیٹ لاگو ہوا۔ آؤٹ پٹ یکساں ہے کیونکہ سیٹ اپ یکساں ہے۔
اچھے ارادے عملے کے ادل بدل اور روزانہ کام کے دباؤ میں نہیں بچتے۔ پریسیٹس بچتے ہیں۔