ОРЗД и сигурност: свържете защитните мерки с обработването

Добре работещата система за управление на информационната сигурност осигурява полезни процеси за ОРЗД: управление на достъпа, обработка на инциденти, оценка на доставчици и устойчивост. Работата по защитата на личните данни обаче пита и защо обработването е законосъобразно, пропорционално и прозрачно. Тези въпроси се срещат в една и съща бизнес дейност, но изискват различни решения.

За ръководството задачата е да ги свърже, без да третира едното като заместител на другото. Една сигурна клиентска база данни все пак може да съдържа информация, която компанията не е трябвало да събира. Валидният договор с клиент не доказва, че всеки с достъп до базата данни се нуждае от този достъп. Сертификатът по ISO 27001 не решава нито един от двата въпроса.

Затова практическата отправна точка е обработването, а не каталог от контроли. Определете какво бизнесът иска да прави с личните данни, преценете дали тази дейност е допустима и едва след това изберете защитни мерки според последиците от евентуален провал. Запазете аргументацията, доказателствата, отговорното лице и следващото събитие, което трябва да задейства преглед.

Определете кои дейности по обработване и отговорности са в обхвата

Общият регламент относно защитата на данните урежда обработването на лични данни. Обработването включва събиране, съхраняване, справка, разкриване, промяна и изтриване. Личните данни са всяка информация, свързана с идентифицирано или подлежащо на идентифициране физическо лице; те не се ограничават до имена или очевидно чувствителни записи.

Служебни имейл адреси, идентификатори на служители, идентификатори на устройства, история на местоположенията и разговори с поддръжката могат да бъдат лични данни. Дали даден идентификатор попада в тази категория, зависи от контекста и от средствата, които е разумно вероятно да бъдат използвани за идентифициране на някого. Замяната на имена с референтни номера обикновено води до псевдонимизирани, а не до анонимни данни, когато повторното идентифициране остава възможно. Псевдонимизираните лични данни остават в обхвата на ОРЗД.

Проверете териториалния обхват, преди да изберете оперативен модел

Член 3 обхваща обработването в контекста на дейността на установяване в ЕС, дори когато самото обработване се извършва другаде. Той може да обхване и организация извън ЕС, когато нейното обработване е свързано с предлагане на стоки или услуги на лица в Съюза или с наблюдение на тяхното поведение там. Самата достъпност на уебсайта не решава въпроса за насочеността; преценете действителното предлагане и дейността по наблюдение.

Когато се прилага член 3, параграф 2, член 27 може да изисква определяне на представител в Съюза. Изключенията са ограничени и не зависят просто от размера на компанията. Изключението за случайно обработване също изисква изпълнение на посочените условия относно чувствителните данни и риска. Представителят не замества администратора, длъжностното лице по защита на данните (ДЛЗД) или отговорното ръководство.

ОРЗД влезе в сила на 24 май 2016 г. и се прилага от 25 май 2018 г. При вземането на текущи решения разграничавайте действащото право от предложените опростявания. Прессъобщение за възможно изключение не е основание за спиране на съществуващ процес по осигуряване на съответствие.

Определяйте ролите според дейността, а не според етикета на компанията

Администраторът определя целите и средствата на обработването. Обработващият обработва лични данни от името на администратора. Съвместните администратори съвместно определят целите и средствата и се нуждаят от договореност по член 26, която отразява съответните им отговорности.

Една компания може да заема няколко роли. Доставчик на софтуер може да бъде обработващ за качените от клиенти записи и администратор за собствените си заплати, администриране на акаунти и някои операции по сигурността. Етикетът в договора на доставчика има значение, но не може да надделее над това, което страните действително правят.

Първоначалният резултат трябва да бъде кратко решение за обхвата: приложимите дейности, организационните единици, ролите на администратор или обработващ, пазарите и неизяснените въпроси. Определете отговорно лице, което да изясни несигурностите, преди съответното обработване да започне или да се разшири.

Отделете бизнес целта от правното основание

Членове 5 и 6 създават основата за обичайното обработване на лични данни. Сигурността е част от тази основа, а не начин тя да бъде заобиколена.

Принципите по член 5 обикновено се представят като седем: законосъобразност, добросъвестност и прозрачност; ограничение на целите; свеждане на данните до минимум; точност; ограничение на съхранението; цялостност и поверителност; и отчетност. Отчетността изисква администраторът да носи отговорност за спазването и да е в състояние да го докаже. Тя не изисква конкретен софтуерен продукт, но изисква защитимо обяснение, подкрепено с подходящи доказателства.

Превърнете всеки принцип в бизнес въпрос:

Изберете основание за всяка цел

Член 6 предвижда шест правни основания. Техните условия са по-важни от наименованията им:

• Съгласие: свободно изразено, конкретно, информирано и недвусмислено указание за съгласие, което може да бъде оттеглено.
• Договор: обработване, необходимо за изпълнението на договор със субекта или за предприемане на поискани стъпки преди сключването на договор.
• Законово задължение: обработване, необходимо за спазването на приложимо законово задължение.
• Жизненоважни интереси: обработване, необходимо за защита на жизненоважните интереси на някого.
• Задача от обществен интерес: обработване, необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, с изискваната правна основа.
• Легитимни интереси: обработване, необходимо за легитимни интереси, при условие на балансиране на тези интереси спрямо интересите, правата и свободите на субекта.

Не изброявайте няколко основания като взаимозаменяема застраховка. Установете основанието, което действително подкрепя всяка цел, и го съобщете точно. Добавянето на клауза в договор с клиент не прави автоматично обработването необходимо за този договор. По същия начин легитимните интереси изискват оценка; те не са общо разрешение за използване на наличните данни.

Като практическа препоръка документирайте оценка на легитимния интерес, обхващаща преследвания интерес, необходимостта, въздействието върху хората, техните разумни очаквания и защитните мерки. Разгледайте по-малко намесващи се алтернативи. Поддържайте анализа пропорционален на дейността, но достатъчно конкретен, за да може човек извън проекта да го разбере.

Съгласието не е универсално по-сигурно. То трябва да бъде наистина доброволно там, където обстоятелствата изискват избор, а оттеглянето трябва да работи на практика. Трудовите правоотношения повдигат особени въпроси дали съгласието е дадено свободно. Оттеглянето прекратява занапред обработването, основано на това съгласие; то не изтрива автоматично записи, за които важат отделни законни задължения за съхранение. Не прехвърляйте със задна дата същото обработване на друго основание само защото съгласието е оттеглено. Всяко отделно обработване, като например изискваното от закона съхранение, се нуждае от собствено приложимо основание и подходяща прозрачност.

Данните от специални категории, като информацията за здравословното състояние, се нуждаят от условие по член 9 в допълнение към основание по член 6. За данните, свързани с присъди и нарушения, важат отделните изисквания на член 10. Компанията не бива да одобрява нито една от тези категории само защото обичайното обработване на клиентски данни вече е оценено.

Изградете регистър на дейностите по обработване, който да движи решенията

Регистрите на дейностите по обработване по член 30 са полезни, защото свързват правния анализ с оперативната реалност. Регистърът на администратора включва целите, категориите субекти и данни, получателите, предаванията, предвидените срокове за изтриване, когато е възможно, и общо описание на мерките за сигурност, когато е възможно. Обработващите имат различно задължение за водене на регистър, обхващащо обработването, което извършват от името на администраторите.

Изключението за организации с по-малко от 250 служители е условно. То не обхваща обработване, което не е случайно, което е вероятно да породи посочения риск или което включва посочените чувствителни категории. Малка фирма с текущо обработване на данни за служители или клиенти не бива да приема, че броят на служителите я освобождава от задълженията за водене на регистър.

Използвайте дейностите по обработване като организираща единица. „Облачна инфраструктура“ обикновено е твърде широко понятие, за да обясни защо се обработват данни. „Управление на заявки за клиентска поддръжка“ е по-полезно, защото има цел, идентифицируеми лица, категории данни, получатели, правила за съхранение и поддържащи системи.

Практическият работен регистър може да надхвърля законово изискваните полета:

• Бизнес собственик и проверяващ по защита на личните данни.
• Цел и съответно правно основание.
• Източници на данни, категории и засегнати групи.
• Отношения администратор, обработващ или съвместни администратори.
• Приложения, експорти, журнали и последващи получатели.
• Правила за съхранение и начин на изпълнение на изтриването.
• Препратки към уведомления, обработка на права, доставчици и предавания.
• Резултат от предварителната проверка за ОВЗД и свързани защитни мерки.
• Дата на одобрение, неприключени действия и събития за преглед.

Допълнителните полета са препоръка за координация, а не твърдение, че член 30 изрично изисква всеки елемент. Тяхната стойност е, че правят регистъра използваем при пускане на продукт, искане за достъп, смяна на доставчик или инцидент.

Сверете регистъра със системите, които хората действително използват

Годишен въпросник едва ли ще разкрие всеки експорт в електронна таблица, пробно приложение или абонамент за ИИ на ниво екип. Сравнете регистъра с информацията от снабдяването, списъците с одобрени приложения, инвентарите на системите и интервюта със собствениците на процеси. Прегледайте споделените дискове и ръчните предавания, когато те съществено влияят на дейността.

Не бъркайте инвентара на активите с регистъра на дейностите по обработване. Инвентарът на активите обяснява системите и зависимостите; регистърът обяснява използването на лични данни. Свържете ги, така че едно приложение да може да поддържа няколко цели, без тези цели да се сливат в неясно описание.

За допълнителен контекст за работния процес вижте откриване на данни и защита на личните данни. Откриването трябва да създава подлежащ на преглед списък с несъответствия, а не предположение, че всяко открито поле е правилно класифицирано или правно оценено.

Превърнете член 32 в защитни мерки за реални последици

Член 32 от ОРЗД изисква администраторите и обработващите да прилагат технически и организационни мерки, съответстващи на риска. Оценката отчита достиженията на техническия прогрес, разходите за прилагане, естеството, обхвата, контекста и целите на обработването, както и вероятността и тежестта на рисковете за правата и свободите на хората.

Съответните последици включват случайно или незаконно унищожаване, загуба, промяна, неразрешено разкриване и неразрешен достъп. Затова наличността и цялостността са важни наред с поверителността. Загубата на достъп до услуга може да навреди на хората, дори когато не са откраднати данни.

Общо твърдение, че „се прилага сигурност според отрасловите стандарти“, не е достатъчно, за да обясни защо защитните мерки съответстват на конкретна дейност. Започнете със сценарии: кой може да бъде засегнат, какво може да се случи, колко вероятно е и колко тежко може да бъде въздействието. След това свържете всеки важен сценарий с превантивни, откриващи и възстановителни мерки.

Ограниченията на достъпа трябва да следват целта

За дейност по поддръжка попитайте кои служители се нуждаят от кои клиентски записи, дали чувствителните прикачени файлове изискват отделни ограничения и кога трябва да изтича временният достъп. Вземете предвид привилегированото администриране, достъпа на доставчици за поддръжка, масовите експорти, споделените акаунти и аварийния достъп.

Полезни доказателства са дефинициите на роли, одобренията на достъп, записите за постъпване, преместване и напускане, договореностите за привилегирован достъп и проведените прегледи на достъпа. Политиката за достъп доказва предвидено правило. Скорошен преглед, показващ премахнати ненужни права, предоставя доказателство, че правилото се прилага.

Ръководството трябва да попита дали организацията може да разграничи разрешения достъп от подходящото използване. Служител може да има технически валиден акаунт и въпреки това да използва данните за неразрешена цел. Обучението, надзорът, дизайнът на достъпа и процесите по разследване имат значение.

Криптирането изисква решение за внедряване

Член 32 посочва криптирането и псевдонимизацията сред мерките, които трябва да бъдат обмислени; той не налага универсално изискване за пълно криптиране във всяка ситуация. Когато е избрано криптиране, уточнете какво защитава и какво не.

Криптирането при пренос защитава данните, движещи се между крайни точки, когато протоколите и удостоверяването на крайните точки са правилно конфигурирани. Криптирането в покой защитава съхраняваните данни при определени сценарии на заплаха. Нито едното, нито другото автоматично не пречи на оторизирано приложение или администратор да вижда данните в явен вид.

Прегледайте кой контролира ключовете, как е разделен достъпът до тях и как ключовете се генерират, ротират, отменят, архивират и възстановяват. Криптирането, управлявано от доставчика, може да е подходящо за някои рискове, а други да остават неадресирани. Криптиране, чиито ключове са достъпни за същия компрометиран участник, може да не адресира оценявания сценарий.

Решението на ръководството не е кой алгоритъм да внедри лично. То е дали дизайнът адресира съответния риск и дали техническият собственик може да обоснове това заключение. Вижте криптиране и управление на ключове за разграниченията на ниво контрол.

Устойчивостта трябва да бъде доказана, а не предполагана

Член 32 разглежда трайната поверителност, цялостност, наличност и устойчивост, както и способността за своевременно възстановяване на наличността и достъпа след инцидент. Успешно изпълнено архивиране не доказва, че бизнесът може да възстанови използваема услуга.

Определете очакванията за възстановяване въз основа на обработването и последиците от прекъсването. Тествайте възстановяването, зависимостите, идентификационните данни и боравенето с личните данни във възстановените среди. Пазете доказателства какво е възстановено, колко време е отнело, какво се е провалило и какво е коригирано. Правилата за съхранение и изтриване трябва да отчитат и поведението на архивите.

Тествайте ефективността със съответни доказателства

Член 32 включва процес за редовно изпитване, преценяване и оценяване на мерките. Подходящият метод зависи от контрола: прегледи на достъпа, упражнения по възстановяване, проверки на конфигурацията, оценка на уязвимостите, преглед на доставчици и упражнения при инциденти могат да допринесат.

Тестът за проникване може да е полезен, но не е универсален заместител на тези дейности, нито общо изискване на ОРЗД. Запишете тествания обхват и ограниченията. Тест на едно приложение не доказва, че новодобавен маркетингов експорт, връзка с доставчик или процес по възстановяване са адекватно контролирани.

За всяка съществена защитна мярка пазете отговорно лице, описание на внедряването, съответни доказателства, дата на оценката и следващо събитие за преглед. Това е практична структура на доказателствата, а не предписан шаблон по член 32.

Използвайте повторно ISMS, без да сливате заключенията за сигурността и защитата на личните данни

ISO/IEC 27001 се отнася до система за управление на информационната сигурност с определен обхват. Нейната оценка на риска, третиране на риска, оперативни процеси, вътрешен одит и преглед от ръководството могат да подпомогнат управлението на защитните мерки по ОРЗД.

Припокриването е ценно. Доказателствата за управление на достъпа, оценките на доставчици, упражненията при инциденти и тестовете за възстановяване често не е нужно да се създават наново за целите на защитата на личните данни. Тяхната относимост обаче трябва да се проверява спрямо дейността по обработване и текущия обхват.

Сертифицирането от независим сертифициращ орган се отнася до заявения обхват на ISMS. То не обхваща автоматично всеки продукт, юридическо лице, доставчик или дейност по обработване. Декларацията за приложимост записва приложимостта на контролите и решенията за третиране; тя не е декларация, че всяко задължение по ОРЗД е изпълнено.

ISO 27001 сам по себе си не е и общ законов режим за докладване на нарушения. Задълженията за уведомяване по ОРЗД трябва да се оценяват отделно. Обратно, спазването на ОРЗД не доказва, че организацията е внедрила всяко изискване, необходимо за сертифициране по ISO 27001.

ОРЗД предвижда механизми за сертифициране по членове 42 и 43. Такова сертифициране не намалява отговорността на администратора или обработващия и не е равностойно на сертификат по ISO 27001, нито на универсална декларация за правно съответствие.

Затова въпросът за ръководството е повторно използване на доказателствата с отделни заключения: какво доказва този елемент, за кои системи и период и кои въпроси за защитата на личните данни остават без отговор?

Дайте на ръководството, сигурността и защитата на личните данни отделни отговорности

Работещият оперативен модел изисква нещо повече от обща пощенска кутия за съответствие. Бизнес собствениците трябва да описват и обосновават своето обработване; сигурността трябва да оценява и прилага съответните защитни мерки; специалистите по защита на личните данни трябва да съветват относно правните изисквания, правата, уведомленията и оценките. Ръководството трябва да осигурява ресурси и да решава съществените въпроси в рамките на закона.

ДЛЗД не е задължително за всяка компания. Член 37 обхваща публичните органи и структури, с изключение на съдилищата, и организациите, чиито основни дейности отговарят на посочените условия за мащабно наблюдение или чувствителни данни. Националното право може да добави изисквания, затова проверете съответните юрисдикции.

Когато е определено, ДЛЗД има независими консултативни и наблюдателни задължения, трябва да бъде включвано по подходящ начин и своевременно и се отчита пряко пред най-висшето ниво на ръководството. На ДЛЗД не бива да се дават указания да стигне до предпочитано заключение или да му се възлагат конфликтни отговорности, които определят целите и средствата на обработването.

Не правете ДЛЗД собственик на всеки контрол, одобряващ всяка бизнес цел и лице, което одитира същите тези решения. Това концентрира несъвместими отговорности и може да остави оперативните екипи с убеждението, че отговорността е прехвърлена от тях.

Полезният запис за одобрение посочва предлагащия собственик, специализирания съвет, разгледаните доказателства, вземащия решение, условията и неприключените действия. Ако ръководството избере различен законосъобразен подход от препоръчания, запишете мотивите. Ръководството не може да превърне липсващо правно основание или задължителна договорна разпоредба в съответствие, като го обозначи като „приет риск“.

Ръководството за отговорностите на CISO и ДЛЗД обяснява по-подробно границата на отговорностите. За главния изпълнителен директор ключовият въпрос при надзора е дали разногласията достигат до някой, който може да промени обработването, да финансира защитната мярка или да спре предложението, а не просто да одобри документ.

Оценявайте доставчиците чрез ролята, договора и изпълнението

Прегледът на сигурността на доставчиците и прегледът на доставчиците по ОРЗД се припокриват, но не са идентични. Първо установете дали доставчикът е обработващ, самостоятелен администратор, съвместен администратор или заема различни роли за различни услуги.

Съгласно член 28 администраторите трябва да използват обработващи, които предоставят достатъчни гаранции за подходящи технически и организационни мерки. Отношенията с обработващ изискват обвързващ договор или друг отговарящ на условията правен акт с предписаното съдържание. Само клауза за поверителност не изпълнява това изискване.

Изискванията на член 28 включват:

• Предмет, срок, естество и цел на обработването.
• Вид на личните данни и категории субекти на данни.
• Задълженията и правата на администратора.
• Обработване по документирани нареждания, включително съответните разпоредби за предаване.
• Поверителност и мерки за сигурност по член 32.
• Условия за включване на други обработващи.
• Съдействие при искания за упражняване на права и посочени задължения за съответствие.
• Връщане или изтриване на данните след приключване на услугите, при спазване на приложимите законови изисквания.
• Договорености за информация и одит за доказване на съответствието.

Прегледайте действителните условия на услугата наред със споразумението. Доставчик може да обещае изтриване, като същевременно запазва някои журнали за отделна цел като администратор. Корпоративен абонамент може да ограничава използването за обучение, докато пробният акаунт не го прави. Обработващ може да използва няколко подизпълнители с различни местоположения и договорености за поддръжка.

Разрешението за подизпълнители може да бъде конкретно или общо съгласно член 28. Когато се използва общо писмено разрешение, обработващият трябва да информира администратора за планирани добавяния или замени, като му даде възможност да възрази. Оперативният въпрос е кой получава тези уведомления и ги оценява, преди да изчезнат в пощенска кутия, която никой не следи.

Дръжте прегледа на договора отделно от оценката на предаването. Споразумение по член 28 само по себе си не осигурява механизъм за предаване по глава V. Подписването на споразумение за обработване също не установява правното основание за дейността на администратора.

Третирайте неподлежащите на договаряне условия като бизнес решение

По-малките клиенти може да имат ограничена преговорна сила. Това прави ранната оценка по-важна, а не незадължителна. Документирайте недостатъка, поискайте наличните алтернативи и обмислете промяна на конфигурацията, намаляване на данните, избор на друга услуга или отказ от продължаване.

Когато задължително изискване остава неизпълнено, одобрението на ръководството не може да го поправи. Когато въпросът е избор между законосъобразни варианти с различни остатъчни рискове, ръководството може да реши въз основа на документиран съвет. Снабдяването трябва да разграничава тези ситуации, вместо да събира всяко притеснение в една категория изключения.

Прегледът на доставчик трябва да завършва с решение, условия, препратки към доказателства и събития за повторен преглед, а не само с попълнен въпросник.

Проектирайте обработката на права преди първото трудно искане

Членове 15–22 предвиждат права, включително на достъп, коригиране, изтриване, ограничаване, преносимост, възражение и защита по отношение на някои решения, основани единствено на автоматизирано обработване. Тези права имат различни условия и изключения; един-единствен работен процес „изтрий всичко“ няма да обслужи всички тях.

Съгласно член 12 организациите трябва да отговорят без ненужно забавяне и по правило в срок от един месец от получаването на искането. Удължаване с до още два месеца е възможно, когато е необходимо, като се отчитат сложността и броят на исканията, но лицето трябва да бъде уведомено в рамките на първия месец, като се посочат причините. Исканията по правило са безплатни; таксите или отказът са ограничени до условията на регламента, като например явно неоснователни или прекомерни искания, което администраторът трябва да обоснове.

Изградете оперативен път, който работи през каналите на поддръжката, човешките ресурси, продажбите и защитата на личните данни:

1. Запишете получаването, исканите права и крайния срок.
2. Потвърдете съответния администратор и обхвата.
3. Проверете самоличността пропорционално, когато има основателни съмнения.
4. Открийте данните и определете съответните системи, получатели и обработващи.
5. Оценете приложимите условия, изключения и правата на други лица.
6. Подгответе отговора или действието и го прегледайте.
7. Предайте го сигурно и запазете подходящ запис за изпълнението.

Не изисквайте рутинно документи за самоличност, когато по-малко намесваща се проверка би била достатъчна. Също така не предоставяйте чувствителни записи само защото някой знае имейл адрес. Самата проверка обработва лични данни и изисква пропорционален подход.

Отговорът на искане за достъп обикновено изисква повече от списък с категории. Член 15 включва копие на обработваните лични данни и допълнителна информация. Прегледайте информацията за трети лица и техните права преди разкриването; не третирайте наличието на името на друго лице като оправдание да откажете всичко.

Изтриването не е абсолютно. Могат да се прилагат законови задължения за съхранение и други изключения по член 17. Когато изтриването е задължително, определете как то достига до свързаните услуги и съответните получатели и как възстановяването от архив избягва небрежното връщане на изтрити записи. Обяснете точно всички законни ограничения.

Автоматизацията може да проследява крайни срокове и да организира търсения, но някой трябва да реши дали резултатите са пълни, дали заличаванията са обосновани и дали се прилага изключение. Бързо генериран стандартен отговор не е полезен, ако пропуска система, която съдържа поисканите данни.

Вижте искания за достъп от субекти на данни за по-подробен работен процес. Ръководството трябва периодично да тества представително искане от приемането до сигурното предаване, вместо да разчита единствено на публикуваната процедура.

Използвайте ОВЗД, за да оспорите дизайна, преди да го одобрите

Оценка на въздействието върху защитата на данните (ОВЗД) по член 35 се изисква преди обработване, което е вероятно да доведе до висок риск за правата и свободите на хората. Регламентът посочва конкретни случаи, включително някои съществени автоматизирани оценки, мащабно обработване на чувствителни данни и систематично мащабно наблюдение на публично достъпни зони. Трябва да се вземат предвид и съответните списъци на надзорните органи.

Проверявайте предложените дейности рано. Като практическа препоръка запазвайте аргументацията, когато предварителната проверка заключи, че ОВЗД не е необходима, особено при гранични случаи. Кратък запис от предварителната проверка позволява решението да бъде преразгледано, когато се променят мащабът, технологията или целта.

Пълната ОВЗД трябва да обхваща четири свързани елемента:

• Систематично описание на предвиденото обработване и целите, включително легитимните интереси, когато е приложимо.
• Необходимост и пропорционалност спрямо тези цели.
• Рискове за правата и свободите на субектите.
• Мерки, предвидени за справяне с рисковете и доказване на съответствието.

Не започвайте и не завършвайте със списък на заплахите за сигурността. Първо попитайте дали предложените данни, честота, получатели и процес на вземане на решения са необходими. По-малко намесващ се дизайн може да премахне риска по-ефективно от допълнителен технически контрол.

Например проект за продуктивност на служителите може да предлага непрекъснато заснемане на екрана. Криптирането и ограниченият достъп биха могли да намалят риска от разкриване, като същевременно оставят сериозни въпроси относно пропорционалността, наблюдението, очакванията на служителите и пригодността на по-малко намесващи се мерки. Бизнес целта трябва да бъде проучена, преди дизайнът на сигурността да има смисъл.

Оценявайте риска за хората, а не само експозицията на компанията

Вземете предвид финансовите загуби, дискриминацията, злоупотребата със самоличност, загубата на поверителност, изключването от услуги и други относими последици. Даден сценарий може да има ограничено финансово въздействие върху компанията и съществено въздействие върху отделен човек.

Документирайте предложените смекчаващи мерки, отговорните за изпълнението им и оценката на остатъчния риск. Потърсете съвет от ДЛЗД, когато такова е определено. Преценете дали промени в дейността или риска налагат актуализиране на оценката.

Член 36 изисква предварителна консултация с надзорния орган, когато ОВЗД покаже, че обработването би довело до висок риск, ако не се предприемат мерки за неговото ограничаване. Ако организацията не може достатъчно да адресира този висок риск, тя не може да замени изискваната консултация с вътрешен статус „приет“. Ръководството може да преработи, отложи или изостави дейността; то не може да се разпорежда с правата на други хора, сякаш те са единствено търговски риск.

Свържете реагирането при инциденти с решенията за уведомяване по ОРЗД

Нарушението на сигурността на личните данни включва нарушение на сигурността, което води до случайно или неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до лични данни. То е по-широко от кражба на база данни от нападател. Погрешно изпратен прикачен файл, изгубено незащитено устройство или инцидент, засягащ наличността или цялостността на личните данни, може да изисква оценка.

Съгласно членове 33 и 34 администраторите оценяват два различни прага за уведомяване:

Срокът от 72 часа тече от узнаването, а не просто от момента на първоначалния инцидент или от следващия работен ден. Ако уведомлението е по-късно, към него трябва да се приложат причините за забавянето. Информацията може да се предоставя на етапи, когато не е възможно всичко да бъде предоставено наведнъж без по-нататъшно ненужно забавяне.

Подгответе предварително веригата за ескалация: ръководител на инцидента, съветник по защита на личните данни, отговорен вземащ решения от страна на администратора, технически разследващи, комуникации и контакти при доставчиците. Намерете начина за подаване на уведомление до съответния орган преди спешна ситуация. Обработващият не бива да чака собственото си окончателно заключение за риска, преди да информира администратора.

Записът за инцидента трябва да обхваща какво се е случило, засегнатите данни и хора, вероятните последици, ограничаването и отстраняването, както и решенията за уведомяване. Член 33, параграф 5 изисква документиране на нарушенията на сигурността на личните данни, включително фактите, последиците и предприетите действия за справяне. Запазете мотивите за неуведомяване, така че решението да може да бъде разбрано по-късно.

Криптирането може да повлияе на риска и на анализа по член 34, но само когато защитата му е относима и ефективна. „Услугата използва криптиране“ не е достатъчно, ако нападател е получил достъп до данните в явен вид чрез компрометиран акаунт. Член 34 включва и други изключения, като последващи мерки, гарантиращи, че вече няма вероятност високият риск да се материализира; оценявайте действителните условия, вместо да прилагате общо изключение.

Упражнете един сценарий с участие на доставчик и друг с вътрешно разкриване. Упражнението трябва да тества събирането на доказателства и правомощията за вземане на решения, както и техническото ограничаване.

Третирайте международните предавания като отделна оценка

Изискванията за предаване по глава V съществуват наред с останалата част от ОРЗД. Механизмът за предаване не осигурява правно основание по член 6, а правното основание не премахва необходимостта от подходяща договореност за предаване.

Картографирайте действителните получатели и пътищата за достъп. Хостингът в център за данни в ЕС има значение, но сам по себе си не доказва, че не се извършва предаване към трета държава или че всички задължения за защита на личните данни са изпълнени. Вземете предвид достъпа за поддръжка, подизпълнителите, административния достъп, последващото разкриване и участващите страни.

Рамката на ОРЗД за предаване включва решения относно адекватното ниво на защита по член 45, подходящи гаранции по член 46 и ограничени дерогации по член 49. Проверявайте съответния механизъм и неговия обхват към момента на решението.

Когато се разчита на договореност за адекватност, ограничена до участващите организации, проверете точния получател и обхванатата дейност. Дружество от групата или сходно търговско наименование не е непременно обхванатият получател. Запазете резултата и датата на проверката.

Когато се използват стандартни договорни клаузи, изберете клаузи, съответстващи на действителните роли на страните, и попълнете съответните приложения. Оценете законите и практиките в държавата на местоназначение и дали са необходими допълнителни мерки, за да бъде защитата ефективна. Подписаният договор сам по себе си не отговаря на всеки въпрос за риска при предаването.

Практичното досие за предаване трябва да посочва износителя и вносителя, данните и целите, местоположенията и достъпа, последващите предавания, избрания механизъм, съответната оценка, техническите или организационните мерки и събитията за преглед. Документацията на доставчика може да подпомогне тази работа, но въпросът дали доставчикът „има оценка“ не е същото като оценяването на относимите ѝ констатации.

Ръководството трябва да знае кои услуги зависят от конкретен механизъм и какви промени биха наложили повторна оценка. Това подпомага обмислен план за действие при извънредни ситуации, без да се подразбира, че всеки доставчик се нуждае от идентичен договорен резервен вариант.

Оценявайте използването на ИИ като обработване, а не просто като нов инструмент

Приложение с изкуствен интелект може да въведе нови получатели, да извлече допълнителна лична информация, да съхранява подкани или да даде възможност за нова цел. Тези промени имат значение, дори ако приложението използва съществуващите в организацията единен вход и контроли на достъпа.

Преди да одобрите лични данни в услуга с ИИ, установете:

• Точната задача и дали личните данни са необходими.
• Категориите входни данни, изходни данни и засегнати лица.
• Ролята на доставчика за всяко използване, включително цели за обучение или подобряване.
• Съхранението, човешкия достъп, подизпълнителите и договореностите за предаване.
• Договорните ангажименти и съответните настройки на конфигурацията.
• Рисковете, свързани с точността, разкриването, обработката на права и вземането на решения.

Не приемайте, че всеки доставчик на модели е изключително обработващ. Ролята му зависи от обработването, което извършва, и от целите, които определя. По същия начин споразумение по член 28 не прави автоматично предложеното предаване законосъобразно. Оценете целта, правното основание, прозрачността, необходимостта и всички други приложими изисквания.

Ако самата компания е обработващ, въвеждането на доставчик на ИИ може да създаде отношение с подизпълнител. Проверете нарежданията на клиента и договорения процес на разрешаване, преди да изпращате клиентски данни. Не винаги се изисква ново допълнение към договора, но се изисква спазване на съществуващите договорни и законови договорености.

Член 22 се отнася до някои решения, основани единствено на автоматизирано обработване, които пораждат правни или подобно значими последици. Формален човешки преглед не решава въпроса, ако проверяващият не може реално да оцени или промени резултата. Решенията при подбор на персонал, допустимост и финансови решения изискват особено внимание.

Законодателният акт за изкуствения интелект и ОРЗД налагат различни задължения. Оценка по Законодателния акт за ИИ не замества ОВЗД, а съответствието с ОРЗД не доказва съответствие със Законодателния акт за ИИ. Използвайте актуалния преглед на Законодателния акт за ИИ от Европейската комисия за датите на прилагане, вместо да пренасяте стар график от стартирането в текущ проект.

При вътрешната работа по защита на личните данни ИИ може да изготвя чернови на описания от одобрени източници, да сравнява документи или да предлага въпроси. Третирайте резултата му като чернова. Правдоподобно правно основание, пропуснат получател или неправилно твърдение за съхранението могат да направят един изпипан документ съществено погрешен.

Автоматизирайте координацията, като запазите отговорния преглед

Разрастващите се организации натрупват повтаряща се работа: актуализации на регистъра на дейностите по обработване, крайни срокове за искания за упражняване на права, документи от доставчици, действия по оценки, изтичане на доказателства и решения при прегледи. Автоматизацията може да организира входните данни и крайните срокове. Тя не бива да замъглява разликата между събирането на информация и достигането до защитимо заключение.

Започнете със стабилен процес и ясна отговорност. Автоматизирането на неясно предаване на работа може просто да разпространи неяснотата по-бързо. Определете какво отваря задача, кой я получава, какви доказателства са необходими, кой преглежда резултата и какво приключва работата.

При изготвяне на чернови с помощта на ИИ запазвайте одобрените източници и отбелязвайте несигурността. Не позволявайте генерирано резюме мълчаливо да замени договор с доставчик или оценка. Проверяващите трябва да могат да разграничават предоставените факти, изведените предложения и неизяснените въпроси.

Прилагайте принципа на най-малките привилегии и към самия работен процес. Досиетата по искания за упражняване на права, записите за инциденти и оценките на служители могат да съдържат чувствителна информация. Широкият достъп до работно пространство за съответствие може да подкопае документираните ограничения. Свеждайте до минимум личните данни в доказателствата и ограничавайте материалите, които наистина изискват идентифициране.

Полезни управленски показатели са просрочените действия, липсващите отговорни лица, записите, чакащи преглед след съществена промяна, и контролите с остарели или недостатъчни доказателства. Суровият брой документи е по-малко информативен. Измервайте дали решенията и коригиращата работа са завършени, а не само дали е генериран повече текст.

Практически пример: маркетингова интеграция, която използва повторно контроли за сигурност

Следващият пример е илюстративен. Да приемем, че разрастваща се B2B софтуерна компания има утвърдена клиентска база данни, ISMS, обхващаща нейната производствена услуга, и предложена платформа за кампании. Маркетингът иска да изпраща съобщения за въвеждане в работа, а по-късно да рекламира допълнителни продукти. Платформата би получавала данни за контакт, събития от използването на продукта и свободен текст от бележки на поддръжката. Не се внушава никакъв реален резултат за клиент или възможност на Secani.

1. Разделете предложените цели

Първоначалното искане гласи „подобряване на ангажираността на клиентите“. Бизнес собственикът го преформулира в конкретни цели: необходимо въвеждане в работа с услугата, незадължителни рекламни съобщения и анализ на ефективността на кампаниите.

Проверяващият по защита на личните данни оценява основанието за всяка цел, вместо да прилага договора с клиента и за трите. Рекламните съобщения може да попадат и под приложимите национални правила за електронен маркетинг. Компанията не приема, че анализ на легитимния интерес по ОРЗД сам по себе си решава тези отделни изисквания.

Първият резултат е решение за целта и основанието, с възложени неизяснени въпроси. Маркетингът не може да започне разширеното използване само защото интеграцията е преминала техническа проверка на сигурността.

2. Намалете предложения поток от данни

Бележките на поддръжката са удобни за персонализиране, но не са необходими за одобреното съобщение за въвеждане в работа. Те може да съдържат и информация, за която клиентите не са очаквали да бъде пренасочена за маркетинг. Дизайнът ги премахва.

Техническият собственик ограничава продуктовите събития до необходимите за одобрения работен процес и изключва подробните истории на потребителите там, където обобщени или по-прости данни за събития са достатъчни. Това намалява експозицията, преди да се добави още един контрол.

Регистърът на дейностите по обработване вече описва действителните полета, засегнатите потребители, получателя, целите и подхода към съхранението. Уведомлението за поверителност се преглежда спрямо одобрената дейност, а не спрямо първоначалното широко искане.

3. Проверете договореностите с доставчика и за предаването

Снабдяването установява ролята на платформата за изпращането на кампании и проверява за отделни цели на доставчика. Екипът преглежда споразумението по член 28, договореностите за подизпълнители, условията за изтриване, достъпа за поддръжка и приложимия механизъм за предаване.

Възможността за хостинг в ЕС се записва като относим факт, а не се третира като край на анализа на предаването. Ако липсва необходима информация, задачата остава отворена, а условието за стартиране посочва какво трябва да бъде изяснено.

4. Използвайте повторно доказателствата за сигурност внимателно

Интеграцията може да използва повторно корпоративните контроли за идентичност и съществуващ процес за управление на достъпа. Доказателствата за тези контроли се свързват, а не се създават наново. Новата платформа за кампании обаче има собствени права, експорти и настройки за съхранение.

Собственикът на сигурността оценява компрометиране на акаунт, неразрешен масов експорт, неправилно съпоставяне на събития и загуба на предпочитанията за отказ от съобщения. Екипът ограничава достъпа, одобрява необходимите права за интеграцията, тества съпоставянето с подходящи тестови данни и проверява как записите се изтриват или блокират.

Съществуващото упражнение по възстановяване на производствената услуга не доказва, че предпочитанията за кампании могат да бъдат възстановени правилно. Собственикът проверява отделно поведението при възстановяване, относимо към този работен процес.

5. Завършете оценката и одобрението

Проверяващият по защита на личните данни извършва предварителна проверка за ОВЗД въз основа на действителната дейност и записва мотивите. Екипът проверява също как исканията за достъп, възражение и изтриване достигат до платформата. По-специално, възражение срещу маркетинг не бива да бъде отменено от следващата синхронизация на базата данни.

Ръководството преглежда кратък пакет за решение: одобрени цели, премахнати данни, заключения относно доставчика и предаването, защитни мерки, отворени условия, обработка на права и посочени отговорни лица. Всяко неизпълнено задължително изискване блокира засегнатото обработване, вместо да бъде превърнато в прието търговско изключение.

6. Запазете следващото събитие за преглед

Одобрението е обвързано с оценената конфигурация. Добавянето на поведенческо оценяване, качването на бележки на поддръжката, промяната на условията на доставчика за обучение или въвеждането на нов получател задейства преглед. Екипът може да използва повторно непроменените доказателства за сигурност, като същевременно преоценява новите въпроси за защитата на личните данни.

Това е централното разграничение: общите защитни мерки могат да останат валидни, докато целта, получателят или въздействието върху хората се променят съществено.

Въведете подхода в действие с фокусиран първоначален обхват

Изберете една дейност по обработване с видим бизнес собственик и управляеми зависимости. Клиентската поддръжка, въвеждането в работа на служители или представителен продуктов работен процес могат да разкрият пропуски, без първо да е необходимо цялостно преустройство на организацията.

Като практическа препоръка започнете с четири резултата:

• Съгласувано описание на обработването и оценка на ролите.
• Списък с решения за защитата на личните данни, включително основание, уведомление, съхранение, права и предварителна проверка за ОВЗД.
• Оценка на защитните мерки, базирана на сценарии и свързана със съществуващите доказателства за сигурност.
• Запис за одобрение с отговорни лица, отворени действия и събития за промяна.

В Secani екипите могат да започнат с фокусиран обхват, да моделират поддържащите приложения, системи, услуги и доставчици и да свързват доказателствата с изисквания, контроли и решения. Липсващите доказателства и неизяснените въпроси при прегледа могат да станат възложени задачи. Предложенията с помощта на ИИ остават чернова, с проследимост до източника и изрично човешко одобрение. Това дава на проверяващите по сигурността и по защитата на личните данни общ контекст на доказателствата, като същевременно отделните им заключения остават видими; то не заменя регистрите на дейностите по обработване, изпълнението на правата или правния анализ.

Разширявайте едва след като първият работен процес е изпитан. Тествайте спрямо него смяна на доставчик, искане за упражняване на права и относим сценарий на инцидент. Когато екипът не може да определи отговорното лице, да намери доказателствата или да обясни решението, коригирайте оперативния процес, преди да добавяте още дейности.

За прегледа от ръководството задайте три въпроса: съответства ли регистърът на текущото обработване, адресират ли защитните мерки последиците за хората и ще отвори ли съществена промяна надеждно решението наново? Тези въпроси дават практична следваща стъпка за свързване на гаранциите за сигурност с отчетността по ОРЗД.

Въпроси, които ръководството трябва да изясни изрично

Може ли главният изпълнителен директор да одобри изключение от ОРЗД?

Ръководството може да избира между законосъобразни варианти и да разпределя ресурси за справяне с риска. То не може да се отказва от законови изисквания, да разрешава обработване без приложимо основание или да заменя изискваната предварителна консултация с вътрешно одобрение.

Нужна ли е нова ОВЗД при всяка промяна в обработването?

Не. Оценете промяната спрямо прага за висок риск и преглеждайте съществуващите оценки, когато дейността или рискът се променят. Документирано решение от предварителната проверка е по-полезно, отколкото автоматичното изготвяне на пълна ОВЗД или приемането, че старият резултат винаги е приложим.

Какво трябва да се прегледа първо при ограничени ресурси?

Дайте приоритет на обработването с потенциално сериозни последици за хората, на неизяснените въпроси за законосъобразността или договорите и на оперативните срокове, като исканията за упражняване на права и реагирането при нарушения. Използвайте пропуските в доказателствата, за да насочите проучването, но не приемайте, че дейността с най-много липсващи документи непременно представлява най-голям риск.

Кой орган прилага ОРЗД и колко могат да струват нарушенията?

Определете компетентния надзорен орган за обработването. При отговарящо на условията трансгранично обработване механизмът на водещия орган по правило зависи от основното или единственото място на установяване в ЕС на администратора или обработващия, като участват и другите засегнати органи. Представител по член 27 не създава място на установяване в ЕС, нито достъп до този механизъм.

Член 83 предвижда две основни нива на максимални административни глоби: до 10 милиона евро или 2 % от общия световен годишен оборот на предприятието за предходната финансова година и до 20 милиона евро или 4 %, като във всяко ниво се прилага по-високата сума. Приложимото ниво зависи от нарушението; това са тавани, а не автоматични санкции. Органите отчитат обстоятелствата и могат също да разпоредят коригиращи действия или да ограничат обработването. Член 82 отделно предвижда обезщетение, когато нарушение причини имуществени или неимуществени вреди.