ΓΚΠΔ και ασφάλεια: συνδέστε τα μέτρα προστασίας με την επεξεργασία

Ένα καλά οργανωμένο σύστημα διαχείρισης ασφάλειας πληροφοριών προσφέρει χρήσιμες διαδικασίες για τον ΓΚΠΔ: διαχείριση πρόσβασης, χειρισμό περιστατικών, αξιολόγηση προμηθευτών και ανθεκτικότητα. Η προστασία δεδομένων όμως θέτει και το ερώτημα γιατί η επεξεργασία είναι νόμιμη, αναλογική και διαφανής. Τα ερωτήματα αυτά συναντώνται στην ίδια επιχειρηματική δραστηριότητα, αλλά απαιτούν διαφορετικές αποφάσεις.

Για τη διοίκηση, το ζητούμενο είναι να τα συνδέσει χωρίς να θεωρεί το ένα υποκατάστατο του άλλου. Μια ασφαλής βάση δεδομένων πελατών μπορεί να περιέχει πληροφορίες που η εταιρεία δεν έπρεπε να έχει συλλέξει. Μια έγκυρη σύμβαση με τον πελάτη δεν αποδεικνύει ότι όλοι όσοι έχουν πρόσβαση στη βάση δεδομένων τη χρειάζονται. Ένα πιστοποιητικό ISO 27001 δεν λύνει κανένα από τα δύο ζητήματα.

Το πρακτικό σημείο εκκίνησης είναι επομένως η επεξεργασία και όχι ένας κατάλογος ελέγχων. Προσδιορίστε τι θέλει να κάνει η επιχείρηση με τα δεδομένα προσωπικού χαρακτήρα, αξιολογήστε αν η δραστηριότητα αυτή επιτρέπεται και στη συνέχεια επιλέξτε μέτρα προστασίας για τις συνέπειες μιας αστοχίας. Διατηρήστε το σκεπτικό, τα τεκμήρια, τον υπεύθυνο και το επόμενο γεγονός που θα πρέπει να οδηγήσει σε επανεξέταση.

Προσδιορίστε ποιες επεξεργασίες και ποιες αρμοδιότητες εμπίπτουν στο πεδίο εφαρμογής

Ο Γενικός Κανονισμός για την Προστασία Δεδομένων ρυθμίζει την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η επεξεργασία περιλαμβάνει τη συλλογή, την αποθήκευση, την αναζήτηση, την κοινολόγηση, τη μεταβολή και τη διαγραφή. Δεδομένα προσωπικού χαρακτήρα είναι οι πληροφορίες που αφορούν ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο· δεν περιορίζονται σε ονόματα ή σε προφανώς ευαίσθητα αρχεία.

Επαγγελματικές διευθύνσεις email, αναγνωριστικά εργαζομένων, αναγνωριστικά συσκευών, ιστορικά τοποθεσίας και συνομιλίες υποστήριξης μπορεί όλα να αποτελούν δεδομένα προσωπικού χαρακτήρα. Το αν ένα συγκεκριμένο αναγνωριστικό εμπίπτει σε αυτή την κατηγορία εξαρτάται από το πλαίσιο και από τα μέσα που ευλόγως είναι πιθανό να χρησιμοποιηθούν για την ταυτοποίηση κάποιου. Η αντικατάσταση ονομάτων με αριθμούς αναφοράς συνήθως παράγει ψευδωνυμοποιημένα και όχι ανώνυμα δεδομένα, εφόσον η επαναταυτοποίηση παραμένει δυνατή. Τα ψευδωνυμοποιημένα δεδομένα προσωπικού χαρακτήρα εξακολουθούν να εμπίπτουν στον ΓΚΠΔ.

Ελέγξτε το εδαφικό πεδίο εφαρμογής πριν επιλέξετε μοντέλο λειτουργίας

Το άρθρο 3 καλύπτει την επεξεργασία στο πλαίσιο των δραστηριοτήτων μιας εγκατάστασης στην ΕΕ, ακόμη κι αν η ίδια η επεξεργασία πραγματοποιείται αλλού. Μπορεί επίσης να καλύπτει οργανισμό εκτός ΕΕ, όταν η επεξεργασία του σχετίζεται με την προσφορά αγαθών ή υπηρεσιών σε πρόσωπα στην Ένωση ή με την παρακολούθηση της συμπεριφοράς τους εκεί. Η απλή προσβασιμότητα ενός ιστοτόπου δεν κρίνει από μόνη της το ζήτημα της στόχευσης· αξιολογήστε την πραγματική προσφορά και τη δραστηριότητα παρακολούθησης.

Όπου εφαρμόζεται το άρθρο 3 παράγραφος 2, το άρθρο 27 μπορεί να απαιτεί εκπρόσωπο στην Ένωση. Οι εξαιρέσεις του είναι περιορισμένες και δεν εξαρτώνται απλώς από το μέγεθος της εταιρείας. Η εξαίρεση για περιστασιακή επεξεργασία προϋποθέτει επίσης τις οριζόμενες συνθήκες σχετικά με ευαίσθητα δεδομένα και κίνδυνο. Ο εκπρόσωπος δεν υποκαθιστά τον υπεύθυνο επεξεργασίας, τον ΥΠΔ ή τη λογοδοτούσα διοίκηση.

Ο ΓΚΠΔ τέθηκε σε ισχύ στις 24 Μαΐου 2016 και εφαρμόζεται από τις 25 Μαΐου 2018. Για τις τρέχουσες αποφάσεις, διακρίνετε το ισχύον δίκαιο από τις προτεινόμενες απλουστεύσεις. Ένα δελτίο τύπου για μια πιθανή εξαίρεση δεν αποτελεί λόγο να διακοπεί μια υφιστάμενη διαδικασία συμμόρφωσης.

Καθορίστε τους ρόλους ανά δραστηριότητα, όχι βάσει της ταμπέλας της εταιρείας

Ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας. Ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό του υπευθύνου επεξεργασίας. Οι από κοινού υπεύθυνοι επεξεργασίας καθορίζουν από κοινού τους σκοπούς και τα μέσα και χρειάζονται ρύθμιση κατά το άρθρο 26 που να αποτυπώνει τις αντίστοιχες ευθύνες τους.

Μία εταιρεία μπορεί να έχει περισσότερους ρόλους. Ένας πάροχος λογισμικού μπορεί να είναι εκτελών την επεξεργασία για τα αρχεία που ανεβάζουν οι πελάτες και υπεύθυνος επεξεργασίας για τη δική του μισθοδοσία, τη διαχείριση λογαριασμών και ορισμένες λειτουργίες ασφάλειας. Ο χαρακτηρισμός στη σύμβαση ενός προμηθευτή έχει σημασία, αλλά δεν μπορεί να υπερισχύσει αυτού που πράγματι κάνουν τα μέρη.

Το πρώτο παραδοτέο πρέπει να είναι μια σύντομη απόφαση για το πεδίο εφαρμογής: εφαρμοστέες δραστηριότητες, οργανωτικές οντότητες, ρόλοι υπευθύνου ή εκτελούντος την επεξεργασία, αγορές και ανοιχτά ερωτήματα. Ορίστε υπεύθυνο για την επίλυση των αβεβαιοτήτων πριν ξεκινήσει ή επεκταθεί η σχετική επεξεργασία.

Διαχωρίστε τον επιχειρηματικό σκοπό από τη νομική βάση

Τα άρθρα 5 και 6 θέτουν τα θεμέλια για τη συνήθη επεξεργασία δεδομένων προσωπικού χαρακτήρα. Η ασφάλεια είναι ένα μέρος αυτών των θεμελίων, όχι ένας τρόπος να παρακαμφθούν.

Οι αρχές του άρθρου 5 παρουσιάζονται συνήθως ως επτά: νομιμότητα, αντικειμενικότητα και διαφάνεια· περιορισμός του σκοπού· ελαχιστοποίηση των δεδομένων· ακρίβεια· περιορισμός της περιόδου αποθήκευσης· ακεραιότητα και εμπιστευτικότητα· και λογοδοσία. Η λογοδοσία απαιτεί ο υπεύθυνος επεξεργασίας να φέρει την ευθύνη για τη συμμόρφωση και να είναι σε θέση να την αποδείξει. Δεν απαιτεί συγκεκριμένο προϊόν λογισμικού, απαιτεί όμως μια τεκμηριωμένη εξήγηση που στηρίζεται σε κατάλληλα τεκμήρια.

Μεταφράστε κάθε αρχή σε επιχειρηματικό ερώτημα:

Επιλέξτε βάση για κάθε σκοπό

Το άρθρο 6 προβλέπει έξι νομικές βάσεις. Οι προϋποθέσεις τους έχουν μεγαλύτερη σημασία από τους τίτλους τους:

• Συγκατάθεση: ελεύθερη, συγκεκριμένη, ρητή και εν πλήρει επιγνώσει ένδειξη συμφωνίας, με δυνατότητα ανάκλησης.
• Σύμβαση: επεξεργασία απαραίτητη για την εκτέλεση σύμβασης με το πρόσωπο ή για τη λήψη μέτρων κατόπιν αιτήματός του πριν από τη σύναψη σύμβασης.
• Νομική υποχρέωση: επεξεργασία απαραίτητη για τη συμμόρφωση με εφαρμοστέα νομική υποχρέωση.
• Ζωτικά συμφέροντα: επεξεργασία απαραίτητη για τη διαφύλαξη ζωτικού συμφέροντος κάποιου προσώπου.
• Δημόσιο καθήκον: επεξεργασία απαραίτητη για την εκπλήρωση καθήκοντος που εκτελείται προς το δημόσιο συμφέρον ή κατά την άσκηση δημόσιας εξουσίας, με την απαιτούμενη νομική θεμελίωση.
• Έννομα συμφέροντα: επεξεργασία απαραίτητη για τους σκοπούς έννομων συμφερόντων, υπό την προϋπόθεση της στάθμισης αυτών των συμφερόντων με τα συμφέροντα, τα δικαιώματα και τις ελευθερίες του προσώπου.

Μην απαριθμείτε περισσότερες βάσεις ως εναλλάξιμη ασφάλιση. Προσδιορίστε τη βάση που πράγματι στηρίζει κάθε σκοπό και κοινοποιήστε την με ακρίβεια. Η προσθήκη ενός όρου σε σύμβαση πελάτη δεν καθιστά αυτομάτως την επεξεργασία απαραίτητη για την εκτέλεση της σύμβασης. Ομοίως, τα έννομα συμφέροντα απαιτούν αξιολόγηση· δεν αποτελούν γενική άδεια χρήσης των διαθέσιμων δεδομένων.

Ως πρακτική σύσταση, τεκμηριώστε μια αξιολόγηση έννομου συμφέροντος γύρω από το επιδιωκόμενο συμφέρον, την αναγκαιότητα, τις επιπτώσεις στα πρόσωπα, τις εύλογες προσδοκίες τους και τα μέτρα προστασίας. Εξετάστε λιγότερο παρεμβατικές εναλλακτικές. Διατηρήστε την ανάλυση αναλογική προς τη δραστηριότητα, αλλά αρκετά συγκεκριμένη ώστε να την κατανοεί κάποιος εκτός του έργου.

Η συγκατάθεση δεν είναι πάντοτε η ασφαλέστερη επιλογή. Πρέπει να είναι πραγματικά προαιρετική όπου οι περιστάσεις απαιτούν επιλογή, και η ανάκληση πρέπει να λειτουργεί στην πράξη. Οι σχέσεις εργασίας εγείρουν ιδιαίτερους προβληματισμούς ως προς το αν η συμφωνία δίνεται ελεύθερα. Η ανάκληση τερματίζει για το μέλλον την επεξεργασία που βασίζεται σε αυτή τη συγκατάθεση· δεν διαγράφει αυτομάτως αρχεία που υπόκεινται σε ξεχωριστές νόμιμες υποχρεώσεις διατήρησης. Μη μεταφέρετε αναδρομικά την ίδια επεξεργασία σε άλλη βάση μόνο επειδή η συγκατάθεση ανακλήθηκε. Κάθε ξεχωριστή επεξεργασία, όπως η διατήρηση που επιβάλλεται από τον νόμο, χρειάζεται τη δική της εφαρμοστέα βάση και κατάλληλη διαφάνεια.

Τα δεδομένα ειδικών κατηγοριών, όπως οι πληροφορίες υγείας, χρειάζονται προϋπόθεση του άρθρου 9 επιπλέον μιας βάσης του άρθρου 6. Τα δεδομένα που αφορούν ποινικές καταδίκες και αδικήματα υπόκεινται στις ξεχωριστές απαιτήσεις του άρθρου 10. Μια εταιρεία δεν πρέπει να εγκρίνει καμία από τις δύο κατηγορίες απλώς επειδή η συνήθης επεξεργασία δεδομένων πελατών έχει ήδη αξιολογηθεί.

Δημιουργήστε ένα αρχείο δραστηριοτήτων επεξεργασίας που μπορεί να καθοδηγεί αποφάσεις

Τα αρχεία δραστηριοτήτων επεξεργασίας του άρθρου 30 είναι χρήσιμα επειδή συνδέουν τη νομική ανάλυση με την επιχειρησιακή πραγματικότητα. Το αρχείο του υπευθύνου επεξεργασίας περιλαμβάνει σκοπούς, κατηγορίες προσώπων και δεδομένων, αποδέκτες, διαβιβάσεις, όπου είναι δυνατόν τις προβλεπόμενες προθεσμίες διαγραφής και, όπου είναι δυνατόν, γενική περιγραφή των μέτρων ασφάλειας. Οι εκτελούντες την επεξεργασία έχουν διαφορετική υποχρέωση τήρησης αρχείου, που καλύπτει την επεξεργασία την οποία διενεργούν για λογαριασμό υπευθύνων επεξεργασίας.

Η εξαίρεση για επιχειρήσεις με λιγότερους από 250 εργαζομένους είναι υπό όρους. Δεν καλύπτει επεξεργασία που δεν είναι περιστασιακή, που είναι πιθανό να προκαλέσει τον οριζόμενο κίνδυνο ή που περιλαμβάνει τις οριζόμενες ευαίσθητες κατηγορίες. Μια μικρή επιχείρηση με διαρκή επεξεργασία δεδομένων εργαζομένων ή πελατών δεν πρέπει να υποθέτει ότι ο αριθμός προσωπικού την απαλλάσσει από τις υποχρεώσεις τήρησης αρχείου.

Χρησιμοποιήστε τις δραστηριότητες επεξεργασίας ως μονάδα οργάνωσης. Η «υποδομή cloud» είναι συνήθως υπερβολικά ευρεία για να εξηγήσει γιατί γίνεται επεξεργασία δεδομένων. Η «διαχείριση αιτημάτων υποστήριξης πελατών» είναι πιο χρήσιμη, επειδή έχει σκοπό, προσδιορίσιμα πρόσωπα, κατηγορίες δεδομένων, αποδέκτες, κανόνες διατήρησης και υποστηρικτικά συστήματα.

Ένα πρακτικό αρχείο εργασίας μπορεί να υπερβαίνει τα πεδία που απαιτεί ο νόμος:

• Επιχειρησιακός υπεύθυνος και αξιολογητής προστασίας δεδομένων.
• Σκοπός και σχετική νομική βάση.
• Πηγές δεδομένων, κατηγορίες και επηρεαζόμενες ομάδες.
• Σχέσεις υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία ή από κοινού υπευθύνων.
• Εφαρμογές, εξαγωγές, αρχεία καταγραφής και αποδέκτες στα επόμενα στάδια.
• Κανόνες διατήρησης και τρόπος εκτέλεσης της διαγραφής.
• Παραπομπές σε ενημέρωση, χειρισμό δικαιωμάτων, προμηθευτές και διαβιβάσεις.
• Αποτέλεσμα προκαταρκτικού ελέγχου για ΕΑΠΔ και συνδεδεμένα μέτρα προστασίας.
• Ημερομηνία έγκρισης, εκκρεμείς ενέργειες και εναύσματα επανεξέτασης.

Τα πρόσθετα πεδία είναι σύσταση για τον συντονισμό και όχι ισχυρισμός ότι το άρθρο 30 απαιτεί ρητά κάθε στοιχείο. Η αξία τους είναι ότι καθιστούν το αρχείο αξιοποιήσιμο κατά την έναρξη ενός προϊόντος, ένα αίτημα πρόσβασης, μια αλλαγή προμηθευτή ή ένα περιστατικό.

Συμφωνήστε το αρχείο με τα συστήματα που πράγματι χρησιμοποιούνται

Ένα ετήσιο ερωτηματολόγιο είναι απίθανο να αποκαλύψει κάθε εξαγωγή σε υπολογιστικό φύλλο, κάθε δοκιμαστική εφαρμογή ή κάθε συνδρομή ΤΝ σε επίπεδο ομάδας. Συγκρίνετε το αρχείο με πληροφορίες προμηθειών, λίστες εγκεκριμένων εφαρμογών, απογραφές συστημάτων και συνεντεύξεις με τους υπευθύνους διαδικασιών. Εξετάστε τους κοινόχρηστους φακέλους και τις χειροκίνητες παραδόσεις όπου επηρεάζουν ουσιωδώς τη δραστηριότητα.

Μη συγχέετε την απογραφή πόρων με το αρχείο δραστηριοτήτων επεξεργασίας. Η απογραφή πόρων εξηγεί συστήματα και εξαρτήσεις· το αρχείο επεξεργασίας εξηγεί χρήσεις δεδομένων προσωπικού χαρακτήρα. Συνδέστε τα έτσι ώστε μία εφαρμογή να μπορεί να υποστηρίζει περισσότερους σκοπούς χωρίς να συγχωνεύονται αυτοί οι σκοποί σε μια ασαφή περιγραφή.

Για περισσότερο πλαίσιο σχετικά με τη ροή εργασίας, δείτε το άρθρο για τον εντοπισμό δεδομένων και την προστασία της ιδιωτικότητας. Ο εντοπισμός πρέπει να παράγει μια λίστα αποκλίσεων που μπορεί να εξεταστεί, όχι την υπόθεση ότι κάθε εντοπισμένο πεδίο έχει ταξινομηθεί σωστά ή αξιολογηθεί νομικά.

Μεταφράστε το άρθρο 32 σε μέτρα προστασίας για πραγματικές συνέπειες

Το άρθρο 32 ΓΚΠΔ απαιτεί από τους υπευθύνους και τους εκτελούντες την επεξεργασία να εφαρμόζουν τεχνικά και οργανωτικά μέτρα κατάλληλα προς τον κίνδυνο. Η αξιολόγηση λαμβάνει υπόψη τις τελευταίες εξελίξεις, το κόστος εφαρμογής, τη φύση, το πεδίο εφαρμογής, το πλαίσιο και τους σκοπούς της επεξεργασίας, καθώς και την πιθανότητα και τη σοβαρότητα των κινδύνων για τα δικαιώματα και τις ελευθερίες των προσώπων.

Οι σχετικές συνέπειες περιλαμβάνουν την τυχαία ή παράνομη καταστροφή, απώλεια, αλλοίωση, άνευ αδείας κοινολόγηση και άνευ αδείας πρόσβαση. Αυτό καθιστά τη διαθεσιμότητα και την ακεραιότητα εξίσου σημαντικές με την εμπιστευτικότητα. Η απώλεια πρόσβασης σε μια υπηρεσία μπορεί να βλάψει πρόσωπα ακόμη κι αν δεν έχουν κλαπεί δεδομένα.

Μια γενική δήλωση ότι «εφαρμόζεται ασφάλεια σύμφωνα με τα πρότυπα του κλάδου» δεν αρκεί για να εξηγήσει γιατί τα μέτρα προστασίας ταιριάζουν σε μια συγκεκριμένη δραστηριότητα. Ξεκινήστε από σενάρια: ποιος θα μπορούσε να επηρεαστεί, τι θα μπορούσε να συμβεί, πόσο πιθανό είναι και πόσο σοβαρή θα μπορούσε να είναι η επίπτωση. Στη συνέχεια, συνδέστε κάθε σημαντικό σενάριο με προληπτικά μέτρα, μέτρα ανίχνευσης και μέτρα αποκατάστασης.

Οι περιορισμοί πρόσβασης πρέπει να ακολουθούν τον σκοπό

Για μια δραστηριότητα υποστήριξης, ρωτήστε ποιοι εκπρόσωποι χρειάζονται ποια αρχεία πελατών, αν τα ευαίσθητα συνημμένα χρειάζονται ξεχωριστούς περιορισμούς και πότε πρέπει να λήγει η προσωρινή πρόσβαση. Λάβετε υπόψη την προνομιακή διαχείριση, την πρόσβαση υποστήριξης από προμηθευτές, τις μαζικές εξαγωγές, τους κοινόχρηστους λογαριασμούς και την πρόσβαση έκτακτης ανάγκης.

Χρήσιμα τεκμήρια είναι οι ορισμοί ρόλων, οι εγκρίσεις πρόσβασης, τα αρχεία πρόσληψης, μετακίνησης και αποχώρησης, οι ρυθμίσεις προνομιακής πρόσβασης και οι ολοκληρωμένες επανεξετάσεις πρόσβασης. Μια πολιτική πρόσβασης αποδεικνύει έναν επιδιωκόμενο κανόνα. Μια πρόσφατη επανεξέταση που δείχνει ότι αφαιρέθηκαν περιττά δικαιώματα αποτελεί τεκμήριο ότι ο κανόνας εφαρμόζεται στην πράξη.

Η διοίκηση πρέπει να ρωτά αν ο οργανισμός μπορεί να διακρίνει την εξουσιοδοτημένη πρόσβαση από την ενδεδειγμένη χρήση. Ένας εργαζόμενος μπορεί να έχει τεχνικά έγκυρο λογαριασμό και παρ' όλα αυτά να χρησιμοποιεί δεδομένα για μη εξουσιοδοτημένο σκοπό. Η εκπαίδευση, η εποπτεία, ο σχεδιασμός της πρόσβασης και οι διαδικασίες διερεύνησης έχουν όλα σημασία.

Η κρυπτογράφηση απαιτεί απόφαση για τον τρόπο εφαρμογής

Το άρθρο 32 κατατάσσει την κρυπτογράφηση και την ψευδωνυμοποίηση στα μέτρα που πρέπει να εξεταστούν· δεν επιβάλλει μια καθολική υποχρέωση κρυπτογράφησης για κάθε περίπτωση. Όπου επιλέγεται κρυπτογράφηση, προσδιορίστε τι προστατεύει και τι όχι.

Η κρυπτογράφηση κατά τη μεταφορά προστατεύει τα δεδομένα που κινούνται μεταξύ τερματικών σημείων, εφόσον τα πρωτόκολλα και η αυθεντικοποίηση των τερματικών σημείων έχουν ρυθμιστεί σωστά. Η κρυπτογράφηση σε κατάσταση ηρεμίας προστατεύει τα αποθηκευμένα δεδομένα σε συγκεκριμένα σενάρια απειλών. Καμία από τις δύο δεν εμποδίζει αυτομάτως μια εξουσιοδοτημένη εφαρμογή ή έναν διαχειριστή να δει το απλό κείμενο.

Εξετάστε ποιος ελέγχει τα κλειδιά, πώς διαχωρίζεται η πρόσβαση σε αυτά και πώς τα κλειδιά δημιουργούνται, εναλλάσσονται, ανακαλούνται, αντιγράφονται και ανακτώνται. Η κρυπτογράφηση με κλειδιά υπό τη διαχείριση του παρόχου μπορεί να είναι κατάλληλη για ορισμένους κινδύνους, αφήνοντας άλλους ανοιχτούς. Μια κρυπτογράφηση της οποίας τα κλειδιά είναι διαθέσιμα στον ίδιο παραβιασμένο παράγοντα μπορεί να μην αντιμετωπίζει το σενάριο που αξιολογείται.

Η απόφαση της διοίκησης δεν αφορά το ποιον αλγόριθμο θα εφαρμόσει η ίδια. Αφορά το αν ο σχεδιασμός αντιμετωπίζει τον σχετικό κίνδυνο και αν ο τεχνικός υπεύθυνος μπορεί να τεκμηριώσει αυτό το συμπέρασμα. Δείτε το άρθρο για την κρυπτογράφηση και τη διαχείριση κλειδιών για τις διακρίσεις σε επίπεδο ελέγχων.

Η ανθεκτικότητα πρέπει να αποδεικνύεται, όχι να θεωρείται δεδομένη

Το άρθρο 32 αφορά τη διαρκή εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα και αξιοπιστία, καθώς και την ικανότητα αποκατάστασης της διαθεσιμότητας και της πρόσβασης εγκαίρως σε περίπτωση περιστατικού. Μια επιτυχημένη εργασία αντιγράφων ασφαλείας δεν αποδεικνύει ότι η επιχείρηση μπορεί να αποκαταστήσει μια λειτουργική υπηρεσία.

Ορίστε προσδοκίες αποκατάστασης με βάση την επεξεργασία και τις συνέπειες μιας διακοπής. Δοκιμάστε την επαναφορά, τις εξαρτήσεις, τα διαπιστευτήρια και τον χειρισμό των δεδομένων προσωπικού χαρακτήρα στα αποκατεστημένα περιβάλλοντα. Κρατήστε τεκμήρια για το τι αποκαταστάθηκε, πόσο χρόνο χρειάστηκε, τι απέτυχε και τι διορθώθηκε. Οι κανόνες διατήρησης και διαγραφής πρέπει επίσης να λαμβάνουν υπόψη τη συμπεριφορά των αντιγράφων ασφαλείας.

Ελέγξτε την αποτελεσματικότητα με σχετικά τεκμήρια

Το άρθρο 32 περιλαμβάνει διαδικασία για την τακτική δοκιμή, εκτίμηση και αξιολόγηση των μέτρων. Η κατάλληλη μέθοδος εξαρτάται από τον έλεγχο: επανεξετάσεις πρόσβασης, ασκήσεις επαναφοράς, έλεγχοι διαμόρφωσης, αξιολόγηση ευπαθειών, επανεξέταση προμηθευτών και ασκήσεις περιστατικών μπορούν όλα να συμβάλουν.

Μια δοκιμή διείσδυσης μπορεί να είναι χρήσιμη, αλλά δεν αποτελεί καθολικό υποκατάστατο αυτών των δραστηριοτήτων ούτε γενική απαίτηση του ΓΚΠΔ. Καταγράψτε το πεδίο που δοκιμάστηκε και τους περιορισμούς. Η δοκιμή μιας εφαρμογής δεν αποδεικνύει ότι μια νέα εξαγωγή μάρκετινγκ, μια σύνδεση με προμηθευτή ή μια διαδικασία αποκατάστασης ελέγχεται επαρκώς.

Για κάθε ουσιώδες μέτρο προστασίας, κρατήστε υπεύθυνο, περιγραφή εφαρμογής, σχετικά τεκμήρια, ημερομηνία αξιολόγησης και επόμενο έναυσμα επανεξέτασης. Πρόκειται για μια πρακτική δομή τεκμηρίων, όχι για ένα προκαθορισμένο υπόδειγμα του άρθρου 32.

Αξιοποιήστε ξανά το ΣΔΑΠ χωρίς να συγχωνεύετε τα συμπεράσματα ασφάλειας και ιδιωτικότητας

Το ISO/IEC 27001 αφορά ένα σύστημα διαχείρισης ασφάλειας πληροφοριών με καθορισμένο πεδίο εφαρμογής. Η εκτίμηση κινδύνου, η αντιμετώπιση κινδύνου, οι επιχειρησιακές διαδικασίες, ο εσωτερικός έλεγχος και η ανασκόπηση από τη διοίκηση μπορούν να υποστηρίξουν τη διαχείριση των μέτρων προστασίας του ΓΚΠΔ.

Η επικάλυψη είναι πολύτιμη. Τεκμήρια διαχείρισης πρόσβασης, αξιολογήσεις προμηθευτών, ασκήσεις περιστατικών και δοκιμές αποκατάστασης συχνά δεν χρειάζεται να δημιουργηθούν εκ νέου για την προστασία δεδομένων. Ωστόσο, η συνάφειά τους πρέπει να ελέγχεται σε σχέση με τη δραστηριότητα επεξεργασίας και το τρέχον πεδίο εφαρμογής.

Η πιστοποίηση από ανεξάρτητο φορέα πιστοποίησης αφορά το δηλωμένο πεδίο εφαρμογής του ΣΔΑΠ. Δεν καλύπτει αυτομάτως κάθε προϊόν, οντότητα, προμηθευτή ή δραστηριότητα επεξεργασίας. Η Δήλωση Εφαρμοσιμότητας καταγράφει αποφάσεις για την εφαρμοσιμότητα και την αντιμετώπιση των ελέγχων· δεν είναι δήλωση ότι έχει εκπληρωθεί κάθε υποχρέωση του ΓΚΠΔ.

Το ISO 27001 επίσης δεν αποτελεί από μόνο του γενικό νομοθετικό καθεστώς αναφοράς παραβιάσεων. Οι υποχρεώσεις γνωστοποίησης του ΓΚΠΔ πρέπει να αξιολογούνται χωριστά. Αντίστροφα, η συμμόρφωση με τον ΓΚΠΔ δεν αποδεικνύει ότι ένας οργανισμός έχει εφαρμόσει κάθε απαίτηση που είναι αναγκαία για την πιστοποίηση ISO 27001.

Ο ΓΚΠΔ προβλέπει μηχανισμούς πιστοποίησης στα άρθρα 42 και 43. Μια τέτοια πιστοποίηση δεν μειώνει την ευθύνη του υπευθύνου ή του εκτελούντος την επεξεργασία και δεν ισοδυναμεί με πιστοποιητικό ISO 27001 ούτε με καθολική δήλωση νομικής συμμόρφωσης.

Το ερώτημα για τη διοίκηση είναι επομένως η επαναχρησιμοποίηση τεκμηρίων με χωριστά συμπεράσματα: τι αποδεικνύει αυτό το στοιχείο, για ποια συστήματα και ποια περίοδο, και ποια ερωτήματα ιδιωτικότητας μένουν αναπάντητα;

Αναθέστε διακριτές αρμοδιότητες στη διοίκηση, την ασφάλεια και την προστασία δεδομένων

Ένα λειτουργικό μοντέλο χρειάζεται περισσότερα από ένα κοινό γραμματοκιβώτιο συμμόρφωσης. Οι επιχειρησιακοί υπεύθυνοι πρέπει να περιγράφουν και να αιτιολογούν την επεξεργασία τους· η ασφάλεια πρέπει να αξιολογεί και να εφαρμόζει τα σχετικά μέτρα προστασίας· οι ειδικοί προστασίας δεδομένων πρέπει να συμβουλεύουν για τις νομικές απαιτήσεις, τα δικαιώματα, τις ενημερώσεις και τις αξιολογήσεις. Η διοίκηση πρέπει να παρέχει πόρους και να επιλύει τα ουσιώδη ζητήματα εντός του νόμου.

Ο ΥΠΔ δεν είναι αυτομάτως υποχρεωτικός για κάθε εταιρεία. Το άρθρο 37 περιλαμβάνει δημόσιες αρχές και φορείς, με την εξαίρεση των δικαστηρίων, καθώς και οργανισμούς των οποίων οι βασικές δραστηριότητες πληρούν τις οριζόμενες προϋποθέσεις παρακολούθησης μεγάλης κλίμακας ή επεξεργασίας ευαίσθητων δεδομένων. Το εθνικό δίκαιο μπορεί να προσθέτει απαιτήσεις, οπότε ελέγξτε τις σχετικές δικαιοδοσίες.

Όπου ορίζεται, ο ΥΠΔ έχει ανεξάρτητα συμβουλευτικά καθήκοντα και καθήκοντα παρακολούθησης, πρέπει να συμμετέχει δεόντως και εγκαίρως και λογοδοτεί απευθείας στο ανώτατο διοικητικό επίπεδο. Ο ΥΠΔ δεν πρέπει να λαμβάνει εντολές να καταλήξει σε προτιμώμενο συμπέρασμα ούτε να του ανατίθενται αντικρουόμενες αρμοδιότητες που καθορίζουν τους σκοπούς και τα μέσα της επεξεργασίας.

Μην καθιστάτε τον ΥΠΔ υπεύθυνο για κάθε έλεγχο, εγκρίνοντα κάθε επιχειρηματικού σκοπού και ταυτόχρονα το πρόσωπο που ελέγχει αυτές τις ίδιες αποφάσεις. Έτσι συγκεντρώνονται ασύμβατες αρμοδιότητες και οι επιχειρησιακές ομάδες μπορεί να πιστέψουν ότι η λογοδοσία έχει μεταφερθεί αλλού.

Ένα χρήσιμο αρχείο έγκρισης προσδιορίζει τον υπεύθυνο που υποβάλλει την πρόταση, τη συμβουλή των ειδικών, τα τεκμήρια που εξετάστηκαν, τον λήπτη της απόφασης, τους όρους και τις εκκρεμείς ενέργειες. Αν η διοίκηση επιλέξει διαφορετική νόμιμη προσέγγιση από αυτή που προτάθηκε, καταγράψτε το σκεπτικό. Η διοίκηση δεν μπορεί να μετατρέψει μια ελλείπουσα νομική βάση ή μια υποχρεωτική συμβατική πρόβλεψη σε συμμόρφωση χαρακτηρίζοντάς την «αποδεκτό κίνδυνο».

Ο οδηγός για τις αρμοδιότητες CISO και ΥΠΔ εξηγεί αναλυτικότερα το όριο των αρμοδιοτήτων. Για τον CEO, το βασικό ερώτημα εποπτείας είναι αν οι διαφωνίες φτάνουν σε κάποιον που μπορεί να αλλάξει την επεξεργασία, να χρηματοδοτήσει το μέτρο προστασίας ή να σταματήσει την πρόταση, και όχι απλώς να εγκρίνει ένα έγγραφο.

Αξιολογήστε τους προμηθευτές μέσω ρόλου, σύμβασης και εφαρμογής

Η επανεξέταση ασφάλειας προμηθευτών και η επανεξέταση προμηθευτών κατά τον ΓΚΠΔ επικαλύπτονται, αλλά δεν ταυτίζονται. Πρώτα διαπιστώστε αν ο προμηθευτής είναι εκτελών την επεξεργασία, ανεξάρτητος υπεύθυνος επεξεργασίας, από κοινού υπεύθυνος ή έχει διαφορετικούς ρόλους για διαφορετικές υπηρεσίες.

Σύμφωνα με το άρθρο 28, οι υπεύθυνοι επεξεργασίας πρέπει να χρησιμοποιούν εκτελούντες την επεξεργασία που παρέχουν επαρκείς εγγυήσεις για κατάλληλα τεχνικά και οργανωτικά μέτρα. Οι ρυθμίσεις με εκτελούντες την επεξεργασία απαιτούν δεσμευτική σύμβαση ή άλλη κατάλληλη νομική πράξη που καλύπτει το προβλεπόμενο περιεχόμενο. Μια ρήτρα εμπιστευτικότητας από μόνη της δεν πληροί αυτή την απαίτηση.

Οι απαιτήσεις του άρθρου 28 περιλαμβάνουν:

• Το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας.
• Το είδος των δεδομένων προσωπικού χαρακτήρα και τις κατηγορίες προσώπων.
• Τις υποχρεώσεις και τα δικαιώματα του υπευθύνου επεξεργασίας.
• Επεξεργασία βάσει καταγεγραμμένων εντολών, συμπεριλαμβανομένων των σχετικών προβλέψεων για διαβιβάσεις.
• Εμπιστευτικότητα και μέτρα ασφάλειας του άρθρου 32.
• Προϋποθέσεις για την πρόσληψη άλλων εκτελούντων την επεξεργασία.
• Συνδρομή σε αιτήματα άσκησης δικαιωμάτων και σε οριζόμενες υποχρεώσεις συμμόρφωσης.
• Επιστροφή ή διαγραφή των δεδομένων στο τέλος των υπηρεσιών, με την επιφύλαξη των εφαρμοστέων νομικών απαιτήσεων.
• Ρυθμίσεις πληροφόρησης και ελέγχου για την απόδειξη της συμμόρφωσης.

Εξετάστε τους πραγματικούς όρους της υπηρεσίας παράλληλα με τη συμφωνία. Ένας προμηθευτής μπορεί να υπόσχεται διαγραφή, ενώ διατηρεί ορισμένα αρχεία καταγραφής για δικό του, ξεχωριστό σκοπό ως υπεύθυνος επεξεργασίας. Μια εταιρική συνδρομή μπορεί να περιορίζει τη χρήση για εκπαίδευση, ενώ ένας δοκιμαστικός λογαριασμός όχι. Ένας εκτελών την επεξεργασία μπορεί να χρησιμοποιεί αρκετούς υπεργολάβους επεξεργασίας με διαφορετικές τοποθεσίες και ρυθμίσεις υποστήριξης.

Η άδεια για υπεργολάβους επεξεργασίας μπορεί να είναι ειδική ή γενική σύμφωνα με το άρθρο 28. Όταν χρησιμοποιείται γενική γραπτή άδεια, ο εκτελών την επεξεργασία πρέπει να ενημερώνει τον υπεύθυνο επεξεργασίας για τις σκοπούμενες προσθήκες ή αντικαταστάσεις, δίνοντάς του τη δυνατότητα να αντιταχθεί. Το επιχειρησιακό ερώτημα είναι ποιος λαμβάνει αυτές τις ειδοποιήσεις και τις αξιολογεί πριν χαθούν σε ένα γραμματοκιβώτιο που δεν παρακολουθεί κανείς.

Κρατήστε την επανεξέταση της σύμβασης χωριστά από την αξιολόγηση των διαβιβάσεων. Μια συμφωνία του άρθρου 28 δεν παρέχει από μόνη της μηχανισμό διαβίβασης του Κεφαλαίου V. Ούτε η υπογραφή μιας συμφωνίας επεξεργασίας θεμελιώνει τη νόμιμη βάση για τη δραστηριότητα του υπευθύνου επεξεργασίας.

Χειριστείτε τους μη διαπραγματεύσιμους όρους ως επιχειρηματική απόφαση

Οι μικρότεροι πελάτες μπορεί να έχουν περιορισμένη διαπραγματευτική ισχύ. Αυτό καθιστά την έγκαιρη αξιολόγηση πιο σημαντική, όχι προαιρετική. Τεκμηριώστε την ανεπάρκεια, ζητήστε τις διαθέσιμες εναλλακτικές και εξετάστε αλλαγή της διαμόρφωσης, μείωση των δεδομένων, επιλογή άλλης υπηρεσίας ή μη συνέχιση.

Όπου μια υποχρεωτική απαίτηση παραμένει ανεκπλήρωτη, η έγκριση της διοίκησης δεν μπορεί να τη θεραπεύσει. Όπου το ζήτημα είναι επιλογή μεταξύ νόμιμων επιλογών με διαφορετικούς υπολειπόμενους κινδύνους, η διοίκηση μπορεί να αποφασίσει με τεκμηριωμένη συμβουλή. Οι προμήθειες πρέπει να διακρίνουν αυτές τις περιπτώσεις αντί να συγκεντρώνουν κάθε προβληματισμό σε μία κατηγορία εξαιρέσεων.

Μια επανεξέταση προμηθευτή πρέπει να καταλήγει σε απόφαση, όρους, παραπομπές σε τεκμήρια και εναύσματα επανεξέτασης, όχι απλώς σε ένα συμπληρωμένο ερωτηματολόγιο.

Σχεδιάστε τον χειρισμό δικαιωμάτων πριν από το πρώτο δύσκολο αίτημα

Τα άρθρα 15–22 προβλέπουν δικαιώματα που περιλαμβάνουν την πρόσβαση, τη διόρθωση, τη διαγραφή, τον περιορισμό, τη φορητότητα, την εναντίωση και την προστασία από ορισμένες αποφάσεις που λαμβάνονται αποκλειστικά με αυτοματοποιημένα μέσα. Τα δικαιώματα αυτά έχουν διαφορετικές προϋποθέσεις και εξαιρέσεις· μια ενιαία ροή εργασίας «διαγραφή όλων» δεν θα τα εξυπηρετήσει όλα.

Σύμφωνα με το άρθρο 12, οι οργανισμοί πρέπει να απαντούν χωρίς καθυστέρηση και κατά κανόνα εντός ενός μήνα από την παραλαβή του αιτήματος. Παράταση έως δύο επιπλέον μηνών είναι δυνατή όπου απαιτείται, λαμβανομένων υπόψη της πολυπλοκότητας και του αριθμού των αιτημάτων, αλλά το πρόσωπο πρέπει να ενημερωθεί εντός του πρώτου μήνα με αιτιολόγηση. Τα αιτήματα είναι κατά κανόνα δωρεάν· η επιβολή τέλους ή η άρνηση περιορίζονται στις προϋποθέσεις του κανονισμού, όπως τα προδήλως αβάσιμα ή υπερβολικά αιτήματα, τα οποία ο υπεύθυνος επεξεργασίας πρέπει να αποδείξει.

Δημιουργήστε μια επιχειρησιακή διαδρομή που λειτουργεί σε όλα τα κανάλια υποστήριξης, ανθρώπινου δυναμικού, πωλήσεων και προστασίας δεδομένων:

1. Καταγράψτε την παραλαβή, τα δικαιώματα που ζητούνται και την προθεσμία.
2. Επιβεβαιώστε τον αρμόδιο υπεύθυνο επεξεργασίας και το πεδίο.
3. Επαληθεύστε την ταυτότητα αναλογικά, όπου υπάρχουν εύλογες αμφιβολίες.
4. Εντοπίστε τα δεδομένα και προσδιορίστε τα σχετικά συστήματα, τους αποδέκτες και τους εκτελούντες την επεξεργασία.
5. Αξιολογήστε τις εφαρμοστέες προϋποθέσεις, τις εξαιρέσεις και τα δικαιώματα άλλων προσώπων.
6. Προετοιμάστε την απάντηση ή την ενέργεια και επανεξετάστε την.
7. Παραδώστε με ασφάλεια και διατηρήστε κατάλληλο αρχείο ολοκλήρωσης.

Μη ζητάτε κατά κανόνα έγγραφα ταυτοποίησης όταν θα αρκούσε μια λιγότερο παρεμβατική επαλήθευση. Εξίσου, μη χορηγείτε ευαίσθητα αρχεία επειδή κάποιος γνωρίζει μια διεύθυνση email. Η ίδια η επαλήθευση συνιστά επεξεργασία δεδομένων προσωπικού χαρακτήρα και χρειάζεται αναλογική προσέγγιση.

Μια απάντηση σε αίτημα πρόσβασης συνήθως χρειάζεται περισσότερα από μια λίστα κατηγοριών. Το άρθρο 15 περιλαμβάνει αντίγραφο των δεδομένων προσωπικού χαρακτήρα που υποβάλλονται σε επεξεργασία και συμπληρωματικές πληροφορίες. Εξετάστε τις πληροφορίες και τα δικαιώματα τρίτων πριν από την κοινολόγηση· μη θεωρείτε την παρουσία του ονόματος άλλου προσώπου αιτιολόγηση για να αποκρύψετε τα πάντα.

Η διαγραφή δεν είναι απόλυτη. Νόμιμες υποχρεώσεις διατήρησης και άλλες εξαιρέσεις του άρθρου 17 μπορεί να εφαρμόζονται. Όταν απαιτείται διαγραφή, προσδιορίστε πώς φτάνει στις συνδεδεμένες υπηρεσίες και στους σχετικούς αποδέκτες και πώς η επαναφορά αντιγράφων ασφαλείας αποφεύγει να επαναφέρει αβασάνιστα διαγραμμένα αρχεία. Εξηγήστε με ακρίβεια τυχόν νόμιμους περιορισμούς.

Η αυτοματοποίηση μπορεί να παρακολουθεί προθεσμίες και να οργανώνει αναζητήσεις, αλλά κάποιος πρέπει να αποφασίσει αν τα αποτελέσματα είναι πλήρη, αν οι αποκρύψεις αιτιολογούνται και αν εφαρμόζεται κάποια εξαίρεση. Μια τυποποιημένη απάντηση που παράγεται γρήγορα δεν είναι χρήσιμη αν παραλείπει ένα σύστημα που περιέχει τα ζητούμενα δεδομένα.

Δείτε το άρθρο για τα αιτήματα πρόσβασης υποκειμένων των δεδομένων για μια πιο αναλυτική ροή εργασίας. Η διοίκηση πρέπει να δοκιμάζει περιοδικά ένα αντιπροσωπευτικό αίτημα από την παραλαβή έως την ασφαλή παράδοση, αντί να βασίζεται αποκλειστικά στη δημοσίευση μιας διαδικασίας.

Χρησιμοποιήστε τις ΕΑΠΔ για να αμφισβητήσετε τον σχεδιασμό πριν τον εγκρίνετε

Μια εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων κατά το άρθρο 35 απαιτείται πριν από επεξεργασία που είναι πιθανό να επιφέρει υψηλό κίνδυνο για τα δικαιώματα και τις ελευθερίες των προσώπων. Ο κανονισμός προσδιορίζει συγκεκριμένες περιπτώσεις, όπως ορισμένες σημαντικές αυτοματοποιημένες αξιολογήσεις, επεξεργασία ευαίσθητων δεδομένων σε μεγάλη κλίμακα και συστηματική παρακολούθηση δημοσίως προσβάσιμου χώρου σε μεγάλη κλίμακα. Πρέπει επίσης να λαμβάνονται υπόψη οι σχετικοί κατάλογοι των εποπτικών αρχών.

Εξετάστε προκαταρκτικά τις προτεινόμενες δραστηριότητες νωρίς. Ως πρακτική σύσταση, διατηρήστε το σκεπτικό όταν ο προκαταρκτικός έλεγχος καταλήγει ότι δεν απαιτείται ΕΑΠΔ, ιδίως σε οριακές περιπτώσεις. Ένα σύντομο αρχείο προκαταρκτικού ελέγχου επιτρέπει την επανεξέταση της απόφασης όταν αλλάζει η κλίμακα, η τεχνολογία ή ο σκοπός.

Η πλήρης ΕΑΠΔ πρέπει να καλύπτει τέσσερα αλληλένδετα στοιχεία:

• Συστηματική περιγραφή των προβλεπόμενων πράξεων επεξεργασίας και των σκοπών, συμπεριλαμβανομένων, όπου συντρέχει περίπτωση, των έννομων συμφερόντων.
• Αναγκαιότητα και αναλογικότητα σε σχέση με αυτούς τους σκοπούς.
• Κινδύνους για τα δικαιώματα και τις ελευθερίες των προσώπων.
• Τα προβλεπόμενα μέτρα για την αντιμετώπιση των κινδύνων και την απόδειξη της συμμόρφωσης.

Μην ξεκινάτε και μην τελειώνετε με μια λίστα απειλών ασφάλειας. Ρωτήστε πρώτα αν τα προτεινόμενα δεδομένα, η συχνότητα, οι αποδέκτες και η διαδικασία λήψης αποφάσεων είναι απαραίτητα. Ένας λιγότερο παρεμβατικός σχεδιασμός μπορεί να εξαλείψει έναν κίνδυνο πιο αποτελεσματικά από έναν επιπλέον τεχνικό έλεγχο.

Για παράδειγμα, ένα έργο παραγωγικότητας εργαζομένων μπορεί να προτείνει συνεχή λήψη στιγμιότυπων οθόνης. Η κρυπτογράφηση και η περιορισμένη πρόσβαση θα μπορούσαν να μειώσουν τον κίνδυνο κοινολόγησης, αφήνοντας όμως σοβαρά ερωτήματα για την αναλογικότητα, την παρακολούθηση, τις προσδοκίες των εργαζομένων και την καταλληλότητα λιγότερο παρεμβατικών μέτρων. Ο επιχειρηματικός σκοπός πρέπει να εξεταστεί πριν ο σχεδιασμός ασφάλειας μπορέσει να έχει νόημα.

Αξιολογήστε τον κίνδυνο για τα πρόσωπα, όχι μόνο την έκθεση της εταιρείας

Λάβετε υπόψη την οικονομική ζημία, τις διακρίσεις, την κατάχρηση ταυτότητας, την απώλεια εμπιστευτικότητας, τον αποκλεισμό από υπηρεσίες και άλλες σχετικές επιπτώσεις. Ένα σενάριο μπορεί να έχει περιορισμένο οικονομικό αντίκτυπο για την εταιρεία και σημαντικό αντίκτυπο για ένα πρόσωπο.

Τεκμηριώστε τα προτεινόμενα μέτρα μετριασμού, τους υπευθύνους εφαρμογής και την αξιολόγηση του υπολειπόμενου κινδύνου. Ζητήστε τη γνώμη του ΥΠΔ όπου έχει οριστεί ΥΠΔ. Εξετάστε αν αλλαγές στη λειτουργία ή στον κίνδυνο απαιτούν επικαιροποίηση της εκτίμησης.

Το άρθρο 36 απαιτεί προηγούμενη διαβούλευση με την εποπτική αρχή όταν η ΕΑΠΔ υποδεικνύει ότι η επεξεργασία θα προκαλούσε υψηλό κίνδυνο ελλείψει μέτρων μετριασμού. Αν ο οργανισμός δεν μπορεί να αντιμετωπίσει επαρκώς αυτόν τον υψηλό κίνδυνο, δεν μπορεί να υποκαταστήσει την απαιτούμενη διαβούλευση με μια εσωτερική κατάσταση «αποδεκτό». Η διοίκηση μπορεί να επανασχεδιάσει, να αναβάλει ή να εγκαταλείψει τη δραστηριότητα· δεν μπορεί να διαθέτει τα δικαιώματα άλλων προσώπων σαν να ήταν αποκλειστικά επιχειρηματικός κίνδυνος.

Συνδέστε την αντιμετώπιση περιστατικών με τις αποφάσεις γνωστοποίησης του ΓΚΠΔ

Παραβίαση δεδομένων προσωπικού χαρακτήρα είναι η παραβίαση της ασφάλειας που οδηγεί σε τυχαία ή παράνομη καταστροφή, απώλεια, μεταβολή, άνευ αδείας κοινολόγηση ή πρόσβαση σε δεδομένα προσωπικού χαρακτήρα. Είναι ευρύτερη από την κλοπή μιας βάσης δεδομένων από επιτιθέμενο. Ένα συνημμένο που στάλθηκε σε λάθος παραλήπτη, μια χαμένη μη προστατευμένη συσκευή ή ένα περιστατικό που επηρεάζει τη διαθεσιμότητα ή την ακεραιότητα δεδομένων προσωπικού χαρακτήρα μπορεί να απαιτούν αξιολόγηση.

Σύμφωνα με τα άρθρα 33 και 34, οι υπεύθυνοι επεξεργασίας αξιολογούν δύο διαφορετικά κατώφλια γνωστοποίησης:

Η προθεσμία των 72 ωρών μετρά από τη στιγμή της γνώσης, όχι απλώς από τη χρονοσφραγίδα του αρχικού περιστατικού ή από την επόμενη εργάσιμη ημέρα. Αν η γνωστοποίηση γίνει αργότερα, πρέπει να συνοδεύεται από τους λόγους της καθυστέρησης. Οι πληροφορίες μπορούν να παρέχονται σταδιακά όταν δεν είναι δυνατόν να παρασχεθούν όλες ταυτόχρονα χωρίς περαιτέρω αδικαιολόγητη καθυστέρηση.

Προετοιμάστε εκ των προτέρων την αλυσίδα κλιμάκωσης: επικεφαλής περιστατικού, σύμβουλος προστασίας δεδομένων, αρμόδιος λήπτης αποφάσεων του υπευθύνου επεξεργασίας, τεχνικοί ερευνητές, επικοινωνία και επαφές προμηθευτών. Εντοπίστε τη διαδρομή υποβολής αναφοράς της αρμόδιας αρχής πριν από μια κατάσταση έκτακτης ανάγκης. Ένας εκτελών την επεξεργασία δεν πρέπει να περιμένει το δικό του τελικό συμπέρασμα για τον κίνδυνο πριν ενημερώσει τον υπεύθυνο επεξεργασίας.

Το αρχείο του περιστατικού πρέπει να καταγράφει τι συνέβη, τα δεδομένα και τα πρόσωπα που επηρεάστηκαν, τις πιθανές συνέπειες, τον περιορισμό και την αποκατάσταση, καθώς και τις αποφάσεις γνωστοποίησης. Το άρθρο 33 παράγραφος 5 απαιτεί την τεκμηρίωση των παραβιάσεων δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των πραγματικών περιστατικών, των συνεπειών και των διορθωτικών μέτρων. Διατηρήστε το σκεπτικό της μη γνωστοποίησης ώστε η απόφαση να είναι κατανοητή αργότερα.

Η κρυπτογράφηση μπορεί να επηρεάζει τον κίνδυνο και την ανάλυση του άρθρου 34, αλλά μόνο όταν η προστασία της είναι συναφής και αποτελεσματική. Το «η υπηρεσία χρησιμοποιεί κρυπτογράφηση» δεν αρκεί αν ένας επιτιθέμενος απέκτησε πρόσβαση σε απλό κείμενο μέσω παραβιασμένου λογαριασμού. Το άρθρο 34 περιλαμβάνει και άλλες εξαιρέσεις, όπως μεταγενέστερα μέτρα που διασφαλίζουν ότι ο υψηλός κίνδυνος δεν είναι πλέον πιθανό να υλοποιηθεί· αξιολογήστε τις πραγματικές συνθήκες αντί να εφαρμόζετε μια γενική εξαίρεση.

Εξασκηθείτε σε ένα σενάριο που αφορά προμηθευτή και σε ένα άλλο που αφορά εσωτερική κοινολόγηση. Η άσκηση πρέπει να δοκιμάζει τη συλλογή τεκμηρίων και την αρμοδιότητα λήψης αποφάσεων, καθώς και τον τεχνικό περιορισμό.

Αντιμετωπίστε τις διεθνείς διαβιβάσεις ως ξεχωριστή αξιολόγηση

Οι απαιτήσεις διαβίβασης του Κεφαλαίου V ισχύουν παράλληλα με τον υπόλοιπο ΓΚΠΔ. Ένας μηχανισμός διαβίβασης δεν παρέχει νομική βάση του άρθρου 6, και μια νομική βάση δεν αναιρεί την ανάγκη για κατάλληλη ρύθμιση διαβίβασης.

Χαρτογραφήστε τους πραγματικούς αποδέκτες και τις διαδρομές πρόσβασης. Η φιλοξενία σε κέντρο δεδομένων της ΕΕ έχει σημασία, αλλά δεν αποδεικνύει από μόνη της ότι δεν γίνεται διαβίβαση σε τρίτη χώρα ούτε ότι εκπληρώνονται όλες οι υποχρεώσεις προστασίας δεδομένων. Λάβετε υπόψη την πρόσβαση υποστήριξης, τους υπεργολάβους επεξεργασίας, τη διαχειριστική πρόσβαση, την περαιτέρω κοινολόγηση και τα εμπλεκόμενα μέρη.

Το πλαίσιο διαβιβάσεων του ΓΚΠΔ περιλαμβάνει αποφάσεις επάρκειας σύμφωνα με το άρθρο 45, κατάλληλες εγγυήσεις σύμφωνα με το άρθρο 46 και περιορισμένες παρεκκλίσεις σύμφωνα με το άρθρο 49. Ελέγξτε τον σχετικό μηχανισμό και το πεδίο εφαρμογής του κατά τον χρόνο της απόφασης.

Όταν βασίζεστε σε ρύθμιση επάρκειας που περιορίζεται σε συμμετέχοντες οργανισμούς, επαληθεύστε τον ακριβή αποδέκτη και τη δραστηριότητα που καλύπτεται. Μια εταιρεία του ομίλου ή μια παρόμοια εμπορική επωνυμία δεν είναι απαραίτητα ο αποδέκτης που καλύπτεται. Διατηρήστε το αποτέλεσμα και την ημερομηνία του ελέγχου.

Όταν χρησιμοποιούνται τυποποιημένες συμβατικές ρήτρες, επιλέξτε ρήτρες που αντιστοιχούν στους πραγματικούς ρόλους των μερών και συμπληρώστε τα σχετικά παραρτήματα. Αξιολογήστε το δίκαιο και τις πρακτικές της χώρας προορισμού και το αν χρειάζονται συμπληρωματικά μέτρα ώστε η προστασία να είναι αποτελεσματική. Μια υπογεγραμμένη σύμβαση από μόνη της δεν απαντά σε κάθε ερώτημα για τον κίνδυνο της διαβίβασης.

Ένας πρακτικός φάκελος διαβίβασης πρέπει να προσδιορίζει τον εξαγωγέα και τον εισαγωγέα, τα δεδομένα και τους σκοπούς, τις τοποθεσίες και την πρόσβαση, τις περαιτέρω διαβιβάσεις, τον επιλεγμένο μηχανισμό, τη σχετική αξιολόγηση, τα τεχνικά ή οργανωτικά μέτρα και τα εναύσματα επανεξέτασης. Η τεκμηρίωση του παρόχου μπορεί να υποστηρίξει αυτή την εργασία, αλλά το να ρωτάτε αν ένας πάροχος «έχει αξιολόγηση» δεν ισοδυναμεί με την αξιολόγηση των σχετικών ευρημάτων του.

Η διοίκηση πρέπει να γνωρίζει ποιες υπηρεσίες εξαρτώνται από συγκεκριμένο μηχανισμό και ποιες αλλαγές θα απαιτούσαν επαναξιολόγηση. Αυτό υποστηρίζει ένα συνειδητό σχέδιο έκτακτης ανάγκης, χωρίς να υπονοεί ότι κάθε προμηθευτής χρειάζεται την ίδια συμβατική εναλλακτική λύση.

Αξιολογήστε τη χρήση ΤΝ ως επεξεργασία, όχι απλώς ως νέο εργαλείο

Μια εφαρμογή ΤΝ μπορεί να εισαγάγει νέους αποδέκτες, να συναγάγει πρόσθετες προσωπικές πληροφορίες, να διατηρεί προτροπές ή να επιτρέπει νέο σκοπό. Οι αλλαγές αυτές έχουν σημασία ακόμη κι αν η εφαρμογή επαναχρησιμοποιεί την υφιστάμενη ενιαία σύνδεση και τους ελέγχους πρόσβασης του οργανισμού.

Πριν εγκρίνετε δεδομένα προσωπικού χαρακτήρα σε μια υπηρεσία ΤΝ, προσδιορίστε:

• Την ακριβή εργασία και αν τα δεδομένα προσωπικού χαρακτήρα είναι απαραίτητα.
• Τις κατηγορίες εισόδου, εξόδου και επηρεαζόμενων προσώπων.
• Τον ρόλο του παρόχου για κάθε χρήση, συμπεριλαμβανομένων τυχόν σκοπών εκπαίδευσης ή βελτίωσης.
• Τη διατήρηση, την ανθρώπινη πρόσβαση, τους υπεργολάβους επεξεργασίας και τις ρυθμίσεις διαβίβασης.
• Τις συμβατικές δεσμεύσεις και τις σχετικές ρυθμίσεις διαμόρφωσης.
• Τους κινδύνους ως προς την ακρίβεια, την κοινολόγηση, τον χειρισμό δικαιωμάτων και τη λήψη αποφάσεων.

Μην υποθέτετε ότι κάθε πάροχος μοντέλων είναι αποκλειστικά εκτελών την επεξεργασία. Ο ρόλος του εξαρτάται από την επεξεργασία που διενεργεί και από τους σκοπούς που καθορίζει. Επίσης, μια συμφωνία του άρθρου 28 δεν καθιστά αυτομάτως νόμιμη την προτεινόμενη διαβίβαση δεδομένων. Αξιολογήστε τον σκοπό, τη νομική βάση, τη διαφάνεια, την αναγκαιότητα και όλες τις άλλες εφαρμοστέες απαιτήσεις.

Αν η ίδια η εταιρεία είναι εκτελών την επεξεργασία, η εισαγωγή ενός παρόχου ΤΝ μπορεί να δημιουργήσει σχέση υπεργολάβου επεξεργασίας. Ελέγξτε τις εντολές των πελατών και τη συμφωνημένη διαδικασία άδειας πριν αποστείλετε δεδομένα πελατών. Μια νέα τροποποίηση της σύμβασης δεν απαιτείται πάντοτε, απαιτείται όμως συμμόρφωση με τις υφιστάμενες συμβατικές και νομοθετικές ρυθμίσεις.

Το άρθρο 22 αφορά ορισμένες αποφάσεις που βασίζονται αποκλειστικά σε αυτοματοποιημένη επεξεργασία και παράγουν έννομα ή παρόμοια σημαντικά αποτελέσματα. Μια τυπική ανθρώπινη επανεξέταση δεν λύνει το ζήτημα αν ο αξιολογητής δεν μπορεί ουσιαστικά να αξιολογήσει ή να αλλάξει το αποτέλεσμα. Οι αποφάσεις πρόσληψης, επιλεξιμότητας και οικονομικού χαρακτήρα χρειάζονται ιδιαίτερη εξέταση.

Η πράξη για την ΤΝ και ο ΓΚΠΔ επιβάλλουν διακριτές υποχρεώσεις. Μια αξιολόγηση κατά την πράξη για την ΤΝ δεν υποκαθιστά μια ΕΑΠΔ, και η συμμόρφωση με τον ΓΚΠΔ δεν αποδεικνύει συμμόρφωση με την πράξη για την ΤΝ. Χρησιμοποιήστε την τρέχουσα επισκόπηση της Ευρωπαϊκής Επιτροπής για την πράξη για την ΤΝ για τις ημερομηνίες εφαρμογής, αντί να μεταφέρετε ένα παλιό χρονοδιάγραμμα έναρξης σε ένα τρέχον έργο.

Για την εσωτερική εργασία προστασίας δεδομένων, η ΤΝ μπορεί να συντάσσει περιγραφές από εγκεκριμένες πηγές, να συγκρίνει έγγραφα ή να προτείνει ερωτήματα. Αντιμετωπίστε το αποτέλεσμά της ως προσχέδιο. Μια εύλογα διατυπωμένη αλλά λανθασμένη νομική βάση, ένας αποδέκτης που παραλείφθηκε ή μια λανθασμένη δήλωση για τη διατήρηση μπορούν να καταστήσουν ένα προσεγμένο έγγραφο ουσιωδώς λανθασμένο.

Αυτοματοποιήστε τον συντονισμό διατηρώντας μια επανεξέταση με σαφή λογοδοσία

Οι οργανισμοί που αναπτύσσονται συσσωρεύουν επαναλαμβανόμενες εργασίες: επικαιροποιήσεις του αρχείου δραστηριοτήτων, προθεσμίες αιτημάτων άσκησης δικαιωμάτων, έγγραφα προμηθευτών, ενέργειες από αξιολογήσεις, λήξη τεκμηρίων και αποφάσεις επανεξέτασης. Η αυτοματοποίηση μπορεί να οργανώνει εισροές και προθεσμίες. Δεν πρέπει να συσκοτίζει τη διαφορά ανάμεσα στη συλλογή πληροφοριών και στην κατάληξη σε ένα τεκμηριωμένο συμπέρασμα.

Ξεκινήστε με μια σταθερή διαδικασία και σαφείς αρμοδιότητες. Η αυτοματοποίηση μιας ασαφούς παράδοσης μπορεί απλώς να διασπείρει την ασάφεια γρηγορότερα. Ορίστε τι ανοίγει μια εργασία, ποιος την παραλαμβάνει, ποια τεκμήρια χρειάζονται, ποιος επανεξετάζει το αποτέλεσμα και τι ολοκληρώνει την εργασία.

Για τη σύνταξη με υποβοήθηση ΤΝ, διατηρήστε τις εγκεκριμένες πηγές και επισημάνετε την αβεβαιότητα. Μην αφήνετε μια παραγόμενη σύνοψη να αντικαταστήσει σιωπηρά μια σύμβαση προμηθευτή ή μια αξιολόγηση. Οι αξιολογητές πρέπει να μπορούν να διακρίνουν τα δεδομένα που παρασχέθηκαν, τις προτάσεις που συνήχθησαν και τα ανοιχτά ερωτήματα.

Εφαρμόστε την αρχή της ελάχιστης πρόσβασης και στην ίδια τη ροή εργασίας. Οι φάκελοι αιτημάτων άσκησης δικαιωμάτων, τα αρχεία περιστατικών και οι αξιολογήσεις εργαζομένων μπορεί να περιέχουν ευαίσθητες πληροφορίες. Η ευρεία πρόσβαση σε έναν χώρο εργασίας συμμόρφωσης μπορεί να υπονομεύσει τους περιορισμούς που τεκμηριώνονται. Ελαχιστοποιήστε τα δεδομένα προσωπικού χαρακτήρα στα τεκμήρια και περιορίστε το υλικό που πραγματικά απαιτεί ταυτοποίηση.

Χρήσιμοι δείκτες για τη διοίκηση είναι οι εκπρόθεσμες ενέργειες, οι ελλείποντες υπεύθυνοι, τα αρχεία που αναμένουν επανεξέταση μετά από ουσιώδη αλλαγή και οι έλεγχοι με παρωχημένα ή ανεπαρκή τεκμήρια. Οι απλές καταμετρήσεις εγγράφων είναι λιγότερο κατατοπιστικές. Μετρήστε αν ολοκληρώνονται οι αποφάσεις και οι διορθωτικές εργασίες, όχι απλώς αν παράγεται περισσότερο κείμενο.

Παράδειγμα: μια ενοποίηση μάρκετινγκ που επαναχρησιμοποιεί ελέγχους ασφάλειας

Το παρακάτω παράδειγμα είναι ενδεικτικό. Ας υποθέσουμε ότι μια αναπτυσσόμενη εταιρεία λογισμικού B2B διαθέτει εδραιωμένη βάση δεδομένων πελατών, ΣΔΑΠ που καλύπτει την παραγωγική της υπηρεσία και μια προτεινόμενη πλατφόρμα καμπανιών. Το μάρκετινγκ θέλει να στέλνει μηνύματα ενσωμάτωσης νέων χρηστών και αργότερα να προωθεί πρόσθετα προϊόντα. Η πλατφόρμα θα λάμβανε στοιχεία επικοινωνίας, συμβάντα χρήσης του προϊόντος και σημειώσεις υποστήριξης ελεύθερου κειμένου. Δεν υπονοείται κανένα πραγματικό αποτέλεσμα πελάτη ούτε κάποια δυνατότητα του Secani.

1. Διαχωρίστε τους προτεινόμενους σκοπούς

Το αρχικό αίτημα λέει «βελτίωση της αλληλεπίδρασης με τους πελάτες». Ο επιχειρησιακός υπεύθυνος το αναδιατυπώνει σε συγκεκριμένους σκοπούς: απαραίτητη ενσωμάτωση στην υπηρεσία, προαιρετική προωθητική επικοινωνία και ανάλυση της απόδοσης των καμπανιών.

Ο αξιολογητής προστασίας δεδομένων αξιολογεί τη βάση για κάθε σκοπό αντί να εφαρμόσει τη σύμβαση πελάτη και στους τρεις. Η προωθητική επικοινωνία μπορεί επίσης να ενεργοποιεί εφαρμοστέους εθνικούς κανόνες για το ηλεκτρονικό μάρκετινγκ. Η εταιρεία δεν υποθέτει ότι μια ανάλυση έννομου συμφέροντος κατά τον ΓΚΠΔ λύνει από μόνη της αυτές τις ξεχωριστές απαιτήσεις.

Το πρώτο παραδοτέο είναι μια απόφαση για σκοπό και βάση, με ανατεθειμένα τα ανοιχτά ερωτήματα. Το μάρκετινγκ δεν μπορεί να ξεκινήσει τη διευρυμένη χρήση απλώς επειδή η ενοποίηση πέρασε έναν τεχνικό έλεγχο ασφάλειας.

2. Περιορίστε την προτεινόμενη ροή δεδομένων

Οι σημειώσεις υποστήριξης είναι βολικές για εξατομίκευση, αλλά περιττές για το εγκεκριμένο μήνυμα ενσωμάτωσης. Μπορεί επίσης να περιέχουν πληροφορίες που οι πελάτες δεν περίμεναν να αξιοποιηθούν για μάρκετινγκ. Ο σχεδιασμός τις αφαιρεί.

Ο τεχνικός υπεύθυνος περιορίζει τα συμβάντα του προϊόντος σε όσα χρειάζονται για την εγκεκριμένη ροή εργασίας και εξαιρεί αναλυτικά ιστορικά χρηστών όπου αρκούν συγκεντρωτικά ή απλούστερα δεδομένα συμβάντων. Αυτό μειώνει την έκθεση πριν προστεθεί κάποιος άλλος έλεγχος.

Το αρχείο δραστηριοτήτων περιγράφει πλέον τα πραγματικά πεδία, τους επηρεαζόμενους χρήστες, τον αποδέκτη, τους σκοπούς και την προσέγγιση διατήρησης. Η ενημέρωση για την προστασία δεδομένων εξετάζεται σε σχέση με την εγκεκριμένη δραστηριότητα και όχι με το αρχικό ευρύ αίτημα.

3. Ελέγξτε τις ρυθμίσεις με τον προμηθευτή και τις διαβιβάσεις

Το τμήμα προμηθειών προσδιορίζει τον ρόλο της πλατφόρμας για την παράδοση των καμπανιών και ελέγχει για ξεχωριστούς σκοπούς του παρόχου. Η ομάδα εξετάζει τη συμφωνία του άρθρου 28, τις ρυθμίσεις για υπεργολάβους επεξεργασίας, τους όρους διαγραφής, την πρόσβαση υποστήριξης και τον εφαρμοστέο μηχανισμό διαβίβασης.

Μια επιλογή φιλοξενίας στην ΕΕ καταγράφεται ως σχετικό γεγονός και δεν θεωρείται τέλος της ανάλυσης διαβιβάσεων. Αν λείπουν απαιτούμενες πληροφορίες, η εργασία παραμένει ανοιχτή και η προϋπόθεση έναρξης προσδιορίζει τι πρέπει να επιλυθεί.

4. Επαναχρησιμοποιήστε τα τεκμήρια ασφάλειας με προσοχή

Η ενοποίηση μπορεί να επαναχρησιμοποιήσει τους εταιρικούς ελέγχους ταυτότητας και μια υφιστάμενη διαδικασία διαχείρισης πρόσβασης. Τα τεκμήρια αυτών των ελέγχων συνδέονται αντί να δημιουργηθούν εκ νέου. Ωστόσο, η νέα πλατφόρμα καμπανιών έχει τα δικά της δικαιώματα, εξαγωγές και ρυθμίσεις διατήρησης.

Ο υπεύθυνος ασφάλειας αξιολογεί την παραβίαση λογαριασμού, τη μη εξουσιοδοτημένη μαζική εξαγωγή, τη λανθασμένη αντιστοίχιση συμβάντων και την απώλεια των προτιμήσεων απενεργοποίησης επικοινωνίας. Η ομάδα περιορίζει την πρόσβαση, εγκρίνει τα απαιτούμενα δικαιώματα ενοποίησης, δοκιμάζει την αντιστοίχιση με κατάλληλα δεδομένα δοκιμών και ελέγχει πώς διαγράφονται ή αποκλείονται τα αρχεία.

Η υφιστάμενη άσκηση αποκατάστασης της παραγωγικής υπηρεσίας δεν αποδεικνύει ότι οι προτιμήσεις καμπανιών μπορούν να αποκατασταθούν σωστά. Ο υπεύθυνος ελέγχει χωριστά τη συμπεριφορά αποκατάστασης που αφορά αυτή τη ροή εργασίας.

5. Ολοκληρώστε την αξιολόγηση και την έγκριση

Ο αξιολογητής προστασίας δεδομένων διενεργεί προκαταρκτικό έλεγχο για ΕΑΠΔ με βάση την πραγματική δραστηριότητα και καταγράφει το σκεπτικό. Η ομάδα επαληθεύει επίσης πώς τα αιτήματα πρόσβασης, εναντίωσης και διαγραφής φτάνουν στην πλατφόρμα. Ειδικότερα, μια εναντίωση στο μάρκετινγκ δεν πρέπει να αναιρείται από τον επόμενο συγχρονισμό της βάσης δεδομένων.

Η διοίκηση εξετάζει έναν συνοπτικό φάκελο απόφασης: εγκεκριμένοι σκοποί, δεδομένα που αφαιρέθηκαν, συμπεράσματα για τον προμηθευτή και τις διαβιβάσεις, μέτρα προστασίας, ανοιχτές προϋποθέσεις, χειρισμός δικαιωμάτων και ονομαστικοί υπεύθυνοι. Κάθε ανεπίλυτη υποχρεωτική απαίτηση εμποδίζει την επηρεαζόμενη επεξεργασία αντί να μετατρέπεται σε αποδεκτή επιχειρηματική εξαίρεση.

6. Διατηρήστε το επόμενο έναυσμα

Η έγκριση συνδέεται με τη διαμόρφωση που αξιολογήθηκε. Η προσθήκη συμπεριφορικής βαθμολόγησης, η μεταφόρτωση σημειώσεων υποστήριξης, η αλλαγή των όρων εκπαίδευσης του παρόχου ή η εισαγωγή νέου αποδέκτη ενεργοποιούν επανεξέταση. Η ομάδα μπορεί να επαναχρησιμοποιήσει τα αμετάβλητα τεκμήρια ασφάλειας, ενώ επαναξιολογεί τα νέα ερωτήματα ιδιωτικότητας.

Αυτή είναι η κεντρική διάκριση: τα κοινά μέτρα προστασίας μπορούν να παραμένουν έγκυρα, ενώ ο σκοπός, ο αποδέκτης ή η επίπτωση στα πρόσωπα αλλάζουν ουσιωδώς.

Θέστε την προσέγγιση σε λειτουργία με ένα εστιασμένο πρώτο πεδίο εφαρμογής

Επιλέξτε μία δραστηριότητα επεξεργασίας με ορατό επιχειρησιακό υπεύθυνο και διαχειρίσιμες εξαρτήσεις. Η υποστήριξη πελατών, η ενσωμάτωση νέων εργαζομένων ή μια αντιπροσωπευτική ροή εργασίας προϊόντος μπορούν να αποκαλύψουν κενά χωρίς να απαιτηθεί πρώτα ανασχεδιασμός σε επίπεδο ολόκληρου του οργανισμού.

Ως πρακτική σύσταση, ξεκινήστε με τέσσερα παραδοτέα:

• Μια συμφωνημένη περιγραφή της επεξεργασίας και αξιολόγηση των ρόλων.
• Μια λίστα αποφάσεων προστασίας δεδομένων, που περιλαμβάνει βάση, ενημέρωση, διατήρηση, δικαιώματα και προκαταρκτικό έλεγχο για ΕΑΠΔ.
• Μια αξιολόγηση μέτρων προστασίας βάσει σεναρίων, συνδεδεμένη με τα υφιστάμενα τεκμήρια ασφάλειας.
• Ένα αρχείο έγκρισης με υπευθύνους, ανοιχτές ενέργειες και εναύσματα αλλαγής.

Στο Secani, οι ομάδες μπορούν να ξεκινήσουν με ένα εστιασμένο πεδίο εφαρμογής, να μοντελοποιήσουν τις υποστηρικτικές εφαρμογές, τα συστήματα, τις υπηρεσίες και τους παρόχους και να συνδέσουν τα τεκμήρια με απαιτήσεις, ελέγχους και αποφάσεις. Τα τεκμήρια που λείπουν και τα ανοιχτά ερωτήματα επανεξέτασης μπορούν να γίνουν ανατεθειμένες εργασίες. Οι προτάσεις με υποβοήθηση ΤΝ παραμένουν προσχέδια, με ιχνηλασιμότητα πηγών και ρητή ανθρώπινη έγκριση. Έτσι οι αξιολογητές ασφάλειας και προστασίας δεδομένων αποκτούν κοινό πλαίσιο τεκμηρίων, ενώ τα διακριτά συμπεράσματά τους παραμένουν ορατά· αυτό δεν αντικαθιστά τα αρχεία δραστηριοτήτων επεξεργασίας, την ικανοποίηση δικαιωμάτων ή τη νομική ανάλυση.

Επεκταθείτε μόνο αφού η πρώτη ροή εργασίας έχει δοκιμαστεί στην πράξη. Δοκιμάστε σε αυτήν μια αλλαγή προμηθευτή, ένα αίτημα άσκησης δικαιωμάτων και ένα σχετικό σενάριο περιστατικού. Όπου η ομάδα δεν μπορεί να προσδιορίσει τον υπεύθυνο, να ανακτήσει τα τεκμήρια ή να εξηγήσει την απόφαση, διορθώστε τη λειτουργική διαδικασία πριν προσθέσετε περισσότερες δραστηριότητες.

Για την ανασκόπηση από τη διοίκηση, θέστε τρία ερωτήματα: αντιστοιχεί το αρχείο στην τρέχουσα επεξεργασία, αντιμετωπίζουν τα μέτρα προστασίας τις συνέπειες για τα πρόσωπα, και θα επανανοίξει μια ουσιώδης αλλαγή την απόφαση με αξιόπιστο τρόπο; Τα ερωτήματα αυτά αποτελούν ένα πρακτικό επόμενο βήμα για τη σύνδεση της διασφάλισης ασφάλειας με τη λογοδοσία κατά τον ΓΚΠΔ.

Ερωτήματα που η διοίκηση πρέπει να διευθετήσει ρητά

Μπορεί ένας CEO να εγκρίνει εξαίρεση από τον ΓΚΠΔ;

Η διοίκηση μπορεί να επιλέγει μεταξύ νόμιμων επιλογών και να διαθέτει πόρους για την αντιμετώπιση κινδύνων. Δεν μπορεί να παραιτηθεί από νομοθετικές απαιτήσεις, να εγκρίνει επεξεργασία χωρίς εφαρμοστέα βάση ή να αντικαταστήσει την απαιτούμενη προηγούμενη διαβούλευση με εσωτερική έγκριση.

Χρειάζεται κάθε αλλαγή στην επεξεργασία νέα ΕΑΠΔ;

Όχι. Αξιολογήστε την αλλαγή σε σχέση με το κατώφλι υψηλού κινδύνου και επανεξετάστε τις υφιστάμενες εκτιμήσεις όταν αλλάζει η λειτουργία ή ο κίνδυνος. Μια τεκμηριωμένη απόφαση προκαταρκτικού ελέγχου είναι πιο χρήσιμη από την αυτόματη σύνταξη πλήρους ΕΑΠΔ ή από την υπόθεση ότι το παλιό αποτέλεσμα ισχύει πάντα.

Τι πρέπει να εξεταστεί πρώτο όταν οι πόροι είναι περιορισμένοι;

Δώστε προτεραιότητα στην επεξεργασία με πιθανώς σοβαρές συνέπειες για τα πρόσωπα, στα ανοιχτά ζητήματα νομιμότητας ή συμβάσεων και στις επιχειρησιακές προθεσμίες, όπως τα αιτήματα άσκησης δικαιωμάτων και η αντιμετώπιση παραβιάσεων. Χρησιμοποιήστε τα κενά τεκμηρίων για να κατευθύνετε τη διερεύνηση, αλλά μην υποθέτετε ότι η δραστηριότητα με τα περισσότερα ελλείποντα έγγραφα παρουσιάζει απαραίτητα τον μεγαλύτερο κίνδυνο.

Ποια αρχή επιβάλλει τον ΓΚΠΔ και πόσο μπορούν να κοστίσουν οι παραβάσεις;

Προσδιορίστε την αρμόδια εποπτική αρχή για την επεξεργασία. Για την επιλέξιμη διασυνοριακή επεξεργασία, ο μηχανισμός της επικεφαλής αρχής εξαρτάται κατά κανόνα από την κύρια ή μοναδική εγκατάσταση του υπευθύνου ή του εκτελούντος την επεξεργασία στην ΕΕ, με τη συμμετοχή των λοιπών ενδιαφερόμενων αρχών. Ένας εκπρόσωπος του άρθρου 27 δεν δημιουργεί εγκατάσταση στην ΕΕ ούτε πρόσβαση σε αυτόν τον μηχανισμό.

Το άρθρο 83 προβλέπει δύο κύριες κλίμακες ανώτατων διοικητικών προστίμων: έως 10 εκατ. € ή 2 % του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών μιας επιχείρησης κατά το προηγούμενο οικονομικό έτος, και έως 20 εκατ. € ή 4 %, όποιο από τα δύο είναι υψηλότερο σε κάθε κλίμακα. Η εφαρμοστέα κλίμακα εξαρτάται από την παράβαση· πρόκειται για ανώτατα όρια, όχι για αυτόματες κυρώσεις. Οι αρχές λαμβάνουν υπόψη τις περιστάσεις και μπορούν επίσης να διατάξουν διορθωτικά μέτρα ή να περιορίσουν την επεξεργασία. Το άρθρο 82 προβλέπει χωριστά αποζημίωση όταν μια παράβαση προκαλεί υλική ή μη υλική ζημία.