GDPR ja turvalisus: siduge kaitsemeetmed töötlemisega

Hästi toimiv infoturbe juhtimissüsteem pakub GDPR-i jaoks kasulikke protsesse: juurdepääsuhaldust, intsidentide käsitlemist, tarnijate hindamist ja toimepidevust. Privaatsustöö küsib aga ka seda, miks töötlemine on seaduslik, proportsionaalne ja läbipaistev. Need küsimused kohtuvad samas äritegevuses, kuid nõuavad erinevaid otsuseid.

Juhtkonna ülesanne on need omavahel siduda, ilma et ühte käsitletaks teise asendajana. Turvaline kliendiandmebaas võib ikkagi sisaldada teavet, mida ettevõte poleks tohtinud koguda. Kehtiv kliendileping ei tõenda, et kõik, kellel on andmebaasile juurdepääs, seda ka vajavad. ISO 27001 sertifikaat ei lahenda kumbagi küsimust.

Praktiline lähtepunkt on seega töötlemine, mitte meetmete kataloog. Tehke kindlaks, mida ettevõte isikuandmetega teha soovib, hinnake, kas see tegevus on lubatud, ja valige seejärel kaitsemeetmed rikke tagajärgede jaoks. Säilitage põhjendused, tõendid, vastutav omanik ja järgmine sündmus, mis peaks käivitama läbivaatuse.

Tehke kindlaks, milline töötlemine ja vastutus kuuluvad käsitlusalasse

Isikuandmete kaitse üldmäärus reguleerib isikuandmete töötlemist. Töötlemine hõlmab kogumist, säilitamist, päringute tegemist, avalikustamist, muutmist ja kustutamist. Isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta; need ei piirdu nimede ega ilmselgelt tundlike kirjetega.

Isikuandmed võivad olla nii tööalased e-posti aadressid, töötajate tunnused, seadmetunnused, asukohaajalood kui ka tugiteenuse vestlused. See, kas konkreetne tunnus on isikuandmed, sõltub kontekstist ja vahenditest, mida isiku tuvastamiseks tõenäoliselt mõistlikult kasutatakse. Nimede asendamine viitenumbritega annab tavaliselt pseudonüümitud, mitte anonüümsed andmed, kui uuesti tuvastamine jääb võimalikuks. Pseudonüümitud isikuandmed jäävad GDPR-i kohaldamisalasse.

Kontrollige territoriaalset kohaldamisala enne tegevusmudeli valimist

Artikkel 3 hõlmab töötlemist ELi tegevuskoha tegevuse raames ka siis, kui töötlemine ise toimub mujal. See võib hõlmata ka väljaspool ELi asuvat organisatsiooni, kui tema töötlemine on seotud kaupade või teenuste pakkumisega liidus asuvatele inimestele või nende käitumise jälgimisega seal. Ainuüksi veebisaidi kättesaadavus ei lahenda sihtimise küsimust; hinnake tegelikku pakkumist ja jälgimistegevust.

Kui kohaldub artikli 3 lõige 2, võib artikkel 27 nõuda esindaja määramist liidus. Selle erandid on piiratud ega sõltu lihtsalt ettevõtte suurusest. Juhusliku töötlemise erand eeldab ka tundlikke andmeid ja riski puudutavate tingimuste täitmist. Esindaja ei asenda vastutavat töötlejat, andmekaitseametnikku ega vastutavat juhtkonda.

GDPR jõustus 24. mail 2016 ja on kohaldunud alates 25. maist 2018. Praeguste otsuste tegemisel eristage kehtivat õigust kavandatavatest lihtsustustest. Pressiteade võimaliku erandi kohta ei ole alus olemasoleva vastavusprotsessi peatamiseks.

Määrake rollid tegevuse, mitte ettevõtte sildi järgi

Vastutav töötleja määrab kindlaks töötlemise eesmärgid ja vahendid. Volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel. Kaasvastutavad töötlejad määravad eesmärgid ja vahendid ühiselt ning vajavad artikli 26 kohast kokkulepet, mis kajastab nende vastavaid kohustusi.

Üks ettevõte võib täita mitut rolli. Tarkvarapakkuja võib olla volitatud töötleja kliendi üles laaditud kirjete puhul ning vastutav töötleja oma palgaarvestuse, kontohalduse ja osa turvatoimingute puhul. Tarnija lepingus kasutatud silt on asjakohane, kuid ei saa ümber lükata seda, mida pooled tegelikult teevad.

Esimene tulemus peaks olema lühike käsitlusala otsus: kohaldatavad tegevused, organisatsiooni üksused, vastutava või volitatud töötleja rollid, turud ja lahendamata küsimused. Määrake ebaselguste lahendamiseks omanik enne, kui seotud töötlemine algab või laieneb.

Eristage ärieesmärk õiguslikust alusest

Artiklid 5 ja 6 loovad tavapärase isikuandmete töötlemise aluse. Turvalisus on osa sellest alusest, mitte võimalus sellest mööda minna.

Artikli 5 põhimõtteid esitatakse tavaliselt seitsmena: seaduslikkus, õiglus ja läbipaistvus; eesmärgi piirang; võimalikult väheste andmete kogumine; õigsus; säilitamise piirang; terviklus ja konfidentsiaalsus; ning vastutus. Vastutus nõuab, et vastutav töötleja vastutaks nõuete täitmise eest ja suudaks seda tõendada. See ei nõua konkreetset tarkvaratoodet, kuid nõuab põhjendatavat selgitust, mida toetavad asjakohased tõendid.

Muutke iga põhimõte äriküsimuseks:

Valige iga eesmärgi jaoks alus

Artikkel 6 näeb ette kuus õiguslikku alust. Nende tingimused on olulisemad kui nende nimetused:

• Nõusolek: vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, mille saab tagasi võtta.
• Leping: töötlemine, mis on vajalik isikuga sõlmitud lepingu täitmiseks või tema taotletud lepingueelsete meetmete võtmiseks.
• Juriidiline kohustus: töötlemine, mis on vajalik kohaldatava juriidilise kohustuse täitmiseks.
• Elulised huvid: töötlemine, mis on vajalik kellegi eluliste huvide kaitsmiseks.
• Avalik ülesanne: töötlemine, mis on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks, nõutava õigusliku alusega.
• Õigustatud huvid: töötlemine, mis on vajalik õigustatud huvide korral, tingimusel et need huvid kaalutakse üles isiku huvide, õiguste ja vabadustega.

Ärge loetlege mitut alust omavahel asendatava kindlustusena. Määrake alus, mis iga eesmärki tegelikult toetab, ja teavitage sellest täpselt. Tingimuse lisamine kliendilepingusse ei muuda töötlemist automaatselt selle lepingu täitmiseks vajalikuks. Samamoodi nõuab õigustatud huvi hindamist; see ei ole üldine luba kasutada kättesaadavaid andmeid.

Praktilise soovitusena dokumenteerige õigustatud huvi hinnang, mis käsitleb taotletavat huvi, vajalikkust, mõju inimestele, nende mõistlikke ootusi ja kaitsemeetmeid. Kaaluge vähem sekkuvaid alternatiive. Hoidke analüüs tegevusega proportsionaalne, kuid piisavalt konkreetne, et projektiväline inimene seda mõistaks.

Nõusolek ei ole alati turvalisem. See peab olema tõeliselt vabatahtlik, kui asjaolud nõuavad valikut, ja tagasivõtmine peab praktikas toimima. Töösuhetes tekib eriline küsimus, kas nõusolek on antud vabatahtlikult. Tagasivõtmine lõpetab sellel nõusolekul põhineva töötlemise edaspidiseks; see ei kustuta automaatselt kirjeid, millele kehtivad eraldi seaduslikud säilitamiskohustused. Ärge viige sama töötlemist tagasiulatuvalt teisele alusele üle ainult seetõttu, et nõusolek on tagasi võetud. Igasugune eraldi töötlemine, näiteks seadusega nõutav säilitamine, vajab oma kohaldatavat alust ja asjakohast läbipaistvust.

Eriliigilised isikuandmed, näiteks terviseandmed, vajavad lisaks artikli 6 alusele artikli 9 tingimust. Süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmetele kehtivad eraldi artikli 10 nõuded. Ettevõte ei tohiks kumbagi kategooriat kinnitada ainult seetõttu, et tavapärane kliendiandmete töötlemine on juba hinnatud.

Looge töötlemise register, mis suudab otsuseid suunata

Artikli 30 kohased isikuandmete töötlemise toimingute registrid on kasulikud, sest need seovad õigusliku analüüsi tegeliku tegevusega. Vastutava töötleja register sisaldab eesmärke, isikute ja andmete kategooriaid, vastuvõtjaid, edastamisi, võimaluse korral kavandatud kustutamistähtaegu ja võimaluse korral turvameetmete üldist kirjeldust. Volitatud töötlejatel on teistsugune registrikohustus, mis hõlmab nende poolt vastutavate töötlejate nimel tehtavat töötlemist.

Alla 250 töötajaga organisatsioonide erand on tingimuslik. See ei hõlma töötlemist, mis ei ole juhuslik, mis tõenäoliselt tekitab määratletud riski või mis hõlmab määratletud tundlikke kategooriaid. Väikeettevõte, kes töötleb pidevalt töötajate või klientide andmeid, ei tohiks eeldada, et töötajate arv vabastab teda registrikohustustest.

Kasutage korraldusüksusena töötlemistoiminguid. „Pilvetaristu“ on tavaliselt liiga lai, et selgitada, miks andmeid töödeldakse. „Klientide tugipäringute haldamine“ on kasulikum, sest sellel on eesmärk, tuvastatavad inimesed, andmekategooriad, vastuvõtjad, säilitamisreeglid ja toetavad süsteemid.

Praktiline töine register võib minna seadusega nõutud väljadest kaugemale:

• Äriomanik ja privaatsuse läbivaataja.
• Eesmärk ja asjakohane õiguslik alus.
• Andmeallikad, -kategooriad ja mõjutatud rühmad.
• Vastutava töötleja, volitatud töötleja või kaasvastutavate töötlejate suhted.
• Rakendused, eksportfailid, logid ja edasised vastuvõtjad.
• Säilitamisreeglid ja kustutamise teostamise viis.
• Viited teavitustele, õiguste käsitlemisele, tarnijatele ja edastamistele.
• Andmekaitsealase mõjuhinnangu eelhindamise tulemus ja seotud kaitsemeetmed.
• Kinnitamise kuupäev, lahendamata tegevused ja läbivaatuse käivitajad.

Lisaväljad on koordineerimise soovitus, mitte väide, et artikkel 30 nõuab sõnaselgelt iga punkti. Nende väärtus seisneb selles, et need muudavad registri kasutatavaks toote käivitamisel, juurdepääsutaotluse, tarnija vahetuse või intsidendi korral.

Viige register vastavusse süsteemidega, mida inimesed tegelikult kasutavad

Iga-aastane küsimustik ei too tõenäoliselt esile iga arvutustabeli eksporti, prooviversiooni rakendust ega meeskonnatasandi tehisintellekti tellimust. Võrrelge registrit hanketeabe, kinnitatud rakenduste loendite, süsteemiinventaride ja protsessiomanikega tehtud intervjuudega. Vaadake üle jagatud kettad ja käsitsi üleandmised, kui need tegevust oluliselt mõjutavad.

Ärge ajage varade inventari segi töötlemise registriga. Varade inventar selgitab süsteeme ja sõltuvusi; töötlemise register selgitab isikuandmete kasutusi. Siduge need nii, et üks rakendus saaks toetada mitut eesmärki, ilma et need eesmärgid sulaksid ühte ebamäärasesse kirjeldusse.

Täiendava töövoo konteksti leiate artiklist andmete tuvastamine ja privaatsus. Tuvastamise tulemuseks peaks olema läbivaadatav lahknevuste loend, mitte eeldus, et iga tuvastatud väli on õigesti klassifitseeritud või õiguslikult hinnatud.

Muutke artikkel 32 tegelike tagajärgedega arvestavateks kaitsemeetmeteks

GDPR-i artikkel 32 nõuab, et vastutavad ja volitatud töötlejad rakendaksid riskile vastavaid tehnilisi ja korralduslikke meetmeid. Hindamisel võetakse arvesse tehnika taset, rakendamise kulusid, töötlemise laadi, ulatust, konteksti ja eesmärke ning inimeste õigustele ja vabadustele avalduvate riskide tõenäosust ja tõsidust.

Asjakohaste tagajärgede hulka kuuluvad juhuslik või ebaseaduslik hävitamine, kaotsiminek, muutmine, loata avalikustamine ja loata juurdepääs. Seetõttu on käideldavus ja terviklus konfidentsiaalsuse kõrval olulised. Juurdepääsu kaotamine teenusele võib inimesi kahjustada ka siis, kui ühtegi andmeid pole varastatud.

Üldine väide, et „kehtib valdkonna standarditele vastav turvalisus“, ei ole piisav, et selgitada, miks kaitsemeetmed konkreetsele tegevusele sobivad. Alustage stsenaariumidest: keda võib see mõjutada, mis võib juhtuda, kui tõenäoline see on ja kui tõsine võib mõju olla. Seejärel siduge iga oluline stsenaarium ennetavate, tuvastavate ja taastavate meetmetega.

Juurdepääsupiirangud peaksid järgima eesmärki

Tugiteenuse puhul küsige, millised agendid vajavad milliseid kliendikirjeid, kas tundlikud manused vajavad eraldi piiranguid ja millal ajutine juurdepääs peaks aeguma. Kaaluge privilegeeritud haldust, tarnija tugijuurdepääsu, hulgieksporti, jagatud kontosid ja hädaolukorra juurdepääsu.

Kasulikud tõendid on rollide määratlused, juurdepääsu kinnitused, töölevõtu, ametikoha muutmise ja töölt lahkumise kirjed, privilegeeritud juurdepääsu korraldus ja lõpetatud juurdepääsuülevaatused. Juurdepääsupoliitika tõendab kavandatud reeglit. Hiljutine ülevaatus, mis näitab, et mittevajalikud õigused on eemaldatud, tõendab, et reeglit ka rakendatakse.

Juhtkond peaks küsima, kas organisatsioon suudab eristada volitatud juurdepääsu asjakohasest kasutusest. Töötajal võib olla tehniliselt kehtiv konto, kuid ta võib kasutada andmeid volitamata eesmärgil. Olulised on nii koolitus, järelevalve, juurdepääsu ülesehitus kui ka uurimisprotsessid.

Krüpteerimine nõuab juurutusotsust

Artikkel 32 nimetab krüpteerimist ja pseudonüümimist kaalutavate meetmete hulgas; see ei kehtesta igaks olukorraks universaalset üldist krüpteerimiskohustust. Kui krüpteerimine valitakse, täpsustage, mida see kaitseb ja mida mitte.

Edastamisel krüpteerimine kaitseb lõpp-punktide vahel liikuvaid andmeid, kui protokollid ja lõpp-punktide autentimine on õigesti seadistatud. Salvestatud andmete krüpteerimine kaitseb salvestatud andmeid teatud ohustsenaariumide korral. Kumbki ei takista automaatselt volitatud rakendusel ega administraatoril avateksti nägemast.

Vaadake üle, kes kontrollib võtmeid, kuidas juurdepääs neile on eraldatud ning kuidas võtmeid genereeritakse, vahetatakse, tühistatakse, varundatakse ja taastatakse. Pakkuja hallatav krüpteerimine võib olla mõne riski puhul asjakohane, jättes teised lahendamata. Krüpteerimine, mille võtmed on kättesaadavad samale ohustatud osalejale, ei pruugi hinnatavat stsenaariumi käsitleda.

Juhtkonna otsus ei seisne selles, millist algoritmi isiklikult rakendada. See seisneb selles, kas lahendus käsitleb asjakohast riski ja kas tehniline omanik suudab seda järeldust põhjendada. Meetmete tasandi eristusi selgitab artikkel krüpteerimine ja võtmehaldus.

Toimepidevust tuleb tõendada, mitte eeldada

Artikkel 32 käsitleb pidevat konfidentsiaalsust, terviklust, käideldavust ja toimepidevust ning võimet intsidendi järel õigeaegselt taastada käideldavus ja juurdepääs. Õnnestunud varundustöö ei tõenda, et ettevõte suudab taastada kasutatava teenuse.

Seadke taastamisootused töötlemise ja katkestuse tagajärgede põhjal. Testige taastamist, sõltuvusi, juurdepääsuandmeid ja isikuandmete käsitlemist taastatud keskkondades. Säilitage tõendid selle kohta, mis taastati, kui kaua see aega võttis, mis ebaõnnestus ja mida parandati. Säilitamis- ja kustutamisreeglid peavad arvestama ka varukoopiate käitumisega.

Testige tõhusust asjakohaste tõenditega

Artikkel 32 hõlmab meetmete korrapärase testimise, hindamise ja analüüsimise protsessi. Sobiv meetod sõltub meetmest: oma panuse võivad anda juurdepääsuülevaatused, taastamisharjutused, konfiguratsioonikontrollid, haavatavuste hindamine, tarnijate ülevaatus ja intsidendiharjutused.

Läbistustest võib olla kasulik, kuid see ei ole nende tegevuste universaalne asendaja ega üldine GDPR-i nõue. Märkige testitud ulatus ja piirangud. Ühe rakenduse test ei tõenda, et äsja kasutusele võetud turunduseksport, tarnijaühendus või taastamisprotsess on piisavalt kontrollitud.

Iga olulise kaitsemeetme kohta säilitage omanik, rakendamise kirjeldus, asjakohased tõendid, hindamise kuupäev ja järgmise läbivaatuse käivitaja. See on praktiline tõendite struktuur, mitte artikliga 32 ette nähtud vorm.

Kasutage ISMS-i uuesti, ilma et turvalisuse ja privaatsuse järeldused ühte sulaksid

ISO/IEC 27001 käsitleb kindlaksmääratud käsitlusalaga infoturbe juhtimissüsteemi. Selle riskihindamine, riskikäsitlus, tegevusprotsessid, siseaudit ja juhtkonnapoolne läbivaatus võivad toetada GDPR-i kaitsemeetmete haldamist.

Kattuvus on väärtuslik. Juurdepääsuhalduse tõendeid, tarnijate hinnanguid, intsidendiharjutusi ja taastamisteste ei ole privaatsuse jaoks sageli vaja uuesti luua. Nende asjakohasust tuleb aga kontrollida töötlemistoimingu ja praeguse käsitlusala suhtes.

Sõltumatu sertifitseerimisasutuse antud sertifikaat puudutab ISMS-i märgitud käsitlusala. See ei hõlma automaatselt iga toodet, üksust, tarnijat ega töötlemistoimingut. Kohaldatavusavaldus kajastab meetmete kohaldatavuse ja käsitluse otsuseid; see ei ole kinnitus, et kõik GDPR-i kohustused on täidetud.

ISO 27001 ei ole ka iseenesest üldine seadusjärgne rikkumistest teatamise kord. GDPR-i teavitamiskohustusi tuleb hinnata eraldi. Seevastu GDPR-i järgimine ei tõenda, et organisatsioon on rakendanud kõik ISO 27001 sertifitseerimiseks vajalikud nõuded.

GDPR näeb artiklites 42 ja 43 ette sertifitseerimismehhanismid. Selline sertifitseerimine ei vähenda vastutava ega volitatud töötleja vastutust ega ole samaväärne ISO 27001 sertifikaadiga ega universaalse kinnitusega õigusnõuetele vastavuse kohta.

Juhtimisküsimus on seega tõendite taaskasutamine eraldi järeldustega: mida see tõend näitab, milliste süsteemide ja perioodi kohta ning millised privaatsusküsimused jäävad vastuseta?

Andke juhtkonnale, turvalisusele ja privaatsusele eraldi vastutus

Toimiv tegevusmudel vajab enamat kui ühist vastavuse postkasti. Äriomanikud peaksid oma töötlemist kirjeldama ja põhjendama; turvalisus peaks hindama ja rakendama asjakohaseid kaitsemeetmeid; privaatsuse spetsialistid peaksid nõustama õigusnõuete, õiguste, teavituste ja hinnangute osas. Juhtkond peab andma ressursid ja lahendama olulised otsused seaduse piires.

Andmekaitseametnik ei ole automaatselt nõutav igas ettevõttes. Artikkel 37 hõlmab avaliku sektori asutusi ja organeid, arvestades selle kohtuid puudutavat erandit, ning organisatsioone, mille põhitegevus vastab määratletud ulatusliku jälgimise või tundlike andmete tingimustele. Riigisisene õigus võib lisada nõudeid, seega kontrollige asjakohaseid jurisdiktsioone.

Kui andmekaitseametnik on määratud, on tal sõltumatud nõustamis- ja järelevalveülesanded, ta tuleb kaasata asjakohaselt ja õigeaegselt ning ta allub otse kõrgeimale juhtimistasandile. Andmekaitseametnikule ei tohiks anda juhist jõuda eelistatud järelduseni ega määrata talle vastuolulisi ülesandeid, mis määravad kindlaks töötlemise eesmärgid ja vahendid.

Ärge tehke andmekaitseametnikust iga meetme omanikku, iga ärieesmärgi kinnitajat ja isikut, kes auditeerib neidsamu otsuseid. See koondab kokkusobimatud kohustused ja võib jätta tegevusmeeskonnad uskuma, et vastutus on neilt ära viidud.

Kasulik kinnitusdokument nimetab ettepaneku teinud omaniku, spetsialisti nõuande, arvesse võetud tõendid, otsustaja, tingimused ja lahendamata tegevused. Kui juhtkond valib soovitatust erineva seadusliku lähenemisviisi, dokumenteerige põhjendus. Juhtkond ei saa puuduvat õiguslikku alust ega kohustuslikku lepingusätet nõuetele vastavaks muuta, märkides selle sildiga „risk aktsepteeritud“.

CISO ja andmekaitseametniku vastutuse juhend selgitab omanikuvastutuse piiri üksikasjalikumalt. Tegevjuhi jaoks on peamine järelevalveküsimus see, kas lahkarvamused jõuavad kellenigi, kes saab töötlemist muuta, kaitsemeedet rahastada või ettepaneku peatada – mitte lihtsalt dokumenti kinnitada.

Hinnake tarnijaid rolli, lepingu ja rakendamise kaudu

Tarnija turvaülevaatus ja GDPR-i tarnijaülevaatus kattuvad, kuid ei ole identsed. Kõigepealt tehke kindlaks, kas tarnija on volitatud töötleja, iseseisev vastutav töötleja, kaasvastutav töötleja või täidab ta eri teenuste puhul eri rolle.

Artikli 28 kohaselt peavad vastutavad töötlejad kasutama volitatud töötlejaid, kes annavad piisavad tagatised asjakohaste tehniliste ja korralduslike meetmete kohta. Volitatud töötlemise korraldus nõuab siduvat lepingut või muud nõuetele vastavat õigusakti, mis hõlmab ettenähtud sisu. Ainuüksi konfidentsiaalsusklausel seda nõuet ei täida.

Artikli 28 nõuded hõlmavad järgmist:

• Töötlemise sisu, kestus, laad ja eesmärk.
• Isikuandmete liigid ja isikute kategooriad.
• Vastutava töötleja kohustused ja õigused.
• Töötlemine dokumenteeritud juhiste alusel, sealhulgas asjakohased edastamissätted.
• Konfidentsiaalsus ja artikli 32 turvameetmed.
• Teiste volitatud töötlejate kaasamise tingimused.
• Abi õiguste taotluste ja määratletud vastavuskohustuste täitmisel.
• Andmete tagastamine või kustutamine teenuste lõppemisel, arvestades kohaldatavaid õigusnõudeid.
• Teabe- ja auditikorraldus nõuetele vastavuse tõendamiseks.

Vaadake lepingu kõrval üle tegelikud teenusetingimused. Tarnija võib lubada kustutamist, säilitades samal ajal osa logisid eraldi vastutava töötleja eesmärgil. Ettevõtte tellimus võib piirata andmete kasutamist mudelite treenimiseks, samas kui prooviversiooni konto seda ei tee. Volitatud töötleja võib kasutada mitut alamtöötlejat, kellel on erinevad asukohad ja tugikorraldused.

Alamtöötlejate loa võib artikli 28 kohaselt anda konkreetselt või üldiselt. Üldise kirjaliku loa korral peab volitatud töötleja teavitama vastutavat töötlejat kavandatud lisandustest või asendustest, andes võimaluse vastuväiteks. Praktiline küsimus on, kes need teated saab ja hindab, enne kui need järelevalveta postkasti kaovad.

Hoidke lepingu ülevaatus edastamise hindamisest lahus. Artikli 28 kohane leping ei paku iseenesest V peatüki kohast edastamismehhanismi. Samuti ei loo isikuandmete töötlemise lepingu allkirjastamine vastutava töötleja tegevuse õiguslikku alust.

Käsitlege läbirääkimatuid tingimusi äriotsusena

Väiksematel klientidel võib olla piiratud läbirääkimisjõud. See muudab varase hindamise veelgi olulisemaks, mitte valikuliseks. Dokumenteerige puudus, küsige olemasolevaid alternatiive ja kaaluge konfiguratsiooni muutmist, andmete vähendamist, teise teenuse valimist või edasi minemata jätmist.

Kui kohustuslik nõue jääb täitmata, ei saa juhtkonna kinnitus seda parandada. Kui küsimus on valikus erinevate jääkriskidega seaduslike võimaluste vahel, võib juhtkond otsustada dokumenteeritud nõuande põhjal. Hange peaks neid olukordi eristama, selle asemel et koguda kõik mured ühte erandikategooriasse.

Tarnija ülevaatus peaks lõppema otsuse, tingimuste, tõendiviidete ja uuesti läbivaatamise käivitajatega – mitte lihtsalt täidetud küsimustikuga.

Kujundage õiguste käsitlemine enne esimest keerulist taotlust

Artiklid 15–22 annavad õigused, sealhulgas juurdepääsu, parandamise, kustutamise, piiramise, ülekandmise, vastuväidete esitamise ja kaitse teatud üksnes automatiseeritud otsuste eest. Neil õigustel on erinevad tingimused ja erandid; üksainus „kustuta kõik“ töövoog ei teeni neid kõiki.

Artikli 12 kohaselt peavad organisatsioonid vastama põhjendamatu viivituseta ja tavaliselt ühe kuu jooksul taotluse saamisest. Vajaduse korral on võimalik pikendamine kuni kahe kuu võrra, arvestades keerukust ja taotluste arvu, kuid isikut tuleb sellest esimese kuu jooksul koos põhjustega teavitada. Taotlused on üldjuhul tasuta; tasud või keeldumine on lubatud ainult määruse tingimustel, näiteks ilmselgelt põhjendamatute või ülemääraste taotluste korral, mida vastutav töötleja peab tõendama.

Looge tegevusrada, mis toimib tugiteenuse, personalitöö, müügi ja privaatsuse kanalites:

1. Registreerige kättesaamine, taotletavad õigused ja tähtaeg.
2. Kinnitage asjakohane vastutav töötleja ja ulatus.
3. Kontrollige isikusamasust proportsionaalselt, kui on põhjendatud kahtlusi.
4. Leidke andmed ja tuvastage asjakohased süsteemid, vastuvõtjad ja volitatud töötlejad.
5. Hinnake kohaldatavaid tingimusi, erandeid ja teiste inimeste õigusi.
6. Valmistage ette vastus või toiming ja vaadake see üle.
7. Edastage turvaliselt ja säilitage asjakohane täitmiskirje.

Ärge nõudke rutiinselt isikut tõendavaid dokumente, kui piisaks vähem sekkuvast kontrollist. Samamoodi ärge väljastage tundlikke kirjeid ainult seetõttu, et keegi teab e-posti aadressi. Kontrollimine ise on isikuandmete töötlemine ja vajab proportsionaalset lähenemist.

Juurdepääsutaotlusele vastamine nõuab tavaliselt enamat kui kategooriate loendit. Artikkel 15 hõlmab töödeldavate isikuandmete koopiat ja täiendavat teavet. Vaadake enne avalikustamist üle kolmandate isikute teave ja õigused; ärge pidage teise isiku nime olemasolu põhjenduseks kõige kinnihoidmiseks.

Kustutamine ei ole absoluutne. Kohaldada võivad seaduslikud säilitamiskohustused ja muud artikli 17 erandid. Kui kustutamine on nõutav, tehke kindlaks, kuidas see jõuab ühendatud teenustesse ja asjakohaste vastuvõtjateni ning kuidas varukoopiast taastamine väldib kustutatud kirjete juhuslikku taastamist. Selgitage kõiki seaduslikke piiranguid täpselt.

Automatiseerimine võib jälgida tähtaegu ja korraldada otsinguid, kuid keegi peab otsustama, kas tulemused on täielikud, kas varjamised on põhjendatud ja kas mõni erand kohaldub. Kiiresti loodud standardvastus ei ole kasulik, kui sellest jääb välja süsteem, mis sisaldab taotletud andmeid.

Üksikasjalikuma töövoo leiate artiklist andmesubjekti juurdepääsutaotlused. Juhtkond peaks perioodiliselt testima esinduslikku taotlust alates vastuvõtmisest kuni turvalise edastamiseni, selle asemel et toetuda ainult avaldatud protseduurile.

Kasutage andmekaitsealaseid mõjuhinnanguid lahenduse proovilepanekuks enne selle kinnitamist

Artikli 35 kohane andmekaitsealane mõjuhinnang on nõutav enne töötlemist, mis tõenäoliselt toob kaasa suure ohu inimeste õigustele ja vabadustele. Määrus nimetab konkreetseid juhtumeid, sealhulgas teatud olulised automatiseeritud hindamised, tundlike andmete ulatuslik töötlemine ja avalike alade süstemaatiline ulatuslik jälgimine. Arvesse tuleb võtta ka asjakohaste järelevalveasutuste loendeid.

Sõeluge kavandatavaid tegevusi varakult. Praktilise soovitusena säilitage põhjendus, kui eelhindamine järeldab, et mõjuhinnang ei ole vajalik, eriti piirjuhtudel. Lühike eelhindamise kirje võimaldab otsuse juurde naasta, kui ulatus, tehnoloogia või eesmärk muutub.

Täielik mõjuhinnang peaks käsitlema nelja omavahel seotud elementi:

• Kavandatava töötlemise ja eesmärkide süstemaatiline kirjeldus, sealhulgas vajaduse korral õigustatud huvid.
• Vajalikkus ja proportsionaalsus nende eesmärkide suhtes.
• Riskid isikute õigustele ja vabadustele.
• Kavandatud meetmed riskide käsitlemiseks ja nõuetele vastavuse tõendamiseks.

Ärge alustage ega lõpetage turvaohtude loendiga. Kõigepealt küsige, kas kavandatavad andmed, sagedus, vastuvõtjad ja otsustusprotsess on vajalikud. Vähem sekkuv lahendus võib riski kõrvaldada tõhusamalt kui täiendav tehniline meede.

Näiteks võib töötajate tootlikkuse projekt teha ettepaneku koguda pidevalt ekraanipilte. Krüpteerimine ja piiratud juurdepääs võivad vähendada avalikustamise riski, jättes samas tõsised küsimused proportsionaalsuse, jälgimise, töötajate ootuste ja vähem sekkuvate meetmete sobivuse kohta. Ärieesmärki tuleb uurida enne, kui turvalahendusel saab olla mõte.

Hinnake riski inimestele, mitte ainult ettevõtte kokkupuudet

Võtke arvesse rahalist kahju, diskrimineerimist, identiteedi väärkasutamist, konfidentsiaalsuse kadu, teenustest väljajätmist ja muid asjakohaseid mõjusid. Stsenaariumil võib olla ettevõttele piiratud rahaline mõju, kuid üksikisikule märkimisväärne mõju.

Dokumenteerige kavandatud leevendusmeetmed, rakendamise omanikud ja jääkhinnang. Küsige andmekaitseametniku nõu, kui andmekaitseametnik on määratud. Vaadake üle, kas muudatused tegevuses või riskis nõuavad hinnangu ajakohastamist.

Artikkel 36 nõuab eelnevat konsulteerimist järelevalveasutusega, kui mõjuhinnang näitab, et töötlemine tooks kaasa suure ohu, kui riski leevendamiseks meetmeid ei võeta. Kui organisatsioon ei suuda seda suurt ohtu piisavalt käsitleda, ei saa ta nõutava konsulteerimise asendada sisemise staatusega „aktsepteeritud“. Juhtkond võib tegevuse ümber kujundada, edasi lükata või sellest loobuda; ta ei saa käsutada teiste inimeste õigusi, nagu oleksid need üksnes äririsk.

Siduge intsidentidele reageerimine GDPR-i teavitamisotsustega

Isikuandmetega seotud rikkumine hõlmab turvanõuete rikkumist, mis põhjustab isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile loata juurdepääsu. See on laiem kui ründaja poolt andmebaasi varastamine. Hindamist võib nõuda valele aadressile saadetud manus, kaotatud kaitsmata seade või intsident, mis mõjutab isikuandmete käideldavust või terviklust.

Artiklite 33 ja 34 kohaselt hindavad vastutavad töötlejad kahte erinevat teavitamiskünnist:

72-tunnine periood algab teadasaamisest, mitte lihtsalt algse intsidendi ajatemplist ega järgmisest tööpäevast. Kui teavitamine toimub hiljem, tuleb sellele lisada viivituse põhjused. Teavet võib esitada etappidena, kui kõike ei ole võimalik ühekorraga esitada ilma täiendava põhjendamatu viivituseta.

Valmistage eskaleerimisahel ette: intsidendi juht, privaatsusnõustaja, vastutava töötleja otsustaja, tehnilised uurijad, kommunikatsioon ja tarnijate kontaktid. Leidke asjakohase asutuse teavitamiskanal enne hädaolukorda. Volitatud töötleja ei tohiks enne vastutava töötleja teavitamist oodata oma lõplikku riskijäreldust.

Intsidendikirje peaks kajastama, mis juhtus, milliseid andmeid ja inimesi see mõjutas, tõenäolisi tagajärgi, ohjeldamist ja kõrvaldamist ning teavitamisotsuseid. Artikli 33 lõige 5 nõuab isikuandmetega seotud rikkumiste dokumenteerimist, sealhulgas nende asjaolusid, mõju ja võetud parandusmeetmeid. Säilitage teavitamata jätmise põhjendus, et otsust saaks hiljem mõista.

Krüpteerimine võib mõjutada riski ja artikli 34 analüüsi, kuid ainult siis, kui selle kaitse on asjakohane ja tõhus. „Teenus kasutab krüpteerimist“ ei ole piisav, kui ründaja pääses ohustatud konto kaudu ligi avatekstile. Artikkel 34 sisaldab ka muid erandeid, näiteks järgnevaid meetmeid, mis tagavad, et suur oht tõenäoliselt enam ei realiseeru; hinnake tegelikke tingimusi, selle asemel et rakendada üldist erandit.

Harjutage üht stsenaariumi, mis hõlmab tarnijat, ja teist, mis hõlmab sisemist avalikustamist. Harjutus peaks testima nii tõendite kogumist ja otsustuspädevust kui ka tehnilist ohjeldamist.

Käsitlege rahvusvahelisi edastamisi eraldi hindamisena

V peatüki edastamisnõuded kehtivad GDPR-i ülejäänud osa kõrval. Edastamismehhanism ei anna artikli 6 õiguslikku alust ning õiguslik alus ei kaota vajadust asjakohase edastamiskorralduse järele.

Kaardistage tegelikud vastuvõtjad ja juurdepääsuteed. Majutus ELi andmekeskuses on asjakohane, kuid ei tõenda iseenesest, et kolmandasse riiki edastamist ei toimu või et kõik privaatsuskohustused on täidetud. Võtke arvesse tugijuurdepääsu, alamtöötlejaid, halduslikku juurdepääsu, edasist avalikustamist ja kaasatud pooli.

GDPR-i edastamisraamistik hõlmab artikli 45 kohaseid kaitse piisavuse otsuseid, artikli 46 kohaseid asjakohaseid kaitsemeetmeid ja artikli 49 kohaseid piiratud erandeid. Kontrollige asjakohast mehhanismi ja selle ulatust otsuse tegemise ajal.

Kui tuginetakse osalevatele organisatsioonidele piiratud kaitse piisavuse korraldusele, kontrollige täpset vastuvõtjat ja hõlmatud tegevust. Kontserni ettevõte või sarnane ärinimi ei ole tingimata hõlmatud vastuvõtja. Säilitage kontrolli tulemus ja kuupäev.

Kui kasutatakse lepingutüüptingimusi, valige tingimused, mis vastavad poolte tegelikele rollidele, ja täitke asjakohased lisad. Hinnake sihtriigi õigust ja tavasid ning seda, kas kaitse tõhusaks muutmiseks on vaja täiendavaid meetmeid. Ainuüksi allkirjastatud leping ei vasta igale edastamisriski küsimusele.

Praktiline edastamistoimik peaks nimetama andmete eksportija ja importija, andmed ja eesmärgid, asukohad ja juurdepääsu, edasised edastamised, valitud mehhanismi, asjakohase hinnangu, tehnilised või korralduslikud meetmed ja läbivaatuse käivitajad. Pakkuja dokumentatsioon võib seda tööd toetada, kuid küsimus, kas pakkujal „on hinnang“, ei ole sama mis selle asjakohaste järelduste hindamine.

Juhtkond peaks teadma, millised teenused sõltuvad konkreetsest mehhanismist ja millised muudatused nõuaksid uut hindamist. See toetab läbimõeldud varuplaani, ilma et eeldataks, et iga tarnija vajab identset lepingulist varulahendust.

Hinnake tehisintellekti kasutamist töötlemisena, mitte lihtsalt uue tööriistana

Tehisintellekti rakendus võib tuua kaasa uusi vastuvõtjaid, tuletada täiendavat isikuteavet, säilitada viipasid või võimaldada uut eesmärki. Need muudatused on olulised ka siis, kui rakendus kasutab organisatsiooni olemasolevat ühekordset sisselogimist ja juurdepääsukontrolle.

Enne isikuandmete tehisintellekti teenuses kasutamise kinnitamist tehke kindlaks:

• Täpne ülesanne ja kas isikuandmed on vajalikud.
• Sisendi, väljundi ja mõjutatud isikute kategooriad.
• Pakkuja roll iga kasutuse puhul, sealhulgas mis tahes treenimise või täiustamise eesmärgid.
• Säilitamine, inimeste juurdepääs, alamtöötlejad ja edastamiskorraldus.
• Lepingulised kohustused ja asjakohased konfiguratsioonisätted.
• Õigsuse, avalikustamise, õiguste käsitlemise ja otsustamise riskid.

Ärge eeldage, et iga mudelipakkuja on üksnes volitatud töötleja. Tema roll sõltub tema tehtavast töötlemisest ja tema määratavatest eesmärkidest. Samamoodi ei muuda artikli 28 kohane leping kavandatud edastamist automaatselt seaduslikuks. Hinnake eesmärki, õiguslikku alust, läbipaistvust, vajalikkust ja kõiki muid kohaldatavaid nõudeid.

Kui ettevõte on ise volitatud töötleja, võib tehisintellekti pakkuja kaasamine luua alamtöötleja suhte. Kontrollige kliendi juhiseid ja kokkulepitud loaandmise protsessi enne kliendiandmete saatmist. Uus lepingumuudatus ei ole alati nõutav, kuid olemasolevate lepinguliste ja seadusjärgsete korralduste järgimine on.

Artikkel 22 käsitleb teatud üksnes automatiseeritud töötlusel põhinevaid otsuseid, millel on õiguslikud või samaväärselt olulised tagajärjed. Nominaalne inimlik ülevaatus ei lahenda probleemi, kui ülevaataja ei saa tulemust sisuliselt hinnata ega muuta. Erilist tähelepanu vajavad värbamise, sobivuse ja finantsotsused.

Tehisintellekti määrus ja GDPR kehtestavad eraldiseisvad kohustused. Tehisintellekti määruse kohane hinnang ei asenda andmekaitsealast mõjuhinnangut ning GDPR-i järgimine ei tõenda tehisintellekti määrusele vastavust. Kohaldamiskuupäevade jaoks kasutage Euroopa Komisjoni ajakohast tehisintellekti määruse ülevaadet, selle asemel et kanda vana käivitusajakava üle praegusesse projekti.

Sisemises privaatsustöös võib tehisintellekt koostada kinnitatud allikate põhjal kirjeldusi, võrrelda dokumente või pakkuda välja küsimusi. Käsitlege selle väljundit mustandina. Usutav õiguslik alus, kahe silma vahele jäänud vastuvõtja või ebaõige säilitamisavaldus võib muuta lihvitud dokumendi sisuliselt valeks.

Automatiseerige koordineerimine, säilitades vastutava ülevaatuse

Kasvavates organisatsioonides koguneb korduvat tööd: töötlemise registri uuendused, õiguste taotluste tähtajad, tarnijadokumendid, hindamistegevused, tõendite aegumine ja läbivaatuse otsused. Automatiseerimine võib sisendeid ja tähtaegu korraldada. See ei tohiks hägustada erinevust teabe kogumise ja põhjendatud järelduseni jõudmise vahel.

Alustage stabiilsest protsessist ja selgest omanikuvastutusest. Ebaselge üleandmise automatiseerimine võib ebaselgust lihtsalt kiiremini levitada. Määratlege, mis avab ülesande, kes selle saab, milliseid tõendeid on vaja, kes tulemuse üle vaatab ja mis töö lõpetatuks muudab.

Tehisintellekti abil koostamisel säilitage kinnitatud allikad ja tuvastage ebakindlus. Ärge laske loodud kokkuvõttel vaikselt asendada tarnijalepingut või hinnangut. Ülevaatajad peaksid suutma eristada esitatud fakte, tuletatud soovitusi ja lahendamata küsimusi.

Rakendage minimaalsete õiguste põhimõtet ka töövoole endale. Õiguste taotluste toimikud, intsidendikirjed ja töötajate hinnangud võivad sisaldada tundlikku teavet. Lai juurdepääs vastavuse tööruumile võib õõnestada just neid piiranguid, mida dokumenteeritakse. Viige isikuandmed tõendites miinimumini ja piirake juurdepääsu materjalile, mis tõesti nõuab isikute tuvastamist.

Kasulikud juhtimisnäitajad on tähtaja ületanud tegevused, puuduvad omanikud, olulise muudatuse järel läbivaatust ootavad kirjed ja aegunud või ebapiisavate tõenditega meetmed. Toored dokumentide arvud on vähem informatiivsed. Mõõtke, kas otsused ja parandustööd saavad tehtud, mitte lihtsalt seda, kas on loodud rohkem teksti.

Näide: turundusintegratsioon, mis kasutab turvameetmeid uuesti

Järgmine näide on illustratiivne. Oletame, et kasvaval B2B-tarkvaraettevõttel on väljakujunenud kliendiandmebaas, tootmisteenust hõlmav ISMS ja kavandatav kampaaniaplatvorm. Turundus soovib saata kasutuselevõtu sõnumeid ja hiljem reklaamida täiendavaid tooteid. Platvorm saaks kontaktandmed, toote kasutussündmused ja vabateksti kujul tugiteenuse märkmed. Mingit tegelikku kliendi tulemust ega Secani võimekust ei eeldata.

1. Eristage kavandatavad eesmärgid

Algne taotlus ütleb: „parandada kliendikaasatust“. Äriomanik kirjutab selle ümber konkreetseteks eesmärkideks: vajalik teenuse kasutuselevõtt, valikulised reklaamsõnumid ja kampaania tulemuslikkuse analüüs.

Privaatsuse läbivaataja hindab iga eesmärgi alust, selle asemel et rakendada kliendilepingut kõigile kolmele. Reklaamsõnumid võivad puudutada ka kohaldatavaid riiklikke elektroonilise otseturunduse reegleid. Ettevõte ei eelda, et ainuüksi GDPR-i õigustatud huvi analüüs lahendab need eraldi nõuded.

Esimene tulemus on eesmärgi ja aluse otsus koos määratud lahendamata küsimustega. Turundus ei saa laiendatud kasutust alustada ainult seetõttu, et integratsioon on läbinud tehnilise turvakontrolli.

2. Vähendage kavandatavat andmevoogu

Tugiteenuse märkmed on isikupärastamiseks mugavad, kuid kinnitatud kasutuselevõtu sõnumi jaoks ebavajalikud. Need võivad sisaldada ka teavet, mille turunduseks ümberkasutamist kliendid ei oodanud. Lahendus eemaldab need.

Tehniline omanik piirab tootesündmused nendega, mis on kinnitatud töövoo jaoks vajalikud, ja jätab välja üksikasjalikud kasutajaajalood, kui piisab koondatud või lihtsamatest sündmuseandmetest. See vähendab kokkupuudet enne uue meetme lisamist.

Töötlemise register kirjeldab nüüd tegelikke välju, mõjutatud kasutajaid, vastuvõtjat, eesmärke ja säilitamise lähenemist. Privaatsusteadet vaadatakse üle kinnitatud tegevuse, mitte algse laia taotluse alusel.

3. Kontrollige tarnija- ja edastamiskorraldust

Hange teeb kindlaks platvormi rolli kampaaniate edastamisel ja kontrollib pakkuja eraldi eesmärke. Meeskond vaatab üle artikli 28 kohase lepingu, alamtöötlejate korralduse, kustutamistingimused, tugijuurdepääsu ja kohaldatava edastamismehhanismi.

ELi majutusvõimalus märgitakse asjakohase faktina, mitte ei käsitleta seda edastamisanalüüsi lõpuna. Kui nõutav teave puudub, jääb ülesanne avatuks ja käivitustingimus näitab, mis tuleb lahendada.

4. Kasutage turvatõendeid ettevaatlikult uuesti

Integratsioon saab uuesti kasutada ettevõtte identiteedimeetmeid ja olemasolevat juurdepääsuhalduse protsessi. Nende meetmete tõendid lingitakse, mitte ei looda uuesti. Uuel kampaaniaplatvormil on aga oma õigused, eksportfailid ja säilitamisseaded.

Turvalisuse omanik hindab konto ülevõtmist, loata hulgieksporti, sündmuste vale vastendamist ja keeldumiseelistuste kadu. Meeskond piirab juurdepääsu, kinnitab nõutavad integratsiooniõigused, testib vastendamist sobivate testandmetega ja kontrollib, kuidas kirjeid kustutatakse või blokeeritakse.

Olemasolev tootmisteenuse taastamisharjutus ei tõenda, et kampaaniaeelistusi saab õigesti taastada. Omanik kontrollib eraldi selle töövoo jaoks asjakohast taastamiskäitumist.

5. Viige hindamine ja kinnitamine lõpule

Privaatsuse läbivaataja teeb tegeliku tegevuse põhjal mõjuhinnangu eelhindamise ja dokumenteerib põhjenduse. Meeskond kontrollib ka, kuidas juurdepääsu-, vastuväite- ja kustutamistaotlused platvormini jõuavad. Eelkõige ei tohi järgmine andmebaasi sünkroonimine turundusele esitatud vastuväidet tühistada.

Juhtkond vaatab üle kokkuvõtliku otsusepaketi: kinnitatud eesmärgid, eemaldatud andmed, tarnija- ja edastamisjäreldused, kaitsemeetmed, avatud tingimused, õiguste käsitlemine ja nimetatud omanikud. Iga lahendamata kohustuslik nõue blokeerib mõjutatud töötlemise, selle asemel et see aktsepteeritud äriliseks erandiks muuta.

6. Säilitage järgmine käivitaja

Kinnitus on seotud hinnatud konfiguratsiooniga. Käitumispõhise skoorimise lisamine, tugiteenuse märkmete üleslaadimine, pakkuja treenimistingimuste muutmine või uue vastuvõtja lisamine käivitab läbivaatuse. Meeskond saab muutumata turvatõendeid uuesti kasutada, hinnates samal ajal uusi privaatsusküsimusi.

See on keskne eristus: ühised kaitsemeetmed võivad jääda kehtima, samal ajal kui eesmärk, vastuvõtja või mõju inimestele oluliselt muutub.

Viige lähenemisviis ellu keskendunud esimese käsitlusalaga

Valige üks töötlemistoiming, millel on nähtav äriomanik ja hallatavad sõltuvused. Klienditugi, töötajate töölevõtmine või esinduslik tootetöövoog võivad paljastada puudujäägid, ilma et oleks vaja kõigepealt kogu organisatsiooni ümber kujundada.

Praktilise soovitusena alustage nelja tulemusega:

• Kokkulepitud töötlemise kirjeldus ja rollihinnang.
• Privaatsusotsuste loend, sealhulgas alus, teavitus, säilitamine, õigused ja mõjuhinnangu eelhindamine.
• Stsenaariumipõhine kaitsemeetmete hinnang, mis on seotud olemasolevate turvatõenditega.
• Kinnitusdokument koos omanike, avatud tegevuste ja muudatuste käivitajatega.

Secanis saavad meeskonnad alustada keskendunud käsitlusalaga, modelleerida toetavaid rakendusi, süsteeme, teenuseid ja pakkujaid ning siduda tõendid nõuete, meetmete ja otsustega. Puuduvad tõendid ja lahendamata läbivaatusküsimused võivad muutuda määratud ülesanneteks. Tehisintellekti abil tehtud soovitused jäävad mustandiks, millel on allikate jälgitavus ja selgesõnaline inimlik kinnitus. See annab turvalisuse ja privaatsuse läbivaatajatele ühise tõendikonteksti, hoides samal ajal nende eraldiseisvad järeldused nähtavana; see ei asenda töötlemise registreid, õiguste täitmist ega õiguslikku analüüsi.

Laiendage alles pärast seda, kui esimest töövoogu on proovitud. Testige seda tarnija vahetuse, õiguste taotluse ja asjakohase intsidendistsenaariumi vastu. Kui meeskond ei suuda tuvastada omanikku, leida tõendeid ega otsust selgitada, parandage tegevusprotsess enne uute tegevuste lisamist.

Juhtkonnapoolseks läbivaatuseks esitage kolm küsimust: kas register vastab praegusele töötlemisele, kas kaitsemeetmed käsitlevad tagajärgi inimestele ja kas oluline muudatus avab otsuse usaldusväärselt uuesti? Need küsimused annavad praktilise järgmise sammu turvatagatise sidumiseks GDPR-i kohase vastutusega.

Küsimused, mille juhtkond peaks selgesõnaliselt lahendama

Kas tegevjuht võib kinnitada GDPR-i erandi?

Juhtkond võib valida seaduslike võimaluste vahel ja eraldada ressursse riski käsitlemiseks. Ta ei saa loobuda seadusjärgsetest nõuetest, lubada töötlemist ilma kohaldatava aluseta ega asendada nõutavat eelnevat konsulteerimist sisemise kinnitusega.

Kas iga töötlemise muudatus vajab uut andmekaitsealast mõjuhinnangut?

Ei. Hinnake muudatust suure ohu künnise suhtes ja vaadake olemasolevad hinnangud üle, kui tegevus või risk muutub. Dokumenteeritud eelhindamise otsus on kasulikum kui automaatselt täieliku mõjuhinnangu koostamine või eeldus, et vana tulemus kehtib alati.

Mida tuleks piiratud ressursside korral kõigepealt üle vaadata?

Seadke esikohale töötlemine, millel on inimestele potentsiaalselt tõsised tagajärjed, lahendamata seaduslikkuse või lepingulised küsimused ning tegevustähtajad, nagu õiguste taotlused ja rikkumisele reageerimine. Kasutage tõendite puudujääke uurimise suunamiseks, kuid ärge eeldage, et kõige rohkemate puuduvate dokumentidega tegevus kujutab tingimata endast suurimat riski.

Milline asutus jõustab GDPR-i ja mida võivad rikkumised maksta?

Tehke kindlaks töötlemise suhtes pädev järelevalveasutus. Nõuetele vastava piiriülese töötlemise korral sõltub juhtiva järelevalveasutuse mehhanism üldjuhul vastutava või volitatud töötleja peamisest või ainsast ELi tegevuskohast, kaasates teisi asjaomaseid asutusi. Artikli 27 kohane esindaja ei loo ELi tegevuskohta ega juurdepääsu sellele mehhanismile.

Artikkel 83 näeb ette kaks peamist haldustrahvide ülemmäära astet: kuni 10 miljonit eurot või 2% ettevõtja eelmise majandusaasta ülemaailmsest aastasest kogukäibest ning kuni 20 miljonit eurot või 4%, olenevalt sellest, kumb summa on kummaski astmes suurem. Kohaldatav aste sõltub rikkumisest; need on ülemmäärad, mitte automaatsed karistused. Asutused võtavad arvesse asjaolusid ning võivad ka nõuda parandusmeetmeid või piirata töötlemist. Artikkel 82 näeb eraldi ette hüvitise, kui rikkumine põhjustab varalist või mittevaralist kahju.