GDPR és biztonság: kapcsolja a védelmi intézkedéseket az adatkezeléshez

Egy jól működő információbiztonsági irányítási rendszer hasznos folyamatokat kínál a GDPR-hoz: hozzáférés-kezelést, incidenskezelést, beszállítóértékelést és ellenálló képességet. Az adatvédelmi munka ugyanakkor azt is kérdezi, miért jogszerű, arányos és átlátható az adatkezelés. Ezek a kérdések ugyanabban az üzleti tevékenységben találkoznak, de eltérő döntéseket igényelnek.

A vezetés feladata, hogy összekapcsolja őket anélkül, hogy az egyiket a másik helyettesítőjének tekintené. Egy biztonságos ügyféladatbázis is tartalmazhat olyan információt, amelyet a vállalatnak nem kellett volna gyűjtenie. Egy érvényes ügyfélszerződés nem bizonyítja, hogy mindenkinek, aki hozzáfér az adatbázishoz, szüksége is van erre a hozzáférésre. Egy ISO 27001 tanúsítvány egyik kérdést sem oldja meg.

A gyakorlati kiindulópont ezért az adatkezelés, nem pedig egy kontrollkatalógus. Azonosítsa, mit kíván az üzlet a személyes adatokkal tenni, értékelje, hogy ez a tevékenység megengedett-e, majd válassza ki a védelmi intézkedéseket a hibák következményeihez igazodva. Őrizze meg az indoklást, a bizonyítékokat, a felelős gazdát és azt a következő eseményt, amelynek felülvizsgálatot kell kiváltania.

Határozza meg, mely adatkezelések és felelősségek tartoznak a hatókörbe

Az általános adatvédelmi rendelet a személyes adatok kezelését szabályozza. Az adatkezelés magában foglalja a gyűjtést, a tárolást, a betekintést, a közlést, a módosítást és a törlést. Személyes adat minden olyan információ, amely azonosított vagy azonosítható természetes személyre vonatkozik; nem korlátozódik a nevekre vagy a nyilvánvalóan érzékeny nyilvántartásokra.

Az üzleti e-mail-címek, a munkavállalói azonosítók, az eszközazonosítók, a helymeghatározási előzmények és az ügyfélszolgálati beszélgetések egyaránt személyes adatnak minősülhetnek. Hogy egy adott azonosító ennek minősül-e, az a kontextustól és az azonosításhoz észszerűen valószínűsíthetően igénybe vehető eszközöktől függ. Ha a neveket hivatkozási számokra cseréljük, rendszerint álnevesített, nem pedig anonim adatot kapunk, amennyiben az újraazonosítás továbbra is lehetséges. Az álnevesített személyes adatok továbbra is a GDPR hatálya alá tartoznak.

Ellenőrizze a területi hatályt, mielőtt működési modellt választ

A 3. cikk kiterjed az uniós tevékenységi hely tevékenységeivel összefüggésben végzett adatkezelésre, még akkor is, ha maga az adatkezelés máshol történik. Kiterjedhet egy Unión kívüli szervezetre is, ha adatkezelése az Unióban tartózkodó személyeknek történő áru- vagy szolgáltatásnyújtáshoz, illetve az ottani viselkedésük megfigyeléséhez kapcsolódik. Önmagában a weboldal elérhetősége nem dönti el a célzás kérdését; a tényleges kínálatot és megfigyelési tevékenységet kell értékelni.

Ha a 3. cikk (2) bekezdése alkalmazandó, a 27. cikk előírhatja uniós képviselő kijelölését. A kivételek szűkek, és nem pusztán a vállalat méretétől függenek. Az alkalmi adatkezelésre vonatkozó kivétel az érzékeny adatokra és a kockázatra vonatkozó meghatározott feltételek teljesülését is megköveteli. A képviselő nem helyettesíti az adatkezelőt, az adatvédelmi tisztviselőt vagy az elszámoltatható vezetést.

A GDPR 2016. május 24-én lépett hatályba, és 2018. május 25. óta alkalmazandó. A jelenlegi döntéseknél különítse el a hatályos jogot a javasolt egyszerűsítésektől. Egy lehetséges mentességről szóló sajtóközlemény nem ad alapot egy meglévő megfelelési folyamat leállítására.

A szerepeket a tevékenység, ne a vállalati címke alapján határozza meg

Az adatkezelő meghatározza az adatkezelés céljait és eszközeit. Az adatfeldolgozó az adatkezelő nevében kezel személyes adatokat. A közös adatkezelők közösen határozzák meg a célokat és az eszközöket, és a 26. cikk szerinti megállapodásra van szükségük, amely tükrözi az egyes felelősségeiket.

Egy vállalat több szerepet is betölthet. Egy szoftverszolgáltató adatfeldolgozó lehet az ügyfelek által feltöltött adatok tekintetében, és adatkezelő a saját bérszámfejtése, fiókadminisztrációja és egyes biztonsági műveletei tekintetében. Egy beszállító szerződésben használt megnevezése releváns, de nem írhatja felül azt, amit a felek ténylegesen tesznek.

Az első kézzelfogható eredmény egy rövid hatóköri döntés legyen: az érintett tevékenységek, szervezeti egységek, adatkezelői vagy adatfeldolgozói szerepek, piacok és a nyitott kérdések. Jelöljön ki felelőst a bizonytalanságok tisztázására, mielőtt a kapcsolódó adatkezelés megkezdődik vagy kibővül.

Válassza el az üzleti célt a jogalaptól

Az 5. és a 6. cikk adja a szokásos személyesadat-kezelés alapját. A biztonság ennek az alapnak az egyik része, nem pedig a megkerülésének útja.

Az 5. cikk elveit általában hét pontban szokás bemutatni: jogszerűség, tisztességes eljárás és átláthatóság; célhoz kötöttség; adattakarékosság; pontosság; korlátozott tárolhatóság; integritás és bizalmas jelleg; valamint elszámoltathatóság. Az elszámoltathatóság megköveteli, hogy az adatkezelő feleljen a megfelelésért, és képes legyen azt igazolni. Ehhez nem kell egy adott szoftvertermék, de védhető, megfelelő bizonyítékokkal alátámasztott magyarázat igen.

Fordítson le minden elvet egy üzleti kérdésre:

Minden célhoz válasszon jogalapot

A 6. cikk hat jogalapot határoz meg. A feltételeik fontosabbak, mint a megnevezésük:

• Hozzájárulás: önkéntes, konkrét, megfelelő tájékoztatáson alapuló és egyértelmű akaratnyilvánítás, amely visszavonható.
• Szerződés: az érintettel kötött szerződés teljesítéséhez vagy a kérésére a szerződéskötést megelőző lépések megtételéhez szükséges adatkezelés.
• Jogi kötelezettség: az alkalmazandó jogi kötelezettség teljesítéséhez szükséges adatkezelés.
• Létfontosságú érdek: valakinek a létfontosságú érdekei védelméhez szükséges adatkezelés.
• Közfeladat: közérdekű feladat végrehajtásához vagy közhatalmi jogosítvány gyakorlásához szükséges adatkezelés, a megkövetelt jogi alappal.
• Jogos érdek: jogos érdek érvényesítéséhez szükséges adatkezelés, feltéve, hogy ezen érdekeket mérlegelik az érintett érdekeivel, jogaival és szabadságaival szemben.

Ne soroljon fel több jogalapot egymással felcserélhető biztosítékként. Határozza meg azt a jogalapot, amely ténylegesen alátámasztja az egyes célokat, és kommunikálja pontosan. Ha egy kikötést felvesz egy ügyfélszerződésbe, attól az adatkezelés nem válik automatikusan szükségessé a szerződés teljesítéséhez. Hasonlóképpen a jogos érdek értékelést igényel; nem általános engedély a rendelkezésre álló adatok felhasználására.

Gyakorlati ajánlásként dokumentáljon érdekmérlegelést, amely kitér az érvényesített érdekre, a szükségességre, az érintettekre gyakorolt hatásra, az észszerű elvárásaikra és a garanciákra. Vegye fontolóra a kevésbé beavatkozó alternatívákat. Az elemzés legyen arányos a tevékenységgel, de elég konkrét ahhoz, hogy a projekten kívüli személy is megértse.

A hozzájárulás nem minden esetben a biztonságosabb választás. Ténylegesen önkéntesnek kell lennie ott, ahol a körülmények választást kívánnak, és a visszavonásnak a gyakorlatban is működnie kell. A munkaviszonyok különösen felvetik azt a kérdést, hogy a beleegyezés valóban önkéntes-e. A visszavonás a jövőre nézve megszünteti az erre a hozzájárulásra alapozott adatkezelést; nem törli automatikusan azokat a nyilvántartásokat, amelyekre külön jogszerű megőrzési kötelezettség vonatkozik. Ne állítsa át visszamenőleg ugyanazt az adatkezelést más jogalapra pusztán azért, mert a hozzájárulást visszavonták. Minden különálló adatkezelésnek, például a jogszabály által előírt megőrzésnek, saját alkalmazandó jogalapra és megfelelő átláthatóságra van szüksége.

A különleges kategóriájú adatokhoz, például az egészségügyi információkhoz, a 6. cikk szerinti jogalap mellett a 9. cikk szerinti feltétel is szükséges. A büntetőjogi felelősség megállapítására vonatkozó határozatokra és bűncselekményekre vonatkozó adatokra a 10. cikk külön követelményei vonatkoznak. Egy vállalat egyik kategóriát sem hagyhatja jóvá pusztán azért, mert a szokásos ügyféladat-kezelést már értékelték.

Építsen olyan adatkezelési nyilvántartást, amely döntéseket tud vezérelni

A 30. cikk szerinti adatkezelési tevékenységek nyilvántartása azért hasznos, mert összekapcsolja a jogi elemzést az operatív valósággal. Az adatkezelő nyilvántartása tartalmazza a célokat, az érintettek és az adatok kategóriáit, a címzetteket, a továbbításokat, lehetőség szerint a törlésre előirányzott határidőket, valamint lehetőség szerint a biztonsági intézkedések általános leírását. Az adatfeldolgozókra eltérő nyilvántartási kötelezettség vonatkozik, amely az adatkezelők nevében végzett adatkezelésre terjed ki.

A 250 főnél kevesebb munkavállalót foglalkoztatókra vonatkozó mentesség feltételhez kötött. Nem terjed ki arra az adatkezelésre, amely nem alkalmi jellegű, valószínűsíthetően a meghatározott kockázattal jár, vagy a meghatározott érzékeny kategóriákat érinti. Egy folyamatos munkavállalói vagy ügyféladat-kezelést végző kisvállalkozás ne feltételezze, hogy a létszám mentesíti a nyilvántartási kötelezettség alól.

Szervezőegységként az adatkezelési tevékenységeket használja. A „felhőinfrastruktúra” rendszerint túl tág ahhoz, hogy megmagyarázza, miért kezelnek adatokat. Az „ügyfélszolgálati megkeresések kezelése” hasznosabb, mert van célja, azonosítható érintettjei, adatkategóriái, címzettjei, megőrzési szabályai és támogató rendszerei.

Egy gyakorlati munkanyilvántartás túlmehet a jogszabályban előírt mezőkön:

• Üzleti gazda és adatvédelmi felülvizsgáló.
• Cél és a vonatkozó jogalap.
• Adatforrások, kategóriák és érintett csoportok.
• Adatkezelői, adatfeldolgozói vagy közös adatkezelői viszonyok.
• Alkalmazások, exportok, naplók és a további címzettek.
• Megőrzési szabályok és a törlés végrehajtásának módja.
• Hivatkozások a tájékoztatóra, a jogok kezelésére, a beszállítókra és a továbbításokra.
• A DPIA-előszűrés eredménye és a kapcsolódó védelmi intézkedések.
• Jóváhagyás dátuma, nyitott intézkedések és felülvizsgálati kiváltó események.

A további mezők koordinációs ajánlást jelentenek, nem azt állítják, hogy a 30. cikk kifejezetten minden elemet előír. Értéküket az adja, hogy a nyilvántartást használhatóvá teszik egy bevezetés, egy hozzáférési kérelem, egy beszállítóváltás vagy egy incidens során.

Egyeztesse a nyilvántartást azokkal a rendszerekkel, amelyeket az emberek ténylegesen használnak

Egy éves kérdőív aligha tár fel minden táblázatexportot, próbaalkalmazást vagy csapatszintű MI-előfizetést. Vesse össze a nyilvántartást a beszerzési információkkal, a jóváhagyott alkalmazások listáival, a rendszerleltárakkal és a folyamatgazdákkal készített interjúkkal. Tekintse át a megosztott meghajtókat és a manuális átadásokat, ha azok érdemben befolyásolják a tevékenységet.

Ne tévessze össze az eszközleltárt az adatkezelési nyilvántartással. Az eszközleltár a rendszereket és a függőségeket írja le; az adatkezelési nyilvántartás a személyes adatok felhasználását. Kapcsolja össze őket, hogy egy alkalmazás több célt is támogathasson anélkül, hogy ezek a célok egyetlen elmosódott leírásba olvadnának.

További munkafolyamat-kontextusért lásd az adatfeltárásról és adatvédelemről szóló cikket. Az adatfeltárásnak az eltérések felülvizsgálható listáját kell eredményeznie, nem pedig azt a feltételezést, hogy minden észlelt mezőt helyesen osztályoztak vagy jogilag értékeltek.

Fordítsa le a 32. cikket valós következményekre szabott védelmi intézkedésekre

A GDPR 32. cikke előírja, hogy az adatkezelők és az adatfeldolgozók a kockázattal arányos technikai és szervezési intézkedéseket hajtsanak végre. Az értékelés figyelembe veszi a tudomány és technológia állását, a megvalósítás költségeit, az adatkezelés jellegét, hatókörét, körülményeit és céljait, valamint az érintettek jogaira és szabadságaira jelentett kockázatok valószínűségét és súlyosságát.

A releváns következmények közé tartozik a véletlen vagy jogellenes megsemmisülés, elvesztés, megváltoztatás, jogosulatlan közlés és jogosulatlan hozzáférés. Ez a bizalmas jelleg mellett a rendelkezésre állást és az integritást is fontossá teszi. Egy szolgáltatáshoz való hozzáférés elvesztése akkor is kárt okozhat az embereknek, ha semmilyen adatot nem loptak el.

Az az általános kijelentés, hogy „iparági szabványos biztonság érvényes”, nem elég annak megmagyarázására, miért illeszkednek a védelmi intézkedések egy adott tevékenységhez. Induljon ki forgatókönyvekből: kit érinthet, mi történhet, mennyire valószínű, és milyen súlyos lehet a hatás. Ezután kapcsoljon minden fontos forgatókönyvhöz megelőző, észlelő és helyreállító intézkedéseket.

A hozzáférési korlátozások kövessék a célt

Egy ügyfélszolgálati tevékenységnél kérdezze meg, mely munkatársaknak mely ügyféladatokra van szükségük, kell-e az érzékeny mellékleteket külön korlátozni, és mikor szűnjön meg az ideiglenes hozzáférés. Vegye figyelembe a kiemelt jogosultságú adminisztrációt, a beszállítói támogatási hozzáférést, a tömeges exportokat, a megosztott fiókokat és a vészhelyzeti hozzáférést.

Hasznos bizonyítékok a szerepkör-definíciók, a hozzáférési jóváhagyások, a belépési, áthelyezési és kilépési nyilvántartások, a kiemelt hozzáférésre vonatkozó megoldások és az elvégzett hozzáférés-felülvizsgálatok. Egy hozzáférési szabályzat a szándékolt szabályt igazolja. Egy friss felülvizsgálat, amely a szükségtelen jogosultságok eltávolítását mutatja, azt bizonyítja, hogy a szabályt működtetik is.

A vezetésnek meg kell kérdeznie, hogy a szervezet meg tudja-e különböztetni a jogosult hozzáférést a megfelelő felhasználástól. Egy munkavállalónak technikailag érvényes fiókja lehet, mégis jogosulatlan célra használhatja az adatokat. A képzés, a felügyelet, a hozzáférések kialakítása és a vizsgálati folyamatok egyaránt számítanak.

A titkosítás telepítési döntést igényel

A 32. cikk a titkosítást és az álnevesítést a mérlegelendő intézkedések között említi; nem ír elő általános, minden helyzetre kiterjedő titkosítási kötelezettséget. Ha a titkosítást választják, határozza meg, mit véd és mit nem.

Az átvitel közbeni titkosítás a végpontok között mozgó adatokat védi, ha a protokollok és a végpont-hitelesítés megfelelően vannak beállítva. A tárolt adatok titkosítása bizonyos fenyegetési forgatókönyvek mellett védi a tárolt adatokat. Egyik sem akadályozza meg automatikusan, hogy egy jogosult alkalmazás vagy adminisztrátor lássa a nyílt szöveget.

Tekintse át, ki rendelkezik a kulcsok felett, hogyan van elkülönítve a hozzájuk való hozzáférés, és hogyan generálják, cserélik, vonják vissza, mentik és állítják helyre a kulcsokat. A szolgáltató által kezelt titkosítás egyes kockázatokra megfelelő lehet, másokat viszont megoldatlanul hagyhat. Az a titkosítás, amelynek kulcsai ugyanannak a kompromittált szereplőnek is elérhetők, nem feltétlenül kezeli az értékelt forgatókönyvet.

A vezetői döntés nem az, hogy melyik algoritmust valósítsa meg személyesen. Hanem az, hogy a kialakítás kezeli-e a releváns kockázatot, és a műszaki felelős alá tudja-e támasztani ezt a következtetést. A kontrollszintű különbségekért lásd a titkosításról és kulcskezelésről szóló cikket.

Az ellenálló képességet bizonyítani kell, nem feltételezni

A 32. cikk a folyamatos bizalmas jelleggel, integritással, rendelkezésre állással és ellenálló képességgel foglalkozik, valamint azzal a képességgel, hogy incidens után kellő időben helyre lehessen állítani a rendelkezésre állást és a hozzáférést. Egy sikeres mentési feladat nem bizonyítja, hogy az üzlet használható szolgáltatást tud helyreállítani.

A helyreállítási elvárásokat az adatkezelés és a megszakítás következményei alapján határozza meg. Tesztelje a visszaállítást, a függőségeket, a hitelesítő adatokat és a személyes adatok kezelését a helyreállított környezetekben. Őrizze meg a bizonyítékot arról, mit állítottak vissza, mennyi ideig tartott, mi hibázott és mit javítottak. A megőrzési és törlési szabályoknak a mentések működését is figyelembe kell venniük.

A hatékonyságot releváns bizonyítékokkal tesztelje

A 32. cikk tartalmazza az intézkedések rendszeres tesztelésére, felmérésére és értékelésére szolgáló eljárást. A megfelelő módszer a kontrolltól függ: hozzáférés-felülvizsgálatok, visszaállítási gyakorlatok, konfigurációellenőrzések, sérülékenységvizsgálat, beszállítói felülvizsgálat és incidensgyakorlatok egyaránt hozzájárulhatnak.

Egy behatolásteszt hasznos lehet, de nem helyettesíti általánosan ezeket a tevékenységeket, és nem általános GDPR-követelmény. Rögzítse a tesztelt hatókört és a korlátokat. Egy alkalmazás tesztje nem bizonyítja, hogy egy újonnan bevezetett marketingexport, beszállítói kapcsolat vagy helyreállítási folyamat megfelelően kontrollált.

Minden lényeges védelmi intézkedéshez tartson nyilván felelőst, megvalósítási leírást, releváns bizonyítékot, értékelési dátumot és a következő felülvizsgálati kiváltó eseményt. Ez gyakorlati bizonyítékstruktúra, nem a 32. cikk által előírt sablon.

Használja újra az IBIR-t anélkül, hogy összemosná a biztonsági és az adatvédelmi következtetéseket

Az ISO/IEC 27001 egy meghatározott hatókörű információbiztonsági irányítási rendszerre vonatkozik. Kockázatértékelése, kockázatkezelése, operatív folyamatai, belső auditja és vezetőségi átvizsgálása támogathatja a GDPR szerinti védelmi intézkedések irányítását.

Az átfedés értékes. A hozzáférés-kezelési bizonyítékokat, a beszállítói értékeléseket, az incidensgyakorlatokat és a helyreállítási teszteket gyakran nem kell újra előállítani az adatvédelem számára. Relevanciájukat azonban az adatkezelési tevékenységhez és az aktuális hatókörhöz mérten ellenőrizni kell.

A független tanúsító szervezet által kiadott tanúsítás az IBIR megjelölt hatókörére vonatkozik. Nem terjed ki automatikusan minden termékre, jogi egységre, beszállítóra vagy adatkezelési tevékenységre. Az alkalmazhatósági nyilatkozat a kontrollok alkalmazhatóságára és kezelésére vonatkozó döntéseket rögzíti; nem nyilatkozat arról, hogy minden GDPR-kötelezettség teljesült.

Az ISO 27001 önmagában nem is általános, jogszabályi incidensbejelentési rendszer. A GDPR szerinti bejelentési kötelezettségeket külön kell értékelni. Fordítva: a GDPR-nak való megfelelés nem bizonyítja, hogy a szervezet az ISO 27001 tanúsításhoz szükséges minden követelményt megvalósított.

A GDPR a 42. és a 43. cikkben tanúsítási mechanizmusokat is előír. Az ilyen tanúsítás nem csökkenti az adatkezelő vagy az adatfeldolgozó felelősségét, és nem egyenértékű egy ISO 27001 tanúsítvánnyal vagy a jogszabályi megfelelés általános kinyilvánításával.

A vezetői kérdés tehát a bizonyítékok újrafelhasználása külön következtetésekkel: mit igazol az adott elem, mely rendszerekre és időszakra, és mely adatvédelmi kérdések maradnak megválaszolatlanul?

Adjon a vezetésnek, a biztonságnak és az adatvédelemnek elkülönült felelősségeket

Egy működőképes működési modellhez több kell, mint egy közös megfelelési postafiók. Az üzleti gazdáknak le kell írniuk és meg kell indokolniuk az adatkezelésüket; a biztonsági területnek értékelnie és megvalósítania kell a releváns védelmi intézkedéseket; az adatvédelmi szakembereknek tanácsot kell adniuk a jogi követelményekről, az érintetti jogokról, a tájékoztatókról és az értékelésekről. A vezetésnek erőforrásokat kell biztosítania, és a jog keretein belül döntenie kell a lényeges kérdésekben.

Adatvédelmi tisztviselő nem minden vállalatnál kötelező automatikusan. A 37. cikk kiterjed a közhatalmi szervekre és egyéb, közfeladatot ellátó szervekre, az igazságszolgáltatási kivétel figyelembevételével, valamint azokra a szervezetekre, amelyek fő tevékenységei megfelelnek a nagy számú érintett megfigyelésére vagy az érzékeny adatokra vonatkozó meghatározott feltételeknek. A nemzeti jog további követelményeket írhat elő, ezért ellenőrizze az érintett joghatóságokat.

Ha kijelölték, az adatvédelmi tisztviselő független tanácsadási és ellenőrzési feladatokat lát el, megfelelően és kellő időben be kell vonni, és közvetlenül a legfelsőbb vezetésnek tartozik beszámolással. Az adatvédelmi tisztviselőt nem lehet arra utasítani, hogy egy előre kívánt következtetésre jusson, és nem lehet rá olyan összeférhetetlen feladatokat bízni, amelyek az adatkezelés céljait és eszközeit határozzák meg.

Ne tegye az adatvédelmi tisztviselőt minden kontroll gazdájává, minden üzleti cél jóváhagyójává és egyben ugyanezen döntések auditorává. Ez összeegyeztethetetlen felelősségeket halmoz egy kézbe, és azt a benyomást keltheti az operatív csapatokban, hogy az elszámoltathatóság lekerült róluk.

Egy hasznos jóváhagyási nyilvántartás megnevezi a javaslatot tevő gazdát, a szakértői tanácsot, a figyelembe vett bizonyítékokat, a döntéshozót, a feltételeket és a nyitott intézkedéseket. Ha a vezetés a javasolttól eltérő jogszerű megközelítést választ, rögzítse az indoklást. A vezetés egy hiányzó jogalapot vagy kötelező szerződéses rendelkezést nem tehet megfelelővé azzal, hogy „elfogadott kockázatnak” nevezi.

A CISO és az adatvédelmi tisztviselő felelősségeiről szóló útmutató részletesebben ismerteti a felelősségi határokat. A vezérigazgató számára a kulcsfontosságú felügyeleti kérdés az, hogy a nézeteltérések eljutnak-e valakihez, aki meg tudja változtatni az adatkezelést, finanszírozni tudja a védelmi intézkedést, vagy le tudja állítani a javaslatot, nem csupán jóváhagyni egy dokumentumot.

Értékelje a beszállítókat szerep, szerződés és megvalósítás alapján

A beszállítók biztonsági felülvizsgálata és GDPR szerinti felülvizsgálata átfedi egymást, de nem azonos. Először állapítsa meg, hogy a beszállító adatfeldolgozó, önálló adatkezelő, közös adatkezelő, vagy a különböző szolgáltatások esetében eltérő szerepeket tölt-e be.

A 28. cikk szerint az adatkezelők csak olyan adatfeldolgozókat vehetnek igénybe, amelyek elegendő garanciát nyújtanak a megfelelő technikai és szervezési intézkedésekre. Az adatfeldolgozói viszonyokhoz kötelező erejű szerződés vagy más, a feltételeknek megfelelő jogi aktus szükséges, amely lefedi az előírt tartalmat. Egy titoktartási kikötés önmagában nem teljesíti ezt a követelményt.

A 28. cikk követelményei a következőket foglalják magukban:

• Az adatkezelés tárgya, időtartama, jellege és célja.
• A személyes adatok típusai és az érintettek kategóriái.
• Az adatkezelő kötelezettségei és jogai.
• Adatkezelés dokumentált utasítások alapján, beleértve a vonatkozó továbbítási rendelkezéseket.
• Titoktartás és a 32. cikk szerinti biztonsági intézkedések.
• További adatfeldolgozók igénybevételének feltételei.
• Segítségnyújtás az érintetti kérelmek teljesítésében és meghatározott megfelelési kötelezettségek teljesítésében.
• Az adatok visszaszolgáltatása vagy törlése a szolgáltatások végén, az alkalmazandó jogi követelmények figyelembevételével.
• Tájékoztatási és auditmegoldások a megfelelés igazolására.

A megállapodás mellett tekintse át a tényleges szolgáltatási feltételeket is. Egy beszállító megígérheti a törlést, miközben egyes naplókat külön, adatkezelői célra megőriz. Egy vállalati előfizetés korlátozhatja a tanításra való felhasználást, míg egy próbafiók nem. Egy adatfeldolgozó több, eltérő helyszínű és támogatási rendszerű további adatfeldolgozót is igénybe vehet.

A további adatfeldolgozók igénybevételére adott felhatalmazás a 28. cikk szerint lehet egyedi vagy általános. Általános írásos felhatalmazás esetén az adatfeldolgozónak tájékoztatnia kell az adatkezelőt a tervezett bővítésekről vagy cserékről, lehetőséget adva a tiltakozásra. Az operatív kérdés az, hogy ki kapja meg ezeket az értesítéseket, és ki értékeli őket, mielőtt eltűnnének egy felügyelet nélküli postafiókban.

Tartsa külön a szerződés felülvizsgálatát a továbbítás értékelésétől. Egy 28. cikk szerinti megállapodás önmagában nem biztosít V. fejezet szerinti továbbítási mechanizmust. Az adatfeldolgozási megállapodás aláírása az adatkezelő tevékenységének jogalapját sem teremti meg.

A nem tárgyalható feltételeket üzleti döntésként kezelje

A kisebb ügyfelek tárgyalási ereje korlátozott lehet. Emiatt a korai értékelés még fontosabb, nem pedig elhagyható. Dokumentálja a hiányosságot, kérdezzen rá a rendelkezésre álló alternatívákra, és mérlegelje a konfiguráció módosítását, az adatok csökkentését, más szolgáltatás választását vagy a projekt elhalasztását.

Ha egy kötelező követelmény továbbra sem teljesül, a vezetői jóváhagyás ezt nem orvosolhatja. Ha a kérdés eltérő maradványkockázatú jogszerű lehetőségek közötti választás, a vezetés dokumentált tanácsadás alapján dönthet. A beszerzésnek meg kell különböztetnie ezeket a helyzeteket, ahelyett hogy minden aggályt egyetlen kivételkategóriába gyűjtene.

Egy beszállítói felülvizsgálatnak döntéssel, feltételekkel, bizonyítékhivatkozásokkal és újbóli felülvizsgálatot kiváltó eseményekkel kell zárulnia, nem csupán egy kitöltött kérdőívvel.

Alakítsa ki a jogok kezelését az első nehéz kérelem előtt

A 15–22. cikk olyan jogokat biztosít, mint a hozzáférés, a helyesbítés, a törlés, a korlátozás, az adathordozhatóság, a tiltakozás és a védelem bizonyos, kizárólag automatizált döntésekkel szemben. Ezekre a jogokra eltérő feltételek és kivételek vonatkoznak; egyetlen „mindent törölni” munkafolyamat nem szolgálja ki mindegyiket.

A 12. cikk szerint a szervezeteknek indokolatlan késedelem nélkül, de főszabályként a kérelem beérkezésétől számított egy hónapon belül kell válaszolniuk. Szükség esetén, a kérelem összetettségét és a kérelmek számát figyelembe véve, ez a határidő további legfeljebb két hónappal meghosszabbítható, de az érintettet az első hónapon belül, az okok megjelölésével tájékoztatni kell. A kérelmek főszabályként díjmentesek; díj felszámítása vagy a kérelem elutasítása a rendelet feltételeire korlátozódik, például a nyilvánvalóan megalapozatlan vagy túlzó kérelmekre, amit az adatkezelőnek kell igazolnia.

Építsen olyan operatív útvonalat, amely az ügyfélszolgálati, HR-, értékesítési és adatvédelmi csatornákon egyaránt működik:

1. Rögzítse a beérkezést, a kért jogokat és a határidőt.
2. Erősítse meg az érintett adatkezelőt és a hatókört.
3. Észszerű kétség esetén arányosan ellenőrizze a személyazonosságot.
4. Keresse meg az adatokat, és azonosítsa a releváns rendszereket, címzetteket és adatfeldolgozókat.
5. Értékelje az alkalmazandó feltételeket, kivételeket és mások jogait.
6. Készítse elő a választ vagy az intézkedést, és vizsgálja felül.
7. Biztonságosan juttassa el, és őrizzen meg megfelelő teljesítési nyilvántartást.

Ne követeljen rutinszerűen személyazonosító okmányokat, ha kevésbé beavatkozó ellenőrzés is elegendő lenne. Ugyanígy ne adjon ki érzékeny adatokat csak azért, mert valaki ismer egy e-mail-címet. Maga az ellenőrzés is személyes adatok kezelésével jár, és arányos megközelítést igényel.

Egy hozzáférési kérelemre adott válaszhoz rendszerint több kell a kategóriák listájánál. A 15. cikk magában foglalja a kezelt személyes adatok másolatát és kiegészítő információkat. A közlés előtt vizsgálja meg a harmadik személyekre vonatkozó információkat és jogokat; egy másik személy nevének jelenlétét ne tekintse annak indokának, hogy mindent visszatartson.

A törléshez való jog nem korlátlan. Jogszabályi megőrzési kötelezettségek és a 17. cikk egyéb kivételei is alkalmazandók lehetnek. Ha a törlés kötelező, határozza meg, hogyan jut el a kapcsolódó szolgáltatásokhoz és a releváns címzettekhez, és hogyan kerülhető el, hogy egy mentésből történő visszaállítás figyelmetlenül visszahozza a törölt adatokat. Minden jogszerű korlátozást pontosan magyarázzon el.

Az automatizálás nyomon tudja követni a határidőket és meg tudja szervezni a kereséseket, de valakinek el kell döntenie, hogy az eredmények teljesek-e, indokoltak-e a kitakarások, és alkalmazandó-e valamely kivétel. Egy gyorsan generált szabványos válasz nem hasznos, ha kihagy egy olyan rendszert, amely a kért adatokat tartalmazza.

Részletesebb munkafolyamatért lásd az érintetti hozzáférési kérelmekről szóló cikket. A vezetésnek rendszeresen tesztelnie kell egy reprezentatív kérelmet a beérkezéstől a biztonságos kézbesítésig, ahelyett hogy kizárólag egy közzétett eljárásra hagyatkozna.

Használja a DPIA-t arra, hogy a jóváhagyás előtt próbára tegye a kialakítást

A 35. cikk szerinti adatvédelmi hatásvizsgálatot az olyan adatkezelés előtt kell elvégezni, amely valószínűsíthetően magas kockázattal jár az érintettek jogaira és szabadságaira nézve. A rendelet konkrét eseteket is megnevez, köztük bizonyos jelentős automatizált értékeléseket, az érzékeny adatok nagy számban történő kezelését és a nyilvános helyek nagymértékű, módszeres megfigyelését. A felügyeleti hatóságok vonatkozó listáit is figyelembe kell venni.

A javasolt tevékenységeket korán szűrje. Gyakorlati ajánlásként őrizze meg az indoklást, ha az előszűrés arra jut, hogy nincs szükség DPIA-ra, különösen a határesetekben. Egy rövid előszűrési nyilvántartás lehetővé teszi, hogy a döntést újra elővegyék, ha a lépték, a technológia vagy a cél megváltozik.

A teljes DPIA-nak négy, egymással összefüggő elemre kell kiterjednie:

• A tervezett adatkezelés és céljainak módszeres leírása, adott esetben a jogos érdekkel együtt.
• Szükségesség és arányosság e célok tekintetében.
• Az érintettek jogaira és szabadságaira jelentett kockázatok.
• A kockázatok kezelésére és a megfelelés igazolására tervezett intézkedések.

Ne egy biztonsági fenyegetéslistával kezdje és fejezze be. Először azt kérdezze meg, hogy a javasolt adatok, gyakoriság, címzettek és döntési folyamat szükségesek-e. Egy kevésbé beavatkozó kialakítás hatékonyabban szüntethet meg egy kockázatot, mint egy további technikai kontroll.

Egy munkavállalói termelékenységi projekt például folyamatos képernyőképek gyűjtését javasolhatja. A titkosítás és a korlátozott hozzáférés csökkenthetné a közlés kockázatát, miközben komoly kérdések maradnának az arányosság, a megfigyelés, a munkavállalói elvárások és a kevésbé beavatkozó intézkedések alkalmasságát illetően. Az üzleti célt meg kell vizsgálni, mielőtt a biztonsági kialakításnak értelme lehetne.

Az emberekre jelentett kockázatot értékelje, ne csak a vállalat kitettségét

Vegye figyelembe a pénzügyi veszteséget, a hátrányos megkülönböztetést, a személyazonossággal való visszaélést, a bizalmas jelleg elvesztését, a szolgáltatásokból való kizárást és más releváns hatásokat. Egy forgatókönyvnek lehet korlátozott pénzügyi hatása a vállalatra, és jelentős hatása egy magánszemélyre.

Dokumentálja a javasolt kockázatcsökkentő intézkedéseket, a megvalósításért felelősöket és a maradványkockázat értékelését. Ha van kijelölt adatvédelmi tisztviselő, kérje ki a tanácsát. Vizsgálja felül, hogy a működésben vagy a kockázatban bekövetkezett változások szükségessé teszik-e az értékelés frissítését.

A 36. cikk előzetes konzultációt ír elő a felügyeleti hatósággal, ha a DPIA azt mutatja, hogy az adatkezelés a kockázat mérséklésére tett intézkedések hiányában magas kockázattal járna. Ha a szervezet nem tudja kellően kezelni ezt a magas kockázatot, a kötelező konzultációt nem helyettesítheti egy belső „elfogadva” státusszal. A vezetés újratervezheti, elhalaszthatja vagy elvetheti a tevékenységet; mások jogairól azonban nem rendelkezhet úgy, mintha azok pusztán üzleti kockázatot jelentenének.

Kapcsolja össze az incidenskezelést a GDPR szerinti bejelentési döntésekkel

Adatvédelmi incidens minden olyan biztonsági sérülés, amely a személyes adatok véletlen vagy jogellenes megsemmisítését, elvesztését, megváltoztatását, jogosulatlan közlését vagy az azokhoz való jogosulatlan hozzáférést eredményezi. Ez tágabb annál, hogy egy támadó ellop egy adatbázist. Egy rossz címre küldött melléklet, egy elveszett, védelem nélküli eszköz vagy a személyes adatok rendelkezésre állását vagy integritását érintő incidens is értékelést igényelhet.

A 33. és 34. cikk szerint az adatkezelők két különböző bejelentési küszöböt értékelnek:

A 72 órás határidő a tudomásszerzéstől számít, nem egyszerűen az eredeti incidens időbélyegétől vagy a következő munkanaptól. Ha a bejelentés később történik, csatolni kell a késedelem okait. Az információk szakaszosan is közölhetők, ha nem lehetséges mindent egyszerre, további indokolatlan késedelem nélkül megadni.

Készítse elő előre az eszkalációs láncot: incidensvezető, adatvédelmi tanácsadó, felelős adatkezelői döntéshozó, műszaki vizsgálók, kommunikáció és beszállítói kapcsolattartók. Még a vészhelyzet előtt derítse ki az illetékes hatóság bejelentési útvonalát. Az adatfeldolgozó ne várja meg a saját végleges kockázati következtetését, mielőtt tájékoztatja az adatkezelőt.

Az incidensnyilvántartásnak rögzítenie kell, mi történt, mely adatokat és személyeket érintette, milyen valószínű következményei vannak, mi volt a megfékezés és a helyreállítás, valamint milyen bejelentési döntések születtek. A 33. cikk (5) bekezdése előírja az adatvédelmi incidensek dokumentálását, beleértve a tényeket, a hatásokat és a megtett orvosló intézkedéseket. Őrizze meg a bejelentés mellőzésének indoklását is, hogy a döntés később is érthető legyen.

A titkosítás befolyásolhatja a kockázatot és a 34. cikk szerinti elemzést, de csak akkor, ha a védelme releváns és hatékony. „A szolgáltatás titkosítást használ” nem elegendő, ha a támadó egy kompromittált fiókon keresztül fért hozzá a nyílt szöveghez. A 34. cikk más kivételeket is tartalmaz, például olyan utólagos intézkedéseket, amelyek biztosítják, hogy a magas kockázat a továbbiakban valószínűsíthetően ne valósuljon meg; a tényleges feltételeket értékelje, ahelyett hogy általános mentességet alkalmazna.

Gyakoroljon egy beszállítót érintő forgatókönyvet és egy belső közlést érintőt. A gyakorlatnak a műszaki megfékezés mellett a bizonyítékgyűjtést és a döntési jogkört is tesztelnie kell.

A nemzetközi adattovábbítást külön értékelésként kezelje

Az V. fejezet továbbítási követelményei a GDPR többi része mellett állnak. Egy továbbítási mechanizmus nem biztosít 6. cikk szerinti jogalapot, és egy jogalap sem szünteti meg a megfelelő továbbítási megoldás szükségességét.

Térképezze fel a tényleges címzetteket és hozzáférési útvonalakat. Az uniós adatközpontban történő tárhely releváns, de önmagában nem bizonyítja, hogy nem történik harmadik országba irányuló továbbítás, vagy hogy minden adatvédelmi kötelezettség teljesül. Vegye figyelembe a támogatási hozzáférést, a további adatfeldolgozókat, az adminisztratív hozzáférést, a továbbközlést és az érintett feleket.

A GDPR továbbítási kerete magában foglalja a 45. cikk szerinti megfelelőségi határozatokat, a 46. cikk szerinti megfelelő garanciákat és a 49. cikk szerinti korlátozott eltéréseket. A döntés időpontjában ellenőrizze a releváns mechanizmust és annak hatókörét.

Ha olyan megfelelőségi megoldásra támaszkodik, amely csak a részt vevő szervezetekre korlátozódik, ellenőrizze a pontos címzettet és a lefedett tevékenységet. Egy csoporttag vállalat vagy egy hasonló kereskedelmi név nem feltétlenül a lefedett címzett. Őrizze meg az ellenőrzés eredményét és dátumát.

Általános szerződési feltételek alkalmazása esetén olyan kikötéseket válasszon, amelyek a felek tényleges szerepeinek megfelelnek, és töltse ki a vonatkozó mellékleteket. Értékelje a célország jogszabályait és gyakorlatát, valamint azt, hogy szükség van-e kiegészítő intézkedésekre a védelem hatékonyságához. Egy aláírt szerződés önmagában nem válaszol meg minden továbbítási kockázattal kapcsolatos kérdést.

Egy gyakorlati továbbítási dossziénak azonosítania kell az adatexportőrt és az adatimportőrt, az adatokat és a célokat, a helyszíneket és a hozzáférést, a továbbtovábbításokat, a kiválasztott mechanizmust, a releváns értékelést, a technikai vagy szervezési intézkedéseket és a felülvizsgálati kiváltó eseményeket. A szolgáltatói dokumentáció segítheti ezt a munkát, de annak megkérdezése, hogy a szolgáltatónak „van-e értékelése”, nem ugyanaz, mint a releváns megállapításainak értékelése.

A vezetésnek tudnia kell, mely szolgáltatások függenek egy adott mechanizmustól, és milyen változások tennék szükségessé az újraértékelést. Ez megalapozott vészforgatókönyvet tesz lehetővé anélkül, hogy azt sugallná, minden beszállítónak azonos szerződéses tartalékmegoldásra van szüksége.

Az MI használatát adatkezelésként értékelje, ne csupán új eszközként

Egy MI-alkalmazás új címzetteket vonhat be, további személyes információkra következtethet, megőrizheti a promptokat, vagy új célt tehet lehetővé. Ezek a változások akkor is számítanak, ha az alkalmazás a szervezet meglévő egyszeri bejelentkezését és hozzáférés-szabályozását használja.

Mielőtt jóváhagyná személyes adatok használatát egy MI-szolgáltatásban, tisztázza a következőket:

• A pontos feladat, és hogy szükség van-e hozzá személyes adatokra.
• A bemenetek, a kimenetek és az érintett személyek kategóriái.
• A szolgáltató szerepe az egyes felhasználásoknál, beleértve az esetleges tanítási vagy fejlesztési célokat.
• A megőrzés, az emberi hozzáférés, a további adatfeldolgozók és a továbbítási megoldások.
• A szerződéses kötelezettségvállalások és a releváns konfigurációs beállítások.
• A pontossággal, a közléssel, a jogok kezelésével és a döntéshozatallal kapcsolatos kockázatok.

Ne feltételezze, hogy minden modellszolgáltató kizárólag adatfeldolgozó. Szerepe az általa végzett adatkezeléstől és az általa meghatározott céloktól függ. Hasonlóképpen egy 28. cikk szerinti megállapodás nem teszi automatikusan jogszerűvé a javasolt továbbítást. Értékelje a célt, a jogalapot, az átláthatóságot, a szükségességet és minden egyéb alkalmazandó követelményt.

Ha a vállalat maga adatfeldolgozó, egy MI-szolgáltató bevonása további adatfeldolgozói viszonyt hozhat létre. Mielőtt ügyféladatokat küldene, ellenőrizze az ügyfél utasításait és a megállapodott felhatalmazási folyamatot. Nem minden esetben szükséges új szerződésmódosítás, de a meglévő szerződéses és jogszabályi rendelkezéseknek való megfelelés igen.

A 22. cikk bizonyos, kizárólag automatizált adatkezelésen alapuló, joghatással vagy hasonlóan jelentős hatással járó döntésekkel foglalkozik. Egy névleges emberi felülvizsgálat nem oldja meg a kérdést, ha a felülvizsgáló érdemben nem tudja értékelni vagy megváltoztatni az eredményt. A toborzási, jogosultsági és pénzügyi döntések különös figyelmet igényelnek.

A mesterséges intelligenciáról szóló rendelet és a GDPR különálló kötelezettségeket ír elő. A mesterséges intelligenciáról szóló rendelet szerinti értékelés nem váltja ki a DPIA-t, és a GDPR-nak való megfelelés nem bizonyítja a mesterséges intelligenciáról szóló rendeletnek való megfelelést. Az alkalmazási dátumokhoz az Európai Bizottság aktuális áttekintését a mesterséges intelligenciáról szóló rendeletről használja, ahelyett hogy egy régi bevezetési ütemtervet vinne át egy jelenlegi projektbe.

A belső adatvédelmi munkában az MI jóváhagyott forrásokból leírásokat fogalmazhat meg, dokumentumokat hasonlíthat össze, vagy kérdéseket javasolhat. A kimenetét tekintse vázlatnak. Egy hihetőnek tűnő jogalap, egy kihagyott címzett vagy egy helytelen megőrzési megállapítás egy kidolgozott dokumentumot is érdemben hibássá tehet.

Automatizálja a koordinációt, miközben megőrzi az elszámoltatható felülvizsgálatot

A növekvő szervezetekben ismétlődő munka halmozódik fel: az adatkezelési nyilvántartás frissítései, az érintetti kérelmek határidői, a beszállítói dokumentumok, az értékelésekből fakadó intézkedések, a bizonyítékok lejárata és a felülvizsgálati döntések. Az automatizálás rendszerezni tudja a bemeneteket és a határidőket. Nem szabad azonban elhomályosítania a különbséget az információgyűjtés és a védhető következtetés meghozatala között.

Stabil folyamattal és egyértelmű felelősséggel kezdjen. Egy kétértelmű átadás automatizálása csak gyorsabban teríti szét a kétértelműséget. Határozza meg, mi nyit meg egy feladatot, ki kapja meg, milyen bizonyíték szükséges, ki vizsgálja felül az eredményt, és mi zárja le a munkát.

MI-támogatott szövegezésnél őrizze meg a jóváhagyott forrásokat, és jelölje a bizonytalanságot. Ne engedje, hogy egy generált összefoglaló észrevétlenül egy beszállítói szerződés vagy egy értékelés helyébe lépjen. A felülvizsgálóknak meg kell tudniuk különböztetni a megadott tényeket, a kikövetkeztetett javaslatokat és a nyitott kérdéseket.

Magára a munkafolyamatra is alkalmazza a legkisebb jogosultság elvét. Az érintetti kérelmek aktái, az incidensnyilvántartások és a munkavállalói értékelések érzékeny információkat tartalmazhatnak. Egy megfelelési munkaterülethez való széles körű hozzáférés alááshatja azokat a korlátozásokat, amelyeket éppen dokumentálnak. Minimalizálja a személyes adatokat a bizonyítékokban, és korlátozza azokat az anyagokat, amelyek valóban azonosítást igényelnek.

Hasznos vezetői mutatók a lejárt határidejű intézkedések, a hiányzó felelősök, a lényeges változás után felülvizsgálatra váró nyilvántartások, valamint az elavult vagy elégtelen bizonyítékkal rendelkező kontrollok. A nyers dokumentumszámok kevésbé informatívak. Azt mérje, hogy a döntések és a korrekciós munkák elkészülnek-e, ne csupán azt, hogy több szöveg keletkezett-e.

Kidolgozott példa: biztonsági kontrollokat újrahasznosító marketingintegráció

Az alábbi példa szemléltető jellegű. Tegyük fel, hogy egy növekvő B2B szoftvervállalat bevált ügyféladatbázissal, az éles szolgáltatására kiterjedő IBIR-rel és egy tervezett kampányplatformmal rendelkezik. A marketing bevezető üzeneteket szeretne küldeni, később pedig további termékeket népszerűsítene. A platform kapcsolattartási adatokat, termékhasználati eseményeket és szabad szöveges ügyfélszolgálati megjegyzéseket kapna. Semmilyen valós ügyféleredményre vagy Secani-képességre nem utalunk.

1. Válassza szét a javasolt célokat

Az eredeti kérés így szól: „az ügyfélelköteleződés javítása”. Az üzleti gazda konkrét célokká fogalmazza át: szükséges szolgáltatásbevezetés, opcionális promóciós kommunikáció és a kampányteljesítmény elemzése.

Az adatvédelmi felülvizsgáló minden célnál külön értékeli a jogalapot, ahelyett hogy mindháromra az ügyfélszerződést alkalmazná. A promóciós kommunikációra az alkalmazandó nemzeti elektronikus marketingszabályok is vonatkozhatnak. A vállalat nem feltételezi, hogy egy GDPR szerinti jogos érdekre vonatkozó elemzés önmagában rendezi ezeket a különálló követelményeket.

Az első eredmény egy célra és jogalapra vonatkozó döntés, a nyitott kérdésekhez rendelt felelősökkel. A marketing nem kezdheti meg a kibővített felhasználást pusztán azért, mert az integráció átment egy műszaki biztonsági ellenőrzésen.

2. Csökkentse a javasolt adatfolyamot

Az ügyfélszolgálati megjegyzések kényelmesek a személyre szabáshoz, de a jóváhagyott bevezető üzenethez szükségtelenek. Olyan információkat is tartalmazhatnak, amelyekről az ügyfelek nem számítottak arra, hogy marketingcélra használják fel őket. A kialakítás eltávolítja őket.

A műszaki felelős a termékeseményeket a jóváhagyott munkafolyamathoz szükségesekre korlátozza, és kizárja a részletes felhasználói előzményeket ott, ahol összesített vagy egyszerűbb eseményadatok is elegendők. Ez csökkenti a kitettséget, mielőtt újabb kontrollt kellene bevezetni.

Az adatkezelési nyilvántartás most a tényleges mezőket, az érintett felhasználókat, a címzettet, a célokat és a megőrzési megközelítést írja le. Az adatvédelmi tájékoztatót a jóváhagyott tevékenységhez mérten vizsgálják felül, nem az eredeti, tág kéréshez.

3. Ellenőrizze a beszállítói és továbbítási megoldásokat

A beszerzés megállapítja a platform szerepét a kampányok kézbesítésében, és ellenőrzi, vannak-e a szolgáltatónak külön céljai. A csapat áttekinti a 28. cikk szerinti megállapodást, a további adatfeldolgozókra vonatkozó megoldásokat, a törlési feltételeket, a támogatási hozzáférést és az alkalmazandó továbbítási mechanizmust.

Az uniós tárhely lehetőségét releváns tényként rögzítik, nem pedig a továbbítási elemzés végének tekintik. Ha szükséges információ hiányzik, a feladat nyitva marad, és az indítási feltétel megnevezi, mit kell tisztázni.

4. Használja újra körültekintően a biztonsági bizonyítékokat

Az integráció újrahasznosíthatja a vállalati identitáskontrollokat és egy meglévő hozzáférés-kezelési folyamatot. Ezeknek a kontrolloknak a bizonyítékait hivatkozással kapcsolják, nem állítják elő újra. Az új kampányplatformnak azonban saját jogosultságai, exportjai és megőrzési beállításai vannak.

A biztonsági felelős értékeli a fiókkompromittálódást, a jogosulatlan tömeges exportot, a helytelen eseményleképezést és a letiltási preferenciák elvesztését. A csapat korlátozza a hozzáférést, jóváhagyja a szükséges integrációs jogosultságokat, megfelelő tesztadatokkal teszteli a leképezést, és ellenőrzi, hogyan törlik vagy tiltják le a rekordokat.

Az éles szolgáltatás meglévő helyreállítási gyakorlata nem bizonyítja, hogy a kampánypreferenciák helyesen visszaállíthatók. A felelős külön ellenőrzi az erre a munkafolyamatra vonatkozó helyreállítási viselkedést.

5. Fejezze be az értékelést és a jóváhagyást

Az adatvédelmi felülvizsgáló a tényleges tevékenység alapján elvégzi a DPIA-előszűrést, és rögzíti az indoklást. A csapat azt is ellenőrzi, hogyan jutnak el a hozzáférési, tiltakozási és törlési kérelmek a platformhoz. Különösen fontos, hogy egy marketinggel szembeni tiltakozást ne írjon felül a következő adatbázis-szinkronizálás.

A vezetés egy tömör döntési csomagot vizsgál meg: jóváhagyott célok, eltávolított adatok, beszállítói és továbbítási következtetések, védelmi intézkedések, nyitott feltételek, a jogok kezelése és a megnevezett felelősök. Minden nyitott kötelező követelmény blokkolja az érintett adatkezelést, ahelyett hogy elfogadott üzleti kivétellé alakítanák.

6. Rögzítse a következő kiváltó eseményt

A jóváhagyás az értékelt konfigurációhoz kötődik. A viselkedésalapú pontozás bevezetése, az ügyfélszolgálati megjegyzések feltöltése, a szolgáltató tanítási feltételeinek megváltozása vagy egy új címzett bevonása felülvizsgálatot vált ki. A csapat újrahasznosíthatja a változatlan biztonsági bizonyítékokat, miközben újraértékeli az új adatvédelmi kérdéseket.

Ez a központi különbségtétel: a közös védelmi intézkedések érvényesek maradhatnak, miközben a cél, a címzett vagy az emberekre gyakorolt hatás lényegesen megváltozik.

Vezesse be a megközelítést egy fókuszált első hatókörrel

Válasszon egy olyan adatkezelési tevékenységet, amelynek látható üzleti gazdája és kezelhető függőségei vannak. Az ügyfélszolgálat, a munkavállalók beléptetése vagy egy reprezentatív termékmunkafolyamat feltárhatja a hiányosságokat anélkül, hogy előbb az egész szervezetet újra kellene tervezni.

Gyakorlati ajánlásként négy eredménnyel kezdjen:

• Egy egyeztetett adatkezelési leírás és szerepértékelés.
• Az adatvédelmi döntések listája, beleértve a jogalapot, a tájékoztatót, a megőrzést, a jogokat és a DPIA-előszűrést.
• Forgatókönyv-alapú védelmiintézkedés-értékelés, a meglévő biztonsági bizonyítékokhoz kapcsolva.
• Jóváhagyási nyilvántartás felelősökkel, nyitott intézkedésekkel és változási kiváltó eseményekkel.

A Secaniban a csapatok fókuszált hatókörrel kezdhetnek, modellezhetik a támogató alkalmazásokat, rendszereket, szolgáltatásokat és szolgáltatókat, és a bizonyítékokat követelményekhez, kontrollokhoz és döntésekhez kapcsolhatják. A hiányzó bizonyítékok és a nyitott felülvizsgálati kérdések kiosztott feladatokká válhatnak. Az MI-támogatott javaslatok vázlatok maradnak, forráskövethetőséggel és kifejezett emberi jóváhagyással. Ez közös bizonyítéki kontextust ad a biztonsági és az adatvédelmi felülvizsgálóknak, miközben elkülönült következtetéseik láthatók maradnak; nem helyettesíti az adatkezelési nyilvántartásokat, az érintetti jogok teljesítését vagy a jogi elemzést.

Csak akkor bővítsen, ha az első munkafolyamatot már kipróbálták. Teszteljen vele egy beszállítóváltást, egy érintetti kérelmet és egy releváns incidensforgatókönyvet. Ha a csapat nem tudja azonosítani a felelőst, előkeresni a bizonyítékot vagy megmagyarázni a döntést, előbb javítsa a működési folyamatot, mielőtt további tevékenységeket venne fel.

A vezetőségi átvizsgáláshoz tegyen fel három kérdést: megfelel-e a nyilvántartás a jelenlegi adatkezelésnek, kezelik-e a védelmi intézkedések az emberekre gyakorolt következményeket, és megbízhatóan újranyitja-e egy lényeges változás a döntést? Ezek a kérdések gyakorlati következő lépést adnak a biztonsági garanciák és a GDPR szerinti elszámoltathatóság összekapcsolásához.

Kérdések, amelyeket a vezetésnek kifejezetten rendeznie kell

Jóváhagyhat-e egy vezérigazgató GDPR-kivételt?

A vezetés választhat a jogszerű lehetőségek közül, és erőforrásokat rendelhet a kockázat kezeléséhez. Nem tekinthet el a jogszabályi követelményektől, nem engedélyezhet alkalmazandó jogalap nélküli adatkezelést, és a kötelező előzetes konzultációt nem helyettesítheti belső jóváhagyással.

Minden adatkezelési változáshoz új DPIA kell?

Nem. Értékelje a változást a magas kockázati küszöbhöz mérten, és vizsgálja felül a meglévő értékeléseket, ha a működés vagy a kockázat megváltozik. Egy dokumentált előszűrési döntés hasznosabb, mint akár automatikusan teljes DPIA-t készíteni, akár azt feltételezni, hogy a régi eredmény mindig érvényes.

Mit kell először felülvizsgálni, ha korlátozottak az erőforrások?

Helyezze előtérbe azt az adatkezelést, amely potenciálisan súlyos következményekkel jár az emberekre, a nyitott jogszerűségi vagy szerződéses kérdéseket, valamint az operatív határidőket, például az érintetti kérelmeket és az incidenskezelést. A bizonyítékhiányokat használja a vizsgálat irányítására, de ne feltételezze, hogy a legtöbb hiányzó dokumentummal rendelkező tevékenység jelenti szükségképpen a legnagyobb kockázatot.

Melyik hatóság érvényesíti a GDPR-t, és mibe kerülhetnek a jogsértések?

Azonosítsa az adatkezelés tekintetében illetékes felügyeleti hatóságot. A határokon átnyúló adatkezelés esetén az egyablakos ügyintézési mechanizmus főszabályként az adatkezelő vagy az adatfeldolgozó fő vagy egyetlen uniós tevékenységi helyétől függ, a további érintett hatóságok bevonásával. A 27. cikk szerinti képviselő nem hoz létre uniós tevékenységi helyet, és nem biztosít hozzáférést ehhez a mechanizmushoz.

A 83. cikk két fő közigazgatási bírságplafont határoz meg: legfeljebb 10 millió euró vagy a vállalkozás előző pénzügyi évre vonatkozó teljes éves világpiaci forgalmának 2%-a, illetve legfeljebb 20 millió euró vagy 4%, mindkét szinten a magasabb összeggel. Az alkalmazandó szint a jogsértéstől függ; ezek felső határok, nem automatikus szankciók. A hatóságok mérlegelik a körülményeket, és korrekciós intézkedést is elrendelhetnek vagy korlátozhatják az adatkezelést. A 82. cikk ezen felül kártérítést biztosít, ha a jogsértés vagyoni vagy nem vagyoni kárt okoz.