BDAR ir saugumas: susiekite apsaugos priemones su duomenų tvarkymu

Gerai veikianti informacijos saugumo valdymo sistema suteikia BDAR naudingų procesų: prieigos valdymą, incidentų tvarkymą, tiekėjų vertinimą ir atsparumą. Tačiau privatumo darbas taip pat klausia, kodėl duomenų tvarkymas yra teisėtas, proporcingas ir skaidrus. Šie klausimai susitinka toje pačioje verslo veikloje, tačiau jiems reikia skirtingų sprendimų.

Vadovybės užduotis – juos susieti, nelaikant vieno kito pakaitalu. Saugioje klientų duomenų bazėje vis tiek gali būti informacijos, kurios įmonė neturėjo rinkti. Galiojanti sutartis su klientu neįrodo, kad visiems, turintiems prieigą prie duomenų bazės, tokia prieiga reikalinga. ISO 27001 sertifikatas neišsprendžia nė vieno iš šių klausimų.

Todėl praktinis atspirties taškas yra duomenų tvarkymas, o ne kontrolės priemonių katalogas. Nustatykite, ką verslas nori daryti su asmens duomenimis, įvertinkite, ar tokia veikla leistina, ir tik tada parinkite apsaugos priemones nuo nesėkmės pasekmių. Išsaugokite argumentus, įrodymus, atsakingą savininką ir kitą įvykį, kuris turėtų inicijuoti peržiūrą.

Nustatykite, kurie duomenų tvarkymo veiksmai ir atsakomybės patenka į taikymo sritį

Bendrasis duomenų apsaugos reglamentas reglamentuoja asmens duomenų tvarkymą. Tvarkymas apima rinkimą, saugojimą, susipažinimą, atskleidimą, keitimą ir ištrynimą. Asmens duomenys – tai bet kokia informacija apie fizinį asmenį, kurio tapatybė nustatyta arba gali būti nustatyta; jie neapsiriboja vardais ar akivaizdžiai jautriais įrašais.

Darbo el. pašto adresai, darbuotojų identifikatoriai, įrenginių identifikatoriai, buvimo vietos istorija ir pokalbiai su pagalbos tarnyba gali būti asmens duomenys. Ar konkretus identifikatorius jiems priskiriamas, priklauso nuo konteksto ir priemonių, kurias tikėtina gali būti panaudota asmeniui identifikuoti. Vardų pakeitimas nuorodų numeriais paprastai sukuria pseudonimizuotus, o ne anoniminius duomenis, jei pakartotinis identifikavimas lieka įmanomas. Pseudonimizuoti asmens duomenys tebepatenka į BDAR taikymo sritį.

Prieš pasirinkdami veiklos modelį, patikrinkite teritorinę taikymo sritį

3 straipsnis apima duomenų tvarkymą, vykdomą ES esančios buveinės veiklos kontekste, net jei pats tvarkymas vyksta kitur. Jis taip pat gali apimti organizaciją už ES ribų, kai jos duomenų tvarkymas susijęs su prekių ar paslaugų siūlymu asmenims Sąjungoje arba jų elgesio ten stebėsena. Vien tai, kad svetainė pasiekiama, neišsprendžia nukreipimo klausimo; įvertinkite faktinį siūlymą ir stebėsenos veiklą.

Kai taikoma 3 straipsnio 2 dalis, 27 straipsnis gali reikalauti paskirti atstovą Sąjungoje. Jo išimtys yra ribotos ir nepriklauso vien nuo įmonės dydžio. Atsitiktinio tvarkymo išimčiai taip pat reikia, kad būtų įvykdytos nurodytos sąlygos dėl jautrių duomenų ir rizikos. Atstovas nepakeičia duomenų valdytojo, DAP ar atskaitingos vadovybės.

BDAR įsigaliojo 2016 m. gegužės 24 d. ir taikomas nuo 2018 m. gegužės 25 d. Priimdami dabartinius sprendimus, atskirkite galiojančią teisę nuo siūlomų supaprastinimų. Pranešimas spaudai apie galimą išimtį nėra pagrindas nutraukti esamą atitikties procesą.

Vaidmenis nustatykite pagal veiklą, o ne pagal įmonės etiketę

Duomenų valdytojas nustato duomenų tvarkymo tikslus ir priemones. Duomenų tvarkytojas tvarko asmens duomenis duomenų valdytojo vardu. Bendri duomenų valdytojai kartu nustato tikslus ir priemones, ir jiems reikia 26 straipsnyje numatyto susitarimo, atspindinčio jų atitinkamas atsakomybes.

Viena įmonė gali atlikti kelis vaidmenis. Programinės įrangos tiekėjas gali būti duomenų tvarkytojas klientų įkeltiems įrašams ir duomenų valdytojas savo darbo užmokesčio, paskyrų administravimo ir kai kurių saugumo operacijų atžvilgiu. Tiekėjo sutartyje nurodyta etiketė yra svarbi, tačiau ji negali nusverti to, ką šalys iš tikrųjų daro.

Pirmasis rezultatas turėtų būti trumpas sprendimas dėl taikymo srities: taikomos veiklos, organizaciniai subjektai, duomenų valdytojo ar tvarkytojo vaidmenys, rinkos ir neišspręsti klausimai. Paskirkite savininką, kuris išspręstų neaiškumus prieš pradedant ar išplečiant susijusį duomenų tvarkymą.

Atskirkite verslo tikslą nuo teisinio pagrindo

5 ir 6 straipsniai nustato įprasto asmens duomenų tvarkymo pagrindą. Saugumas yra viena šio pagrindo dalis, o ne būdas jį apeiti.

5 straipsnio principai paprastai pateikiami kaip septyni: teisėtumas, sąžiningumas ir skaidrumas; tikslo apribojimas; duomenų kiekio mažinimas; tikslumas; saugojimo trukmės apribojimas; vientisumas ir konfidencialumas; atskaitomybė. Atskaitomybė reikalauja, kad duomenų valdytojas būtų atsakingas už atitiktį ir galėtų ją įrodyti. Tam nereikia konkretaus programinės įrangos produkto, tačiau reikia pagrįsto paaiškinimo, paremto tinkamais įrodymais.

Kiekvieną principą paverskite verslo klausimu:

Kiekvienam tikslui pasirinkite pagrindą

6 straipsnyje numatyti šeši teisiniai pagrindai. Jų sąlygos svarbesnės už pavadinimus:

• Sutikimas: laisva valia duotas, konkretus, informacija pagrįstas ir nedviprasmiškas sutikimo išreiškimas, kurį galima atšaukti.
• Sutartis: tvarkymas, būtinas sutarčiai su asmeniu vykdyti arba jo prašymu atlikti veiksmus prieš sudarant sutartį.
• Teisinė prievolė: tvarkymas, būtinas taikomai teisinei prievolei įvykdyti.
• Gyvybiniai interesai: tvarkymas, būtinas siekiant apsaugoti asmens gyvybinius interesus.
• Viešoji užduotis: tvarkymas, būtinas užduočiai, vykdomai viešojo intereso labui arba vykdant viešosios valdžios funkcijas, atlikti, turint reikiamą teisinį pagrindą.
• Teisėti interesai: tvarkymas, būtinas teisėtų interesų tikslais, jei šie interesai, juos pasvėrus, yra viršesni už asmens interesus, teises ir laisves.

Nenurodykite kelių pagrindų kaip tarpusavyje pakeičiamo draudimo. Nustatykite pagrindą, kuris iš tikrųjų pagrindžia kiekvieną tikslą, ir tiksliai apie jį informuokite. Sąlygos įtraukimas į sutartį su klientu automatiškai nepadaro tvarkymo būtinu tai sutarčiai vykdyti. Panašiai ir teisėti interesai reikalauja vertinimo; tai nėra bendras leidimas naudoti turimus duomenis.

Kaip praktinė rekomendacija, dokumentuokite teisėtų interesų vertinimą, apimantį siekiamą interesą, būtinumą, poveikį žmonėms, jų pagrįstus lūkesčius ir apsaugos priemones. Apsvarstykite mažiau ribojančias alternatyvas. Analizė turi būti proporcinga veiklai, tačiau pakankamai konkreti, kad ją suprastų ir projekte nedalyvaujantis asmuo.

Sutikimas nėra visuotinai saugesnis. Jis turi būti iš tikrųjų neprivalomas ten, kur aplinkybės reikalauja pasirinkimo, o atšaukimas turi veikti praktiškai. Darbo santykiai kelia ypatingų abejonių, ar sutikimas duotas laisva valia. Atšaukimas nutraukia tuo sutikimu grindžiamą tvarkymą ateityje; jis automatiškai neištrina įrašų, kuriems taikomos atskiros teisėtos saugojimo pareigos. Nekeiskite to paties tvarkymo pagrindo atgaline data vien todėl, kad sutikimas buvo atšauktas. Bet kokiam atskiram tvarkymui, pavyzdžiui, teisės aktų reikalaujamam saugojimui, reikia savo taikomo pagrindo ir tinkamo skaidrumo.

Specialių kategorijų duomenims, pavyzdžiui, sveikatos informacijai, be 6 straipsnio pagrindo reikia ir 9 straipsnio sąlygos. Duomenims apie apkaltinamuosius nuosprendžius ir nusikalstamas veikas taikomi atskiri 10 straipsnio reikalavimai. Įmonė neturėtų patvirtinti nė vienos iš šių kategorijų vien todėl, kad įprastas klientų duomenų tvarkymas jau buvo įvertintas.

Sukurkite duomenų tvarkymo įrašą, kuriuo galima remtis priimant sprendimus

30 straipsnyje numatyti duomenų tvarkymo veiklos įrašai naudingi, nes jie susieja teisinę analizę su veiklos realybe. Duomenų valdytojo įraše nurodomi tikslai, duomenų subjektų ir duomenų kategorijos, gavėjai, perdavimai, jei įmanoma – numatyti ištrynimo terminai, ir, jei įmanoma, bendras saugumo priemonių aprašymas. Duomenų tvarkytojams taikoma kitokia įrašų pareiga, apimanti tvarkymą, kurį jie atlieka duomenų valdytojų vardu.

Išimtis organizacijoms, kuriose dirba mažiau nei 250 darbuotojų, yra sąlyginė. Ji netaikoma tvarkymui, kuris nėra atsitiktinis, gali kelti nurodytą riziką arba apima nurodytas jautrių duomenų kategorijas. Nedidelė įmonė, nuolat tvarkanti darbuotojų ar klientų duomenis, neturėtų manyti, kad darbuotojų skaičius panaikina jos įrašų pareigas.

Kaip organizacinį vienetą naudokite duomenų tvarkymo veiklas. „Debesijos infrastruktūra“ paprastai yra per plati sąvoka, kad paaiškintų, kodėl duomenys tvarkomi. „Klientų pagalbos užklausų valdymas“ naudingesnis, nes turi tikslą, identifikuojamus žmones, duomenų kategorijas, gavėjus, saugojimo taisykles ir palaikančias sistemas.

Praktinis darbinis įrašas gali apimti daugiau nei teisės aktuose numatyti laukai:

• Verslo savininkas ir privatumo vertintojas.
• Tikslas ir atitinkamas teisinis pagrindas.
• Duomenų šaltiniai, kategorijos ir paveiktos grupės.
• Duomenų valdytojo, tvarkytojo ar bendrų duomenų valdytojų santykiai.
• Programos, eksportai, žurnalai ir tolesni gavėjai.
• Saugojimo taisyklės ir tai, kaip vykdomas ištrynimas.
• Nuorodos į pranešimus, teisių įgyvendinimą, tiekėjus ir perdavimus.
• PDAV atrankos rezultatas ir susietos apsaugos priemonės.
• Patvirtinimo data, neužbaigti veiksmai ir peržiūros inicijavimo sąlygos.

Papildomi laukai yra koordinavimo rekomendacija, o ne teiginys, kad 30 straipsnis aiškiai reikalauja kiekvieno elemento. Jų vertė ta, kad įrašas tampa naudingas paleidžiant naują veiklą, gavus prašymą susipažinti su duomenimis, keičiant tiekėją ar įvykus incidentui.

Suderinkite įrašą su sistemomis, kurias žmonės iš tikrųjų naudoja

Metinis klausimynas vargu ar atskleis kiekvieną skaičiuoklės eksportą, bandomąją programą ar komandos lygiu įsigytą DI prenumeratą. Palyginkite įrašą su pirkimų informacija, patvirtintų programų sąrašais, sistemų inventoriais ir pokalbiais su procesų savininkais. Peržiūrėkite bendrus diskus ir rankinius perdavimus, kai jie reikšmingai veikia veiklą.

Nepainiokite turto inventoriaus su duomenų tvarkymo įrašu. Turto inventorius paaiškina sistemas ir priklausomybes; duomenų tvarkymo įrašas paaiškina, kaip naudojami asmens duomenys. Susiekite juos, kad viena programa galėtų palaikyti kelis tikslus, nesuliejant tų tikslų į neaiškų aprašymą.

Papildomo darbo eigos konteksto rasite straipsnyje apie duomenų aptikimą ir privatumą. Aptikimas turėtų sukurti peržiūrimą neatitikimų sąrašą, o ne prielaidą, kad kiekvienas aptiktas laukas buvo teisingai klasifikuotas ar teisiškai įvertintas.

Paverskite 32 straipsnį apsaugos priemonėmis nuo realių pasekmių

BDAR 32 straipsnis reikalauja, kad duomenų valdytojai ir tvarkytojai įgyvendintų rizikai tinkamas technines ir organizacines priemones. Vertinant atsižvelgiama į techninių galimybių lygį, įgyvendinimo sąnaudas, duomenų tvarkymo pobūdį, aprėptį, kontekstą ir tikslus bei į pavojų žmonių teisėms ir laisvėms tikimybę ir rimtumą.

Svarbios pasekmės apima atsitiktinį arba neteisėtą sunaikinimą, praradimą, pakeitimą, neteisėtą atskleidimą ir neteisėtą prieigą. Todėl greta konfidencialumo svarbūs tampa prieinamumas ir vientisumas. Prieigos prie paslaugos praradimas gali pakenkti žmonėms net tada, kai jokie duomenys nebuvo pavogti.

Bendro teiginio, kad „taikomas pramonės standartus atitinkantis saugumas“, nepakanka paaiškinti, kodėl apsaugos priemonės tinka konkrečiai veiklai. Pradėkite nuo scenarijų: kas galėtų būti paveiktas, kas galėtų nutikti, kokia to tikimybė ir koks rimtas galėtų būti poveikis. Tada kiekvieną svarbų scenarijų susiekite su prevencinėmis, aptikimo ir atkūrimo priemonėmis.

Prieigos apribojimai turėtų atitikti tikslą

Pagalbos veiklai paklauskite, kuriems darbuotojams reikia kurių klientų įrašų, ar jautriems priedams reikia atskirų apribojimų ir kada turėtų baigtis laikina prieiga. Apsvarstykite privilegijuotą administravimą, tiekėjo pagalbos prieigą, masinius eksportus, bendras paskyras ir avarinę prieigą.

Naudingi įrodymai apima vaidmenų apibrėžtis, prieigos patvirtinimus, darbuotojų atėjimo, perkėlimo ir išėjimo įrašus, privilegijuotos prieigos tvarką ir atliktas prieigos peržiūras. Prieigos politika įrodo numatytą taisyklę. Neseniai atlikta peržiūra, rodanti, kad nereikalingi leidimai buvo panaikinti, įrodo, kad taisyklė taikoma praktikoje.

Vadovybė turėtų paklausti, ar organizacija gali atskirti įgaliotą prieigą nuo tinkamo naudojimo. Darbuotojas gali turėti techniškai galiojančią paskyrą, tačiau naudoti duomenis neleistinu tikslu. Svarbūs ir mokymai, ir priežiūra, ir prieigos sprendimai, ir tyrimų procesai.

Šifravimui reikia sprendimo dėl diegimo

32 straipsnis šifravimą ir pseudonimizavimą nurodo tarp svarstytinų priemonių; jis nenustato visuotinio privalomo šifravimo kiekvienai situacijai. Kai pasirenkamas šifravimas, nurodykite, ką jis apsaugo ir ko neapsaugo.

Šifravimas perdavimo metu apsaugo duomenis, keliaujančius tarp galinių taškų, kai protokolai ir galinių taškų autentifikavimas tinkamai sukonfigūruoti. Šifravimas ramybės būsenoje apsaugo saugomus duomenis konkrečiais grėsmių scenarijais. Nė vienas iš jų automatiškai neužkerta kelio įgaliotai programai ar administratoriui matyti atvirąjį tekstą.

Peržiūrėkite, kas kontroliuoja raktus, kaip atskiriama prieiga prie jų ir kaip raktai generuojami, keičiami, atšaukiami, atsarginiai jų egzemplioriai kuriami ir atkuriami. Tiekėjo valdomas šifravimas gali tikti kai kurioms rizikoms, kitas palikdamas neišspręstas. Šifravimas, kurio raktai prieinami tam pačiam pažeistam veikėjui, gali neatitikti vertinamo scenarijaus.

Vadovybės sprendimas nėra tai, kurį algoritmą įgyvendinti asmeniškai. Tai sprendimas, ar sistemos sprendimas atitinka atitinkamą riziką ir ar techninis savininkas gali tą išvadą pagrįsti. Kontrolės lygio skirtumai paaiškinti straipsnyje apie šifravimą ir raktų valdymą.

Atsparumą reikia įrodyti, o ne laikyti savaime suprantamu

32 straipsnis apima nuolatinį konfidencialumą, vientisumą, prieinamumą ir atsparumą, taip pat gebėjimą laiku atkurti duomenų prieinamumą ir prieigą prie jų po incidento. Sėkminga atsarginio kopijavimo užduotis neįrodo, kad verslas gali atkurti veikiančią paslaugą.

Atkūrimo lūkesčius nustatykite pagal duomenų tvarkymą ir veiklos sutrikimo pasekmes. Išbandykite atkūrimą, priklausomybes, prisijungimo duomenis ir asmens duomenų tvarkymą atkurtose aplinkose. Saugokite įrodymus apie tai, kas buvo atkurta, kiek laiko tai užtruko, kas nepavyko ir kas buvo ištaisyta. Saugojimo ir ištrynimo taisyklės taip pat turi atsižvelgti į atsarginių kopijų elgseną.

Veiksmingumą tikrinkite remdamiesi tinkamais įrodymais

32 straipsnis apima procesą, skirtą reguliariai tikrinti, įvertinti ir vertinti priemones. Tinkamas metodas priklauso nuo kontrolės priemonės: prisidėti gali prieigos peržiūros, atkūrimo pratybos, konfigūracijos patikros, pažeidžiamumų vertinimas, tiekėjų peržiūra ir incidentų pratybos.

Įsiskverbimo testas gali būti naudingas, tačiau jis nėra universalus šių veiklų pakaitalas ar visuotinis BDAR reikalavimas. Užfiksuokite testuotą apimtį ir apribojimus. Vienos programos testas neįrodo, kad naujai įdiegtas rinkodaros eksportas, tiekėjo jungtis ar atkūrimo procesas yra tinkamai kontroliuojami.

Kiekvienai reikšmingai apsaugos priemonei turėkite savininką, įgyvendinimo aprašymą, atitinkamus įrodymus, vertinimo datą ir kitos peržiūros inicijavimo sąlygą. Tai praktinė įrodymų struktūra, o ne 32 straipsnyje nustatytas šablonas.

Pakartotinai naudokite ISMS, nesuliedami saugumo ir privatumo išvadų

ISO/IEC 27001 susijęs su apibrėžtos taikymo srities informacijos saugumo valdymo sistema. Jos rizikos vertinimas, rizikos valdymas, veiklos procesai, vidaus auditas ir vadovybinė peržiūra gali padėti valdyti BDAR apsaugos priemones.

Ši sanklota vertinga. Prieigos valdymo įrodymų, tiekėjų vertinimų, incidentų pratybų ir atkūrimo testų dažnai nereikia kurti iš naujo privatumo tikslais. Tačiau jų tinkamumą reikia patikrinti atsižvelgiant į duomenų tvarkymo veiklą ir dabartinę taikymo sritį.

Nepriklausomos sertifikavimo įstaigos išduotas sertifikatas susijęs su nurodyta ISMS taikymo sritimi. Jis automatiškai neapima kiekvieno produkto, subjekto, tiekėjo ar duomenų tvarkymo veiklos. Taikymo pareiškimas (Statement of Applicability) fiksuoja kontrolės priemonių taikymo ir rizikos valdymo sprendimus; tai nėra pareiškimas, kad įvykdytos visos BDAR pareigos.

ISO 27001 taip pat pats savaime nėra bendras teisės aktais nustatytas pranešimų apie pažeidimus režimas. BDAR pranešimo pareigas būtina vertinti atskirai. Ir atvirkščiai, BDAR laikymasis neįrodo, kad organizacija įgyvendino visus ISO 27001 sertifikavimui būtinus reikalavimus.

BDAR 42 ir 43 straipsniuose numatyti sertifikavimo mechanizmai. Toks sertifikavimas nesumažina duomenų valdytojo ar tvarkytojo atsakomybės ir nėra lygiavertis ISO 27001 sertifikatui ar visuotiniam teisinės atitikties pareiškimui.

Todėl valdymo klausimas yra įrodymų pakartotinis naudojimas su atskiromis išvadomis: ką šis elementas įrodo, kurioms sistemoms ir kuriam laikotarpiui, ir kurie privatumo klausimai lieka neatsakyti?

Paskirstykite vadovybei, saugumui ir privatumui skirtingas atsakomybes

Veikiančiam veiklos modeliui reikia daugiau nei bendros atitikties pašto dėžutės. Verslo savininkai turėtų aprašyti ir pagrįsti savo duomenų tvarkymą; saugumo specialistai – įvertinti ir įgyvendinti atitinkamas apsaugos priemones; privatumo specialistai – konsultuoti dėl teisinių reikalavimų, teisių, pranešimų ir vertinimų. Vadovybė turi skirti išteklių ir priimti reikšmingus sprendimus laikydamasi teisės.

DAP automatiškai nėra privalomas kiekvienai įmonei. 37 straipsnis apima valdžios institucijas ir įstaigas, su teismams taikoma išimtimi, bei organizacijas, kurių pagrindinė veikla atitinka nurodytas didelio masto stebėsenos ar jautrių duomenų sąlygas. Nacionalinė teisė gali nustatyti papildomų reikalavimų, todėl patikrinkite atitinkamas jurisdikcijas.

Paskirtas DAP turi nepriklausomas konsultavimo ir stebėsenos pareigas, turi būti tinkamai ir laiku įtraukiamas ir yra tiesiogiai pavaldus aukščiausio lygio vadovybei. DAP neturėtų būti nurodoma prieiti prie pageidaujamos išvados ar pavedama prieštaraujančių atsakomybių, kurios nustato duomenų tvarkymo tikslus ir priemones.

Nepaverskite DAP kiekvienos kontrolės priemonės savininku, kiekvieno verslo tikslo tvirtintoju ir asmeniu, kuris audituoja tuos pačius sprendimus. Taip sutelkiamos nesuderinamos atsakomybės, o veiklos komandos gali pradėti manyti, kad atskaitomybė nuo jų perkelta.

Naudingame patvirtinimo įraše nurodomas siūlantis savininkas, specialisto patarimas, įvertinti įrodymai, sprendimą priimantis asmuo, sąlygos ir neužbaigti veiksmai. Jei vadovybė pasirenka kitokį teisėtą būdą nei rekomenduotasis, užfiksuokite argumentus. Vadovybė negali trūkstamo teisinio pagrindo ar privalomos sutarties nuostatos paversti atitiktimi, pažymėdama tai kaip „priimtą riziką“.

CISO ir DAP atsakomybių vadove atsakomybės riba paaiškinta išsamiau. Generaliniam direktoriui pagrindinis priežiūros klausimas – ar nesutarimai pasiekia asmenį, galintį pakeisti duomenų tvarkymą, finansuoti apsaugos priemonę ar sustabdyti pasiūlymą, o ne vien patvirtinti dokumentą.

Vertinkite tiekėjus pagal vaidmenį, sutartį ir įgyvendinimą

Tiekėjų saugumo peržiūra ir BDAR tiekėjų peržiūra iš dalies sutampa, tačiau nėra tapačios. Pirmiausia nustatykite, ar tiekėjas yra duomenų tvarkytojas, savarankiškas duomenų valdytojas, bendras duomenų valdytojas, ar skirtingoms paslaugoms atlieka skirtingus vaidmenis.

Pagal 28 straipsnį duomenų valdytojai turi naudotis tik tokių duomenų tvarkytojų paslaugomis, kurie pakankamai garantuoja tinkamas technines ir organizacines priemones. Duomenų tvarkytojų santykiams reikia privalomos sutarties ar kito reikalavimus atitinkančio teisės akto, apimančio nustatytą turinį. Vien konfidencialumo sąlygos šiam reikalavimui neužtenka.

28 straipsnio reikalavimai apima:

• Duomenų tvarkymo dalyką, trukmę, pobūdį ir tikslą.
• Asmens duomenų rūšis ir duomenų subjektų kategorijas.
• Duomenų valdytojo pareigas ir teises.
• Tvarkymą tik pagal dokumentais įformintus nurodymus, įskaitant atitinkamas perdavimo nuostatas.
• Konfidencialumą ir 32 straipsnio saugumo priemones.
• Kitų duomenų tvarkytojų pasitelkimo sąlygas.
• Pagalbą įgyvendinant teisių prašymus ir vykdant nurodytas atitikties pareigas.
• Duomenų grąžinimą arba ištrynimą baigus teikti paslaugas, atsižvelgiant į taikomus teisinius reikalavimus.
• Informacijos ir audito tvarką atitikčiai įrodyti.

Greta susitarimo peržiūrėkite faktines paslaugos sąlygas. Tiekėjas gali pažadėti ištrinti duomenis, tačiau kai kuriuos žurnalus saugoti savo, kaip duomenų valdytojo, tikslu. Įmonių prenumerata gali riboti naudojimą mokymui, o bandomoji paskyra – ne. Duomenų tvarkytojas gali naudotis keliais subtvarkytojais, turinčiais skirtingas buvimo vietas ir pagalbos tvarką.

Pagal 28 straipsnį subtvarkytojų pasitelkimas gali būti leidžiamas konkrečiai arba bendrai. Kai naudojamas bendras rašytinis leidimas, duomenų tvarkytojas turi informuoti duomenų valdytoją apie numatomus papildymus ar pakeitimus ir suteikti galimybę prieštarauti. Praktinis klausimas – kas gauna tuos pranešimus ir juos įvertina, kol jie nedingo niekieno neprižiūrimoje pašto dėžutėje.

Sutarties peržiūrą laikykite atskirai nuo perdavimo vertinimo. 28 straipsnio susitarimas pats savaime nesuteikia V skyriuje numatyto perdavimo mechanizmo. Duomenų tvarkymo sutarties pasirašymas taip pat nenustato teisinio duomenų valdytojo veiklos pagrindo.

Nederinamas sąlygas vertinkite kaip verslo sprendimą

Mažesni klientai gali turėti ribotą derybinę galią. Dėl to ankstyvas vertinimas tampa dar svarbesnis, o ne neprivalomas. Dokumentuokite trūkumą, paprašykite galimų alternatyvų ir apsvarstykite konfigūracijos keitimą, duomenų mažinimą, kitos paslaugos pasirinkimą ar atsisakymą tęsti.

Kai privalomas reikalavimas lieka neįvykdytas, vadovybės patvirtinimas to neištaiso. Kai kalbama apie pasirinkimą tarp teisėtų galimybių su skirtinga likutine rizika, vadovybė gali priimti sprendimą remdamasi dokumentuotu patarimu. Pirkimų funkcija turėtų atskirti šias situacijas, o ne kaupti visus rūpesčius vienoje išimčių kategorijoje.

Tiekėjo peržiūra turėtų baigtis sprendimu, sąlygomis, nuorodomis į įrodymus ir pakartotinės peržiūros inicijavimo sąlygomis, o ne vien užpildytu klausimynu.

Teisių įgyvendinimą suplanuokite prieš sulaukdami pirmojo sudėtingo prašymo

15–22 straipsniuose numatytos teisės, įskaitant teisę susipažinti su duomenimis, teisę reikalauti ištaisyti, ištrinti, apriboti tvarkymą, teisę į duomenų perkeliamumą, teisę nesutikti ir apsaugą nuo tam tikrų vien automatizuotu tvarkymu grindžiamų sprendimų. Šioms teisėms taikomos skirtingos sąlygos ir išimtys; vienos darbo eigos „ištrinti viską“ visoms jų nepakaks.

Pagal 12 straipsnį organizacijos turi atsakyti nepagrįstai nedelsdamos ir paprastai per vieną mėnesį nuo prašymo gavimo. Prireikus, atsižvelgiant į sudėtingumą ir prašymų skaičių, terminą galima pratęsti dar ne daugiau kaip dviem mėnesiais, tačiau asmuo per pirmąjį mėnesį turi būti informuotas, nurodant priežastis. Prašymai paprastai nagrinėjami nemokamai; mokestis ar atsisakymas galimi tik reglamente nustatytomis sąlygomis, pavyzdžiui, kai prašymai akivaizdžiai nepagrįsti arba neproporcingi, ir tai turi pagrįsti duomenų valdytojas.

Sukurkite veiklos kelią, veikiantį pagalbos, personalo, pardavimų ir privatumo kanaluose:

1. Užfiksuokite gavimą, prašomas teises ir terminą.
2. Patvirtinkite atitinkamą duomenų valdytoją ir apimtį.
3. Proporcingai patikrinkite tapatybę, kai kyla pagrįstų abejonių.
4. Suraskite duomenis ir nustatykite susijusias sistemas, gavėjus ir duomenų tvarkytojus.
5. Įvertinkite taikomas sąlygas, išimtis ir kitų asmenų teises.
6. Parenkite atsakymą ar veiksmą ir jį peržiūrėkite.
7. Saugiai pateikite ir išsaugokite tinkamą įvykdymo įrašą.

Nereikalaukite asmens dokumentų įprastai, kai pakaktų mažiau ribojančio patikrinimo. Lygiai taip pat neatskleiskite jautrių įrašų vien todėl, kad kas nors žino el. pašto adresą. Pats patikrinimas yra asmens duomenų tvarkymas, todėl jam reikia proporcingo požiūrio.

Atsakymui į prašymą susipažinti paprastai reikia daugiau nei kategorijų sąrašo. 15 straipsnis apima tvarkomų asmens duomenų kopiją ir papildomą informaciją. Prieš atskleisdami peržiūrėkite trečiųjų asmenų informaciją ir teises; nelaikykite kito asmens vardo buvimo pagrindu neatskleisti nieko.

Teisė ištrinti nėra absoliuti. Gali būti taikomos teisinės saugojimo pareigos ir kitos 17 straipsnio išimtys. Kai ištrynimas būtinas, nustatykite, kaip jis pasiekia susijusias paslaugas ir atitinkamus gavėjus, ir kaip atkuriant atsargines kopijas išvengiama ištrintų įrašų atsitiktinio grąžinimo. Bet kokius teisėtus apribojimus paaiškinkite tiksliai.

Automatizavimas gali stebėti terminus ir organizuoti paieškas, tačiau kažkas turi nuspręsti, ar rezultatai išsamūs, ar redagavimai pagrįsti ir ar taikoma išimtis. Greitai sugeneruotas standartinis atsakymas nenaudingas, jei jame praleista sistema, kurioje yra prašomi duomenys.

Išsamesnė darbo eiga aprašyta straipsnyje apie prašymus susipažinti su duomenimis. Vadovybė turėtų periodiškai išbandyti reprezentatyvų prašymą nuo gavimo iki saugaus pateikimo, o ne pasikliauti vien paskelbta procedūra.

Naudokite PDAV sprendimui kvestionuoti prieš jį patvirtindami

35 straipsnyje numatytas poveikio duomenų apsaugai vertinimas privalomas prieš pradedant tvarkymą, kuris gali kelti didelį pavojų žmonių teisėms ir laisvėms. Reglamente nurodyti konkretūs atvejai, įskaitant tam tikrus reikšmingus automatizuotus vertinimus, didelio masto jautrių duomenų tvarkymą ir sistemingą didelio masto viešai prieinamų vietų stebėseną. Taip pat būtina atsižvelgti į atitinkamų priežiūros institucijų sąrašus.

Siūlomas veiklas atrinkite anksti. Kaip praktinė rekomendacija, išsaugokite argumentus, kai atranka parodo, kad PDAV nereikalingas, ypač ribiniais atvejais. Trumpas atrankos įrašas leidžia persvarstyti sprendimą, kai pasikeičia mastas, technologija ar tikslas.

Išsamus PDAV turėtų apimti keturis susijusius elementus:

• Sistemingą numatomo duomenų tvarkymo ir tikslų aprašymą, įskaitant, kai taikoma, teisėtus interesus.
• Būtinumą ir proporcingumą tų tikslų atžvilgiu.
• Pavojus asmenų teisėms ir laisvėms.
• Priemones, numatytas pavojams pašalinti ir atitikčiai įrodyti.

Nepradėkite ir nebaikite saugumo grėsmių sąrašu. Pirmiausia paklauskite, ar siūlomi duomenys, dažnumas, gavėjai ir sprendimų priėmimo procesas yra būtini. Mažiau ribojantis sprendimas gali pašalinti riziką veiksmingiau nei papildoma techninė kontrolės priemonė.

Pavyzdžiui, darbuotojų produktyvumo projektas gali siūlyti nuolat daryti ekrano kopijas. Šifravimas ir ribota prieiga galėtų sumažinti atskleidimo riziką, tačiau liktų rimtų klausimų dėl proporcingumo, stebėsenos, darbuotojų lūkesčių ir mažiau ribojančių priemonių tinkamumo. Verslo tikslą reikia išnagrinėti prieš tai, kai saugumo sprendimas gali įgauti prasmę.

Vertinkite riziką žmonėms, o ne tik įmonės pažeidžiamumą

Apsvarstykite finansinius nuostolius, diskriminaciją, piktnaudžiavimą tapatybe, konfidencialumo praradimą, atskirtį nuo paslaugų ir kitą susijusį poveikį. Scenarijus gali turėti ribotą finansinį poveikį įmonei ir didelį poveikį asmeniui.

Dokumentuokite siūlomas rizikos mažinimo priemones, už įgyvendinimą atsakingus asmenis ir likutinės rizikos vertinimą. Kai paskirtas DAP, kreipkitės į jį patarimo. Peržiūrėkite, ar veiklos ar rizikos pokyčiai reikalauja atnaujinti vertinimą.

36 straipsnis reikalauja iš anksto konsultuotis su priežiūros institucija, kai PDAV parodo, kad tvarkymas keltų didelį pavojų, jei nebūtų imtasi priemonių jam sumažinti. Jei organizacija negali pakankamai sumažinti to didelio pavojaus, ji negali privalomos konsultacijos pakeisti vidiniu statusu „priimta“. Vadovybė gali perprojektuoti, atidėti ar atsisakyti veiklos; ji negali disponuoti kitų žmonių teisėmis taip, tarsi tai būtų vien komercinė rizika.

Susiekite reagavimą į incidentus su BDAR pranešimo sprendimais

Asmens duomenų saugumo pažeidimas apima saugumo pažeidimą, dėl kurio netyčia arba neteisėtai sunaikinami, prarandami, pakeičiami, be leidimo atskleidžiami asmens duomenys arba prie jų be leidimo gaunama prieiga. Tai platesnė sąvoka nei užpuoliko pavogta duomenų bazė. Vertinimo gali prireikti dėl ne tam gavėjui išsiųsto priedo, pamesto neapsaugoto įrenginio ar incidento, paveikusio asmens duomenų prieinamumą ar vientisumą.

Pagal 33 ir 34 straipsnius duomenų valdytojai vertina dvi skirtingas pranešimo ribas:

72 valandų terminas skaičiuojamas nuo sužinojimo, o ne tiesiog nuo pirminio incidento laiko žymos ar kitos darbo dienos. Jei pranešama vėliau, kartu turi būti nurodytos vėlavimo priežastys. Informaciją galima teikti etapais, jei visos jos neįmanoma pateikti iš karto be tolesnio nepagrįsto delsimo.

Eskalavimo grandinę parenkite iš anksto: incidento vadovas, privatumo patarėjas, atsakingas duomenų valdytojo sprendimus priimantis asmuo, techniniai tyrėjai, komunikacija ir tiekėjų kontaktai. Atitinkamos institucijos pranešimo kanalą susiraskite dar iki ekstremalios situacijos. Duomenų tvarkytojas neturėtų laukti savo galutinės rizikos išvados, prieš informuodamas duomenų valdytoją.

Incidento įraše turėtų būti užfiksuota, kas nutiko, kokie duomenys ir žmonės paveikti, tikėtinos pasekmės, suvaldymas ir ištaisymas bei pranešimo sprendimai. 33 straipsnio 5 dalis reikalauja dokumentuoti asmens duomenų saugumo pažeidimus, įskaitant jų faktus, poveikį ir taisomuosius veiksmus. Išsaugokite nepranešimo argumentus, kad sprendimą būtų galima suprasti vėliau.

Šifravimas gali paveikti rizikos ir 34 straipsnio analizę, bet tik tada, kai jo apsauga yra aktuali ir veiksminga. „Paslauga naudoja šifravimą“ nepakanka, jei užpuolikas pasiekė atvirąjį tekstą per pažeistą paskyrą. 34 straipsnyje numatytos ir kitos išimtys, pavyzdžiui, vėliau taikytos priemonės, užtikrinančios, kad didelis pavojus nebegalėtų kilti; vertinkite faktines sąlygas, o ne taikykite bendrą išimtį.

Išbandykite vieną scenarijų, kuriame dalyvauja tiekėjas, ir kitą, susijusį su vidiniu atskleidimu. Pratybos turėtų tikrinti įrodymų rinkimą ir sprendimų įgaliojimus, o ne tik techninį suvaldymą.

Tarptautinius perdavimus vertinkite atskirai

V skyriaus perdavimo reikalavimai taikomi greta likusių BDAR nuostatų. Perdavimo mechanizmas nesuteikia 6 straipsnio teisinio pagrindo, o teisinis pagrindas nepanaikina tinkamos perdavimo tvarkos poreikio.

Sudarykite faktinių gavėjų ir prieigos kelių žemėlapį. Duomenų laikymas ES duomenų centre yra svarbus faktas, tačiau pats savaime neįrodo, kad neįvyksta jokio perdavimo į trečiąją šalį ar kad visos privatumo pareigos įvykdytos. Apsvarstykite pagalbos prieigą, subtvarkytojus, administracinę prieigą, tolesnį atskleidimą ir dalyvaujančias šalis.

BDAR perdavimo sistema apima sprendimus dėl tinkamumo pagal 45 straipsnį, tinkamas apsaugos priemones pagal 46 straipsnį ir ribotas nukrypti leidžiančias nuostatas pagal 49 straipsnį. Sprendimo priėmimo metu patikrinkite atitinkamą mechanizmą ir jo taikymo sritį.

Kai remiamasi tinkamumo susitarimu, taikomu tik dalyvaujančioms organizacijoms, patikrinkite tikslų gavėją ir aprėpiamą veiklą. Grupės įmonė ar panašus prekybinis pavadinimas nebūtinai yra aprėpiamas gavėjas. Išsaugokite patikros rezultatą ir datą.

Kai naudojamos standartinės sutarčių sąlygos, pasirinkite sąlygas, atitinkančias faktinius šalių vaidmenis, ir užpildykite atitinkamus priedus. Įvertinkite paskirties šalies teisę ir praktiką bei tai, ar reikia papildomų priemonių, kad apsauga būtų veiksminga. Vien pasirašyta sutartis neatsako į visus perdavimo rizikos klausimus.

Praktinėje perdavimo byloje turėtų būti nurodyti duomenų eksportuotojas ir importuotojas, duomenys ir tikslai, buvimo vietos ir prieiga, tolesni perdavimai, pasirinktas mechanizmas, atitinkamas vertinimas, techninės ar organizacinės priemonės ir peržiūros inicijavimo sąlygos. Tiekėjo dokumentacija gali padėti šiame darbe, tačiau klausimas, ar tiekėjas „turi vertinimą“, nėra tas pats, kas įvertinti atitinkamas jo išvadas.

Vadovybė turėtų žinoti, kurios paslaugos priklauso nuo konkretaus mechanizmo ir kokie pokyčiai pareikalautų pakartotinio vertinimo. Tai padeda parengti apgalvotą nenumatytų atvejų planą, nereiškiant, kad kiekvienam tiekėjui reikia vienodos sutartinės atsarginės galimybės.

DI naudojimą vertinkite kaip duomenų tvarkymą, o ne tik kaip naują įrankį

Dėl DI programos gali atsirasti naujų gavėjų, ji gali išvesti papildomą asmeninę informaciją, saugoti užklausas ar sudaryti sąlygas naujam tikslui. Šie pokyčiai svarbūs net jei programa pakartotinai naudoja esamą organizacijos vieningą prisijungimą ir prieigos kontrolę.

Prieš patvirtindami asmens duomenų naudojimą DI paslaugoje, nustatykite:

• Tikslią užduotį ir ar asmens duomenys būtini.
• Įvesties, išvesties ir paveiktų asmenų kategorijas.
• Tiekėjo vaidmenį kiekvienam naudojimui, įskaitant bet kokius mokymo ar tobulinimo tikslus.
• Saugojimą, žmonių prieigą, subtvarkytojus ir perdavimo tvarką.
• Sutartinius įsipareigojimus ir atitinkamus konfigūracijos nustatymus.
• Tikslumo, atskleidimo, teisių įgyvendinimo ir sprendimų priėmimo rizikas.

Nemanykite, kad kiekvienas modelio tiekėjas yra išimtinai duomenų tvarkytojas. Jo vaidmuo priklauso nuo jo atliekamo tvarkymo ir jo nustatomų tikslų. Taip pat 28 straipsnio susitarimas automatiškai nepadaro siūlomo perdavimo teisėtu. Įvertinkite tikslą, teisinį pagrindą, skaidrumą, būtinumą ir visus kitus taikomus reikalavimus.

Jei pati įmonė yra duomenų tvarkytoja, DI tiekėjo įtraukimas gali sukurti subtvarkytojo santykį. Prieš siųsdami klientų duomenis, patikrinkite klientų nurodymus ir sutartą leidimo procesą. Naujo sutarties pakeitimo ne visada reikia, tačiau būtina laikytis esamos sutartinės ir teisės aktais nustatytos tvarkos.

22 straipsnis apima tam tikrus vien automatizuotu tvarkymu grindžiamus sprendimus, sukeliančius teisinių pasekmių ar panašų reikšmingą poveikį. Formali žmogaus peržiūra problemos neišsprendžia, jei peržiūrintis asmuo negali prasmingai įvertinti ar pakeisti rezultato. Įdarbinimo, tinkamumo ir finansiniams sprendimams reikia ypatingo dėmesio.

Dirbtinio intelekto akte ir BDAR nustatytos skirtingos pareigos. Dirbtinio intelekto akto vertinimas neatstoja PDAV, o BDAR atitiktis neįrodo atitikties Dirbtinio intelekto aktui. Taikymo datoms nustatyti naudokite dabartinę Europos Komisijos Dirbtinio intelekto akto apžvalgą, o ne perkelkite seną paleidimo grafiką į dabartinį projektą.

Vidiniame privatumo darbe DI gali rengti aprašymų projektus iš patvirtintų šaltinių, lyginti dokumentus ar siūlyti klausimus. Jo rezultatus laikykite projektu. Įtikinamai atrodantis teisinis pagrindas, praleistas gavėjas ar neteisingas teiginys apie saugojimą gali iš esmės iškreipti gražiai parengtą dokumentą.

Automatizuokite koordinavimą, išsaugodami atskaitingą peržiūrą

Augančios organizacijos sukaupia pasikartojančio darbo: duomenų tvarkymo įrašų atnaujinimai, teisių prašymų terminai, tiekėjų dokumentai, vertinimų veiksmai, įrodymų galiojimo pabaiga ir peržiūros sprendimai. Automatizavimas gali organizuoti įvestis ir terminus. Jis neturėtų užtemdyti skirtumo tarp informacijos rinkimo ir pagrįstos išvados priėmimo.

Pradėkite nuo stabilaus proceso ir aiškios atsakomybės. Automatizuojant neaiškų perdavimą, neaiškumas gali tiesiog greičiau pasklisti. Apibrėžkite, kas inicijuoja užduotį, kas ją gauna, kokių įrodymų reikia, kas peržiūri rezultatą ir kas užbaigia darbą.

Rengiant dokumentus padedant DI, išsaugokite patvirtintus šaltinius ir nurodykite neaiškumus. Neleiskite sugeneruotai santraukai tyliai pakeisti tiekėjo sutarties ar vertinimo. Peržiūrintys asmenys turėtų gebėti atskirti pateiktus faktus, išvestinius pasiūlymus ir neišspręstus klausimus.

Mažiausių privilegijų principą taikykite ir pačiai darbo eigai. Teisių prašymų bylose, incidentų įrašuose ir darbuotojų vertinimuose gali būti jautrios informacijos. Plati prieiga prie atitikties darbo erdvės gali pakenkti būtent tiems apribojimams, kurie dokumentuojami. Įrodymuose sumažinkite asmens duomenų kiekį ir apribokite prieigą prie medžiagos, kurioje identifikavimas iš tiesų būtinas.

Naudingi valdymo rodikliai apima vėluojančius veiksmus, trūkstamus savininkus, įrašus, laukiančius peržiūros po reikšmingo pokyčio, ir kontrolės priemones su pasenusiais ar nepakankamais įrodymais. Paprasti dokumentų skaičiai yra mažiau informatyvūs. Matuokite, ar sprendimai ir taisomieji darbai užbaigiami, o ne tik ar sugeneruota daugiau teksto.

Išnagrinėtas pavyzdys: rinkodaros integracija, pakartotinai naudojanti saugumo kontrolės priemones

Toliau pateiktas pavyzdys yra iliustracinis. Tarkime, auganti B2B programinės įrangos įmonė turi nusistovėjusią klientų duomenų bazę, ISMS, apimančią jos gamybinę paslaugą, ir siūlomą kampanijų platformą. Rinkodaros komanda nori siųsti įvadinius pranešimus, o vėliau reklamuoti papildomus produktus. Platforma gautų kontaktinius duomenis, produkto naudojimo įvykius ir laisvo teksto pagalbos pastabas. Jokie realūs klientų rezultatai ar Secani funkcijos nėra numanomi.

1. Atskirkite siūlomus tikslus

Pirminiame prašyme rašoma „pagerinti klientų įsitraukimą“. Verslo savininkas jį perrašo į konkrečius tikslus: būtinas paslaugos įvedimas, neprivalomi reklaminiai pranešimai ir kampanijų efektyvumo analizė.

Privatumo vertintojas įvertina kiekvieno tikslo pagrindą, o ne taiko sutartį su klientu visiems trims. Reklaminiams pranešimams taip pat gali būti taikomos nacionalinės elektroninės rinkodaros taisyklės. Įmonė nemano, kad vien BDAR teisėtų interesų analizė išsprendžia šiuos atskirus reikalavimus.

Pirmasis rezultatas – sprendimas dėl tikslo ir pagrindo su priskirtais neišspręstais klausimais. Rinkodaros komanda negali pradėti išplėsto naudojimo vien todėl, kad integracija išlaikė techninę saugumo patikrą.

2. Sumažinkite siūlomą duomenų srautą

Pagalbos pastabos patogios personalizavimui, tačiau nereikalingos patvirtintam įvadiniam pranešimui. Jose taip pat gali būti informacijos, kurios pakartotinio panaudojimo rinkodarai klientai nesitikėjo. Sprendimas jas pašalina.

Techninis savininkas apriboja produkto įvykius tik tais, kurių reikia patvirtintai darbo eigai, ir neįtraukia išsamios naudotojų istorijos, kai pakanka apibendrintų ar paprastesnių įvykių duomenų. Tai sumažina pažeidžiamumą dar prieš pridedant kitą kontrolės priemonę.

Duomenų tvarkymo įraše dabar aprašyti faktiniai laukai, paveikti naudotojai, gavėjas, tikslai ir saugojimo būdas. Privatumo pranešimas peržiūrimas atsižvelgiant į patvirtintą veiklą, o ne į pirminį platų prašymą.

3. Patikrinkite tiekėjo ir perdavimo tvarką

Pirkimų funkcija nustato platformos vaidmenį vykdant kampanijas ir patikrina, ar tiekėjas neturi atskirų savo tikslų. Komanda peržiūri 28 straipsnio susitarimą, subtvarkytojų tvarką, ištrynimo sąlygas, pagalbos prieigą ir taikomą perdavimo mechanizmą.

ES duomenų laikymo galimybė užfiksuojama kaip svarbus faktas, o ne laikoma perdavimo analizės pabaiga. Jei trūksta reikiamos informacijos, užduotis lieka atvira, o paleidimo sąlygoje nurodoma, ką reikia išspręsti.

4. Atsargiai pakartotinai naudokite saugumo įrodymus

Integracija gali pakartotinai naudoti įmonės tapatybės kontrolės priemones ir esamą prieigos valdymo procesą. Šių kontrolės priemonių įrodymai susiejami, o ne kuriami iš naujo. Tačiau naujoji kampanijų platforma turi savo leidimus, eksportus ir saugojimo nustatymus.

Saugumo savininkas įvertina paskyros perėmimą, neleistiną masinį eksportą, neteisingą įvykių susiejimą ir atsisakymo nuostatų praradimą. Komanda apriboja prieigą, patvirtina reikiamus integracijos leidimus, išbando susiejimą su tinkamais bandomaisiais duomenimis ir patikrina, kaip įrašai ištrinami ar blokuojami.

Esamos gamybinės paslaugos atkūrimo pratybos neįrodo, kad kampanijų nuostatas galima teisingai atkurti. Savininkas atskirai patikrina šiai darbo eigai aktualų atkūrimo elgesį.

5. Užbaikite vertinimą ir patvirtinimą

Privatumo vertintojas, remdamasis faktine veikla, atlieka PDAV atranką ir užfiksuoja argumentus. Komanda taip pat patikrina, kaip prašymai susipažinti, prieštaravimai ir prašymai ištrinti pasiekia platformą. Ypač svarbu, kad prieštaravimas dėl rinkodaros nebūtų panaikintas kito duomenų bazės sinchronizavimo metu.

Vadovybė peržiūri glaustą sprendimo paketą: patvirtinti tikslai, pašalinti duomenys, tiekėjo ir perdavimo išvados, apsaugos priemonės, atviros sąlygos, teisių įgyvendinimas ir įvardyti savininkai. Bet koks neišspręstas privalomas reikalavimas blokuoja paveiktą duomenų tvarkymą, o ne paverčiamas priimta komercine išimtimi.

6. Išsaugokite kitą inicijavimo sąlygą

Patvirtinimas susietas su įvertinta konfigūracija. Elgsenos vertinimo pridėjimas, pagalbos pastabų įkėlimas, tiekėjo mokymo sąlygų pakeitimas ar naujo gavėjo įtraukimas inicijuoja peržiūrą. Komanda gali pakartotinai naudoti nepasikeitusius saugumo įrodymus, iš naujo vertindama naujus privatumo klausimus.

Tai esminis skirtumas: bendros apsaugos priemonės gali likti galioti, kol tikslas, gavėjas ar poveikis žmonėms reikšmingai keičiasi.

Pradėkite taikyti metodą nuo siauros pirmosios taikymo srities

Pasirinkite vieną duomenų tvarkymo veiklą, turinčią matomą verslo savininką ir valdomas priklausomybes. Klientų pagalba, darbuotojų įvedimas ar reprezentatyvi produkto darbo eiga gali atskleisti trūkumus, nereikalaudama pirmiausia pertvarkyti visos organizacijos.

Kaip praktinė rekomendacija, pradėkite nuo keturių rezultatų:

• Suderintas duomenų tvarkymo aprašymas ir vaidmenų vertinimas.
• Privatumo sprendimų sąrašas, įskaitant pagrindą, pranešimą, saugojimą, teises ir PDAV atranką.
• Scenarijais grindžiamas apsaugos priemonių vertinimas, susietas su esamais saugumo įrodymais.
• Patvirtinimo įrašas su savininkais, atvirais veiksmais ir pokyčių inicijavimo sąlygomis.

Secani komandos gali pradėti nuo siauros taikymo srities, modeliuoti palaikančias programas, sistemas, paslaugas ir tiekėjus bei susieti įrodymus su reikalavimais, kontrolės priemonėmis ir sprendimais. Trūkstami įrodymai ir neišspręsti peržiūros klausimai gali tapti priskirtomis užduotimis. DI padedami pasiūlymai lieka projektu, su šaltinių atsekamumu ir aiškiu žmogaus patvirtinimu. Taip saugumo ir privatumo vertintojai gauna bendrą įrodymų kontekstą, o jų atskiros išvados lieka matomos; tai nepakeičia duomenų tvarkymo įrašų, teisių įgyvendinimo ar teisinės analizės.

Plėskite tik tada, kai pirmoji darbo eiga išbandyta praktikoje. Išbandykite ją tiekėjo pakeitimu, teisių prašymu ir atitinkamu incidento scenarijumi. Jei komanda negali nustatyti savininko, rasti įrodymų ar paaiškinti sprendimo, ištaisykite veiklos procesą prieš pridėdami daugiau veiklų.

Vadovybinei peržiūrai užduokite tris klausimus: ar įrašas atitinka dabartinį duomenų tvarkymą, ar apsaugos priemonės atsižvelgia į pasekmes žmonėms ir ar reikšmingas pokytis patikimai atvers sprendimą iš naujo? Šie klausimai yra praktinis kitas žingsnis siejant saugumo užtikrinimą su BDAR atskaitomybe.

Klausimai, kuriuos vadovybė turėtų aiškiai išspręsti

Ar generalinis direktorius gali patvirtinti BDAR išimtį?

Vadovybė gali rinktis tarp teisėtų galimybių ir skirti išteklių rizikai valdyti. Ji negali atsisakyti teisės aktais nustatytų reikalavimų, leisti tvarkyti duomenis be taikomo pagrindo ar privalomą išankstinę konsultaciją pakeisti vidiniu patvirtinimu.

Ar kiekvienam duomenų tvarkymo pokyčiui reikia naujo PDAV?

Ne. Įvertinkite pokytį pagal didelio pavojaus ribą ir peržiūrėkite esamus vertinimus, kai keičiasi veikla ar rizika. Dokumentuotas atrankos sprendimas naudingesnis nei automatinis išsamaus PDAV rengimas ar prielaida, kad senas rezultatas visada galioja.

Ką peržiūrėti pirmiausia, kai ištekliai riboti?

Pirmenybę teikite duomenų tvarkymui, galinčiam sukelti rimtų pasekmių žmonėms, neišspręstiems teisėtumo ar sutartiniams klausimams ir veiklos terminams, pavyzdžiui, teisių prašymams ir reagavimui į pažeidimus. Įrodymų spragomis vadovaukitės tyrimui, tačiau nemanykite, kad veikla, kuriai trūksta daugiausia dokumentų, būtinai kelia didžiausią riziką.

Kuri institucija užtikrina BDAR vykdymą ir kiek gali kainuoti pažeidimai?

Nustatykite kompetentingą priežiūros institituciją atitinkamam duomenų tvarkymui. Reikalavimus atitinkančio tarpvalstybinio tvarkymo atveju vadovaujančios institucijos mechanizmas paprastai priklauso nuo duomenų valdytojo ar tvarkytojo pagrindinės arba vienintelės buveinės ES, dalyvaujant kitoms susijusioms institucijoms. 27 straipsnio atstovas nesukuria buveinės ES ir nesuteikia prieigos prie šio mechanizmo.

83 straipsnyje numatytos dvi pagrindinės didžiausių administracinių baudų pakopos: iki 10 mln. EUR arba 2 % įmonės bendros metinės pasaulinės ankstesnių finansinių metų apyvartos ir iki 20 mln. EUR arba 4 %, taikant didesnę sumą kiekvienoje pakopoje. Taikoma pakopa priklauso nuo pažeidimo; tai yra viršutinės ribos, o ne automatinės sankcijos. Institucijos atsižvelgia į aplinkybes ir taip pat gali nurodyti imtis taisomųjų veiksmų ar apriboti duomenų tvarkymą. 82 straipsnyje atskirai numatyta teisė į kompensaciją, kai dėl pažeidimo patiriama materialinė ar nematerialinė žala.