VDAR un drošība: sasaistiet aizsardzības pasākumus ar apstrādi

Labi pārvaldīta informācijas drošības pārvaldības sistēma nodrošina VDAR vajadzībām noderīgus procesus: piekļuves pārvaldību, incidentu apstrādi, piegādātāju novērtēšanu un noturību. Privātuma darbā tiek jautāts arī, kāpēc apstrāde ir likumīga, samērīga un pārredzama. Šie jautājumi satiekas vienā un tajā pašā biznesa darbībā, taču tiem nepieciešami atšķirīgi lēmumi.

Vadības uzdevums ir tos sasaistīt, neuzskatot vienu par otra aizstājēju. Drošā klientu datubāzē joprojām var būt informācija, ko uzņēmumam nevajadzēja vākt. Derīgs līgums ar klientu nepierāda, ka ikvienam ar piekļuvi datubāzei šī piekļuve ir nepieciešama. ISO 27001 sertifikāts neatrisina ne vienu, ne otru jautājumu.

Tāpēc praktiskais sākumpunkts ir apstrāde, nevis kontroļu katalogs. Identificējiet, ko uzņēmums vēlas darīt ar personas datiem, izvērtējiet, vai šī darbība ir pieļaujama, un pēc tam izvēlieties aizsardzības pasākumus kļūmes sekām. Saglabājiet argumentāciju, pierādījumus, atbildīgo īpašnieku un nākamo notikumu, kam būtu jāierosina pārskatīšana.

Nosakiet, kura apstrāde un kuri pienākumi ir tvērumā

Vispārīgā datu aizsardzības regula regulē personas datu apstrādi. Apstrāde ietver vākšanu, glabāšanu, aplūkošanu, izpaušanu, pārveidošanu un dzēšanu. Personas dati ir informācija, kas attiecas uz identificētu vai identificējamu fizisku personu; tie neaprobežojas ar vārdiem vai acīmredzami sensitīviem ierakstiem.

Darba e-pasta adreses, darbinieku identifikatori, ierīču identifikatori, atrašanās vietas vēstures un atbalsta sarunas var būt personas dati. Tas, vai konkrēts identifikators ir personas dati, ir atkarīgs no konteksta un līdzekļiem, kurus, visticamāk, varētu izmantot personas identificēšanai. Vārdu aizstāšana ar atsauces numuriem parasti rada pseidonimizētus, nevis anonīmus datus, ja atkārtota identificēšana joprojām ir iespējama. Uz pseidonimizētiem personas datiem joprojām attiecas VDAR.

Pārbaudiet teritoriālo tvērumu, pirms izvēlaties darbības modeli

VDAR 3. pants aptver apstrādi saistībā ar uzņēmējdarbības vietu ES pat tad, ja pati apstrāde notiek citur. Tas var aptvert arī organizāciju ārpus ES, ja tās apstrāde ir saistīta ar preču vai pakalpojumu piedāvāšanu personām Savienībā vai to uzvedības uzraudzību tur. Tīmekļa vietnes pieejamība vien neatrisina mērķauditorijas jautājumu; izvērtējiet faktisko piedāvājumu un uzraudzības darbību.

Ja piemērojams 3. panta 2. punkts, 27. pants var prasīt pārstāvi Savienībā. Tā izņēmumi ir ierobežoti un nav atkarīgi vienkārši no uzņēmuma lieluma. Arī izņēmumam par neregulāru apstrādi jāizpilda noteiktie nosacījumi attiecībā uz sensitīviem datiem un risku. Pārstāvis neaizstāj pārzini, datu aizsardzības speciālistu vai atbildīgo vadību.

VDAR stājās spēkā 2016. gada 24. maijā un tiek piemērota kopš 2018. gada 25. maija. Pašreizējiem lēmumiem nošķiriet spēkā esošos tiesību aktus no ierosinātiem vienkāršojumiem. Paziņojums presei par iespējamu izņēmumu nav pamats esoša atbilstības procesa pārtraukšanai.

Nosakiet lomas pēc darbības, nevis pēc uzņēmuma apzīmējuma

Pārzinis nosaka apstrādes nolūkus un līdzekļus. Apstrādātājs apstrādā personas datus pārziņa vārdā. Kopīgi pārziņi kopīgi nosaka nolūkus un līdzekļus, un viņiem nepieciešama 26. panta vienošanās, kas atspoguļo viņu attiecīgos pienākumus.

Vienam uzņēmumam var būt vairākas lomas. Programmatūras nodrošinātājs var būt apstrādātājs klientu augšupielādētiem ierakstiem un pārzinis savai algu aprēķinam, kontu administrēšanai un dažām drošības darbībām. Piegādātāja līgumā norādītais apzīmējums ir būtisks, taču tas nevar būt noteicošāks par to, ko puses faktiski dara.

Sākotnējam rezultātam jābūt īsam tvēruma lēmumam: piemērojamās darbības, organizatoriskās vienības, pārziņa vai apstrādātāja lomas, tirgi un neatrisinātie jautājumi. Piešķiriet īpašnieku neskaidrību atrisināšanai, pirms saistītā apstrāde sākas vai paplašinās.

Nošķiriet biznesa nolūku no tiesiskā pamata

VDAR 5. un 6. pants veido pamatu parastai personas datu apstrādei. Drošība ir daļa no šī pamata, nevis ceļš, kā to apiet.

Regulas 5. panta principi parasti tiek uzskaitīti kā septiņi: likumīgums, godprātība un pārredzamība; nolūka ierobežojums; datu minimizēšana; precizitāte; glabāšanas ierobežojums; integritāte un konfidencialitāte; un pārskatatbildība. Pārskatatbildība prasa, lai pārzinis būtu atbildīgs par atbilstību un spētu to uzskatāmi parādīt. Tā neprasa konkrētu programmatūras produktu, taču prasa pamatojamu skaidrojumu, ko atbalsta atbilstoši pierādījumi.

Pārvērtiet katru principu biznesa jautājumā:

Izvēlieties pamatu katram nolūkam

Regulas 6. pants paredz sešus tiesiskos pamatus. To nosacījumi ir svarīgāki par to nosaukumiem:

• Piekrišana: brīvi sniegta, konkrēta, apzināta un viennozīmīga piekrišanas izpausme ar iespēju to atsaukt.
• Līgums: apstrāde, kas nepieciešama līguma ar personu izpildei vai pēc tās pieprasījuma veicamiem pasākumiem pirms līguma noslēgšanas.
• Juridisks pienākums: apstrāde, kas nepieciešama, lai izpildītu piemērojamu juridisku pienākumu.
• Vitālas intereses: apstrāde, kas nepieciešama, lai aizsargātu kādas personas vitālas intereses.
• Sabiedrības interesēs veicams uzdevums: apstrāde, kas nepieciešama sabiedrības interesēs veicama uzdevuma izpildei vai likumīgi piešķirto oficiālo pilnvaru īstenošanai ar nepieciešamo juridisko pamatu.
• Leģitīmas intereses: apstrāde, kas nepieciešama leģitīmām interesēm, ievērojot šo interešu līdzsvarošanu ar personas interesēm, tiesībām un brīvībām.

Neuzskaitiet vairākus pamatus kā savstarpēji aizstājamu apdrošināšanu. Nosakiet pamatu, kas faktiski pamato katru nolūku, un precīzi to paziņojiet. Noteikuma pievienošana līgumam ar klientu automātiski nepadara apstrādi nepieciešamu šim līgumam. Tāpat leģitīmām interesēm nepieciešams novērtējums; tās nav vispārēja atļauja izmantot pieejamos datus.

Kā praktisku ieteikumu dokumentējiet leģitīmo interešu novērtējumu, aptverot īstenoto interesi, nepieciešamību, ietekmi uz cilvēkiem, viņu saprātīgās gaidas un aizsardzības pasākumus. Apsveriet mazāk aizskarošas alternatīvas. Saglabājiet analīzi samērīgu ar darbību, bet pietiekami konkrētu, lai to saprastu kāds ārpus projekta.

Piekrišana nav universāli drošāka. Tai jābūt patiesi brīvprātīgai, ja apstākļi prasa izvēli, un atsaukšanai jādarbojas praksē. Darba attiecībās rodas īpašas bažas par to, vai piekrišana ir sniegta brīvi. Atsaukšana izbeidz uz šīs piekrišanas pamata veikto apstrādi turpmāk; tā automātiski neizdzēš ierakstus, uz kuriem attiecas atsevišķi likumīgi glabāšanas pienākumi. Nepārslēdziet to pašu apstrādi ar atpakaļejošu spēku uz citu pamatu tikai tāpēc, ka piekrišana ir atsaukta. Jebkurai atsevišķai apstrādei, piemēram, likumā noteiktai glabāšanai, nepieciešams savs piemērojams pamats un atbilstoša pārredzamība.

Īpašu kategoriju datiem, piemēram, veselības informācijai, papildus 6. panta pamatam nepieciešams 9. panta nosacījums. Datiem par sodāmību un pārkāpumiem ir atsevišķas 10. panta prasības. Uzņēmumam nevajadzētu apstiprināt nevienu no šīm kategorijām tikai tāpēc, ka parastā klientu datu apstrāde jau ir izvērtēta.

Izveidojiet apstrādes reģistru, kas var virzīt lēmumus

VDAR 30. panta apstrādes darbību reģistri ir noderīgi, jo tie sasaista juridisko analīzi ar darbības realitāti. Pārziņa reģistrā ietver nolūkus, datu subjektu un datu kategorijas, saņēmējus, nosūtīšanu, paredzētos dzēšanas termiņus, ja iespējams, un vispārīgu drošības pasākumu aprakstu, ja iespējams. Apstrādātājiem ir atšķirīgs reģistra pienākums, kas aptver apstrādi, ko tie veic pārziņu vārdā.

Izņēmums organizācijām ar mazāk nekā 250 darbiniekiem ir nosacīts. Tas neattiecas uz apstrādi, kas nav neregulāra, var radīt noteikto risku vai ietver noteiktās sensitīvās kategorijas. Nelielam uzņēmumam ar pastāvīgu darbinieku vai klientu datu apstrādi nevajadzētu pieņemt, ka darbinieku skaits atceļ tā reģistra pienākumus.

Izmantojiet apstrādes darbības kā organizējošo vienību. „Mākoņinfrastruktūra” parasti ir pārāk plašs apzīmējums, lai izskaidrotu, kāpēc dati tiek apstrādāti. „Klientu atbalsta pieprasījumu pārvaldība” ir noderīgāka, jo tai ir nolūks, identificējamas personas, datu kategorijas, saņēmēji, glabāšanas noteikumi un atbalstošās sistēmas.

Praktisks darba reģistrs var pārsniegt likumā noteiktos laukus:

• Biznesa īpašnieks un privātuma pārskatītājs.
• Nolūks un attiecīgais tiesiskais pamats.
• Datu avoti, kategorijas un skartās grupas.
• Pārziņa, apstrādātāja vai kopīgu pārziņu attiecības.
• Lietotnes, eksporti, žurnāli un turpmākie saņēmēji.
• Glabāšanas noteikumi un tas, kā tiek veikta dzēšana.
• Atsauces uz paziņojumiem, tiesību pieprasījumu apstrādi, piegādātājiem un nosūtīšanu.
• Novērtējuma par ietekmi uz datu aizsardzību sākotnējās pārbaudes rezultāts un saistītie aizsardzības pasākumi.
• Apstiprināšanas datums, neatrisinātās darbības un pārskatīšanas ierosinātāji.

Papildu lauki ir ieteikums koordinācijai, nevis apgalvojums, ka 30. pants skaidri prasa katru elementu. To vērtība ir tā, ka tie padara reģistru izmantojamu produkta palaišanas, piekļuves pieprasījuma, piegādātāja maiņas vai incidenta laikā.

Saskaņojiet reģistru ar sistēmām, ko cilvēki faktiski izmanto

Ikgadēja anketa, visticamāk, neatklās katru izklājlapas eksportu, izmēģinājuma lietotni vai komandas līmeņa mākslīgā intelekta abonementu. Salīdziniet reģistru ar iepirkumu informāciju, apstiprināto lietotņu sarakstiem, sistēmu inventāriem un intervijām ar procesu īpašniekiem. Pārskatiet koplietojamos diskus un manuālās nodošanas, ja tās būtiski ietekmē darbību.

Nejauciet aktīvu inventāru ar apstrādes reģistru. Aktīvu inventārs izskaidro sistēmas un atkarības; apstrādes reģistrs izskaidro personas datu izmantošanu. Sasaistiet tos tā, lai viena lietotne varētu atbalstīt vairākus nolūkus, nesapludinot šos nolūkus vienā neskaidrā aprakstā.

Papildu kontekstu par darbplūsmu skatiet rakstā par datu atklāšanu un privātumu. Atklāšanas rezultātā jārodas pārskatāmam neatbilstību sarakstam, nevis pieņēmumam, ka katrs atklātais lauks ir pareizi klasificēts vai juridiski izvērtēts.

Pārvērtiet 32. pantu aizsardzības pasākumos reālām sekām

VDAR 32. pants prasa pārziņiem un apstrādātājiem īstenot riskam atbilstošus tehniskos un organizatoriskos pasākumus. Novērtējumā ņem vērā jaunākās tehnoloģijas, īstenošanas izmaksas, apstrādes raksturu, apmēru, kontekstu un nolūkus, kā arī risku iespējamību un smagumu attiecībā uz cilvēku tiesībām un brīvībām.

Attiecīgās sekas ietver nejaušu vai nelikumīgu iznīcināšanu, nozaudēšanu, pārveidošanu, neatļautu izpaušanu un neatļautu piekļuvi. Tāpēc līdzās konfidencialitātei svarīga ir pieejamība un integritāte. Piekļuves zaudēšana pakalpojumam var kaitēt cilvēkiem pat tad, ja dati nav nozagti.

Vispārīgs apgalvojums, ka „tiek piemērota nozares standarta drošība”, nav pietiekams, lai izskaidrotu, kāpēc aizsardzības pasākumi atbilst konkrētai darbībai. Sāciet ar scenārijiem: kurš varētu tikt skarts, kas varētu notikt, cik tas ir ticams un cik smaga varētu būt ietekme. Pēc tam sasaistiet katru svarīgu scenāriju ar novēršanas, atklāšanas un atjaunošanas pasākumiem.

Piekļuves ierobežojumiem jāatbilst nolūkam

Atbalsta darbībai jautājiet, kuriem aģentiem kuri klientu ieraksti nepieciešami, vai sensitīviem pielikumiem nepieciešami atsevišķi ierobežojumi un kad pagaidu piekļuvei jābeidzas. Apsveriet priviliģēto administrēšanu, piegādātāju atbalsta piekļuvi, masveida eksportus, koplietojamos kontus un ārkārtas piekļuvi.

Noderīgi pierādījumi ietver lomu definīcijas, piekļuves apstiprinājumus, pieņemšanas darbā, pārcelšanas un aiziešanas ierakstus, priviliģētās piekļuves kārtību un pabeigtus piekļuves pārskatus. Piekļuves politika pierāda iecerētu noteikumu. Nesens pārskats, kas parāda, ka nevajadzīgas atļaujas ir noņemtas, sniedz pierādījumus, ka noteikums tiek piemērots.

Vadībai jājautā, vai organizācija spēj atšķirt atļautu piekļuvi no atbilstošas izmantošanas. Darbiniekam var būt tehniski derīgs konts, un tomēr viņš var izmantot datus neatļautam nolūkam. Svarīga ir apmācība, uzraudzība, piekļuves dizains un izmeklēšanas procesi.

Šifrēšanai nepieciešams izvietošanas lēmums

Regulas 32. pants min šifrēšanu un pseidonimizāciju starp apsveramajiem pasākumiem; tas neuzliek universālu vispārēju šifrēšanas pienākumu katrā situācijā. Ja tiek izvēlēta šifrēšana, norādiet, ko tā aizsargā un ko ne.

Šifrēšana pārsūtīšanas laikā aizsargā datus, kas pārvietojas starp galapunktiem, ja protokoli un galapunktu autentifikācija ir pareizi konfigurēti. Šifrēšana glabāšanas laikā aizsargā glabātos datus noteiktos apdraudējuma scenārijos. Neviena no tām automātiski neliedz autorizētai lietotnei vai administratoram redzēt atklāto tekstu.

Pārskatiet, kas kontrolē atslēgas, kā piekļuve tām ir nošķirta un kā atslēgas tiek ģenerētas, rotētas, atsauktas, dublētas un atjaunotas. Pakalpojumu sniedzēja pārvaldīta šifrēšana var būt piemērota dažiem riskiem, atstājot citus neatrisinātus. Šifrēšana, kuras atslēgas ir pieejamas tam pašam kompromitētajam dalībniekam, var neatrisināt novērtējamo scenāriju.

Vadības lēmums nav par to, kuru algoritmu ieviest pašai. Tas ir par to, vai risinājums novērš attiecīgo risku un vai tehniskais īpašnieks var šo secinājumu pamatot. Kontroļu līmeņa atšķirības skatiet rakstā par šifrēšanu un atslēgu pārvaldību.

Noturība ir jāpierāda, nevis jāpieņem

Regulas 32. pants aptver pastāvīgu konfidencialitāti, integritāti, pieejamību un noturību, kā arī spēju savlaicīgi atjaunot pieejamību un piekļuvi pēc incidenta. Veiksmīgs rezerves kopēšanas uzdevums nepierāda, ka uzņēmums spēj atjaunot izmantojamu pakalpojumu.

Nosakiet atjaunošanas gaidas, pamatojoties uz apstrādi un pārtraukuma sekām. Testējiet atjaunošanu, atkarības, akreditācijas datus un personas datu apstrādi atjaunotajās vidēs. Saglabājiet pierādījumus par to, kas tika atjaunots, cik ilgs laiks bija nepieciešams, kas neizdevās un kas tika izlabots. Glabāšanas un dzēšanas noteikumos jāņem vērā arī rezerves kopiju uzvedība.

Testējiet efektivitāti ar atbilstošiem pierādījumiem

Regulas 32. pants ietver procesu regulārai pasākumu testēšanai, izvērtēšanai un novērtēšanai. Piemērotā metode ir atkarīga no kontroles: piekļuves pārskati, atjaunošanas vingrinājumi, konfigurācijas pārbaudes, ievainojamību novērtējumi, piegādātāju pārskati un incidentu vingrinājumi var sniegt ieguldījumu.

Ielaušanās tests var būt noderīgs, taču tas nav universāls šo darbību aizstājējs vai vispārēja VDAR prasība. Reģistrējiet testēto tvērumu un ierobežojumus. Vienas lietotnes tests nepierāda, ka jauns mārketinga eksports, piegādātāja savienojums vai atjaunošanas process ir pienācīgi kontrolēts.

Katram būtiskam aizsardzības pasākumam saglabājiet īpašnieku, ieviešanas aprakstu, attiecīgos pierādījumus, novērtējuma datumu un nākamās pārskatīšanas ierosinātāju. Tā ir praktiska pierādījumu struktūra, nevis noteikta 32. panta veidne.

Izmantojiet ISMS atkārtoti, nesapludinot drošības un privātuma secinājumus

ISO/IEC 27001 attiecas uz noteiktā tvērumā darbojošos informācijas drošības pārvaldības sistēmu. Tās riska novērtēšana, riska apstrāde, darbības procesi, iekšējais audits un vadības pārskats var atbalstīt VDAR aizsardzības pasākumu pārvaldību.

Pārklāšanās ir vērtīga. Piekļuves pārvaldības pierādījumi, piegādātāju novērtējumi, incidentu vingrinājumi un atjaunošanas testi bieži vien privātuma vajadzībām nav jāveido no jauna. Tomēr to atbilstība jāpārbauda attiecībā pret apstrādes darbību un pašreizējo tvērumu.

Neatkarīgas sertifikācijas institūcijas veikta sertifikācija attiecas uz norādīto ISMS tvērumu. Tā automātiski neaptver katru produktu, vienību, piegādātāju vai apstrādes darbību. Piemērojamības paziņojumā reģistrē kontroļu piemērojamības un apstrādes lēmumus; tas nav paziņojums, ka katrs VDAR pienākums ir izpildīts.

ISO 27001 pats par sevi arī nav vispārējs likumā noteikts ziņošanas par pārkāpumiem režīms. VDAR paziņošanas pienākumi jāizvērtē atsevišķi. Un otrādi, atbilstība VDAR nepierāda, ka organizācija ir ieviesusi katru prasību, kas nepieciešama ISO 27001 sertifikācijai.

VDAR 42. un 43. pantā paredz sertifikācijas mehānismus. Šāda sertifikācija nesamazina pārziņa vai apstrādātāja atbildību un nav līdzvērtīga ISO 27001 sertifikātam vai universālam paziņojumam par juridisko atbilstību.

Tāpēc vadības jautājums ir pierādījumu atkārtota izmantošana ar atsevišķiem secinājumiem: ko šis elements pierāda, kurām sistēmām un kuram periodam, un kuri privātuma jautājumi paliek neatbildēti?

Piešķiriet vadībai, drošībai un privātumam atšķirīgus pienākumus

Darbspējīgam darbības modelim nepieciešams vairāk nekā kopīga atbilstības pastkaste. Biznesa īpašniekiem jāapraksta un jāpamato sava apstrāde; drošības komandai jānovērtē un jāievieš attiecīgie aizsardzības pasākumi; privātuma speciālistiem jākonsultē par juridiskajām prasībām, tiesībām, paziņojumiem un novērtējumiem. Vadībai jānodrošina resursi un jāatrisina būtiski lēmumi likuma robežās.

Datu aizsardzības speciālists nav automātiski nepieciešams katram uzņēmumam. 37. pants aptver publiskās iestādes un struktūras, ievērojot izņēmumu attiecībā uz tiesām, un organizācijas, kuru pamatdarbība atbilst noteiktajiem liela mēroga uzraudzības vai sensitīvu datu nosacījumiem. Nacionālie tiesību akti var paredzēt papildu prasības, tāpēc pārbaudiet attiecīgās jurisdikcijas.

Ja datu aizsardzības speciālists ir iecelts, viņam ir neatkarīgi konsultēšanas un uzraudzības pienākumi, viņš ir pienācīgi un savlaicīgi jāiesaista, un viņš atskaitās tieši augstākajam vadības līmenim. Datu aizsardzības speciālistam nevajadzētu dot norādījumus nonākt pie vēlamā secinājuma vai uzdot konfliktējošus pienākumus, kas nosaka apstrādes nolūkus un līdzekļus.

Nepadariet datu aizsardzības speciālistu par katras kontroles īpašnieku, katra biznesa nolūka apstiprinātāju un personu, kas auditē tos pašus lēmumus. Tas koncentrē nesaderīgus pienākumus un var radīt darbības komandās priekšstatu, ka atbildība no tām ir nodota citam.

Noderīgā apstiprinājuma ierakstā norādīts ierosinātājs īpašnieks, speciālista ieteikums, izvērtētie pierādījumi, lēmuma pieņēmējs, nosacījumi un neatrisinātās darbības. Ja vadība izvēlas citu likumīgu pieeju nekā ieteiktā, reģistrējiet pamatojumu. Vadība nevar pārvērst trūkstošu tiesisko pamatu vai obligātu līguma noteikumu par atbilstību, apzīmējot to ar „risks akceptēts”.

Ceļvedis par CISO un datu aizsardzības speciālista pienākumiem sīkāk izskaidro atbildības robežu. Izpilddirektoram galvenais uzraudzības jautājums ir, vai domstarpības nonāk pie kāda, kurš var mainīt apstrādi, finansēt aizsardzības pasākumu vai apturēt priekšlikumu, nevis tikai apstiprināt dokumentu.

Novērtējiet piegādātājus pēc lomas, līguma un ieviešanas

Piegādātāju drošības pārskats un VDAR piegādātāju pārskats pārklājas, taču nav identiski. Vispirms nosakiet, vai piegādātājs ir apstrādātājs, neatkarīgs pārzinis, kopīgs pārzinis vai tam ir dažādas lomas dažādiem pakalpojumiem.

Saskaņā ar 28. pantu pārziņiem jāizmanto apstrādātāji, kas sniedz pietiekamas garantijas par atbilstošiem tehniskajiem un organizatoriskajiem pasākumiem. Apstrādātāja attiecībām nepieciešams saistošs līgums vai cits atbilstošs tiesību akts, kas aptver noteikto saturu. Konfidencialitātes klauzula vien šo prasību neizpilda.

28. panta prasības ietver:

• Apstrādes priekšmetu, ilgumu, raksturu un nolūku.
• Personas datu veidus un datu subjektu kategorijas.
• Pārziņa pienākumus un tiesības.
• Apstrādi saskaņā ar dokumentētiem norādījumiem, tostarp attiecīgos nosūtīšanas noteikumus.
• Konfidencialitāti un 32. panta drošības pasākumus.
• Nosacījumus citu apstrādātāju piesaistei.
• Palīdzību tiesību pieprasījumu un noteiktu atbilstības pienākumu izpildē.
• Datu atdošanu vai dzēšanu pēc pakalpojumu sniegšanas beigām, ievērojot piemērojamās juridiskās prasības.
• Informācijas un audita kārtību atbilstības uzskatāmai parādīšanai.

Pārskatiet faktiskos pakalpojuma noteikumus līdztekus līgumam. Piegādātājs var solīt dzēšanu, vienlaikus saglabājot dažus žurnālus atsevišķam pārziņa nolūkam. Uzņēmuma abonements var ierobežot izmantošanu apmācībai, kamēr izmēģinājuma konts to nedara. Apstrādātājs var izmantot vairākus apakšapstrādātājus ar dažādām atrašanās vietām un atbalsta kārtību.

Apakšapstrādātāju atļauja saskaņā ar 28. pantu var būt konkrēta vai vispārēja. Ja tiek izmantota vispārēja rakstiska atļauja, apstrādātājam jāinformē pārzinis par paredzētajiem papildinājumiem vai aizstāšanu, dodot iespēju iebilst. Darbības jautājums ir, kurš saņem šos paziņojumus un izvērtē tos, pirms tie pazūd neuzraudzītā pastkastē.

Nošķiriet līguma pārskatīšanu no nosūtīšanas novērtējuma. 28. panta līgums pats par sevi nenodrošina V nodaļas nosūtīšanas mehānismu. Arī apstrādes līguma parakstīšana nepierāda pārziņa darbības tiesisko pamatu.

Risiniet neapspriežamus noteikumus kā biznesa lēmumu

Mazākiem klientiem var būt ierobežota sarunu pozīcija. Tas padara agrīnu novērtējumu vēl svarīgāku, nevis neobligātu. Dokumentējiet nepilnību, jautājiet par pieejamām alternatīvām un apsveriet konfigurācijas maiņu, datu samazināšanu, cita pakalpojuma izvēli vai atteikšanos turpināt.

Ja obligāta prasība paliek neizpildīta, vadības apstiprinājums to nevar novērst. Ja jautājums ir izvēle starp likumīgām iespējām ar atšķirīgiem atlikušajiem riskiem, vadība var pieņemt lēmumu ar dokumentētu ieteikumu. Iepirkumu funkcijai šīs situācijas jānošķir, nevis jāapkopo visas bažas vienā izņēmumu kategorijā.

Piegādātāja pārskatam jābeidzas ar lēmumu, nosacījumiem, atsaucēm uz pierādījumiem un atkārtotas pārskatīšanas ierosinātājiem, nevis tikai ar aizpildītu anketu.

Izstrādājiet tiesību pieprasījumu apstrādi pirms pirmā sarežģītā pieprasījuma

15.–22. pants paredz tiesības, tostarp piekļuvi, labošanu, dzēšanu, ierobežošanu, pārnesamību, iebildumus un aizsardzību attiecībā uz noteiktiem tikai automatizētiem lēmumiem. Šīm tiesībām ir atšķirīgi nosacījumi un izņēmumi; viena darbplūsma „izdzēst visu” tās visas neapkalpos.

Saskaņā ar 12. pantu organizācijām jāatbild bez nepamatotas kavēšanās un parasti viena mēneša laikā pēc pieprasījuma saņemšanas. Vajadzības gadījumā, ņemot vērā sarežģītību un pieprasījumu skaitu, ir iespējams pagarinājums vēl līdz diviem mēnešiem, taču persona par to jāinformē pirmā mēneša laikā, norādot iemeslus. Pieprasījumi parasti ir bez maksas; maksa vai atteikums ir ierobežoti ar regulas nosacījumiem, piemēram, acīmredzami nepamatotiem vai pārmērīgiem pieprasījumiem, kas pārzinim jāpamato.

Izveidojiet darbības ceļu, kas darbojas atbalsta, personāla, pārdošanas un privātuma kanālos:

1. Reģistrējiet saņemšanu, pieprasītās tiesības un termiņu.
2. Apstipriniet attiecīgo pārzini un tvērumu.
3. Pamatotu šaubu gadījumā samērīgi pārbaudiet identitāti.
4. Atrodiet datus un identificējiet attiecīgās sistēmas, saņēmējus un apstrādātājus.
5. Izvērtējiet piemērojamos nosacījumus, izņēmumus un citu personu tiesības.
6. Sagatavojiet atbildi vai darbību un pārskatiet to.
7. Droši izsniedziet atbildi un saglabājiet atbilstošu izpildes ierakstu.

Neprasiet regulāri identitātes dokumentus, ja pietiktu ar mazāk aizskarošu pārbaudi. Tāpat neizsniedziet sensitīvus ierakstus tikai tāpēc, ka kāds zina e-pasta adresi. Pati pārbaude ir personas datu apstrāde, un tai nepieciešama samērīga pieeja.

Atbildei uz piekļuves pieprasījumu parasti nepieciešams vairāk nekā kategoriju saraksts. 15. pants ietver apstrādājamo personas datu kopiju un papildu informāciju. Pirms izpaušanas pārskatiet trešo personu informāciju un tiesības; neuzskatiet citas personas vārda klātbūtni par attaisnojumu visa aizturēšanai.

Dzēšana nav absolūta. Var būt piemērojami juridiski glabāšanas pienākumi un citi 17. panta izņēmumi. Ja dzēšana ir nepieciešama, nosakiet, kā tā sasniedz saistītos pakalpojumus un attiecīgos saņēmējus un kā rezerves kopiju atjaunošana novērš izdzēsto ierakstu nejaušu atgriešanu. Precīzi izskaidrojiet jebkurus likumīgus ierobežojumus.

Automatizācija var izsekot termiņus un organizēt meklēšanu, taču kādam jāizlemj, vai rezultāti ir pilnīgi, vai rediģēšana ir pamatota un vai ir piemērojams izņēmums. Ātri ģenerēta standarta atbilde nav noderīga, ja tajā izlaista sistēma, kurā ir pieprasītie dati.

Detalizētāku darbplūsmu skatiet rakstā par datu subjekta piekļuves pieprasījumiem. Vadībai periodiski jātestē reprezentatīvs pieprasījums no saņemšanas līdz drošai izsniegšanai, nevis jāpaļaujas tikai uz publicētu procedūru.

Izmantojiet novērtējumus par ietekmi uz datu aizsardzību, lai apšaubītu dizainu pirms tā apstiprināšanas

VDAR 35. panta novērtējums par ietekmi uz datu aizsardzību ir nepieciešams pirms apstrādes, kas, visticamāk, radīs augstu risku cilvēku tiesībām un brīvībām. Regula identificē konkrētus gadījumus, tostarp noteiktus nozīmīgus automatizētus izvērtējumus, liela mēroga sensitīvu datu apstrādi un publiski pieejamu zonu sistemātisku liela mēroga uzraudzību. Jāņem vērā arī attiecīgo uzraudzības iestāžu saraksti.

Pārbaudiet ierosinātās darbības agri. Kā praktisku ieteikumu saglabājiet argumentāciju, ja sākotnējā pārbaudē secināts, ka novērtējums nav nepieciešams, īpaši robežgadījumos. Īss sākotnējās pārbaudes ieraksts ļauj pārskatīt lēmumu, ja mainās mērogs, tehnoloģija vai nolūks.

Pilnam novērtējumam jāaptver četri savstarpēji saistīti elementi:

• Sistemātisks paredzētās apstrādes un nolūku apraksts, tostarp, ja attiecināms, leģitīmās intereses.
• Nepieciešamība un samērīgums attiecībā uz šiem nolūkiem.
• Riski personu tiesībām un brīvībām.
• Paredzētie pasākumi risku novēršanai un atbilstības uzskatāmai parādīšanai.

Nesāciet un nebeidziet ar drošības draudu sarakstu. Vispirms jautājiet, vai ierosinātie dati, biežums, saņēmēji un lēmumu pieņemšanas process ir nepieciešami. Mazāk aizskarošs dizains var novērst risku efektīvāk nekā papildu tehniska kontrole.

Piemēram, darbinieku produktivitātes projektā var tikt ierosināts vākt nepārtrauktus ekrānuzņēmumus. Šifrēšana un ierobežota piekļuve varētu samazināt izpaušanas risku, atstājot nopietnus jautājumus par samērīgumu, uzraudzību, darbinieku gaidām un mazāk aizskarošu pasākumu piemērotību. Biznesa nolūks ir jāizvērtē, pirms drošības dizainam var būt jēga.

Novērtējiet risku cilvēkiem, ne tikai uzņēmuma pakļautību

Apsveriet finansiālus zaudējumus, diskrimināciju, identitātes ļaunprātīgu izmantošanu, konfidencialitātes zudumu, izslēgšanu no pakalpojumiem un citu attiecīgu ietekmi. Scenārijam var būt ierobežota finansiāla ietekme uz uzņēmumu un būtiska ietekme uz personu.

Dokumentējiet ierosinātos mazināšanas pasākumus, ieviešanas īpašniekus un atlikušā riska novērtējumu. Ja datu aizsardzības speciālists ir iecelts, lūdziet viņa ieteikumu. Pārskatiet, vai darbības vai riska izmaiņas prasa atjaunināt novērtējumu.

VDAR 36. pants prasa iepriekšēju apspriešanos ar uzraudzības iestādi, ja novērtējums liecina, ka apstrāde radītu augstu risku, ja netiktu veikti pasākumi tā mazināšanai. Ja organizācija nevar pietiekami novērst šo augsto risku, tā nevar aizstāt nepieciešamo apspriešanos ar iekšēju statusu „akceptēts”. Vadība var pārveidot, atlikt vai atteikties no darbības; tā nevar rīkoties ar citu cilvēku tiesībām tā, it kā tās būtu tikai komerciāls risks.

Sasaistiet reaģēšanu uz incidentiem ar VDAR paziņošanas lēmumiem

Personas datu aizsardzības pārkāpums ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem. Tas ir plašāks jēdziens nekā uzbrucēja veikta datubāzes zādzība. Nepareizai adresei nosūtīts pielikums, nozaudēta neaizsargāta ierīce vai incidents, kas ietekmē personas datu pieejamību vai integritāti, var prasīt novērtējumu.

Saskaņā ar 33. un 34. pantu pārziņi novērtē divus atšķirīgus paziņošanas sliekšņus:

72 stundu periods sākas no brīža, kad pārkāpums kļuvis zināms, nevis vienkārši no sākotnējā incidenta laikspiedola vai nākamās darba dienas. Ja paziņojums tiek iesniegts vēlāk, tam jāpievieno kavēšanās iemesli. Informāciju var sniegt pa posmiem, ja nav iespējams sniegt visu uzreiz bez turpmākas nepamatotas kavēšanās.

Sagatavojiet eskalācijas ķēdi iepriekš: incidenta vadītājs, privātuma konsultants, atbildīgais pārziņa lēmuma pieņēmējs, tehniskie izmeklētāji, komunikācija un piegādātāju kontaktpersonas. Atrodiet attiecīgās iestādes ziņošanas ceļu pirms ārkārtas situācijas. Apstrādātājam nevajadzētu gaidīt savu galīgo riska secinājumu, pirms informēt pārzini.

Incidenta ierakstā jāfiksē, kas notika, skartie dati un personas, iespējamās sekas, ierobežošana un novēršana, kā arī paziņošanas lēmumi. 33. panta 5. punkts prasa dokumentēt personas datu aizsardzības pārkāpumus, tostarp to faktus, ietekmi un koriģējošās darbības. Saglabājiet nepaziņošanas pamatojumu, lai lēmumu vēlāk varētu izprast.

Šifrēšana var ietekmēt risku un 34. panta analīzi, taču tikai tad, ja tās aizsardzība ir būtiska un efektīva. „Pakalpojums izmanto šifrēšanu” nav pietiekami, ja uzbrucējs piekļuva atklātajam tekstam caur kompromitētu kontu. 34. pants ietver arī citus izņēmumus, piemēram, turpmākus pasākumus, kas nodrošina, ka augstais risks vairs, visticamāk, neīstenosies; izvērtējiet faktiskos nosacījumus, nevis piemērojiet vispārīgu izņēmumu.

Izspēlējiet vienu scenāriju, kurā iesaistīts piegādātājs, un otru, kas saistīts ar iekšēju izpaušanu. Vingrinājumam jāpārbauda pierādījumu vākšana un lēmumu pieņemšanas pilnvaras, kā arī tehniskā ierobežošana.

Uzskatiet starptautisku nosūtīšanu par atsevišķu novērtējumu

V nodaļas nosūtīšanas prasības pastāv līdztekus pārējai VDAR. Nosūtīšanas mehānisms nenodrošina 6. panta tiesisko pamatu, un tiesiskais pamats neatceļ nepieciešamību pēc atbilstošas nosūtīšanas kārtības.

Kartējiet faktiskos saņēmējus un piekļuves ceļus. Mitināšana ES datu centrā ir būtiska, taču pati par sevi nepierāda, ka nenotiek nosūtīšana uz trešo valsti vai ka visi privātuma pienākumi ir izpildīti. Apsveriet atbalsta piekļuvi, apakšapstrādātājus, administratīvo piekļuvi, tālāku izpaušanu un iesaistītās puses.

VDAR nosūtīšanas regulējums ietver lēmumus par aizsardzības līmeņa pietiekamību saskaņā ar 45. pantu, atbilstošas garantijas saskaņā ar 46. pantu un ierobežotas atkāpes saskaņā ar 49. pantu. Pārbaudiet attiecīgo mehānismu un tā tvērumu lēmuma pieņemšanas brīdī.

Ja paļaujaties uz aizsardzības līmeņa pietiekamības kārtību, kas attiecas tikai uz iesaistītajām organizācijām, pārbaudiet precīzu saņēmēju un aptverto darbību. Grupas uzņēmums vai līdzīgs tirdzniecības nosaukums ne vienmēr ir aptvertais saņēmējs. Saglabājiet pārbaudes rezultātu un datumu.

Ja tiek izmantotas līguma standartklauzulas, izvēlieties klauzulas, kas atbilst pušu faktiskajām lomām, un aizpildiet attiecīgos pielikumus. Novērtējiet galamērķa valsts tiesību aktus un praksi un to, vai nepieciešami papildu pasākumi, lai aizsardzība būtu efektīva. Parakstīts līgums vien neatbild uz katru nosūtīšanas riska jautājumu.

Praktiskā nosūtīšanas dokumentācijā jāidentificē datu nosūtītājs un saņēmējs, dati un nolūki, atrašanās vietas un piekļuve, tālākas nosūtīšanas, izvēlētais mehānisms, attiecīgais novērtējums, tehniskie vai organizatoriskie pasākumi un pārskatīšanas ierosinātāji. Pakalpojumu sniedzēja dokumentācija var atbalstīt šo darbu, taču jautājums, vai pakalpojumu sniedzējam „ir novērtējums”, nav tas pats, kas tā attiecīgo konstatējumu izvērtēšana.

Vadībai jāzina, kuri pakalpojumi ir atkarīgi no konkrēta mehānisma un kādas izmaiņas prasītu atkārtotu izvērtēšanu. Tas atbalsta apzinātu ārkārtas plānu, nenozīmējot, ka katram piegādātājam nepieciešama identiska līgumiska rezerves iespēja.

Novērtējiet mākslīgā intelekta izmantošanu kā apstrādi, nevis tikai kā jaunu rīku

Mākslīgā intelekta lietotne var ieviest jaunus saņēmējus, izsecināt papildu personas informāciju, glabāt uzvednes vai ļaut īstenot jaunu nolūku. Šīs izmaiņas ir svarīgas pat tad, ja lietotne atkārtoti izmanto organizācijas esošo vienoto pieteikšanos un piekļuves kontroles.

Pirms apstiprināt personas datu izmantošanu mākslīgā intelekta pakalpojumā, noskaidrojiet:

• Precīzu uzdevumu un to, vai personas dati ir nepieciešami.
• Ievaddatu, izvades datu un skarto personu kategorijas.
• Pakalpojumu sniedzēja lomu katrā izmantošanas gadījumā, tostarp jebkādus apmācības vai uzlabošanas nolūkus.
• Glabāšanu, cilvēku piekļuvi, apakšapstrādātājus un nosūtīšanas kārtību.
• Līgumsaistības un attiecīgos konfigurācijas iestatījumus.
• Precizitātes, izpaušanas, tiesību pieprasījumu apstrādes un lēmumu pieņemšanas riskus.

Nepieņemiet, ka katrs modeļa nodrošinātājs ir tikai apstrādātājs. Tā loma ir atkarīga no apstrādes, ko tas veic, un nolūkiem, ko tas nosaka. Tāpat 28. panta līgums automātiski nepadara ierosināto nosūtīšanu likumīgu. Izvērtējiet nolūku, tiesisko pamatu, pārredzamību, nepieciešamību un visas citas piemērojamās prasības.

Ja uzņēmums pats ir apstrādātājs, mākslīgā intelekta pakalpojumu sniedzēja ieviešana var radīt apakšapstrādātāja attiecības. Pirms klientu datu nosūtīšanas pārbaudiet klientu norādījumus un saskaņoto atļauju piešķiršanas procesu. Jauns līguma grozījums ne vienmēr ir nepieciešams, taču atbilstība esošajai līgumiskajai un likumā noteiktajai kārtībai ir.

VDAR 22. pants attiecas uz noteiktiem lēmumiem, kas balstīti tikai uz automatizētu apstrādi un rada juridiskas vai līdzīgi būtiskas sekas. Formāla cilvēka pārskatīšana neatrisina jautājumu, ja pārskatītājs nevar jēgpilni novērtēt vai mainīt rezultātu. Darbā pieņemšanas, atbilstības un finanšu lēmumiem nepieciešama īpaša uzmanība.

Mākslīgā intelekta akts un VDAR uzliek atšķirīgus pienākumus. Mākslīgā intelekta akta novērtējums neaizstāj novērtējumu par ietekmi uz datu aizsardzību, un atbilstība VDAR nepierāda atbilstību Mākslīgā intelekta aktam. Piemērošanas datumiem izmantojiet Eiropas Komisijas aktuālo pārskatu par Mākslīgā intelekta aktu, nevis pārnesiet vecu ieviešanas grafiku pašreizējā projektā.

Iekšējā privātuma darbā mākslīgais intelekts var sagatavot aprakstu melnrakstus no apstiprinātiem avotiem, salīdzināt dokumentus vai ieteikt jautājumus. Uzskatiet tā izvades datus par melnrakstu. Ticami izskatīgs tiesiskais pamats, izlaists saņēmējs vai nepareizs apgalvojums par glabāšanu var padarīt nopulētu dokumentu būtiski nepareizu.

Automatizējiet koordināciju, saglabājot atbildīgu pārskatīšanu

Augošas organizācijas uzkrāj atkārtotu darbu: apstrādes reģistra atjauninājumus, tiesību pieprasījumu termiņus, piegādātāju dokumentus, novērtējumu darbības, pierādījumu derīguma beigas un pārskatīšanas lēmumus. Automatizācija var organizēt ievaddatus un termiņus. Tai nevajadzētu aizēnot atšķirību starp informācijas vākšanu un pamatojama secinājuma izdarīšanu.

Sāciet ar stabilu procesu un skaidru atbildību. Neskaidras nodošanas automatizēšana var ātrāk izplatīt neskaidrību. Definējiet, kas atver uzdevumu, kurš to saņem, kādi pierādījumi nepieciešami, kurš pārskata rezultātu un kas pabeidz darbu.

Mākslīgā intelekta atbalstītai melnrakstu sagatavošanai saglabājiet apstiprinātos avotus un norādiet neskaidrības. Neļaujiet ģenerētam kopsavilkumam klusībā aizstāt piegādātāja līgumu vai novērtējumu. Pārskatītājiem jāspēj atšķirt sniegtos faktus, izsecinātos ieteikumus un neatrisinātos jautājumus.

Piemērojiet mazāko privilēģiju principu arī pašai darbplūsmai. Tiesību pieprasījumu lietās, incidentu ierakstos un darbinieku novērtējumos var būt sensitīva informācija. Plaša piekļuve atbilstības darbvietai var iedragāt dokumentētos ierobežojumus. Minimizējiet personas datus pierādījumos un ierobežojiet materiālus, kuriem patiešām nepieciešama identificēšana.

Noderīgi vadības rādītāji ir nokavētas darbības, trūkstoši īpašnieki, ieraksti, kas pēc būtiskas izmaiņas gaida pārskatīšanu, un kontroles ar novecojušiem vai nepietiekamiem pierādījumiem. Neapstrādāts dokumentu skaits ir mazāk informatīvs. Mēriet, vai lēmumi un korektīvais darbs tiek pabeigti, nevis tikai to, vai ir ģenerēts vairāk teksta.

Praktisks piemērs: mārketinga integrācija, kas atkārtoti izmanto drošības kontroles

Turpmākais piemērs ir ilustratīvs. Pieņemsim, ka augošam B2B programmatūras uzņēmumam ir izveidota klientu datubāze, ISMS, kas aptver tā produkcijas pakalpojumu, un ierosināta kampaņu platforma. Mārketinga komanda vēlas sūtīt ievadziņojumus un vēlāk reklamēt papildu produktus. Platforma saņemtu kontaktinformāciju, produktu lietošanas notikumus un brīva teksta atbalsta piezīmes. Netiek norādīts neviens reāls klienta rezultāts vai Secani funkcionalitāte.

1. Nošķiriet ierosinātos nolūkus

Sākotnējā pieprasījumā teikts „uzlabot klientu iesaisti”. Biznesa īpašnieks to pārraksta konkrētos nolūkos: nepieciešamā pakalpojuma ievadīšana, neobligāta reklāmas saziņa un kampaņu darbības rezultātu analīze.

Privātuma pārskatītājs novērtē pamatu katram nolūkam, nevis piemēro līgumu ar klientu visiem trim. Reklāmas saziņa var skart arī piemērojamos nacionālos elektroniskā mārketinga noteikumus. Uzņēmums nepieņem, ka VDAR leģitīmo interešu analīze vien atrisina šīs atsevišķās prasības.

Pirmais rezultāts ir lēmums par nolūku un pamatu ar piešķirtiem neatrisinātajiem jautājumiem. Mārketinga komanda nevar sākt paplašināto izmantošanu tikai tāpēc, ka integrācija ir izturējusi tehnisku drošības pārbaudi.

2. Samaziniet ierosināto datu plūsmu

Atbalsta piezīmes ir ērtas personalizācijai, taču nav nepieciešamas apstiprinātajam ievadziņojumam. Tajās var būt arī informācija, par kuru klienti negaidīja, ka tā tiks izmantota mārketingam. Dizains tās izslēdz.

Tehniskais īpašnieks ierobežo produktu notikumus līdz tiem, kas nepieciešami apstiprinātajai darbplūsmai, un izslēdz detalizētas lietotāju vēstures, ja pietiek ar apkopotiem vai vienkāršākiem notikumu datiem. Tas samazina atklātību, pirms tiek pievienota vēl viena kontrole.

Apstrādes reģistrs tagad apraksta faktiskos laukus, skartos lietotājus, saņēmēju, nolūkus un glabāšanas pieeju. Privātuma paziņojums tiek pārskatīts attiecībā pret apstiprināto darbību, nevis sākotnējo plašo pieprasījumu.

3. Pārbaudiet piegādātāja un nosūtīšanas kārtību

Iepirkumu funkcija nosaka platformas lomu kampaņu piegādē un pārbauda, vai pakalpojumu sniedzējam nav atsevišķu nolūku. Komanda pārskata 28. panta līgumu, apakšapstrādātāju kārtību, dzēšanas noteikumus, atbalsta piekļuvi un piemērojamo nosūtīšanas mehānismu.

ES mitināšanas iespēja tiek reģistrēta kā būtisks fakts, nevis uzskatīta par nosūtīšanas analīzes beigām. Ja trūkst nepieciešamās informācijas, uzdevums paliek atvērts, un palaišanas nosacījumā norādīts, kas jāatrisina.

4. Rūpīgi izmantojiet drošības pierādījumus atkārtoti

Integrācija var atkārtoti izmantot uzņēmuma identitātes kontroles un esošu piekļuves pārvaldības procesu. Šo kontroļu pierādījumi tiek sasaistīti, nevis veidoti no jauna. Tomēr jaunajai kampaņu platformai ir savas atļaujas, eksporti un glabāšanas iestatījumi.

Drošības īpašnieks novērtē konta kompromitēšanu, neatļautu masveida eksportu, nepareizu notikumu kartēšanu un atteikšanās preferenču zudumu. Komanda ierobežo piekļuvi, apstiprina nepieciešamās integrācijas atļaujas, testē kartēšanu ar piemērotiem testa datiem un pārbauda, kā ieraksti tiek dzēsti vai bloķēti.

Esošais produkcijas pakalpojuma atjaunošanas vingrinājums nepierāda, ka kampaņu preferences var pareizi atjaunot. Īpašnieks atsevišķi pārbauda šai darbplūsmai būtisko atjaunošanas uzvedību.

5. Pabeidziet novērtēšanu un apstiprināšanu

Privātuma pārskatītājs veic sākotnējo pārbaudi attiecībā uz novērtējuma par ietekmi uz datu aizsardzību nepieciešamību, pamatojoties uz faktisko darbību, un reģistrē argumentāciju. Komanda arī pārbauda, kā piekļuves, iebildumu un dzēšanas pieprasījumi sasniedz platformu. Jo īpaši iebildumu pret mārketingu nedrīkst atcelt nākamā datubāzes sinhronizācija.

Vadība pārskata kodolīgu lēmumu paketi: apstiprinātie nolūki, izņemtie dati, piegādātāja un nosūtīšanas secinājumi, aizsardzības pasākumi, atvērtie nosacījumi, tiesību pieprasījumu apstrāde un nosauktie īpašnieki. Jebkura neatrisināta obligāta prasība bloķē attiecīgo apstrādi, nevis tiek pārvērsta akceptētā komerciālā izņēmumā.

6. Saglabājiet nākamo ierosinātāju

Apstiprinājums ir saistīts ar novērtēto konfigurāciju. Uzvedības novērtēšanas pievienošana, atbalsta piezīmju augšupielāde, pakalpojumu sniedzēja apmācības noteikumu maiņa vai jauna saņēmēja ieviešana ierosina pārskatīšanu. Komanda var atkārtoti izmantot nemainītos drošības pierādījumus, vienlaikus atkārtoti izvērtējot jaunos privātuma jautājumus.

Tā ir galvenā atšķirība: kopīgie aizsardzības pasākumi var palikt spēkā, kamēr nolūks, saņēmējs vai ietekme uz cilvēkiem būtiski mainās.

Ieviesiet pieeju darbībā ar mērķtiecīgu pirmo tvērumu

Izvēlieties vienu apstrādes darbību ar redzamu biznesa atbildību un pārvaldāmām atkarībām. Klientu atbalsts, darbinieku ievadīšana darbā vai reprezentatīva produkta darbplūsma var atklāt nepilnības, vispirms nepārveidojot visu organizāciju.

Kā praktisku ieteikumu sāciet ar četriem rezultātiem:

• Saskaņotu apstrādes aprakstu un lomu novērtējumu.
• Privātuma lēmumu sarakstu, ietverot pamatu, paziņojumu, glabāšanu, tiesības un novērtējuma par ietekmi uz datu aizsardzību sākotnējo pārbaudi.
• Uz scenārijiem balstītu aizsardzības pasākumu novērtējumu, kas sasaistīts ar esošajiem drošības pierādījumiem.
• Apstiprinājuma ierakstu ar īpašniekiem, atvērtajām darbībām un izmaiņu ierosinātājiem.

Secani komandas var sākt ar mērķtiecīgu tvērumu, modelēt atbalstošās lietotnes, sistēmas, pakalpojumus un pakalpojumu sniedzējus un sasaistīt pierādījumus ar prasībām, kontrolēm un lēmumiem. Trūkstošie pierādījumi un neatrisinātie pārskatīšanas jautājumi var kļūt par piešķirtiem uzdevumiem. Mākslīgā intelekta atbalstīti ieteikumi paliek melnraksta darbs ar izsekojamību līdz avotam un skaidru cilvēka apstiprinājumu. Tas dod drošības un privātuma pārskatītājiem kopīgu pierādījumu kontekstu, saglabājot redzamus viņu atšķirīgos secinājumus; tas neaizstāj apstrādes reģistrus, tiesību pieprasījumu izpildi vai juridisko analīzi.

Paplašiniet darbu tikai pēc tam, kad pirmā darbplūsma ir izmēģināta. Testējiet ar to piegādātāja maiņu, tiesību pieprasījumu un attiecīgu incidenta scenāriju. Ja komanda nevar noteikt īpašnieku, iegūt pierādījumus vai izskaidrot lēmumu, izlabojiet darbības procesu, pirms pievienojat vairāk darbību.

Vadības pārskatam uzdodiet trīs jautājumus: vai reģistrs atbilst pašreizējai apstrādei, vai aizsardzības pasākumi novērš sekas cilvēkiem un vai būtiska izmaiņa uzticami atkārtoti atvērs lēmumu? Šie jautājumi sniedz praktisku nākamo soli drošības apliecinājuma sasaistei ar VDAR pārskatatbildību.

Jautājumi, kas vadībai skaidri jāatrisina

Vai izpilddirektors var apstiprināt VDAR izņēmumu?

Vadība var izvēlēties starp likumīgām iespējām un piešķirt resursus riska novēršanai. Tā nevar atcelt likumā noteiktās prasības, atļaut apstrādi bez piemērojama pamata vai aizstāt nepieciešamo iepriekšējo apspriešanos ar iekšēju apstiprinājumu.

Vai katrai apstrādes izmaiņai nepieciešams jauns novērtējums par ietekmi uz datu aizsardzību?

Nē. Novērtējiet izmaiņu attiecībā pret augsta riska slieksni un pārskatiet esošos novērtējumus, ja mainās darbība vai risks. Dokumentēts sākotnējās pārbaudes lēmums ir noderīgāks nekā automātiska pilna novērtējuma sagatavošana vai pieņēmums, ka vecais rezultāts vienmēr ir piemērojams.

Kas jāpārskata vispirms, ja resursi ir ierobežoti?

Par prioritāti nosakiet apstrādi ar potenciāli nopietnām sekām cilvēkiem, neatrisinātiem likumības vai līgumiskajiem jautājumiem un darbības termiņiem, piemēram, tiesību pieprasījumiem un reaģēšanu uz pārkāpumiem. Izmantojiet pierādījumu nepilnības izmeklēšanas virzīšanai, taču nepieņemiet, ka darbība ar visvairāk trūkstošajiem dokumentiem obligāti rada lielāko risku.

Kura iestāde nodrošina VDAR izpildi, un cik var maksāt pārkāpumi?

Identificējiet apstrādei kompetento uzraudzības iestādi. Kvalificējamai pārrobežu apstrādei vadošās iestādes mehānisms parasti ir atkarīgs no pārziņa vai apstrādātāja galvenās vai vienīgās uzņēmējdarbības vietas ES, iesaistot citas attiecīgās iestādes. 27. panta pārstāvis nerada uzņēmējdarbības vietu ES vai piekļuvi šim mehānismam.

VDAR 83. pants paredz divus galvenos administratīvo naudas sodu maksimālos līmeņus: līdz 10 miljoniem EUR vai 2% no uzņēmuma kopējā pasaules mēroga gada apgrozījuma iepriekšējā finanšu gadā un līdz 20 miljoniem EUR vai 4%, katrā līmenī piemērojot lielāko summu. Piemērojamais līmenis ir atkarīgs no pārkāpuma; tie ir maksimālie apmēri, nevis automātiski sodi. Iestādes ņem vērā apstākļus un var arī uzdot veikt korektīvas darbības vai ierobežot apstrādi. 82. pants atsevišķi paredz kompensāciju, ja pārkāpums rada materiālu vai nemateriālu kaitējumu.