GDPR in varnost: zaščitne ukrepe povežite z obdelavo

Dobro voden sistem upravljanja informacijske varnosti (ISMS) zagotavlja koristne procese za GDPR: upravljanje dostopov, obravnavo incidentov, ocenjevanje dobaviteljev in odpornost. Delo na področju varstva zasebnosti pa sprašuje tudi, zakaj je obdelava zakonita, sorazmerna in pregledna. Ta vprašanja se srečajo v isti poslovni dejavnosti, vendar zahtevajo različne odločitve.

Naloga vodstva je, da jih poveže, ne da bi eno obravnavalo kot nadomestek za drugo. Varna baza podatkov o strankah lahko še vedno vsebuje podatke, ki jih podjetje ne bi smelo zbrati. Veljavna pogodba s stranko ne dokazuje, da vsi, ki imajo dostop do baze podatkov, ta dostop tudi potrebujejo. Certifikat ISO 27001 ne razreši nobenega od teh vprašanj.

Praktično izhodišče je zato obdelava, ne katalog kontrol. Ugotovite, kaj želi podjetje početi z osebnimi podatki, ocenite, ali je ta dejavnost dopustna, in nato izberite zaščitne ukrepe glede na posledice morebitne odpovedi. Ohranite utemeljitev, dokaze, odgovorno osebo in naslednji dogodek, ki naj sproži ponovni pregled.

Ugotovite, katere obdelave in odgovornosti so v obsegu

Splošna uredba o varstvu podatkov ureja obdelavo osebnih podatkov. Obdelava vključuje zbiranje, shranjevanje, vpogled, razkritje, spreminjanje in izbris. Osebni podatki so vse informacije v zvezi z določenim ali določljivim posameznikom; niso omejeni na imena ali očitno občutljive zapise.

Poslovni e-poštni naslovi, identifikatorji zaposlenih, identifikatorji naprav, zgodovina lokacij in pogovori s podporo so lahko osebni podatki. Ali določen identifikator spada mednje, je odvisno od okoliščin in sredstev, ki bi jih bilo razumno mogoče uporabiti za identifikacijo posameznika. Zamenjava imen s sklicnimi številkami običajno ustvari psevdonimizirane, ne anonimnih podatkov, kadar je ponovna identifikacija še mogoča. Psevdonimizirani osebni podatki ostajajo v okviru GDPR.

Preden izberete operativni model, preverite ozemeljsko veljavnost

3. člen zajema obdelavo v okviru dejavnosti sedeža v EU, tudi kadar sama obdelava poteka drugje. Zajame lahko tudi organizacijo zunaj EU, kadar je njena obdelava povezana s ponujanjem blaga ali storitev posameznikom v Uniji ali s spremljanjem njihovega vedenja tam. Sama dostopnost spletnega mesta vprašanja usmerjenosti ne razreši; ocenite dejansko ponudbo in dejavnost spremljanja.

Kadar se uporablja člen 3(2), lahko 27. člen zahteva predstavnika v Uniji. Izjeme so omejene in niso odvisne zgolj od velikosti podjetja. Izjema za občasno obdelavo zahteva tudi izpolnitev določenih pogojev glede občutljivih podatkov in tveganja. Predstavnik ne nadomešča upravljavca, pooblaščene osebe za varstvo podatkov (DPO) ali odgovornega vodstva.

GDPR je začela veljati 24. maja 2016 in se uporablja od 25. maja 2018. Pri sedanjih odločitvah ločite veljavno pravo od predlaganih poenostavitev. Sporočilo za javnost o morebitni izjemi ni podlaga za ustavitev obstoječega procesa skladnosti.

Vloge določite glede na dejavnost, ne glede na oznako podjetja

Upravljavec določa namene in sredstva obdelave. Obdelovalec obdeluje osebne podatke v imenu upravljavca. Skupni upravljavci skupaj določajo namene in sredstva ter potrebujejo dogovor po 26. členu, ki odraža njihove odgovornosti.

Eno podjetje ima lahko več vlog. Ponudnik programske opreme je lahko obdelovalec za zapise, ki jih naložijo stranke, in upravljavec za lastne plače, upravljanje računov in nekatere varnostne operacije. Oznaka v pogodbi z dobaviteljem je pomembna, vendar ne more prevladati nad tem, kar stranki dejansko počneta.

Prvi rezultat naj bo kratka odločitev o obsegu: zadevne dejavnosti, organizacijske enote, vloge upravljavca ali obdelovalca, trgi in odprta vprašanja. Določite odgovorno osebo, ki razreši negotovosti, preden se povezana obdelava začne ali razširi.

Poslovni namen ločite od pravne podlage

5. in 6. člen postavljata temelj za običajno obdelavo osebnih podatkov. Varnost je del tega temelja, ne pot mimo njega.

Načela iz 5. člena se običajno predstavljajo kot sedem: zakonitost, pravičnost in preglednost; omejitev namena; najmanjši obseg podatkov; točnost; omejitev shranjevanja; celovitost in zaupnost; ter odgovornost. Odgovornost zahteva, da je upravljavec odgovoren za skladnost in jo je zmožen dokazati. Ne zahteva določenega programskega izdelka, zahteva pa zagovorljivo razlago, podprto z ustreznimi dokazi.

Vsako načelo prevedite v poslovno vprašanje:

Za vsak namen izberite podlago

6. člen določa šest pravnih podlag. Njihovi pogoji so pomembnejši od njihovih oznak:

• Privolitev: prostovoljna, specifična, informirana in nedvoumna izjava volje, ki jo je mogoče preklicati.
• Pogodba: obdelava, potrebna za izvajanje pogodbe s posameznikom ali za izvedbo predpogodbenih ukrepov na njegovo zahtevo.
• Zakonska obveznost: obdelava, potrebna za izpolnitev veljavne zakonske obveznosti.
• Življenjski interesi: obdelava, potrebna za zaščito življenjskih interesov posameznika.
• Javna naloga: obdelava, potrebna za opravljanje naloge v javnem interesu ali za izvajanje javne oblasti, z zahtevano pravno podlago.
• Zakoniti interesi: obdelava, potrebna zaradi zakonitih interesov, ob tehtanju teh interesov z interesi, pravicami in svoboščinami posameznika.

Ne navajajte več podlag kot medsebojno zamenljivo zavarovanje. Določite podlago, ki dejansko podpira posamezen namen, in jo natančno sporočite. Dodajanje določila v pogodbo s stranko obdelave ne naredi samodejno potrebne za izvajanje te pogodbe. Podobno zakoniti interesi zahtevajo oceno; niso splošno dovoljenje za uporabo razpoložljivih podatkov.

Praktično priporočilo: oceno zakonitih interesov dokumentirajte glede na zasledovani interes, nujnost, učinke na posameznike, njihova razumna pričakovanja in zaščitne ukrepe. Preučite manj posegajoče alternative. Analiza naj bo sorazmerna z dejavnostjo, a dovolj konkretna, da jo razume tudi nekdo zunaj projekta.

Privolitev ni na splošno varnejša. Kadar okoliščine zahtevajo izbiro, mora biti resnično neobvezna, preklic pa mora v praksi delovati. Delovna razmerja odpirajo posebne pomisleke glede tega, ali je soglasje dano prostovoljno. Preklic za naprej konča obdelavo, ki temelji na tej privolitvi; ne izbriše samodejno zapisov, za katere veljajo ločene zakonite obveznosti hrambe. Iste obdelave ne prestavite za nazaj na drugo podlago le zato, ker je bila privolitev preklicana. Vsaka ločena obdelava, na primer zakonsko zahtevana hramba, potrebuje lastno ustrezno podlago in ustrezno preglednost.

Posebne vrste osebnih podatkov, na primer podatki o zdravju, poleg podlage iz 6. člena potrebujejo tudi pogoj iz 9. člena. Za podatke v zvezi s kazenskimi obsodbami in kaznivimi dejanji veljajo ločene zahteve iz 10. člena. Podjetje ne bi smelo odobriti nobene od teh kategorij zgolj zato, ker je običajna obdelava podatkov strank že ocenjena.

Vzpostavite evidenco obdelave, ki lahko usmerja odločitve

Evidence dejavnosti obdelave po 30. členu so koristne, ker pravno analizo povezujejo z operativno resničnostjo. Evidenca upravljavca vključuje namene, kategorije posameznikov in podatkov, prejemnike, prenose, kadar je mogoče predvidene roke za izbris in kadar je mogoče splošen opis varnostnih ukrepov. Obdelovalci imajo drugačno obveznost vodenja evidence, ki zajema obdelavo, ki jo izvajajo v imenu upravljavcev.

Izjema za organizacije z manj kot 250 zaposlenimi je pogojna. Ne velja za obdelavo, ki ni občasna, ki bi verjetno povzročila določeno tveganje ali ki vključuje določene občutljive kategorije. Majhno podjetje s stalno obdelavo podatkov zaposlenih ali strank ne bi smelo domnevati, da ga število zaposlenih odvezuje obveznosti vodenja evidenc.

Kot organizacijsko enoto uporabite dejavnosti obdelave. »Infrastruktura v oblaku« je običajno preširoka, da bi pojasnila, zakaj se podatki obdelujejo. »Upravljanje zahtevkov za podporo strankam« je uporabnejša, ker ima namen, prepoznavne posameznike, kategorije podatkov, prejemnike, pravila hrambe in podporne sisteme.

Praktična delovna evidenca lahko presega zakonsko predpisana polja:

• Poslovni lastnik in pregledovalec za varstvo zasebnosti.
• Namen in ustrezna pravna podlaga.
• Viri podatkov, kategorije in prizadete skupine.
• Razmerja upravljavec, obdelovalec ali skupni upravljavec.
• Aplikacije, izvozi, dnevniki in nadaljnji prejemniki.
• Pravila hrambe in način izvedbe izbrisa.
• Sklici na obvestila, obravnavo pravic, dobavitelje in prenose.
• Rezultat predhodnega preverjanja potrebe po DPIA in povezani zaščitni ukrepi.
• Datum odobritve, odprti ukrepi in sprožilci ponovnega pregleda.

Dodatna polja so priporočilo za usklajevanje, ne trditev, da 30. člen izrecno zahteva vsako postavko. Njihova vrednost je v tem, da evidenco naredijo uporabno ob uvedbi, zahtevi za dostop, menjavi dobavitelja ali incidentu.

Evidenco uskladite s sistemi, ki jih ljudje dejansko uporabljajo

Letni vprašalnik verjetno ne bo razkril vsakega izvoza v preglednico, preizkusne aplikacije ali naročnine na orodje umetne inteligence na ravni ekipe. Evidenco primerjajte z nabavnimi podatki, seznami odobrenih aplikacij, popisi sistemov in razgovori z lastniki procesov. Preglejte skupne pogone in ročne predaje, kadar bistveno vplivajo na dejavnost.

Popisa sredstev ne zamenjujte z evidenco obdelave. Popis sredstev pojasnjuje sisteme in odvisnosti; evidenca obdelave pojasnjuje uporabe osebnih podatkov. Povežite ju tako, da lahko ena aplikacija podpira več namenov, ne da bi se ti nameni zlili v nejasen opis.

Za dodatni kontekst delovnega toka glejte odkrivanje podatkov in zasebnost. Odkrivanje naj ustvari pregledljiv seznam neskladij, ne pa predpostavke, da je bilo vsako zaznano polje pravilno razvrščeno ali pravno ocenjeno.

32. člen prevedite v zaščitne ukrepe za resnične posledice

32. člen GDPR od upravljavcev in obdelovalcev zahteva, da izvajajo tehnične in organizacijske ukrepe, ustrezne tveganju. Ocena upošteva najnovejši tehnološki razvoj, stroške izvajanja, naravo, obseg, okoliščine in namene obdelave ter verjetnost in resnost tveganj za pravice in svoboščine posameznikov.

Med pomembne posledice spadajo nenamerno ali nezakonito uničenje, izguba, spreminjanje, nepooblaščeno razkritje in nepooblaščen dostop. Zato sta razpoložljivost in celovitost pomembni poleg zaupnosti. Izguba dostopa do storitve lahko posameznikom škoduje, tudi če ni bil ukraden noben podatek.

Splošna izjava, da »velja varnost po industrijskih standardih«, ne zadošča za pojasnilo, zakaj so zaščitni ukrepi primerni za določeno dejavnost. Začnite s scenariji: kdo bi lahko bil prizadet, kaj bi se lahko zgodilo, kako verjetno je to in kako resen bi bil učinek. Nato vsak pomemben scenarij povežite s preventivnimi, detekcijskimi in obnovitvenimi ukrepi.

Omejitve dostopa naj sledijo namenu

Pri dejavnosti podpore se vprašajte, kateri agenti potrebujejo katere zapise o strankah, ali občutljive priloge potrebujejo ločene omejitve in kdaj naj začasni dostop poteče. Upoštevajte privilegirano administracijo, podporni dostop dobaviteljev, množične izvoze, skupne račune in dostop v sili.

Uporabni dokazi so opredelitve vlog, odobritve dostopov, zapisi o prihodih, premestitvah in odhodih zaposlenih, ureditve privilegiranega dostopa in opravljeni pregledi dostopov. Politika dostopa dokazuje nameravano pravilo. Nedavni pregled, ki kaže, da so bila nepotrebna dovoljenja odstranjena, je dokaz, da se pravilo izvaja.

Vodstvo naj se vpraša, ali organizacija zna razlikovati med pooblaščenim dostopom in primerno uporabo. Zaposleni ima lahko tehnično veljaven račun, a podatke uporablja za nedovoljen namen. Pomembni so usposabljanje, nadzor, zasnova dostopov in preiskovalni postopki.

Šifriranje zahteva odločitev o uvedbi

32. člen šifriranje in psevdonimizacijo navaja med ukrepi, ki jih je treba preučiti; ne nalaga splošne obveznosti šifriranja za vsako situacijo. Kadar izberete šifriranje, opredelite, kaj ščiti in česa ne.

Šifriranje med prenosom ščiti podatke, ki potujejo med končnimi točkami, kadar so protokoli in avtentikacija končnih točk pravilno konfigurirani. Šifriranje v mirovanju ščiti shranjene podatke v določenih scenarijih groženj. Nobeno od njiju samodejno ne preprečuje, da bi pooblaščena aplikacija ali skrbnik videl nešifrirano besedilo.

Preverite, kdo nadzoruje ključe, kako je dostop do njih ločen ter kako se ključi ustvarjajo, menjajo, preklicujejo, varnostno kopirajo in obnavljajo. Šifriranje, ki ga upravlja ponudnik, je lahko primerno za nekatera tveganja, druga pa pusti nerazrešena. Šifriranje, katerega ključi so na voljo istemu kompromitiranemu akterju, morda ne naslavlja ocenjevanega scenarija.

Odločitev vodstva ni, kateri algoritem osebno uvesti. Gre za vprašanje, ali zasnova naslavlja zadevno tveganje in ali lahko tehnični lastnik ta sklep utemelji. Za razlike na ravni kontrol glejte šifriranje in upravljanje ključev.

Odpornost je treba dokazati, ne predpostaviti

32. člen obravnava stalno zaupnost, celovitost, razpoložljivost in odpornost ter zmožnost pravočasne obnovitve razpoložljivosti in dostopa po incidentu. Uspešno opravilo varnostnega kopiranja ne dokazuje, da lahko podjetje obnovi uporabno storitev.

Pričakovanja glede obnovitve določite na podlagi obdelave in posledic prekinitve. Preizkusite obnovitev, odvisnosti, poverilnice in ravnanje z osebnimi podatki v obnovljenih okoljih. Hranite dokaze o tem, kaj je bilo obnovljeno, koliko časa je trajalo, kaj ni uspelo in kaj je bilo popravljeno. Pravila hrambe in izbrisa morajo upoštevati tudi delovanje varnostnih kopij.

Učinkovitost preizkusite z ustreznimi dokazi

32. člen vključuje postopek rednega testiranja, ocenjevanja in vrednotenja ukrepov. Primerna metoda je odvisna od kontrole: k temu lahko prispevajo pregledi dostopov, vaje obnovitve, preverjanja konfiguracije, ocene ranljivosti, pregledi dobaviteljev in vaje incidentov.

Penetracijski test je lahko koristen, vendar ni splošni nadomestek za te dejavnosti niti splošna zahteva GDPR. Zabeležite preizkušeni obseg in omejitve. Test ene aplikacije ne dokazuje, da so na novo uveden izvoz za trženje, povezava z dobaviteljem ali postopek obnovitve ustrezno nadzorovani.

Za vsak bistveni zaščitni ukrep hranite lastnika, opis izvedbe, ustrezne dokaze, datum ocene in naslednji sprožilec pregleda. To je praktična struktura dokazov, ne predpisana predloga po 32. členu.

ISMS ponovno uporabite, ne da bi združili sklepe o varnosti in zasebnosti

ISO/IEC 27001 se nanaša na sistem upravljanja informacijske varnosti z opredeljenim obsegom. Njegova ocena tveganja, obravnava tveganj, operativni procesi, notranja presoja in vodstveni pregled lahko podpirajo upravljanje zaščitnih ukrepov za GDPR.

Prekrivanje je dragoceno. Dokazov o upravljanju dostopov, ocen dobaviteljev, vaj incidentov in preizkusov obnovitve za področje zasebnosti pogosto ni treba ustvarjati znova. Vendar je treba njihovo ustreznost preveriti glede na dejavnost obdelave in trenutni obseg.

Certificiranje s strani neodvisnega certifikacijskega organa se nanaša na navedeni obseg ISMS. Ne zajema samodejno vsakega izdelka, subjekta, dobavitelja ali dejavnosti obdelave. Izjava o uporabnosti (Statement of Applicability) beleži odločitve o uporabnosti in obravnavi kontrol; ni izjava, da je bila izpolnjena vsaka obveznost iz GDPR.

ISO 27001 tudi sam po sebi ni splošni zakonski režim za poročanje o kršitvah. Obveznosti uradnega obveščanja po GDPR je treba oceniti ločeno. Nasprotno pa skladnost z GDPR ne dokazuje, da je organizacija izpolnila vse zahteve, potrebne za certifikat ISO 27001.

GDPR v 42. in 43. členu predvideva mehanizme certificiranja. Takšno certificiranje ne zmanjšuje odgovornosti upravljavca ali obdelovalca in ni enakovredno certifikatu ISO 27001 ali splošni izjavi o skladnosti s predpisi.

Vprašanje za vodstvo je zato ponovna uporaba dokazov z ločenimi sklepi: kaj ta postavka dokazuje, za katere sisteme in obdobje ter katera vprašanja zasebnosti ostajajo odprta?

Vodstvu, varnosti in zasebnosti dodelite ločene odgovornosti

Delujoč operativni model potrebuje več kot skupen nabiralnik za skladnost. Poslovni lastniki naj opišejo in utemeljijo svojo obdelavo; varnost naj oceni in izvede ustrezne zaščitne ukrepe; strokovnjaki za zasebnost naj svetujejo glede zakonskih zahtev, pravic, obvestil in ocen. Vodstvo mora zagotoviti vire in v okviru zakona razrešiti bistvene odločitve.

DPO ni samodejno obvezen za vsako podjetje. 37. člen vključuje javne organe in telesa, ob upoštevanju izjeme za sodišča, ter organizacije, katerih temeljne dejavnosti izpolnjujejo določene pogoje obsežnega spremljanja ali obdelave občutljivih podatkov. Nacionalno pravo lahko doda zahteve, zato preverite zadevne jurisdikcije.

Kadar je imenovan, ima DPO neodvisne svetovalne in nadzorne naloge, vanj je treba ustrezno in pravočasno vključiti ter neposredno poroča najvišji ravni vodstva. DPO ne bi smel prejemati navodil za doseganje želenega sklepa niti mu ne bi smeli dodeliti nezdružljivih odgovornosti, s katerimi bi določal namene in sredstva obdelave.

Ne naredite DPO lastnika vsake kontrole, odobritelja vsakega poslovnega namena in hkrati osebe, ki te iste odločitve presoja. To združuje nezdružljive odgovornosti in lahko operativne ekipe pusti v prepričanju, da je bila odgovornost prenesena z njih.

Uporaben zapis o odobritvi navaja predlagatelja, strokovni nasvet, upoštevane dokaze, odločevalca, pogoje in odprte ukrepe. Če vodstvo izbere drugačen zakonit pristop od priporočenega, zabeležite utemeljitev. Vodstvo manjkajoče pravne podlage ali obveznega pogodbenega določila ne more spremeniti v skladnost tako, da jo označi kot »sprejeto tveganje«.

Vodnik o odgovornostih CISO in DPO podrobneje pojasnjuje mejo lastništva. Za izvršnega direktorja je ključno nadzorno vprašanje, ali nesoglasja pridejo do nekoga, ki lahko spremeni obdelavo, financira zaščitni ukrep ali ustavi predlog – ne le odobri dokument.

Dobavitelje ocenite prek vloge, pogodbe in izvedbe

Varnostni pregled dobaviteljev in pregled dobaviteljev po GDPR se prekrivata, vendar nista enaka. Najprej ugotovite, ali je dobavitelj obdelovalec, samostojni upravljavec, skupni upravljavec ali ima pri različnih storitvah različne vloge.

Po 28. členu morajo upravljavci uporabljati obdelovalce, ki zagotavljajo zadostna jamstva za ustrezne tehnične in organizacijske ukrepe. Ureditve z obdelovalci zahtevajo zavezujočo pogodbo ali drug ustrezen pravni akt s predpisano vsebino. Zgolj določilo o zaupnosti te zahteve ne izpolnjuje.

Zahteve iz 28. člena vključujejo:

• Predmet, trajanje, naravo in namen obdelave.
• Vrste osebnih podatkov in kategorije posameznikov.
• Obveznosti in pravice upravljavca.
• Obdelavo po dokumentiranih navodilih, vključno z ustreznimi določbami o prenosih.
• Zaupnost in varnostne ukrepe po 32. členu.
• Pogoje za vključitev drugih obdelovalcev.
• Pomoč pri zahtevah za uveljavljanje pravic in določenih obveznostih skladnosti.
• Vrnitev ali izbris podatkov ob koncu storitev, ob upoštevanju veljavnih zakonskih zahtev.
• Informacije in ureditve za presojo, s katerimi se dokazuje skladnost.

Poleg pogodbe preglejte dejanske pogoje storitve. Dobavitelj lahko obljubi izbris, a nekatere dnevnike hrani za ločen namen kot upravljavec. Poslovna naročnina lahko omejuje uporabo za učenje modelov, preizkusni račun pa ne. Obdelovalec lahko uporablja več podobdelovalcev z različnimi lokacijami in ureditvami podpore.

Pooblastilo za podobdelovalce je po 28. členu lahko posebno ali splošno. Kadar se uporablja splošno pisno pooblastilo, mora obdelovalec upravljavca obvestiti o nameravanih dodatkih ali zamenjavah in mu dati možnost ugovora. Operativno vprašanje je, kdo ta obvestila prejme in jih oceni, preden izginejo v nenadzorovan nabiralnik.

Pregled pogodbe ločite od ocene prenosa. Pogodba po 28. členu sama po sebi ne zagotavlja mehanizma za prenos po poglavju V. Prav tako podpis pogodbe o obdelavi ne vzpostavi pravne podlage za dejavnost upravljavca.

Nepogajljive pogoje obravnavajte kot poslovno odločitev

Manjše stranke imajo lahko omejeno pogajalsko moč. Zato je zgodnja ocena še pomembnejša, ne pa neobvezna. Dokumentirajte pomanjkljivost, vprašajte po razpoložljivih alternativah in razmislite o spremembi konfiguracije, zmanjšanju podatkov, izbiri druge storitve ali odstopu od projekta.

Kadar obvezna zahteva ostaja neizpolnjena, je odobritev vodstva ne more popraviti. Kadar gre za izbiro med zakonitimi možnostmi z različnimi preostalimi tveganji, lahko vodstvo odloči na podlagi dokumentiranega nasveta. Nabava naj ti situaciji razlikuje, namesto da vse pomisleke zbira v eni kategoriji izjem.

Pregled dobavitelja naj se konča z odločitvijo, pogoji, sklici na dokaze in sprožilci ponovnega pregleda – ne le z izpolnjenim vprašalnikom.

Obravnavo pravic zasnujte pred prvo zahtevno zahtevo

Členi 15–22 določajo pravice, med drugim do dostopa, popravka, izbrisa, omejitve, prenosljivosti, ugovora in zaščite v zvezi z nekaterimi izključno avtomatiziranimi odločitvami. Te pravice imajo različne pogoje in izjeme; en sam delovni tok »izbriši vse« ne bo ustrezal vsem.

Po 12. členu morajo organizacije odgovoriti brez nepotrebnega odlašanja in običajno v enem mesecu od prejema zahteve. Podaljšanje za največ dva dodatna meseca je mogoče, kadar je to potrebno ob upoštevanju zapletenosti in števila zahtev, vendar je treba posameznika v prvem mesecu obvestiti z navedbo razlogov. Zahteve so praviloma brezplačne; pristojbine ali zavrnitev so omejene na pogoje iz uredbe, na primer očitno neutemeljene ali pretirane zahteve, kar mora upravljavec dokazati.

Vzpostavite operativno pot, ki deluje prek kanalov podpore, kadrovske službe, prodaje in varstva zasebnosti:

1. Zabeležite prejem, zahtevane pravice in rok.
2. Potrdite zadevnega upravljavca in obseg.
3. Kadar obstajajo utemeljeni dvomi, sorazmerno preverite identiteto.
4. Poiščite podatke in ugotovite zadevne sisteme, prejemnike in obdelovalce.
5. Ocenite veljavne pogoje, izjeme in pravice drugih oseb.
6. Pripravite odgovor ali ukrep in ga preglejte.
7. Odgovor varno posredujte in hranite ustrezen zapis o zaključku.

Ne zahtevajte rutinsko osebnih dokumentov, kadar bi zadoščalo manj posegajoče preverjanje. Prav tako ne razkrijte občutljivih zapisov le zato, ker nekdo pozna e-poštni naslov. Tudi samo preverjanje pomeni obdelavo osebnih podatkov in zahteva sorazmeren pristop.

Odgovor na zahtevo za dostop običajno potrebuje več kot seznam kategorij. 15. člen vključuje kopijo osebnih podatkov, ki se obdelujejo, in dodatne informacije. Pred razkritjem preglejte informacije in pravice tretjih oseb; prisotnosti imena druge osebe ne obravnavajte kot utemeljitve za zadržanje vsega.

Izbris ni absoluten. Uporabljajo se lahko zakonske obveznosti hrambe in druge izjeme iz 17. člena. Kadar je izbris zahtevan, določite, kako doseže povezane storitve in zadevne prejemnike ter kako obnovitev iz varnostnih kopij prepreči, da bi se izbrisani zapisi brez premisleka znova pojavili. Morebitne zakonite omejitve natančno pojasnite.

Avtomatizacija lahko spremlja roke in organizira iskanja, vendar mora nekdo odločiti, ali so rezultati popolni, ali so prikritja utemeljena in ali velja izjema. Hitro ustvarjen standardni odgovor ni koristen, če izpusti sistem, ki vsebuje zahtevane podatke.

Za podrobnejši delovni tok glejte zahteve za dostop do osebnih podatkov. Vodstvo naj občasno preizkusi reprezentativno zahtevo od prejema do varne vročitve, namesto da se zanaša zgolj na objavljen postopek.

Z DPIA preizkusite zasnovo, preden jo odobrite

Ocena učinka v zvezi z varstvom podatkov (DPIA) po 35. členu je obvezna pred obdelavo, ki bi verjetno povzročila veliko tveganje za pravice in svoboščine posameznikov. Uredba navaja posebne primere, med drugim nekatera pomembna avtomatizirana vrednotenja, obsežno obdelavo občutljivih podatkov in sistematično obsežno spremljanje javno dostopnih območij. Upoštevati je treba tudi ustrezne sezname nadzornih organov.

Predlagane dejavnosti preverite zgodaj. Praktično priporočilo: ohranite utemeljitev, kadar predhodno preverjanje pokaže, da DPIA ni potrebna, zlasti v mejnih primerih. Kratek zapis o predhodnem preverjanju omogoča, da se k odločitvi vrnete, ko se spremenijo obseg, tehnologija ali namen.

Celovita DPIA naj obravnava štiri povezane elemente:

• Sistematičen opis predvidene obdelave in namenov, po potrebi vključno z zakonitimi interesi.
• Nujnost in sorazmernost glede na te namene.
• Tveganja za pravice in svoboščine posameznikov.
• Ukrepe, predvidene za obravnavo tveganj in dokazovanje skladnosti.

Ne začnite in ne končajte s seznamom varnostnih groženj. Najprej se vprašajte, ali so predlagani podatki, pogostost, prejemniki in postopek odločanja potrebni. Manj posegajoča zasnova lahko tveganje odpravi učinkoviteje kot dodatna tehnična kontrola.

Projekt za merjenje produktivnosti zaposlenih bi na primer lahko predlagal neprekinjeno zajemanje posnetkov zaslona. Šifriranje in omejen dostop bi lahko zmanjšala tveganje razkritja, a bi ostala resna vprašanja o sorazmernosti, spremljanju, pričakovanjih zaposlenih in primernosti manj posegajočih ukrepov. Poslovni namen je treba preučiti, preden je varnostna zasnova sploh smiselna.

Ocenite tveganje za posameznike, ne le izpostavljenost podjetja

Upoštevajte finančno izgubo, diskriminacijo, zlorabo identitete, izgubo zaupnosti, izključitev iz storitev in druge pomembne učinke. Scenarij ima lahko omejen finančni vpliv na podjetje in znaten vpliv na posameznika.

Dokumentirajte predlagane blažilne ukrepe, odgovorne za izvedbo in oceno preostalega tveganja. Kadar je imenovan DPO, pridobite njegov nasvet. Preverite, ali spremembe v delovanju ali tveganju zahtevajo posodobitev ocene.

36. člen zahteva predhodno posvetovanje z nadzornim organom, kadar DPIA pokaže, da bi obdelava povzročila veliko tveganje, če ne bi bili sprejeti ukrepi za njegovo zmanjšanje. Če organizacija tega velikega tveganja ne more dovolj obvladati, zahtevanega posvetovanja ne more nadomestiti z notranjim statusom »sprejeto«. Vodstvo lahko dejavnost preoblikuje, odloži ali opusti; s pravicami drugih ljudi pa ne more razpolagati, kot da bi šlo zgolj za poslovno tveganje.

Odzivanje na incidente povežite z odločitvami o uradnem obveščanju po GDPR

Kršitev varstva osebnih podatkov vključuje kršitev varnosti, ki povzroči nenamerno ali nezakonito uničenje, izgubo, spremembo, nepooblaščeno razkritje osebnih podatkov ali dostop do njih. Je širša od napadalca, ki ukrade bazo podatkov. Oceno lahko zahtevajo napačno poslana priloga, izgubljena nezaščitena naprava ali incident, ki vpliva na razpoložljivost ali celovitost osebnih podatkov.

Po 33. in 34. členu upravljavci ocenjujejo dva različna praga za obveščanje:

72-urni rok teče od seznanitve, ne preprosto od časovnega žiga prvotnega incidenta ali od naslednjega delovnega dne. Če je obvestilo poslano pozneje, mu morajo biti priloženi razlogi za zamudo. Informacije je mogoče posredovati postopoma, kadar jih ni mogoče posredovati vseh hkrati brez dodatnega nepotrebnega odlašanja.

Verigo eskalacije pripravite vnaprej: vodja incidenta, svetovalec za zasebnost, odgovorni odločevalec pri upravljavcu, tehnični preiskovalci, komunikacije in kontakti pri dobaviteljih. Pot za poročanje pristojnemu organu poiščite pred izrednim dogodkom. Obdelovalec ne bi smel čakati na lasten končni sklep o tveganju, preden obvesti upravljavca.

Zapis o incidentu naj zajame, kaj se je zgodilo, prizadete podatke in posameznike, verjetne posledice, zajezitev in odpravo ter odločitve o obveščanju. Člen 33(5) zahteva dokumentiranje kršitev varstva osebnih podatkov, vključno z dejstvi, učinki in sprejetimi popravnimi ukrepi. Ohranite utemeljitev za neobveščanje, da bo odločitev pozneje razumljiva.

Šifriranje lahko vpliva na oceno tveganja in analizo po 34. členu, vendar le, kadar je njegova zaščita relevantna in učinkovita. »Storitev uporablja šifriranje« ne zadošča, če je napadalec prek kompromitiranega računa dostopal do nešifriranega besedila. 34. člen vključuje tudi druge izjeme, na primer naknadne ukrepe, ki zagotavljajo, da se veliko tveganje verjetno ne bo več uresničilo; ocenite dejanske pogoje, namesto da uporabite splošno izjemo.

Vadite en scenarij, ki vključuje dobavitelja, in drugega z notranjim razkritjem. Vaja naj poleg tehnične zajezitve preizkusi tudi zbiranje dokazov in pristojnost odločanja.

Mednarodne prenose obravnavajte kot ločeno oceno

Zahteve za prenos iz poglavja V obstajajo poleg preostalih določb GDPR. Mehanizem prenosa ne zagotavlja pravne podlage po 6. členu, pravna podlaga pa ne odpravi potrebe po ustrezni ureditvi prenosa.

Popišite dejanske prejemnike in poti dostopa. Gostovanje v podatkovnem centru v EU je pomembno, vendar samo po sebi ne dokazuje, da ni prenosa v tretjo državo ali da so izpolnjene vse obveznosti glede zasebnosti. Upoštevajte podporni dostop, podobdelovalce, administrativni dostop, nadaljnje razkritje in vpletene stranke.

Okvir GDPR za prenose vključuje sklepe o ustreznosti po 45. členu, ustrezne zaščitne ukrepe po 46. členu in omejena odstopanja po 49. členu. Ob odločitvi preverite ustrezni mehanizem in njegov obseg.

Kadar se zanašate na ureditev ustreznosti, omejeno na sodelujoče organizacije, preverite točnega prejemnika in zajeto dejavnost. Družba v skupini ali podobno trgovsko ime ni nujno zajeti prejemnik. Ohranite rezultat in datum preverjanja.

Kadar se uporabljajo standardna pogodbena določila, izberite določila, ki ustrezajo dejanskim vlogam strank, in izpolnite ustrezne priloge. Ocenite zakonodajo in prakse v namembni državi ter ali so potrebni dodatni ukrepi, da bi bila zaščita učinkovita. Podpisana pogodba sama ne odgovori na vsa vprašanja o tveganju prenosa.

Praktična dokumentacija o prenosu naj navaja izvoznika in uvoznika, podatke in namene, lokacije in dostop, nadaljnje prenose, izbrani mehanizem, ustrezno oceno, tehnične ali organizacijske ukrepe ter sprožilce ponovnega pregleda. Dokumentacija ponudnika lahko to delo podpre, vendar vprašanje, ali ponudnik »ima oceno«, ni enako vrednotenju njenih ustreznih ugotovitev.

Vodstvo naj ve, katere storitve so odvisne od določenega mehanizma in katere spremembe bi zahtevale ponovno oceno. To podpira premišljen načrt za izredne razmere, ne da bi to pomenilo, da vsak dobavitelj potrebuje enako pogodbeno rezervno rešitev.

Uporabo umetne inteligence ocenite kot obdelavo, ne le kot novo orodje

Aplikacija umetne inteligence lahko uvede nove prejemnike, sklepa o dodatnih osebnih podatkih, hrani pozive ali omogoči nov namen. Te spremembe so pomembne, tudi če aplikacija ponovno uporablja obstoječo enotno prijavo in kontrole dostopa organizacije.

Preden odobrite osebne podatke v storitvi umetne inteligence, ugotovite:

• Natančno nalogo in ali so osebni podatki potrebni.
• Kategorije vhodnih podatkov, izhodnih podatkov in prizadetih posameznikov.
• Vlogo ponudnika pri vsaki uporabi, vključno z morebitnimi nameni učenja ali izboljševanja.
• Hrambo, človeški dostop, podobdelovalce in ureditve prenosa.
• Pogodbene zaveze in ustrezne konfiguracijske nastavitve.
• Tveganja glede točnosti, razkritja, obravnave pravic in odločanja.

Ne domnevajte, da je vsak ponudnik modelov izključno obdelovalec. Njegova vloga je odvisna od obdelave, ki jo izvaja, in namenov, ki jih določa. Prav tako pogodba po 28. členu predlaganega posredovanja samodejno ne naredi zakonitega. Ocenite namen, pravno podlago, preglednost, nujnost in vse druge veljavne zahteve.

Če je podjetje samo obdelovalec, lahko uvedba ponudnika umetne inteligence ustvari razmerje s podobdelovalcem. Pred pošiljanjem podatkov strank preverite navodila strank in dogovorjeni postopek pooblastila. Nov aneks k pogodbi ni vedno potreben, potrebna pa je skladnost z obstoječimi pogodbenimi in zakonskimi ureditvami.

22. člen obravnava nekatere odločitve, ki temeljijo izključno na avtomatizirani obdelavi in imajo pravne ali podobno pomembne učinke. Nominalni človeški pregled vprašanja ne razreši, če pregledovalec izida ne more smiselno oceniti ali spremeniti. Zaposlovanje, upravičenost in finančne odločitve zahtevajo posebno pozornost.

Akt o umetni inteligenci in GDPR nalagata različne obveznosti. Ocena po Aktu o umetni inteligenci ne nadomesti DPIA, skladnost z GDPR pa ne dokazuje skladnosti z Aktom o umetni inteligenci. Za datume uporabe uporabite aktualni pregled Akta o umetni inteligenci Evropske komisije, namesto da bi v trenutni projekt prenašali star časovni načrt uvedbe.

Pri notranjem delu na področju zasebnosti lahko umetna inteligenca pripravi osnutke opisov iz odobrenih virov, primerja dokumente ali predlaga vprašanja. Njen izid obravnavajte kot osnutek. Verjetno zveneča pravna podlaga, spregledan prejemnik ali napačna izjava o hrambi lahko izpiljen dokument naredi bistveno napačen.

Usklajevanje avtomatizirajte in ohranite odgovoren pregled

Rastoče organizacije kopičijo ponavljajoče se delo: posodobitve evidenc obdelave, roke za zahteve za uveljavljanje pravic, dokumente dobaviteljev, ukrepe iz ocen, potek veljavnosti dokazov in odločitve ob pregledih. Avtomatizacija lahko organizira vhodne podatke in roke. Ne sme pa zabrisati razlike med zbiranjem informacij in doseganjem zagovorljivega sklepa.

Začnite s stabilnim procesom in jasnim lastništvom. Avtomatizacija nejasne predaje lahko nejasnost samo hitreje razširi. Opredelite, kaj odpre nalogo, kdo jo prejme, kateri dokazi so potrebni, kdo pregleda rezultat in kaj zaključi delo.

Pri osnutkih s pomočjo umetne inteligence ohranite odobrene vire in označite negotovost. Ne dovolite, da bi ustvarjen povzetek neopazno nadomestil pogodbo z dobaviteljem ali oceno. Pregledovalci morajo znati razlikovati med posredovanimi dejstvi, izpeljanimi predlogi in odprtimi vprašanji.

Tudi za sam delovni tok uporabite dostop po načelu najmanjših pooblastil. Datoteke zahtev za uveljavljanje pravic, zapisi o incidentih in ocene zaposlenih lahko vsebujejo občutljive informacije. Širok dostop do delovnega prostora za skladnost lahko spodkoplje omejitve, ki se dokumentirajo. Osebne podatke v dokazih zmanjšajte na najmanjšo mero in omejite gradivo, ki resnično zahteva identifikacijo.

Uporabna vodstvena merila so zapadli ukrepi, manjkajoči lastniki, zapisi, ki po bistveni spremembi čakajo na pregled, in kontrole z zastarelimi ali nezadostnimi dokazi. Golo število dokumentov je manj informativno. Merite, ali so odločitve in popravni ukrepi zaključeni, ne le, ali je bilo ustvarjenega več besedila.

Praktični primer: integracija za trženje, ki ponovno uporablja varnostne kontrole

Naslednji primer je ponazoritven. Predpostavimo, da ima rastoče podjetje za programsko opremo B2B vzpostavljeno bazo podatkov o strankah, ISMS, ki zajema njegovo produkcijsko storitev, in predlagano platformo za kampanje. Trženje želi pošiljati sporočila za uvajanje in pozneje promovirati dodatne izdelke. Platforma bi prejemala kontaktne podatke, dogodke uporabe izdelka in prosto besedilo opomb podpore. Ne namigujemo na noben resničen izid pri strankah ali zmogljivost Secani.

1. Ločite predlagane namene

Prvotna zahteva se glasi »izboljšati vključenost strank«. Poslovni lastnik jo preoblikuje v konkretne namene: potrebno uvajanje v storitev, neobvezna promocijska sporočila in analizo uspešnosti kampanj.

Pregledovalec za zasebnost oceni podlago za vsak namen, namesto da bi pogodbo s stranko uporabil za vse tri. Za promocijska sporočila lahko veljajo tudi nacionalna pravila o elektronskem trženju. Podjetje ne domneva, da analiza zakonitih interesov po GDPR sama razreši te ločene zahteve.

Prvi rezultat je odločitev o namenu in podlagi z dodeljenimi odprtimi vprašanji. Trženje razširjene uporabe ne more začeti zgolj zato, ker je integracija prestala tehnično varnostno preverjanje.

2. Zmanjšajte predlagani tok podatkov

Opombe podpore so priročne za personalizacijo, vendar za odobreno sporočilo za uvajanje niso potrebne. Lahko tudi vsebujejo informacije, za katere stranke niso pričakovale, da bodo ponovno uporabljene za trženje. Zasnova jih odstrani.

Tehnični lastnik dogodke izdelka omeji na tiste, ki so potrebni za odobreni delovni tok, in izključi podrobne zgodovine uporabnikov, kadar zadoščajo združeni ali enostavnejši podatki o dogodkih. To zmanjša izpostavljenost, še preden se doda nova kontrola.

Evidenca obdelave zdaj opisuje dejanska polja, prizadete uporabnike, prejemnika, namene in pristop k hrambi. Obvestilo o zasebnosti se pregleda glede na odobreno dejavnost, ne glede na prvotno široko zahtevo.

3. Preverite ureditve z dobaviteljem in prenose

Nabava ugotovi vlogo platforme pri izvajanju kampanj in preveri morebitne ločene namene ponudnika. Ekipa pregleda pogodbo po 28. členu, ureditve s podobdelovalci, pogoje izbrisa, podporni dostop in veljavni mehanizem prenosa.

Možnost gostovanja v EU se zabeleži kot pomembno dejstvo, ne kot konec analize prenosa. Če zahtevane informacije manjkajo, naloga ostane odprta, pogoj za zagon pa navaja, kaj je treba razrešiti.

4. Varnostne dokaze ponovno uporabite premišljeno

Integracija lahko ponovno uporabi korporativne kontrole identitete in obstoječi proces upravljanja dostopov. Dokazi o teh kontrolah se povežejo, ne ustvarijo znova. Vendar ima nova platforma za kampanje lastna dovoljenja, izvoze in nastavitve hrambe.

Lastnik varnosti oceni kompromitiranje računa, nepooblaščen množični izvoz, napačno preslikavo dogodkov in izgubo nastavitev za odjavo. Ekipa omeji dostop, odobri zahtevana dovoljenja za integracijo, preslikavo preizkusi z ustreznimi testnimi podatki in preveri, kako se zapisi izbrišejo ali zadržijo.

Obstoječa vaja obnovitve produkcijske storitve ne dokazuje, da je mogoče nastavitve za kampanje pravilno obnoviti. Lastnik ločeno preveri obnovitveno vedenje, pomembno za ta delovni tok.

5. Dokončajte oceno in odobritev

Pregledovalec za zasebnost na podlagi dejanske dejavnosti preveri potrebo po DPIA in zabeleži utemeljitev. Ekipa preveri tudi, kako zahteve za dostop, ugovor in izbris dosežejo platformo. Zlasti ugovora zoper trženje ne sme razveljaviti naslednja sinhronizacija baze podatkov.

Vodstvo pregleda jedrnat paket za odločitev: odobreni nameni, odstranjeni podatki, sklepi o dobavitelju in prenosu, zaščitni ukrepi, odprti pogoji, obravnava pravic in imenovani lastniki. Vsaka nerazrešena obvezna zahteva blokira zadevno obdelavo, namesto da bi se spremenila v sprejeto poslovno izjemo.

6. Ohranite naslednji sprožilec

Odobritev je vezana na ocenjeno konfiguracijo. Dodajanje vedenjskega točkovanja, nalaganje opomb podpore, sprememba pogojev ponudnika glede učenja modelov ali uvedba novega prejemnika sproži ponovni pregled. Ekipa lahko nespremenjene varnostne dokaze ponovno uporabi in hkrati na novo oceni nova vprašanja zasebnosti.

To je osrednja razlika: skupni zaščitni ukrepi lahko ostanejo veljavni, medtem ko se namen, prejemnik ali učinek na posameznike bistveno spremeni.

Pristop uvedite z osredotočenim prvim obsegom

Izberite eno dejavnost obdelave z vidnim poslovnim lastništvom in obvladljivimi odvisnostmi. Podpora strankam, uvajanje zaposlenih ali reprezentativen delovni tok izdelka lahko razkrijejo vrzeli, ne da bi bilo treba najprej preoblikovati celotno organizacijo.

Praktično priporočilo: začnite s štirimi rezultati:

• Dogovorjen opis obdelave in ocena vlog.
• Seznam odločitev o zasebnosti, vključno s podlago, obvestilom, hrambo, pravicami in predhodnim preverjanjem DPIA.
• Ocena zaščitnih ukrepov na podlagi scenarijev, povezana z obstoječimi varnostnimi dokazi.
• Zapis o odobritvi z lastniki, odprtimi ukrepi in sprožilci sprememb.

V Secani lahko ekipe začnejo z osredotočenim obsegom, modelirajo podporne aplikacije, sisteme, storitve in ponudnike ter dokaze povežejo z zahtevami, kontrolami in odločitvami. Manjkajoči dokazi in odprta vprašanja pregleda lahko postanejo dodeljene naloge. Predlogi s pomočjo umetne inteligence ostanejo osnutki, s sledljivostjo do virov in izrecno človeško odobritvijo. Tako imajo pregledovalci za varnost in zasebnost skupen kontekst dokazov, njihovi ločeni sklepi pa ostanejo vidni; to ne nadomešča evidenc obdelave, izpolnjevanja pravic ali pravne analize.

Obseg razširite šele, ko je bil prvi delovni tok preizkušen. Na njem preizkusite menjavo dobavitelja, zahtevo za uveljavljanje pravic in ustrezen scenarij incidenta. Kadar ekipa ne more ugotoviti lastnika, pridobiti dokazov ali pojasniti odločitve, popravite operativni proces, preden dodate nove dejavnosti.

Pri vodstvenem pregledu postavite tri vprašanja: ali se evidenca ujema s trenutno obdelavo, ali zaščitni ukrepi naslavljajo posledice za posameznike in ali bo bistvena sprememba zanesljivo znova odprla odločitev? Ta vprašanja so praktičen naslednji korak pri povezovanju varnostnega zagotovila z odgovornostjo po GDPR.

Vprašanja, ki naj jih vodstvo izrecno razreši

Ali lahko izvršni direktor odobri izjemo od GDPR?

Vodstvo lahko izbira med zakonitimi možnostmi in dodeli vire za obvladovanje tveganja. Ne more pa se odpovedati zakonskim zahtevam, odobriti obdelave brez ustrezne podlage ali zahtevanega predhodnega posvetovanja nadomestiti z notranjo odobritvijo.

Ali vsaka sprememba obdelave potrebuje novo DPIA?

Ne. Spremembo ocenite glede na prag velikega tveganja in preglejte obstoječe ocene, kadar se spremenita delovanje ali tveganje. Dokumentirana odločitev predhodnega preverjanja je uporabnejša od samodejne izdelave celovite DPIA ali predpostavke, da stari rezultat vedno velja.

Kaj naj se pregleda najprej, kadar so viri omejeni?

Prednost dajte obdelavi z morebitnimi resnimi posledicami za posameznike, nerazrešenim vprašanjem zakonitosti ali pogodb ter operativnim rokom, kot so zahteve za uveljavljanje pravic in odziv na kršitve. Vrzeli v dokazih uporabite kot vodilo za preiskavo, vendar ne domnevajte, da dejavnost z največ manjkajočimi dokumenti nujno predstavlja največje tveganje.

Kateri organ izvršuje GDPR in koliko lahko stanejo kršitve?

Ugotovite pristojni nadzorni organ za obdelavo. Pri čezmejni obdelavi, ki izpolnjuje pogoje, je mehanizem vodilnega organa praviloma odvisen od glavnega ali edinega sedeža upravljavca ali obdelovalca v EU, pri čemer so vključeni drugi zadevni organi. Predstavnik po 27. členu ne ustvari sedeža v EU niti dostopa do tega mehanizma.

83. člen določa dve glavni ravni najvišjih upravnih glob: do 10 milijonov EUR ali 2 % skupnega svetovnega letnega prometa podjetja v preteklem poslovnem letu ter do 20 milijonov EUR ali 4 %, pri čemer se na vsaki ravni uporabi višji znesek. Veljavna raven je odvisna od kršitve; to so zgornje meje, ne samodejne kazni. Organi upoštevajo okoliščine in lahko odredijo tudi popravne ukrepe ali omejijo obdelavo. 82. člen ločeno določa odškodnino, kadar kršitev povzroči premoženjsko ali nepremoženjsko škodo.