Termín GDPR · Obecné nařízení o ochraně osobních údajů
Váš soulad s GDPR, změřený článek po článku a převedený do konkrétního akčního plánu.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Termín GDPR · Obecné nařízení o ochraně osobních údajů
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení (EU) 2016/679, účinné od 25. května 2018 spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a krok, který obě spojuje) mění zjištění ve vývojovou trajektorii.
Uplatňují se stanovené doby uchovávání skutečně v systémech?
- N1
Žádná doba uchovávání není stanovena. Údaje se uchovávají bez časového omezení a žádné mazání není zdokumentováno.
- N2
Doby uchovávání jsou uvedeny v záznamech, ale žádný mechanismus mazání není zaveden. Odstraňování zůstává ruční a výjimečné.
- N3
Doby uchovávání se uplatňují u hlavních zpracování prostřednictvím automatizovaného mazání nebo archivace. Některé okrajové aplikace zůstávají mimo rozsah.
- N4
Uplatňování dob uchovávání je systematické u všech zpracování, s uchovávanými důkazy o provedení a řešenými odchylkami.
- N5
Doby uchovávání jsou pravidelně revidovány podle způsobu využití a právních povinností, se zdokumentovaným sledováním revizí a plánovanou interní kontrolou.
Krok pro postup z úrovně 2 na úroveň 3
Vyberte zpracování s největším objemem osobních údajů, stanovte s odpovědnými za aplikace proveditelné pravidlo mazání nebo archivace, naplánujte jej v systémech a ověřte jeho provedení na čtvrtletním výboru pro soulad.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína GDPR.
O čem tento referenční rámec je
Nařízení (EU) 2016/679 je účinné od 25. května 2018. Nejenže něco zakazuje nebo povoluje, ale vyžaduje prokazatelnost. Správce musí být kdykoli schopen doložit dodržování zásad podle článku 5, vést záznamy o činnostech zpracování podle článku 30, zdokumentovat právní základ každého zpracování, informovat subjekty údajů, reagovat na jejich žádosti v zákonných lhůtách, oznámit porušení zabezpečení do 72 hodin a provést posouzení vlivu, pokud zpracování představuje vysoké riziko. Povinnost se týká jak samotné praxe, tak důkazu o této praxi.
Právě tento požadavek na důkaz dělá z GDPR obtížně řiditelnou záležitost v každodenním provozu. Odpovídají záznamy o zpracování skutečnému stavu v produkci, nebo jen zachycují stav z doby projektu uvedení do souladu? Uplatňují se doby uchovávání skutečně v systémech, nebo jsou jen zapsané v tabulce? Je žádost o výmaz adresovaná zákaznickému servisu zaznamenána, posouzena a vyřízena do měsíce? Mnoho organizací má solidní dokumentaci, ale nerovnoměrné provedení napříč útvary a obchodními jednotkami.
Dva vývojové trendy posouvají těžiště úsilí. Spory o předávání dat mimo Evropskou unii učinily mapování zpracovatelů a hostingových řešení mnohem zásadnějším tématem, než tomu bylo v roce 2018. A nástup umělé inteligence staví ochranu údajů znovu do centra pozornosti: trénování modelů, vstupní data, minimalizace, informování subjektů údajů. Nejčastějším omylem zůstává, že se GDPR chápe jako uzavřený projekt, zatímco nařízení popisuje trvalý systém, který musí žít v rytmu nových zpracování.
Diagnostika vyspělosti odpovídá na jinou otázku než audit souladu. Audit uzavírá hodnocení konstatováním mezery nebo shody s daným požadavkem. Diagnostika umísťuje každou praxi na postupnou škálu a určuje konkrétní krok, který umožní postup na vyšší úroveň. GDPR nepodléhá žádné certifikaci, takže vyspělost je jediným jazykem, který umožňuje srovnávat jednotlivé entity, sledovat vývoj v čase a rozhodovat o rozpočtu na uvedení do souladu.
V platformě Datamensio je referenční rámec připraven k okamžitému použití. Můžete si jej přizpůsobit svému kontextu: umělá inteligence upraví tematické oblasti, otázky a úrovně, nebo vytvoří vlastní variantu na základě vašich politik, záznamů a interních postupů.
Referenční norma: Nařízení (EU) 2016/679, účinné od 25. května 2018
Hodnocené tematické oblasti
Řízení a role
Jmenování a postavení pověřence pro ochranu osobních údajů, vyčleněné prostředky, síť kontaktních osob, provázanost s právním oddělením a bezpečností, reportování vedení.
Záznamy o zpracování
Úplnost a aktuálnost záznamů, určení role správce nebo zpracovatele, účely, kategorie údajů a subjektů údajů, proces aktualizace.
Zákonnost a právní základy
Zdokumentovaný právní základ pro každé zpracování, řízení souhlasu a jeho odvolání, testy poměřování zájmů u oprávněného zájmu, zpracování citlivých údajů.
Informování a práva subjektů údajů
Informační doložky a zásady ochrany soukromí, kanály pro příjem žádostí, posouzení, sledovatelnost, dodržení měsíční lhůty, podíl vyřízených žádostí.
Minimalizace a doby uchovávání
Politika uchovávání podle jednotlivých zpracování, skutečné provádění mazání a archivace v systémech, pseudonymizace, kontrola testovacích datových sad.
Zabezpečení zpracování
Technická a organizační opatření podle článku 32, řízení oprávnění, šifrování, logování, pravidelné testy a revize.
Úniky osobních údajů
Postup detekce a posouzení, záznam o únicích, rozhodnutí o oznámení dozorovému úřadu do 72 hodin, informování subjektů údajů, zpětná vazba z incidentů.
Posouzení vlivu a ochrana soukromí již od návrhu
Kritéria pro spuštění DPIA, metodika a schvalování, začlenění privacy by design do projektů a architektonických výborů.
Zpracovatelé a předávání údajů
Mapování zpracovatelů a dalších subdodavatelů, doložky podle článku 28, audity, lokalizace hostingu, úprava předávání údajů mimo Evropskou unii.
Osvěta a neustálé zlepšování
Školení exponovaných útvarů, plánované interní kontroly, ukazatele, sledování akčního plánu a porovnání v čase.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Lze GDPR certifikovat?
Ne. Nařízení předpokládá certifikační mechanismy pro vymezené oblasti, ale neexistuje certifikát celkového souladu s GDPR. Datamensio měří vyspělost vašeho systému a připravuje vás na kontroly, nevydává však žádné osvědčení.
Jaký je rozdíl mezi touto diagnostikou a auditem souladu?
Audit se vyjadřuje požadavek po požadavku a uzavírá se konstatováním mezery nebo shody. Diagnostika umísťuje každou praxi na škálu vyspělosti a určuje krok, který posune o úroveň výš. Obě metody se doplňují: diagnostika připravuje a stanovuje priority, audit ověřuje.
Jak dlouho hodnocení trvá?
Zkrácenou verzi vyplníte během jediného pracovního setkání. Úplná verze v kolaborativním režimu s pověřencem pro ochranu osobních údajů, právním oddělením, bezpečností a dotčenými útvary obvykle trvá jeden až dva týdny, přičemž většina času připadá na shromažďování důkazů.
Lze referenční rámec přizpůsobit naší organizaci?
Ano. Tematické oblasti, otázky i úrovně lze upravit a můžete doplnit vlastní interní nebo oborové požadavky. Umělá inteligence může také vytvořit vlastní variantu na základě vašich stávajících politik a záznamů.
Jak porovnat více poboček nebo obchodních jednotek?
Stejný referenční rámec se distribuuje každé entitě, díky čemuž jsou skóre v jednotlivých tematických oblastech srovnatelná. Benchmark umísťuje každou obchodní jednotku vůči ostatním i vůči jejímu předchozímu hodnocení. Průřezová roadmapa následně konsoliduje společné kroky.
Pokrývá diagnostika i vaše využití umělé inteligence?
Tematické oblasti zákonnosti, minimalizace a posouzení vlivu zahrnují i zpracování napájející modely. Otázky lze rozšířit tak, aby pokryly konkrétní případ užití, trénování, vstupní data nebo informování dotčených subjektů údajů.
Je k vyplnění potřeba právnická odbornost?
Otázky se týkají praxe a její sledovatelnosti, nikoli výkladu textu nařízení. Pověřenec pro ochranu osobních údajů nebo compliance manažer na ně odpoví bez obtíží. Kolaborativní režim umožňuje přiřadit technické otázky příslušné kontaktní osobě.
Kde jsou údaje uloženy?
Ve Francii, u poskytovatele OVH, se zálohou u Scaleway. Žádné předávání mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských řešení.