Wymóg RODO · Ogólne rozporządzenie o ochronie danych
Państwa zgodność z RODO, zmierzona artykuł po artykule i przełożona na wyceniony plan działania.
10 obszarów tematycznych, undefined pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Wymóg RODO · Ogólne rozporządzenie o ochronie danych
10 obszarów tematycznych, undefined pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie (UE) 2016/679, stosowane od dnia 25 maja 2018 roku uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy oraz działanie łączące oba, przekształca stwierdzenie w trajektorię.
Czy ustalone okresy przechowywania są rzeczywiście stosowane w systemach?
- N1
Żaden okres nie jest ustalony. Dane są przechowywane bez ograniczenia czasowego i żadne usuwanie nie jest udokumentowane.
- N2
Okresy figurują w rejestrze, ale nie wdrożono żadnego mechanizmu usuwania. Kasowanie pozostaje ręczne i wyjątkowe.
- N3
Okresy są stosowane w odniesieniu do głównych czynności przetwarzania, poprzez usuwanie lub automatyczną archiwizację. Kilka pobocznych aplikacji pozostaje poza zakresem.
- N4
Stosowanie okresów jest systematyczne we wszystkich czynnościach przetwarzania, z zachowanymi dowodami wykonania i rozwiązywanymi rozbieżnościami.
- N5
Okresy są okresowo weryfikowane w zależności od sposobu wykorzystania i obowiązków prawnych, z udokumentowanym śledzeniem rewizji i zaplanowaną kontrolą wewnętrzną.
Działanie umożliwiające przejście z poziomu 2 na poziom 3
Wybrać czynności przetwarzania obejmujące największy wolumen danych osobowych, ustalić wspólnie z osobami odpowiedzialnymi za aplikacje wykonalną regułę usuwania lub archiwizacji, zaplanować ją w systemach i zweryfikować jej realizację podczas kwartalnego komitetu ds. zgodności.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna null.
O czym jest ten model referencyjny
Rozporządzenie (UE) 2016/679 jest stosowane od dnia 25 maja 2018 roku. Nie ogranicza się ono do zakazywania lub zezwalania: wymaga wykazania. Administrator danych musi w każdej chwili być w stanie udowodnić przestrzeganie zasad z artykułu 5, prowadzić rejestr przewidziany w artykule 30, udokumentować podstawę prawną każdego przetwarzania, informować osoby, których dane dotyczą, odpowiadać na ich żądania w terminie, zgłaszać naruszenia w ciągu 72 godzin oraz przeprowadzać ocenę skutków dla ochrony danych, gdy przetwarzanie niesie wysokie ryzyko. Obowiązek dotyczy zarówno samej praktyki, jak i dowodu jej stosowania.
To właśnie ten wymóg dowodowy sprawia, że RODO jest trudne do codziennego zarządzania. Czy rejestr odzwierciedla czynności przetwarzania faktycznie prowadzone w produkcji, czy tylko stan z momentu projektu dostosowawczego? Czy okresy przechowywania są rzeczywiście stosowane w systemach, czy jedynie zapisane w kolumnie? Czy żądanie usunięcia skierowane do obsługi klienta jest rejestrowane, kwalifikowane i realizowane w ciągu miesiąca? Wiele organizacji dysponuje solidną dokumentacją przy nierównym wykonaniu w poszczególnych jednostkach i obszarach działalności.
Dwie zmiany przesuwają punkt ciężkości wysiłków. Spory dotyczące transferów poza Unię Europejską sprawiły, że mapowanie podwykonawców i miejsc hostingu stało się znacznie bardziej strukturalne niż w 2018 roku. Z kolei rozwój zastosowań sztucznej inteligencji ponownie stawia ochronę danych w centrum uwagi: trenowanie modeli, dane wejściowe, minimalizacja, informowanie osób. Najczęstszym błędem pozostaje traktowanie RODO jako zamkniętego projektu, podczas gdy rozporządzenie opisuje stały system, który musi żyć w rytmie nowych czynności przetwarzania.
Diagnoza dojrzałości odpowiada na inne pytanie niż audyt zgodności. Audyt kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Diagnoza umieszcza każdą praktykę na progresywnej skali i wskazuje konkretne działanie prowadzące do wyższego poziomu. RODO nie podlega żadnej certyfikacji: dojrzałość jest więc jedynym językiem umożliwiającym porównanie jednostek, śledzenie postępów w czasie oraz podejmowanie decyzji budżetowych dotyczących dostosowania.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo dostosować go do swojego kontekstu: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy lub buduje wersję na podstawie Państwa własnych polityk, rejestrów i wewnętrznych procedur.
Norma referencyjna: Rozporządzenie (UE) 2016/679, stosowane od dnia 25 maja 2018 roku
Oceniane obszary tematyczne
Zarządzanie i role
Powołanie i umiejscowienie inspektora ochrony danych, przyznane zasoby, sieć korespondentów, powiązanie z działem prawnym i bezpieczeństwem, raportowanie do zarządu.
Rejestr czynności przetwarzania
Kompletność i aktualność rejestru, kwalifikacja administratora lub podmiotu przetwarzającego, cele, kategorie danych i osób, proces aktualizacji.
Zgodność z prawem i podstawy prawne
Udokumentowana podstawa prawna dla każdego przetwarzania, zarządzanie zgodą i jej wycofaniem, testy ważenia interesów dla uzasadnionego interesu, przetwarzanie danych wrażliwych.
Informowanie i prawa osób
Klauzule informacyjne i polityki prywatności, kanały przyjmowania żądań, kwalifikacja, identyfikowalność, dotrzymanie terminu jednego miesiąca, wskaźnik zamkniętych żądań.
Minimalizacja i okresy przechowywania
Polityka przechowywania dla każdego przetwarzania, rzeczywiste stosowanie usuwania i archiwizacji w systemach, pseudonimizacja, kontrola zbiorów danych testowych.
Bezpieczeństwo przetwarzania
Środki techniczne i organizacyjne z artykułu 32, zarządzanie uprawnieniami, szyfrowanie, rejestrowanie zdarzeń, okresowe testy i przeglądy.
Naruszenia ochrony danych
Procedura wykrywania i kwalifikacji, rejestr naruszeń, decyzja o zgłoszeniu do organu nadzorczego w ciągu 72 godzin, informowanie osób, wnioski z doświadczeń.
Oceny skutków i ochrona danych w fazie projektowania
Kryteria uruchomienia oceny skutków dla ochrony danych, metoda i zatwierdzanie, włączenie zasady privacy by design do projektów i komitetów architektury.
Podmioty przetwarzające i transfery
Mapowanie podmiotów przetwarzających i dalszych podwykonawców, klauzule z artykułu 28, audyty, lokalizacja hostingu, regulacja transferów poza Unię Europejską.
Szkolenia i ciągłe doskonalenie
Szkolenia dla narażonych obszarów działalności, zaplanowane kontrole wewnętrzne, wskaźniki, śledzenie planu działania oraz porównanie wyników w czasie.
Krótsza wersja modelu referencyjnego, licząca undefined pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i undefined pytań.
Najczęściej zadawane pytania
Czy RODO podlega certyfikacji?
Nie. Rozporządzenie przewiduje mechanizmy certyfikacji w określonych zakresach, ale nie istnieje certyfikat ogólnej zgodności z RODO. Datamensio mierzy dojrzałość Państwa systemu i przygotowuje do kontroli, nie wydaje jednak żadnego zaświadczenia.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt orzeka wymóg po wymogu i kończy się stwierdzeniem luki lub zgodności. Diagnoza umieszcza każdą praktykę na skali dojrzałości i wskazuje działanie umożliwiające przejście na wyższy poziom. Oba podejścia są komplementarne: diagnoza przygotowuje i priorytetyzuje, audyt zatwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest podczas jednej sesji roboczej. Wersja pełna, w trybie współpracy z inspektorem ochrony danych, działem prawnym, bezpieczeństwem i obszarami działalności, trwa zazwyczaj od jednego do dwóch tygodni, przy czym większość czasu poświęcona jest na zbieranie dowodów.
Czy można dostosować model referencyjny do naszej organizacji?
Tak. Obszary tematyczne, pytania i poziomy można modyfikować, a Państwo mogą dodać własne wymogi wewnętrzne lub sektorowe. Sztuczna inteligencja może również wygenerować wersję na podstawie Państwa istniejących polityk i rejestru.
Jak porównać kilka spółek zależnych lub jednostek biznesowych?
Ten sam model referencyjny jest udostępniany każdej jednostce, co pozwala porównywać wyniki w poszczególnych obszarach tematycznych. Analiza porównawcza sytuuje każdą jednostkę biznesową względem pozostałych oraz względem jej własnej poprzedniej oceny. Transwersalna mapa drogowa konsoliduje następnie wspólne działania.
Czy diagnoza obejmuje Państwa zastosowania sztucznej inteligencji?
Obszary tematyczne dotyczące zgodności z prawem, minimalizacji i ocen skutków obejmują przetwarzanie zasilające modele. Pytania mogą zostać wzbogacone, aby objąć konkretny przypadek użycia, trenowanie, dane wejściowe lub informowanie osób, których dane dotyczą.
Czy odpowiadanie wymaga wiedzy prawniczej?
Pytania dotyczą praktyk i ich identyfikowalności, a nie interpretacji przepisów. Inspektor ochrony danych lub osoba odpowiedzialna za zgodność odpowiada na nie bez trudności. Tryb współpracy pozwala przypisać pytania techniczne właściwemu korespondentowi.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak jakichkolwiek transferów poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.