Termen GDPR · Regulamentul general privind protecția datelor
Conformitatea dumneavoastră GDPR, măsurată articol cu articol și tradusă într-un plan de acțiune cuantificat.
10 domenii tematice, undefined întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Termen GDPR · Regulamentul general privind protecția datelor
10 domenii tematice, undefined întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Regulamentul (UE) 2016/679, aplicabil începând cu 25 mai 2018 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care le leagă pe cele două) este cel care transformă o constatare într-o traiectorie.
Perioadele de păstrare definite sunt aplicate efectiv în sisteme?
- N1
Nicio perioadă nu este definită. Datele sunt păstrate fără limită de vechime și nicio ștergere nu este documentată.
- N2
Perioadele figurează în registru, dar niciun mecanism de ștergere nu este implementat. Ștergerea rămâne manuală și excepțională.
- N3
Perioadele sunt aplicate pentru principalele prelucrări, prin ștergere sau arhivare automatizată. Câteva aplicații periferice rămân în afara perimetrului.
- N4
Aplicarea perioadelor este sistematică pentru ansamblul prelucrărilor, cu dovezi de execuție păstrate și decalaje tratate.
- N5
Perioadele sunt revizuite periodic în funcție de utilizări și de obligațiile legale, cu o urmărire documentată a revizuirilor și un control intern planificat.
Acțiune pentru trecerea de la N2 la N3
Selectați prelucrările care conțin cel mai mare volum de date personale, definiți împreună cu responsabilii aplicațiilor o regulă de ștergere sau arhivare executabilă, planificați-o în sisteme și verificați execuția acesteia în cadrul comitetului trimestrial de conformitate.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe GDPR.
Despre ce vorbește acest cadru de referință
Regulamentul (UE) 2016/679 este aplicabil începând cu 25 mai 2018. Acesta nu se limitează la a interzice sau a permite: el impune o demonstrație. Operatorul de date trebuie să poată dovedi în orice moment respectarea principiilor prevăzute la articolul 5, să țină registrul prevăzut la articolul 30, să documenteze temeiul legal al fiecărei prelucrări, să informeze persoanele vizate, să răspundă la drepturile acestora în termenele stabilite, să notifice încălcările în termen de 72 de ore și să efectueze o evaluare de impact atunci când prelucrarea prezintă un risc ridicat. Obligația privește atât practica, cât și dovada acestei practici.
Această cerință de probă este cea care face dificilă gestionarea zilnică a GDPR. Reflectă registrul activitățile de prelucrare efectiv în producție, sau starea de fapt realizată în momentul proiectului de conformare? Perioadele de păstrare sunt aplicate în sisteme, sau doar scrise într-o coloană? O cerere de ștergere adresată unui serviciu clienți este înregistrată, calificată și tratată în termen de o lună? Multe organizații dispun de o documentație solidă și de o execuție inegală în funcție de entități și de departamente.
Două evoluții deplasează efortul. Litigiile privind transferurile în afara Uniunii Europene au făcut din cartografierea subcontractanților și a găzduirilor un element mult mai structurant decât în 2018. Iar apariția utilizărilor inteligenței artificiale readuce protecția datelor în prim plan: antrenarea modelelor, datele de intrare, minimizarea, informarea persoanelor. Confuzia cea mai frecventă rămâne tratarea GDPR ca pe un proiect încheiat, în timp ce regulamentul descrie un dispozitiv permanent care trebuie să evolueze în ritmul noilor prelucrări.
Diagnosticul de maturitate răspunde la o altă întrebare decât auditul de conformitate. Auditul se pronunță cu privire la o cerință printr-un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scală progresivă și indică acțiunea precisă care permite trecerea la nivelul superior. GDPR nu face obiectul niciunei certificări: maturitatea este deci singurul limbaj care permite compararea entităților, urmărirea unei progresii în timp și arbitrarea unui buget de conformare.
În Datamensio, cadrul de referință este gata de utilizare. Îl puteți adapta la contextul dumneavoastră: inteligența artificială ajustează domeniile tematice, întrebările și nivelurile, sau construiește o variantă pornind de la propriile politici, registre și proceduri interne.
Standard de referință: Regulamentul (UE) 2016/679, aplicabil începând cu 25 mai 2018
Domeniile tematice evaluate
Guvernanță și roluri
Desemnarea și poziționarea responsabilului cu protecția datelor, resursele alocate, rețeaua de corespondenți, articularea cu departamentul juridic și securitatea, raportarea către conducere.
Registrul activităților de prelucrare
Exhaustivitatea și actualitatea registrului, calificarea operator sau persoană împuternicită, scopuri, categorii de date și de persoane, procesul de actualizare.
Legalitate și temeiuri legale
Temei legal documentat pentru fiecare prelucrare, gestionarea consimțământului și a retragerii acestuia, teste de echilibrare pentru interesul legitim, prelucrarea datelor sensibile.
Informarea și drepturile persoanelor
Mențiuni de informare și politici de confidențialitate, canale de primire a cererilor, calificare, trasabilitate, respectarea termenului de o lună, rata cererilor finalizate.
Minimizare și perioade de păstrare
Politica de păstrare pentru fiecare prelucrare, aplicarea efectivă a ștergerilor și arhivărilor în sisteme, pseudonimizare, controlul seturilor de date de test.
Securitatea prelucrărilor
Măsuri tehnice și organizatorice prevăzute la articolul 32, gestionarea habilitărilor, criptare, jurnalizare, teste și revizuiri periodice.
Încălcări ale securității datelor
Procedură de detectare și calificare, registrul încălcărilor, decizia de notificare către autoritate în termen de 72 de ore, informarea persoanelor, lecții învățate.
Evaluări de impact și protecția datelor începând cu momentul conceperii
Criterii de declanșare a unei evaluări de impact, metodă și validare, integrarea principiului protecției datelor din fază de proiectare în proiecte și comitetele de arhitectură.
Persoane împuternicite și transferuri
Cartografierea persoanelor împuternicite și a subîmputernicitorilor, clauzele prevăzute la articolul 28, audituri, localizarea găzduirilor, reglementarea transferurilor în afara Uniunii Europene.
Sensibilizare și îmbunătățire continuă
Formarea departamentelor expuse, controale interne planificate, indicatori, urmărirea planului de acțiune și comparația în timp.
O versiune scurtă a cadrului de referință, cu undefined întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și undefined întrebări.
Întrebări frecvente
Este GDPR certificabil?
Nu. Regulamentul prevede mecanisme de certificare pentru perimetre definite, dar nu există un certificat de conformitate globală cu GDPR. Datamensio măsoară maturitatea dispozitivului dumneavoastră și pregătește controalele, nu eliberează nicio atestare.
Care este diferența dintre acest diagnostic și un audit de conformitate?
Auditul se pronunță cerință cu cerință și conchide printr-un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scală de maturitate și indică acțiunea care permite progresul cu un nivel. Cele două sunt complementare: diagnosticul pregătește și prioritizează, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează într-o singură sesiune de lucru. Versiunea completă, în mod colaborativ cu responsabilul cu protecția datelor, departamentul juridic, securitatea și departamentele operaționale, se desfășoară în general pe o perioadă de una până la două săptămâni, cea mai mare parte a timpului fiind dedicată colectării probelor.
Se poate adapta cadrul de referință la organizația noastră?
Da. Domeniile tematice, întrebările și nivelurile sunt modificabile, iar dumneavoastră puteți adăuga propriile cerințe interne sau sectoriale. Inteligența artificială poate de asemenea genera o variantă pornind de la politicile și registrul dumneavoastră existente.
Cum se pot compara mai multe filiale sau unități de afaceri?
Același cadru de referință este difuzat către fiecare entitate, ceea ce face scorurile comparabile pe domeniu tematic. Benchmarkul situează fiecare unitate de afaceri în raport cu celelalte și în raport cu propria evaluare anterioară. O foaie de parcurs transversală consolidează apoi acțiunile comune.
Diagnosticul acoperă utilizările noastre de inteligență artificială?
Domeniile tematice legalitate, minimizare și evaluări de impact integrează prelucrările care alimentează modelele. Întrebările pot fi îmbogățite pentru a acoperi un caz de utilizare precis, antrenare, date de intrare sau informarea persoanelor vizate.
Este necesară o expertiză juridică pentru a răspunde?
Întrebările privesc practicile și trasabilitatea acestora, nu interpretarea textului. Un responsabil cu protecția datelor sau un responsabil de conformitate răspunde fără dificultate. Modul colaborativ permite alocarea întrebărilor tehnice corespondentului competent.
Unde sunt găzduite datele?
În Franța, la OVH, cu salvare de rezervă la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială utilizate pot fi selectate, inclusiv dintre soluții europene.