Rok za uskladitev z GDPR · Splošna uredba o varstvu podatkov
Vaša skladnost z GDPR, izmerjena po posameznih členih in prevedena v ovrednoten akcijski načrt.
10 tematskih področij, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
10 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Rok za uskladitev z GDPR · Splošna uredba o varstvu podatkov
10 tematskih področij, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika Uredba (EU) 2016/679, v uporabi od 25. maja 2018 je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 10 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (raven, višja raven in ukrep, ki ju povezuje) spremeni ugotovitev v načrt poti.
Ali se določeni roki hrambe dejansko izvajajo v sistemih?
- N1
Noben rok ni določen. Podatki se hranijo brez časovne omejitve in nobeno brisanje ni dokumentirano.
- N2
Roki so navedeni v evidenci, vendar mehanizem brisanja ni vzpostavljen. Izbris ostaja ročen in izjemen.
- N3
Roki se izvajajo pri glavnih obdelavah, prek avtomatiziranega brisanja ali arhiviranja. Nekatere obrobne aplikacije ostajajo zunaj obsega.
- N4
Izvajanje rokov je dosledno pri vseh obdelavah, s hranjenimi dokazili o izvedbi in obravnavo odstopanj.
- N5
Roki se redno pregledujejo glede na rabo in pravne obveznosti, z dokumentiranim spremljanjem sprememb in načrtovanim notranjim nadzorom.
Ukrep za prehod iz N2 v N3
Izberite obdelave z največjo količino osebnih podatkov, skupaj z odgovornimi za aplikacije opredelite izvedljivo pravilo brisanja ali arhiviranja, ga vzpostavite v sistemih in preverite njegovo izvajanje na četrtletnem odboru za skladnost.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna GDPR.
O čem govori ta referenčni okvir
Uredba (EU) 2016/679 je v uporabi od 25. maja 2018. Ne določa zgolj, kaj je prepovedano ali dovoljeno, temveč zahteva dokazovanje. Upravljavec mora kadarkoli dokazati spoštovanje načel iz 5. člena, voditi evidenco dejavnosti obdelave iz 30. člena, dokumentirati pravno podlago vsake obdelave, obveščati posameznike, njihovim zahtevam ugoditi v predpisanih rokih, kršitve priglasiti v 72 urah in izvesti oceno učinka, kadar obdelava pomeni veliko tveganje. Obveznost se nanaša tako na samo prakso kot na dokaz o njej.
Prav ta zahteva po dokazu otežuje vsakodnevno obvladovanje GDPR. Ali evidenca odraža dejansko stanje obdelav v produkciji ali le stanje, popisano ob projektu uskladitve? Ali so roki hrambe uveljavljeni v sistemih ali le zapisani v stolpcu preglednice? Ali je zahteva za izbris, naslovljena na službo za stranke, zabeležena, opredeljena in obravnavana v enem mesecu? Marsikatera organizacija ima solidno dokumentacijo in neenakomerno izvajanje med posameznimi enotami in področji.
Dva razvoja premikata težišče prizadevanj. Spori glede prenosov izven Evropske unije so zemljevid pogodbenih obdelovalcev in gostovanja naredili veliko bolj ključen kot leta 2018. Pojav rabe umetne inteligence pa varstvo podatkov znova postavlja v središče: učenje modelov, vhodni podatki, minimizacija, obveščanje posameznikov. Najpogostejša zmota je obravnavati GDPR kot zaključen projekt, čeprav uredba opisuje trajen sistem, ki mora živeti v ritmu novih obdelav.
Diagnostika zrelosti odgovarja na drugačno vprašanje kot presoja skladnosti. Presoja za vsako zahtevo ugotovi vrzel ali skladnost. Diagnostika vsako prakso umesti na postopno lestvico in pokaže natančen ukrep, ki omogoči prehod na višjo raven. GDPR ni predmet nobene certifikacije, zato je zrelost edini jezik, ki omogoča primerjavo enot, spremljanje napredka skozi čas in presojo proračuna za uskladitev.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo. Prilagodite ga lahko svojemu kontekstu: umetna inteligenca prilagodi tematska področja, vprašanja in ravni, ali pa pripravi različico na podlagi vaših lastnih politik, evidenc in internih postopkov.
Referenčni standard: Uredba (EU) 2016/679, v uporabi od 25. maja 2018
Ocenjevana tematska področja
Upravljanje in vloge
Imenovanje in položaj pooblaščene osebe za varstvo podatkov, dodeljena sredstva, mreža kontaktnih oseb, povezava s pravno službo in varnostjo, poročanje vodstvu.
Evidenca dejavnosti obdelave
Popolnost in ažurnost evidence, opredelitev vloge upravljavca ali obdelovalca, nameni, kategorije podatkov in posameznikov, postopek posodabljanja.
Zakonitost in pravne podlage
Dokumentirana pravna podlaga za vsako obdelavo, upravljanje privolitve in njenega preklica, test tehtanja interesov za zakoniti interes, obdelava posebnih vrst podatkov.
Obveščanje in pravice posameznikov
Obvestila o obdelavi in politike zasebnosti, kanali za sprejem zahtev, opredelitev, sledljivost, spoštovanje enomesečnega roka, delež zaključenih zahtev.
Minimizacija in roki hrambe
Politika hrambe po posameznih obdelavah, dejansko izvajanje brisanja in arhiviranja v sistemih, psevdonimizacija, nadzor nad testnimi nizi podatkov.
Varnost obdelave
Tehnični in organizacijski ukrepi iz 32. člena, upravljanje pravic dostopa, šifriranje, beleženje dogodkov, redni testi in pregledi.
Kršitve varstva podatkov
Postopek odkrivanja in opredelitve, evidenca kršitev, odločitev o priglasitvi nadzornemu organu v 72 urah, obveščanje posameznikov, pridobljene izkušnje.
Ocene učinka in vgrajeno varstvo podatkov
Merila za sprožitev ocene učinka v zvezi z varstvom podatkov, metodologija in potrditev, vključitev načela vgrajene zasebnosti v projekte in arhitekturne odbore.
Obdelovalci in prenosi podatkov
Zemljevid obdelovalcev in podobdelovalcev, določila iz 28. člena, presoje, lokacija gostovanja, ureditev prenosov izven Evropske unije.
Ozaveščanje in nenehno izboljševanje
Usposabljanje izpostavljenih področij, načrtovani notranji nadzori, kazalniki, spremljanje akcijskega načrta in primerjava skozi čas.
Krajša različica referenčnega okvira je na voljo za spletno samoocenjevanje.
Pogosta vprašanja
Ali je GDPR certificirljiv?
Ne. Uredba predvideva mehanizme certificiranja za opredeljena področja, ne obstaja pa potrdilo o splošni skladnosti z GDPR. Datamensio meri zrelost vašega sistema in pripravlja na nadzore, ne izdaja pa nobenega potrdila.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja za vsako zahtevo posebej ugotovi vrzel ali skladnost. Diagnostika vsako prakso umesti na lestvico zrelosti in pokaže ukrep, ki omogoči napredovanje za eno raven. Oboje se dopolnjuje: diagnostika pripravi in razvrsti prednostne naloge, presoja pa potrdi stanje.
Koliko časa traja ocenjevanje?
Krajša različica se izpolni v eni sami delovni seji. Celovita različica, izvedena sodelovalno s pooblaščeno osebo za varstvo podatkov, pravno službo, varnostjo in posameznimi področji, običajno traja od enega do dveh tednov, pri čemer večino časa zavzame zbiranje dokazov.
Ali je referenčni okvir mogoče prilagoditi naši organizaciji?
Da. Tematska področja, vprašanja in ravni je mogoče spreminjati, dodate pa lahko tudi lastne interne ali panožne zahteve. Umetna inteligenca lahko tudi pripravi različico na podlagi vaših obstoječih politik in evidence.
Kako primerjati več hčerinskih družb ali poslovnih enot?
Isti referenčni okvir se posreduje vsaki enoti, zaradi česar so ocene po tematskih področjih primerljive. Primerjalna analiza umesti vsako poslovno enoto glede na druge in glede na njeno lastno predhodno oceno. Skupni načrt poti nato združi skupne ukrepe.
Ali diagnostika zajema tudi naše rabe umetne inteligence?
Tematska področja zakonitosti, minimizacije in ocen učinka vključujejo obdelave, ki napajajo modele. Vprašanja je mogoče dopolniti za obravnavo konkretnega primera rabe, učenja modela, vhodnih podatkov ali obveščanja zadevnih posameznikov.
Ali je za odgovarjanje potrebno pravno strokovno znanje?
Vprašanja se nanašajo na prakse in njihovo sledljivost, ne na razlago besedila uredbe. Pooblaščena oseba za varstvo podatkov ali odgovorni za skladnost nanje brez težav odgovori. Sodelovalni način omogoča dodelitev tehničnih vprašanj pristojni kontaktni osebi.
Kje so podatki gostovani?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri ponudniku Scaleway. Noben prenos izven Evropske unije. Uporabljene modele umetne inteligence je mogoče izbrati, tudi med evropskimi rešitvami.