چگونه از Mapping داده ها برای بهبود سازگاری حریم خصوصی در ایرلند استفاده کنیم

مرحله 6: بررسی پردازنده های شخص ثالث و توافقنامه های اشتراک گذاری داده ها

لیستی از تمام اشخاص ثالث که داده های شخصی را به نمایندگی از سازمان پردازش می کنند، شامل ارائه دهندگان ابر، شرکت های حقوق و دستمزد، آژانس های بازاریابی و مشاوران حرفه ای است.

• وجود یک توافق پردازش داده های سازگار (DPA) تحت ماده 28
• محدوده پردازش (چه داده ها، برای چه هدف)
• تدابیر امنیتی در محل (تحریم هایی مانند ISO 27001 SOC2)
• استفاده از پردازنده های فرعی (و اینکه آیا رضایت به دست آمده است)
• مکانیسم های انتقال صلیب مرزی

نقشه برداری داده ها شکاف هایی را نشان می دهد که در آن هیچ DPA وجود ندارد یا اینکه توافق برای بازتاب شیوه های فعلی به روز نشده است.این یک یافته مشترک در طول ممیزی های DPC است.

مرحله 7: ایجاد و حفظ سوابق فعالیت های پردازش (ROPA)

از خروجی های نقشه برداری داده ها برای به نمایش گذاشتن قالب ROPA مورد نیاز توسط ماده 30 استفاده کنید. ROPA می تواند در یک صفحه گسترده، یک پلت فرم مدیریت حریم خصوصی اختصاصی، یا یکپارچه با ابزار نقشه برداری داده ها حفظ شود.به روز رسانی ROPA هر زمان که یک فعالیت پردازش جدید معرفی می شود، یا یک تغییر قابل توجه موجود است.DPC انتظار دارد که ROPA یک سند زنده باشد، نه یک تمرین.

مرحله 8: ارزیابی تاثیر حفاظت از داده ها را انجام دهید

تحت ماده 35، DPIA برای پردازش اجباری است که احتمالاً منجر به خطر بالایی برای حقوق و آزادی افراد می شود. محرک های مشترک شامل پروفایل سیستماتیک، پردازش بزرگ دسته های ویژه و نظارت سیستماتیک از مناطق قابل دسترس عمومی داده ها مشخص می کند که کدام فعالیت پردازش با این آستانه ها مطابقت دارد. DPIA باید پردازش، ضرورت، ارزیابی ریسک، و اقدامات کاهش داده های لازم را برای تجزیه و تحلیل داده ها توضیح دهد.

مرحله 9: پیاده سازی اقدامات فنی و سازمانی

بر اساس بینش نقشه برداری داده ها، اقدام به کاهش ریسک کنید:

• رمزگذاری اطلاعات شخصی در استراحت و در حمل و نقل، به ویژه برای دسته های حساسیت بالا
• کنترل دسترسی مبتنی بر نقش را برای محدود کردن اینکه چه کسی می تواند اطلاعات شخصی را مشاهده یا صادر کند، اعمال کنید.
• ایجاد برنامه های حذف خودکار برای داده هایی که به محدودیت های حفظ رسیده اند
• داده های انحلال یا pseudonymise که در آن شناسه های کامل مورد نیاز نیست
• به روز رسانی اطلاعات برای منعکس کردن جریان های داده واقعی و اهداف

مرحله 10: ایجاد حکومت مداوم

نقشه برداری داده ها یک پروژه یک بار نیست. Appoint a Data mapping مالک (اغلب DPO) و تنظیم یک کادر بررسی (به عنوان مثال، سه ماهه برای فرآیندهای پرخطر، سالانه برای همه دیگران) استفاده از محرک های مدیریت تغییر: پیاده سازی سیستم جدید، ادغام یا به روز رسانی مقررات حریم خصوصی، یا نقض داده های قابل توجه یکپارچه سازی.

ابزار و تکنولوژی برای نقشه برداری داده ها در ایرلند

روش های دستی

سازمان های کوچکتر ممکن است با صفحه گسترده و نقشه های فرآیند شروع کنند. Templates از DPC و صنایع مانند انجمن رایانه ایرلندی در دسترس هستند. روش های دستی مقرون به صرفه اما مستعد به سرعت منسوخ شده اند، به ویژه در محیط های سریع حرکت.

سیستم های مدیریت حریم خصوصی

راه حل های نرم افزاری اختصاصی می توانند کشف داده ها، جریان های داده های بصری و حفظ یکپارچگی ROPA. Platform هایی مانند OneTrust، TrustArc و Securiti اتصال به سیستم های کسب و کار مشترک، ترافیک شبکه اسکن و تولید گزارش های انطباق را برای سازمان های ایرلندی، انتخاب یک پلت فرم که از GDPR، قانون حفاظت از داده های ایرلندی و اسناد انتقال مرزی پشتیبانی می کند.

قابلیت های Data Discovery و Crawling Tools

ابزارهایی مانند BigID، Varonis و Microsoft Purview به طور خودکار سهام فایل، پایگاه داده ها و مخازن ابر را اسکن می کنند تا مکان های داده شخصی را شناسایی کنند.آنها می توانند داده ها را طبقه بندی کنند، ناهنجاری ها را شناسایی کنند و دسترسی را ردیابی کنند، این امر به ویژه برای شرکت های بزرگ با سیستم های میراثی که نقشه برداری دستی غیر عملی است، مفید است.

مطالعه موردی: نقشه برداری داده ها برای یک شرکت Fintech ایرلندی

یک بانک سرمایه گذاری ایرلندی را در نظر بگیرید که داده های پرداخت، تاریخ معامله و اسناد KYC را برای مشتریان سراسر اتحادیه اروپا و انگلستان پردازش می کند. این شرکت از سرویس های ابری AWS (منطقه Ireland) و Stripe استفاده می کند و یک ارائه دهنده ی تقلب مبتنی بر انگلستان را بدون نقشه برداری داده درگیر می کند:

• عدم اطمینان در مورد اینکه آیا انتقال بریتانیا پس از Brexit قانونی باقی مانده است
• ثبت نام مشتری در سه سیستم مختلف
• هیچ مبنای قانونی برای پردازش داده های بیومتریک مورد استفاده برای تأیید هویت

با پیاده سازی یک تمرین نقشه برداری داده با استفاده از یک پلت فرم مدیریت حریم خصوصی، شرکت شناسایی کرد که:

• پردازش Stripe نیاز به SCC برای انتقال اتحادیه اروپا به انگلستان، به علاوه ارزیابی تاثیر انتقال دارد
• یک نمونه CRM داده های مشتری غیر فعال را به طور نامحدود ذخیره می کند، نقض الزامات حفظ
• فرآیند تایید بیومتریک فاقد یک DPIA مناسب است

Remediation شامل به روز رسانی DPA با ارائه دهنده تشخیص تقلب، پاکسازی 15000 رکورد منسوخ شده و انجام یک DPIA.DPO قادر به ارائه نقشه داده در طول ممیزی مسخره، نشان دادن آمادگی کامل آن است.این شرکت در حال حاضر بررسی داده های خود را به صورت سه ماهه و زمانی که ادغام های جدید اضافه شده است.

قرص های معمول و چگونگی اجتناب از آن

دانلود بازی Shadow IT

کارکنان اغلب از ابزارهای غیر مجاز یا دستگاه های شخصی برای ذخیره اطلاعات شخصی مربوط به کار استفاده می کنند. مبارزه با این نیاز به ترکیبی از کنترل های فنی (blocking خدمات ابر تایید نشده)، آموزش آگاهی و اسکن های کشف داده های دوره ای شامل سایه IT در ردیابی اولیه با مصاحبه با سر و بررسی ورود به IT.

درمان Mapping داده به عنوان یک پروژه یک طرفه

سازمان هایی که یک نقشه داده ایجاد می کنند و هرگز آن را با شکاف های انطباق در طول حسابرسی ها به روز نمی کنند، نقشه برداری داده های حافظه را در فرآیندهای مدیریت تغییر می دهند تا هر گونه فعالیت پردازش جدید باعث بروز رسانی نقشه برداری شود.

عدم کفایت در انتقال مستندات

به سادگی بیان "داده های منتقل شده به ایالات متحده" کافی نیست. Map باید دسته های دقیق داده ها، مکانیسم انتقال (به عنوان مثال، گواهینامه چارچوب حریم خصوصی داده، SCCs) را مشخص کند و اینکه آیا ارزیابی تاثیر انتقال انجام شده است.DPC انتظار شواهد دقیق، نه اظهارات عمومی.

تشخیص سوابق فیزیکی

بسیاری از سازمان های ایرلندی هنوز فایل های کاغذی حاوی اطلاعات شخصی مانند قرارداد های استخدام، سوابق پزشکی یا فایل های مشتری را نگه می دارند، این موارد باید در نقشه داده ها گنجانده شوند.موقعیت ذخیره سازی فیزیکی، کنترل دسترسی و برنامه های حفظ برای بخش های تنظیم شده مانند مراقبت های بهداشتی یا قانونی، سوابق فیزیکی اغلب شامل حساس ترین داده ها هستند.

نقشه برداری داده ها و انتظارات کمیسیون حفاظت از داده های ایرلند

DPC به طور مداوم بر اهمیت نقشه برداری داده ها در هدایت های نظارتی و اقدامات اجرای آن تاکید کرده است.در چندین مورد، DPC سازمان هایی را برای عدم موفقیت در حفظ ROPA کافی، که به طور مستقیم از نقشه برداری داده های ضعیف نشات می گیرد، در سال 2022، یک شرکت بزرگ فناوری ایرلندی برای عدم داشتن یک مرور کلی از فعالیت های پردازش داده مشتری، که منجر به تاخیر در پاسخ به شرکت های شرکت های بزرگ داده شده است، مورد سرزنش قرار گرفت.