アイルランドの非営利団体が、ドーナーデータを責任をもって保護できる方法

アイルランドの非営利団体は、寄付者と神聖な信頼を築きます。誰かが贈り物をするとき、彼らは個人的な詳細を共有します。名前、住所、財務情報、多分さらには脆弱さを明らかにするストーリーの詳細。そのデータを保護することは、単なる法的チェックボックスではありません。ドーナーの信条です。アイルランドでは、屋台は高いです。一般的なデータ保護規則(GDPR)は、世界で最も厳しいプライバシー基準の一部を課し、非営利団体は、その危険性を保護するための規則を十分に守っています。重要な問題は、重要な問題や問題の解決方法、適切な問題の解決方法、適切な問題や問題の解決方法、適切な問題の解決のために備えています。

法的枠組みを理解することは、任意の責任あるデータ戦略の出発点です。アイルランドの非営利団体は、特定の国の特定の特定物に記入する[]]](規制(EU)2016/679)とデータ保護法2018[]])を順守しなければなりません。 ]データ保護委員会(DPC)は、そのすべての国に従事している、その規制および規制当局が、その規制が、および規制が、その規制が、その規制が、その規制が、その規制が、および規制が、その規制が、その規制が、その規制が、その規制が、規制当局が、その規制当局が、その規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が完全に、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が、規制当局が規制当局が規制当局が

GDPRは、寄付者情報を処理する非営利団体が直接どのように扱うべきかを形作り出す7つの原則に基づいて構築されています。

[] ラウフルネス、フェアネス、透明性[[[] — 有効な法的根拠(通常、同意または正当な利益)を持ち、データが使用される方法を明確に説明しなければなりません。
目的の制限 — 指定された、明示的、正当な目的のためにのみデータを収集(例えば、寄付の処理と領収書の送信)。
データミニマライゼーション — 厳密に必要なものだけを収集します。質問: 寄付者の出産日をワンオフギフトに本当に必要ですか?
Accuracy[] — ドナーは、リクエストに応じて、最新のレコードを保管し、速やかに修正します。
]ストレージ制限 — 必要なデータが不要。寄付記録、通信オプトインなどの保持スケジュールを定義する
[] 誠実さと機密性(セキュリティ]) — 不正なアクセス、損失、または損傷からデータを保護するために、適切な技術的および組織的な対策を使用してください。
Accountability — ポリシー、レコード、スタッフのトレーニングなど、すべての原則に順守を発揮できるようにします。

アイルランド法に基づく特別検討

データ保護法2018は、非営利団体に関連する追加の規則を提供します。例えば、16(GDPRのデフォルトは16であったが、下がる;アイルランドは16)でデジタル同意の年齢を設定します。あなたの非営利団体が16歳未満の若者やボランティアと働く場合は、親権または保護者の同意が必要です。この法は、DPCの強力な執行力も付与され、年間売上高の€20百万または4%の罰金を発行する能力を含みます。多くの慈善団体は、タイトまたは保護者の同意が必要です。さらに、DPCの過剰な処理を放棄したり、罰金を払うことができます。

非営利団体向けデータ保護事項:信託、評判、リスク

ドナーは、あなたの使命を信じているので、与えます。その信念で、自分の個人データの侵害は、しばしば不明確に襲います。 []]の1と他の慈善ウォッチドッグによる研究によると、信頼は、ドナー保持の単一の最大の要因です。サポーターが自分の情報を安全であると心配している場合は、彼らは与えることを中止することがあります。または悪化し、彼らはあなたの組織に対して公に話すかもしれません。

アイルランドの非営利団体は、慈善団体規制当局からスクラッチを直面しています。これは、適切なガバナンスを期待しています。データ侵害は、DPCだけでなく、規制当局によって、あなたの慈善団体の登録状況や公共の自信を損なうだけでなく、調査をトリガーすることができます。善意に基づいて構築されたセクターでは、責任あるデータ処理はオプションの追加料金ではありません。それはミッションに集中しています。

また、侵害の費用は、罰金を超えて拡張されます。影響を受けた個人に通知し、信用監視サービスに投資し、法医学の専門家を雇い、広報を管理する時間を費やす必要があります。小規模な非営利団体にとって、そうしないと原因を支持するリソースを排出することができます。積極的な保護は、反応危機管理よりもはるかに費用効果が大きいです。

ドーナイザーデータの保護のためのベストプラクティス

日常業務に法的義務を翻訳するには、具体的な行動が必要です。以下は、アイルランドの非営利団体の実践的な指導で展開される、不可欠のベストプラクティスです。

1. 最小限の必要にデータ収集を制限する

データミニマライゼーションは、最も見落とされる原則の1つです。寄付フォームにフィールドを追加する前に、問い合わせてください。 ]: ギフトを処理し、リレーションを維持するためにこれを絶対に必要としますか?] 例えば、寄付者の職業や年収がレシートを送信する必要はありません。収集する:

お名前と連絡先の詳細(Eメール、電話、郵送先住所など)。
お支払い情報(PCI-compliantゲートウェイ経由で処理、カード番号をフル保存しない)
ギフトの金額と日付。
必要な通信環境設定(例、ニュースレターのオプトイン)

後で、プロファイリングや富裕層スクリーニングのためにデータを使用する場合は、明示的な同意を持たせ、明確な正当性を供与しなければなりません。データの「ちょうどケースで」を隠すための和らげるのを避けてください。より少ないデータはリスクを低減します。

2. 安全なデータ貯蔵および伝達

ドナーのデータが重要である場所。安全なサーバーでホストされている暗号化されたデータベースを使用して、欧州経済領域(EEA)内で、クロスボーダーのコンプライアンスを簡素化します。クラウドソリューション(例えば、Salesforce、Mailchimp、またはCRM)を使用する場合、プロバイダがGDPR-compliantであることを確認し、データ処理の合意を所定の位置に持っています。

暗号化は2つの状態をカバーするべきです:

残りのデータ[]] — データベース、バックアップ、およびアーカイブされたファイルに保存されたデータ。
[]transitのデータ] — ドナーデバイス、ウェブサイト、および内部システム間で情報の移動。 HTTPS(SSL/TLS)と暗号化されたメールや機密文書の安全なファイル転送を常に使用してください。

レポートのデータ分析に必要な擬似化技術を検討してください。たとえば、インサイトが識別情報を露出しないため、独自のIDとドーナイザー名を独自のIDに置き換えることができます。

3. 厳格なアクセス制御を実施

組織の全員が完全なドナーレコードを見る必要があります。役割ベースのアクセス制御(RBAC)を使用して、ジョブが必要とするスタッフのみに権限を付与します。例えば:

ファンドライズチーム] — 関係を育てるために連絡先の詳細と寄付履歴を表示する必要があるかもしれません。
Financeチーム] — ギフトの金額や日付が必要かもしれませんが、必ずしも個人的な連絡先の詳細ではありません。
マーケティングチーム] — キャンペーンのメールアドレスが要求されるが、寄付者のフルアドレスや電話番号がない場合もある。

強力なパスワード、マルチファクター認証(MFA)を使用し、機密レコードへのアクセスをすべてログに記録します。特にスタッフの出発やロール変更後に、定期的に許可を見直します。リンダリングアクセスのある不当な元従業員は重大なリスクです。

4. 定期的なスタッフの訓練と意識

テクノロジーは、使用している人と同じくらい強いです。ドナーデータを処理するすべてのスタッフとボランティアのための年間データ保護訓練に投資します。以下のようなトピックをカバーします。

フィッシングの試みを探し方(ランサムウェアの一般的なエントリポイント)。
印刷されたドナーリストの安全な取り扱い(デスクや公共スペースでそれらを残すことはありません)。
疑わしいデータ侵害(直ちに「オフィスに戻ってから」というわけではありません)を報告するための手順。
データの最小化とToフィールド(BCCまたはバルクメールツール)で多くの受信者と「クイックメールの送信」のリスクの重要性。

ボードメンバーも、ガバナンスの監督はデータ保護にとどまり、ボードメンバーは自身の責任を理解しなければならない。

5. データの正確性および定期的なクリーンアップを維持

データをドーナーする人は、時間をかけてデケイをします。人々は、メールアドレスを移動、変更したり、離れた場所を過ぎたりします。定期的なデータ監査をスケジュール(例、四半期または二〜非非非非非誤、または重複レコードを識別するために)。データのクリーニングツールやサービスを使用して、アドレスを標準化し、重複を削除します。正確さを維持することは、ストレージリスクを削減するだけでなく、あなたのコミュニケーションが正しい人々に到達するのを確実にします。誰かが亡くなった人に寄付を要求するという恥ずかしい要求がりがりがりがりがりがりかしい人々を届けることがします。

6. ベンダーおよび第三者の監督

非営利団体は、決済処理、メールマーケティング、CRMホスティング、または分析のために外部ベンダーに依存しています。各第三者はデータプロセッサになり、GDPRは、責任を規定するそれらと書かれた契約を持っている必要があります。任意のサービスに従事する前に:

ベンダーのセキュリティ認証(ISO 27001、SOC 2)を評価します。
データの処理に関する合意(DPA)を見直し、アイルランドの基準に準拠していることを保証します。
データを保存する場所を決定します。ベンダーがEEA外にデータを転送する場合、適切な転送メカニズム(英国対EUの英国系プロセッサーの妥当性決定、またはその他の標準契約条項)がある必要があります。

よく知られているツールが自動的に準拠しているとは仮定しないでください。例えば、特定の米国ベースのCRMプラットフォームは、GDPRを尊重するDPAに署名しない限り、EU法で必要なデータ保護の同じレベルを提供していない場合があります。定期的にベンダーリストを確認し、要件を満たすことができないものを削除してください。

7. データ・ブリーチの応答プランを作成する

強力な保護措置であっても、侵害は起こりうる - 失われたラップトップ、スリップするフィッシングメール、インサイダーエラー。準備された応答は、ダメージを最小限に抑え、説明責任を実証することができます。あなたの計画は、次のものを含むべきである:

[]即時封入ステップ - など、影響を受けるシステムを切断し、パスワードを変更し、ログを保存します。
内部通知] — 誰が知っておくべきか? (データ保護責任者、取締役会)
Assessment — どのようなデータが影響を受けたのか? 寄付者数? リスクが高いですか?
[外部通知] — GDPRは、侵害の認識に陥る72時間以内にDPCに通知する必要があります。個人へのリスクを及ぼすのは異ならずです。侵害が高リスクを保っている場合、影響を受けるドナーに通知する必要があります(例えば、財務データが侵害される)。
コミュニケーションテンプレート — ドナー、レギュレータ、パブリック(カスタマイズする準備が整います)の事前のドラフトステートメント。
投稿‐インシデントレビュー — 根本的な原因を修正し、手順を更新し、スタッフを再訓練する。

毎年、テーブルトップの練習でプランをテストしてください。引き出しに滞在するプランは計画ではありません。それは希望です。

データ保護文化の構築

コンプライアンスは、単にチェックボックスの問題ではありません。 DPCは、組織が自分の文化にデータ保護を埋め込むことを期待しています。これは、リーダーシップのコミットメントを意味します。つまり、ボードとCEOは、ITマネージャーにそれらを委任するだけでなく、責任あるデータプラクティスを勝ち取らなければなりません。必要に応じてデータ保護責任者(DPO)を任命する - GDPRは、特別なカテゴリデータ(健康情報や政治的意見など)の大量を処理する組織のための1つです。厳密に必要がない場合は、専用のプライバシー役員を持つことは、規制当局と規制当局への最善の手段です。

アクセス可能で理解しやすい内部ポリシーを作成します。:データ保護ポリシー、データ保持スケジュール、プライバシー通知(データ収集の時点で寄付者に提供しなければならない)、およびインシデント応答手順。これらポリシーを毎年見直し、重要な操作の変更後に確認します。最後に、GDPRの第30条までに要求される処理活動(ROPA)の記録を保持します。 ROPAは、保有する個人データ、なぜあなたがそれを保持するか、そこから来るか、そしてあなたがそれを共有するのかを文書にします。それは最初の文書であるDPCは、監査に尋ねます。

ドナーの権利の透明性と尊重

ドナーはGDPRの下で強力な権利を有し、それらを尊重して信頼を築きます。あなたのプライバシー通知は、これらの権利を行使する方法を明確に説明しなければなりません。

[] 通知する権利[] — 既にあなたのプライバシー通知を介して満足.
]アクセスの右 — ドナーは、データの一部を1か月以内にコピー(無料)リクエストすることができます。
]修正する権利[] — 正しい不正確なデータ。
[]消去の権利(「忘れられる権利」) — ドナーは、特定の例外(例えば、保持する法的義務)の対象、データの削除を要求することができます。
[]処理の制限に制限する権利 — ドナーは、紛争が解決される間、データをどのように使用するかを制限することができます。
データポータビリティ[に直面する————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————————
オブジェクトへのRight] — ドナーは、ダイレクトマーケティング(すぐに停止する必要があります)またはプロファイリングのために処理するためにオブジェクトをすることができます。

これらの要求に迅速に対応し、応答を文書化します。DPOまたは指定された連絡先にそれらをエスカレーションするために、口頭要求(例、イベントで)を受信する可能性のあるフロントラインスタッフを訓練します。

結論: ドーナー関係の増強物としてデータ保護

ドーナーデータを保護することは、単にコンプライアンスの負担ではありません。それは戦略的利点です。自分の情報が安全であることを信頼するドナーは、繰り返し、原因を共有し、サポートを増やす可能性が高いです。アイルランドの非営利団体は、厳格で公正な規制環境で動作します。 GDPRとアイリッシュの法律を理解し、実用的な保護策を実行し、プライバシーの文化を促進し、寄付者の権利を尊重し、あなたは、あなたのデータ保護を優先的に保護することができます。あなただけのあなたの要件に応じて、あなたの要件に応じて、あなたの要件を満たすことができます。またはあなたの要件に応じて、あなたの要件を満たすことができます。