Table of Contents

Кириш сөз: Эмне үчүн маалыматты коргоо ирландиялык аутсорсингде маанилүү?

Бул макалада, Ирландия жогорку квалификациялуу жумушчу күчүн, корпоративдик салык чөйрөсүн жана Европа Биримдигинин стандарттарына ылайык келген күчтүү укуктук алкакты сунуштайт, бирок жеке маалыматтарды тышкы өнөктөшкө өткөрүп берүү менен олуттуу жоопкерчилик пайда болот. маалыматтарды бузуу же эрежелерди аткарбоо кардарлардын ишенбестигине, укуктук жазаларга жана кадыр-баркка зыян келтириши мүмкүн, бул чыгымдарды үнөмдөөгө караганда алда канча чоң.

Ирландиядагы маалыматтарды коргоо мыйзамдарын түшүнүү

"Ирландия Евробиримдиктин мүчөсү, ошондуктан Жалпы маалыматты коргоо регламентине (GDPR) толугу менен баш иет. GDPR дүйнөдөгү эң катуу маалыматты коргоо алкактарынын бири болуп саналат жана ал уюмдун жайгашкан жерине карабастан, Европа Биримдигинин ичиндеги жеке адамдардын жеке маалыматтарын иштеткен ар бир уюмга тиешелүү. компания ирланд өнөктөшүнө операцияларды аутсорсингге бергенде, маалымат контроллери (сиз компания) жана маалымат иштетүүчү (Ирландиялык провайдер) GDPR милдеттенмелерин аткарышы керек."""

"Ирландияда ""Маалыматтарды коргоо боюнча мыйзам"" (FLT) 2018-жылы кабыл алынган, ал GDPRди толуктап, Ирландиянын маалыматты коргоо комиссиясын (DPC) улуттук көзөмөл органы катары түзөт, ошондуктан DPC иликтөө жүргүзүүгө, 20 миллион еврого чейин айып пул салууга же дүйнөлүк жылдык айлык кирешенин 4% га чейин айып пул салууга укуктуу, ал тургай маалыматтарды иштетүүгө тыюу салууга укуктуу."

GDPR аутсорсингдин негизги принциптери

  • Мыйзамдуулук, адилеттүүлүк жана ачыктык: Маалымат субъекттери алардын маалыматтары кантип жана кандай максатта иштетилери жөнүндө маалымдалышы керек.
  • Максатын чектөө: Маалыматтар белгилүү бир, ачык жана мыйзамдуу максаттарда гана чогултулушу мүмкүн.
  • Маалыматтарды минималдаштыруу: Аутсорсинг кызматы үчүн зарыл болгон жеке маалыматтардын минималдуу көлөмү гана бөлүшүлүшү керек.
  • Маалыматтар так жана жаңыртылган болушу керек.
  • Сактоо чектөөсү: Маалыматтар бул максатта зарыл болгон убакытка чейин гана сакталышы керек.
  • Адилеттүүлүк жана купуялуулук (коопсуздук): Тийиштүү техникалык жана уюштуруу чаралары болушу керек.
  • Жоопкерчилик: Маалыматтарды контролдоочу бардык принциптердин сакталышын көрсөтүү үчүн жооптуу.

Аутсорсинг үчүн, GDPR контроллер менен иштетүүчүнүн ортосундагы Маалыматтарды иштетүү боюнча келишимдин (DPA) милдеттүү талабын киргизет.Бул DPA иштетүүнүн объектисин, мөөнөтүн, мүнөзүн жана максатын, жеке маалыматтардын түрлөрүн, маалымат субъекттеринин категорияларын жана контроллердун милдеттерин жана укуктарын көрсөтүшү керек.

Жеке маалыматтарды коргоонун негизги стратегиялары

1. тийиштүү этияттык менен жүрүм-турум

Келишимге кол коюудан мурун, келечектеги аутсорсинг өнөктөшүнүн маалыматты коргоо позициясын баалоо. алардын GDPRге ылайык келүү күбөлүктөрү, маалыматты коргоо саясаты, окуяларга жооп берүү пландары жана иштетүү иш-аракеттеринин жазуулары сыяктуу документтерди талап кылуу. алардын тарыхын DPC же башка жөнгө салуучу органдар менен баалоо жана учурдагы кардарлардан шилтемелерди алуу.

"Ирландиялык кызмат көрсөтүүчүлөрдү баалоодо, мисалы, ISO 27001 (маалымат коопсуздугун башкаруу) же ISO 27701 (жеке маалыматты башкаруу) сыяктуу сертификаттарды издеңиз. бул сертификаттар эл аралык деңгээлде таанылган мыкты практикаларга болгон берилгендикти көрсөтөт. Мындан тышкары, эгерде GDPR талап кылса, кызмат көрсөтүүчү маалыматты коргоо боюнча кызматкерди (DPO) дайындаганын текшериңиз (статья 37). """

2. Маалыматтарды иштетүү боюнча келишимдерди расмий түрдө түзүү

Маалыматтарды иштетүү боюнча жазуу жүзүндөгү келишим (FLT:0) - бул мыйзамдуу зарылчылык, вариант эмес.DPA казандар тилинен тышкары, иштетүү иш-аракеттери, коопсуздук чаралары, подпроцессордук макулдашуулар, маалыматтарды бузуу жөнүндө билдирүү мөөнөттөрү, маалыматтарды сактоо жана өчүрүү процедуралары, аудит укуктары жана маалыматтарды бузуу үчүн жоопкерчилик жөнүндө конкреттүү маалыматтарды камтышы керек.

GDPR боюнча, процессор башка подпроцессорду контроллердон алдын ала атайын же жалпы жазуу жүзүндөгү уруксатсыз иштетпеши керек. эгерде жалпы уруксат берилсе, процессор сизге каалаган өзгөрүүлөр жөнүндө кабарлашы керек жана сизге каршы чыгууга убакыт бериши керек. DPA бул контролду чагылдырышы керек. көптөгөн ирландиялык провайдерлер мындай макулдашуулар үчүн стандарттык келишимдик шарттарды колдонушат, бирок сиздин юридикалык тобуңуз аларды карап чыгышы керек.

3. Негизги кызматкерлерге маалыматтарга жетүүнү чектөө

Маалыматтарды минималдаштыруу өткөрүлүп берилген маалыматтардын көлөмүнө гана эмес, ошондой эле ага ким кире аларына да тиешелүү.Аутсорсинг өнөктөшүнүн мыйзамдуу бизнес муктаждыктары бар кызматкерлери гана жеке маалыматтарды көрө же иште алышы үчүн, ролдук контролдорду (RBAC) ишке ашыруу. Көп факторлуу аутентификация (MFA) сыяктуу күчтүү аутентификация механизмдерин колдонуу жана бардык кирүү аракеттеринин журналдарын сактоо.

Эгерде аутсорсинг кызматы кардарларды колдоону камтыса, анда агенттер толук төлөм маалыматтарын же башка сезимтал маалыматтарды таптакыр талап кылынбаса көрө алышпайт. маалыматтарды маскалоо же токендештирүү сыяктуу ыкмалар чыныгы маалыматтарды реалдуу, бирок сезимтал эмес маанилер менен алмаштыра алат.

4. маалыматтарды эс алуу жана транзиттик жол менен шифрлөө

Шифрлөө - бул жеке маалыматтарды коргоо үчүн эң натыйжалуу техникалык контролдоонун бири. сиздин уюм менен ирландиялык аутсорсинг өнөктөшүнүн ортосунда жана өнөктөш менен ар кандай субпроцессорлордун ортосунда жөнөтүлгөн бардык жеке маалыматтар TLS 1.3 сыяктуу күчтүү протоколдорду колдонуу менен шифрлениши керек. Серверлерде, маалымат базаларында же резервдик көчүрмөлөрдө сакталган маалыматтар AES-256 же ага барабар колдонуу менен шифрлениши керек.

Эгер провайдер AWS, Microsoft Azure же Google Cloud сыяктуу провайдерлердин коомдук булут инфраструктурасын колдонсо (бардыгы Ирландияда негизги маалымат борборлору бар), анда эс алуудагы шифрлөө демейки түрдө ишке ашырылып, кардарлар башкарган ачкычтарды сунуш кыларын текшериңиз.

5. үзгүлтүксүз аудит жүргүзүү жана кирүү сыноолору

"""Аудитордук укуктарды DPAга киргизиңиз жана аутсорсинг өнөктөшүнүн коопсуздук контролдоосун мезгил-мезгили менен, жок дегенде, жыл сайын карап чыгууну пландаштырыңыз, бул текшерүүлөрдү сиздин ички аудит тобуңуз, көз карандысыз үчүнчү тарап же таанылган сертификаттоо схемасы аркылуу жүргүзүшү мүмкүн."

Мындан тышкары, өнөктөштү Маалыматтарды коргоо таасирин баалоого (DPIA) сиз аутсорсинг кылып жаткан конкреттүү иштетүү иш-аракеттери үчүн өтүүгө үндөңүз. контроллер акыркы жоопкерчиликти сактап калса да, биргелешкен DPIA тобокелдиктерди эртерээк аныктай алат жана азайтуу чараларын документтештире алат. ICO жана DPC экөө тең DPIAs жүргүзүү үчүн шаблондорду жана көрсөтмөлөрдү жарыялашат; аларды сиздин провайдериңиз менен бөлүшүү ырааттуу ыкманы камсыз кыла алат.

Операциядагы маалымат коопсуздугу боюнча мыкты практика

Күчтүү тармактык коопсуздукту ишке ашыруу

Аутсорсинг өнөктөшү Firewall, Intrusion Detection System (IDS) жана VPN (VPN) системаларын колдонуп, башка кардарлардын маалыматтарынан бөлүнүп турушу үчүн, бул виртуалдык жеке булуттар же атайын инфраструктура аркылуу ишке ашырылышы мүмкүн.

Программалык камсыздоону жана системаларды жаңыртуу

Сиздин DPA өнөктөшүнөн операциялык системаларды, тиркемелерди жана үчүнчү жактын китепканаларын өз убагында оңдоп-түзөө программасын сактоону талап кылышы керек. маанилүү оңдоп-түзөө белгиленген мөөнөттө (мисалы, 48-72 саат) колдонулушу керек жана ай сайынгы цикл ичинде колдонулушу керек болгон маанилүү эмес оңдоп-түзөө үчүн күтүүлөрдү коюңуз.

Маалыматтарды коргоо боюнча окутуу кызматкерлери

Адамдык каталар маалымат бузуулардын негизги себептеринин бири бойдон калууда.Аутсорсинг өнөктөшү жеке маалыматтарды иштеткен бардык кызматкерлерге үзгүлтүксүз, ролдорго ылайыктуу маалымат коргоо боюнча окутууну камсыз кылышы керек.Окуу темалары фишинг жөнүндө маалымдуулукту, маалыматтарды коопсуз иштетүүнү, сырсөз гигиенасын, шектүү бузуулар жөнүндө билдирүү процедураларын жана маалыматтарды минималдаштыруу жана максаттуу чектөө принциптеринин маанилүүлүгүн камтышы керек.

Брейчке жооп берүү протоколдорун түзүү

"Компаниянын ""Компаниянын"" милдети - жеке маалыматтарды бузуу жөнүндө кабарлагандан кийин, процессор контроллерго ашыкча кечиктирбестен кабарлашы керек, эгерде сиздин компанияңызда контроллер катары, эгерде бузуу жеке адамдар үчүн тобокелдикке алып келбесе, анда DPCге кабарлашы үчүн 72 саат убакыт бар."

Ирландиялык аутсорсингге байланыштуу кошумча ойлор

Чек араларды кесип өткөн маалыматтарды өткөрүү жана Брексит

Ирландия Республикасы Евробиримдикте калгандыктан, сиздин компанияңыздан ирланд провайдерине маалыматтарды өткөрүү Европа Биримдигинин ичинде жүргүзүлөт жана кошумча өткөрүү механизмдерин (мисалы, стандарттык келишимдик шарттар) талап кылбайт. бирок, эгерде ирланд аутсорсинг өнөктөшү Европа экономикалык аймагынан (ЕЭА) тышкары жайгашкан субпроцессорлорду колдонсо, анда сиз ар кандай кийинки өткөрүү үчүн жетиштүү коргоо чаралары бар экендигин камсыз кылышыңыз керек.

Брекситтин негизинде Түндүк Ирландия айрым аспектилер боюнча GDPR менен шайкеш келет, бирок ал административдик жактан өзүнчө. эгерде сиздин аутсорсинг келишимиңиз Ирландия менен Түндүк Ирландиянын чек арасынан маалыматтарды иштетүүнү камтыса, кошумча коргоо чаралары керекпи же жокпу, аныктоо үчүн юридикалык кеңешчиге кайрылыңыз.

Корпоративдик милдеттүү эрежелерди колдонуу (BCRs)

Эгер сиздин компанияңыз көп улуттуу топтун бир бөлүгү болсо жана Ирландиялык аутсорсинг өнөктөшү туунду компания болсо, анда сиз иштетүүчүлөр үчүн милдеттүү корпоративдик эрежелерди (BCR) ишке ашырууну ойлонушуңуз мүмкүн.BCRs - бул жеке маалыматтарды өзүнчө укуктук келишимдерсиз топтун ичинде өткөрүүгө мүмкүндүк берген европалык маалыматты коргоо органы тарабынан бекитилген ички жүрүм-турум кодекси.

Маалыматтарды коргоо боюнча кызматкер (DPO)

Компаниянын DPO дайындоосу талап кылынганбы же жокпу, аутсорсинг процессинин башында DPOну камтыган, баалуу көзөмөлдү кошуп берет. DPO DPAны карап чыгышы мүмкүн, DPIA боюнча кеңеш бериши мүмкүн жана учурдагы шайкештикти көзөмөлдөшү мүмкүн. көптөгөн ирландиялык аутсорсинг провайдерлеринин өз DPOлары бар; сиздин DPO менен алардын ортосунда түздөн-түз байланыш каналын түзүү купуялык маселелерин тез арада чечүүгө жана GDPR талаптарын ырааттуу чечмелөөгө өбөлгө түзөт.

Маалыматтарды сактоо жана өчүрүү

Аутсорсинг келишимдери көбүнчө автоматтык түрдө жаңыланат, бул маалыматтарды зарыл болгондон узак убакытка сактоого алып келет. жеке маалыматтардын ар бир категориясы үчүн так сактоо мөөнөттөрүн DPAда көрсөтүңүз жана провайдерден автоматташтырылган өчүрүү механизмдерин ишке ашырууну же келишимди аяктагандан кийин маалыматтарды кайтарып берүүнү же өчүрүүнү талап кылыңыз. процесс аяктагандан кийин өчүрүү күбөлүгүн алыңыз.

Жыйынтык

"Ирландиялык бизнес аутсорсинг учурунда жеке маалыматтарды коргоо - бул жөн гана юридикалык текшерүү кутучасы эмес, бул ишенимдин жана оперативдик туруктуулуктун негизги компоненти. контроллер менен иштетүүчүнү башкарган GDPR милдеттенмелерин түшүнүү, кылдат тийиштүү этияттык менен жүргүзүү, маалыматтарды иштетүү боюнча кеңири келишимдерди расмий түрдө түзүү жана күнүмдүк операцияларга күчтүү коопсуздук практикасын киргизүү менен компаниялар маалыматтарды бузуу жана жөнгө салуучу жазалардын тобокелдигин кыйла азайта алышат. бул макалада көрсөтүлгөн кеңештер бекем негиз түзөт, бирок маалыматтарды коргоо ландшафты тынымсыз өнүгүп жатат. """

Акыр-аягы, жакшы корголгон аутсорсинг мамилеси ар бир адамга пайда алып келет: сиздин кардарларыңыздын маалыматтары коопсуз бойдон калууда, сиздин компанияңыз юридикалык жана финансылык зыяндан качат жана сиздин ирландиялык өнөктөшүңүз ишенимдүүлүк жана купуялык биринчи кызматы боюнча кадыр-баркка ээ.

Тышкы ресурстар: