Comhad aistrithe OCS le haghaidh GDPR agus ISO 27701

Tháinig an fógra isteach i mbosca isteach Maria leis an líne ábhair neamhurchóideach, “Nuashonrú Foirne.” Bhí David, Oifigeach Cosanta Sonraí na cuideachta fintech a bhí ag fás go tapa aici, tar éis glacadh le ról nua. Bheadh sé imithe laistigh de choicís.

Ar dtús, chaith Maria, an CISO, leis mar aon imeacht sinsearach eile. Dhéanfadh Acmhainní Daonna an próiseas imeachta, dhíchumasódh TF rochtain, dhéanfadh an fhoireann Dlí athbhreithniú ar nithe oscailte, agus gheobhadh an OCS nua glao aistrithe. Ansin thosaigh na fíorcheisteanna.

“Cá bhfuil an DPIA don ghné logála isteach bhithmhéadrach?”

“An féidir liom an comhfhreagras le húdarás cosanta sonraí na Beilge faoi fhiosrúchán sreafa sonraí trasteorann na bliana seo caite a fheiceáil?”

“Cén bunús a bhí leis an riosca príobháideachais iarmharach ar an tsamhail scórála creidmheasa faoi thiomáint intleachta saorga a ghlacadh?”

Faoi 08:17 an Luan dár gcionn, bhí dearbhú á lorg ag an mBord go raibh cuntasacht GDPR fós slán. Bhí custaiméir mór fiontair tar éis ceistneoir dícheall cuí príobháideachais a sheoladh, ag iarraidh an RoPA is déanaí, an clár DPIA, an loga sáraithe, liosta na bhfo-phróiseálaithe, an sceideal coinneála agus fianaise ar chomhairle phríobháideachais. Bhí faomhadh á lorg ag an bhfoireann táirgí le haghaidh athrú anailísíochta. Bhí trí iarratas ó ábhair sonraí ar feitheamh ag an bhfoireann tacaíochta. Bhí an fhoireann soláthair ag athchaibidliú comhaontú próiseálaí. Bhí an fhoireann slándála ag imscrúdú teagmhais a bhféadfadh sonraí pearsanta a bheith i gceist leis.

Ní raibh in aistriú David ach glao 30 nóiméad agus tiomántán comhroinnte lán d’ainmneacha fillteán neamh-chomhsheasmhacha. D’imigh an comhthéacs, na díospóireachtaí, na cinntí maidir le fonn riosca, stair an rialálaí agus an chomhairle neamhfhoirmiúil amach an doras leis.

Sin an pointe ina gcruthaíonn rialachas príobháideachais gur córas bainistíochta é, nó ina nochtann sé nach raibh ann ach cuimhne duine amháin.

Ní pacáiste imeachta Acmhainní Daonna é comhad aistrithe OCS le haghaidh GDPR agus ISO/IEC 27701:2025. Is comhad leanúnachais cuntasachta é. Insíonn sé don OCS nua, don Cheannaire Príobháideachais, don Bhainisteoir PIMS, don iniúchóir, don rialálaí nó don Urraitheoir Feidhmiúcháin cad atá á phróiseáil, cén fáth a bhfuil sé dleathach, cé na rioscaí atá oscailte, cá bhfuil an fhianaise, cé leis an gcéad ghníomh eile, agus cé na spriocdhátaí nach féidir a chailleadh.

An riosca príobháideachais folaithe: cuntasacht sáinnithe in aon ról amháin

Déanann GDPR cuntasacht follasach. Éilíonn Article 5(2) go mbeidh rialaitheoirí freagrach as na croíphrionsabail a chomhlíonadh, agus in ann an comhlíonadh sin a léiriú: dlíthiúlacht, cothroime agus trédhearcacht, teorannú de réir cuspóra, íoslaghdú sonraí, cruinneas, teorannú stórála, sláine agus rúndacht. Cuireann Articles 4, 6, 9, 10 agus 30 leis an stór focal oibríochtúil agus leis na hionchais fianaise nach mór dóibh maireachtáil tar éis athrú róil: sonraí pearsanta, próiseáil, bonn dlíthiúil, coinníollacha maidir le catagóirí speisialta sonraí pearsanta, sainmhínithe sáraithe agus taifid ar ghníomhaíochtaí próiseála.

Ní hé an cheist an raibh OCS cumasach ag eagraíocht. Is í an cheist an féidir leis an gclár príobháideachais feidhmiú nuair a athraíonn an OCS.

Nuair a fhágann OCS, ní mór don eagraíocht a bheith fós ar an eolas faoi:

• Cé na gníomhaíochtaí próiseála atá gníomhach, curtha ar sos, scoirthe nó faoi athbhreithniú.
• Cé na boinn dhlíthiúla agus na coinníollacha maidir le catagóirí speisialta sonraí pearsanta a thacaíonn le gach gníomhaíocht.
• Cé na DPIAnna ina bhfuil rioscaí gan réiteach nó faomhadh coinníollach.
• Cé na hiarratais ó ábhair sonraí atá oscailte, sínte, diúltaithe nó faoi achomharc.
• Cé na sáruithe ar tugadh fógra fúthu, nár tugadh fógra fúthu nó atá fós faoi mheasúnú.
• Cé na próiseálaithe, fo-phróiseálaithe agus sásraí aistrithe atá i bhfeidhm.
• Cé na cumarsáidí rialálaithe, gealltanais chustaiméirí agus gníomhartha iniúchta atá ar feitheamh.
• Cén chomhairle phríobháideachais a tugadh, cathain a tugadh í agus faoi cé na toimhdí.

Is é seo an spleáchas clasaiceach ar dhuine lárnach. Éiríonn inchinn an OCS ina príomhstór le haghaidh cinntí príobháideachais, measúnuithe riosca agus idirghníomhaíochtaí rialála. Nuair a fhágann an duine sin, cailleann an eagraíocht níos mó ná sealbhóir róil. Cailleann sí an inrianaitheacht is gá chun comhlíonadh a léiriú.

Déanann Beartas Rólanna, Freagrachtaí agus Cuntasachta Príobháideachais [C1] Enterprise de chuid Clarysec oibleagáid fianaise den aistriú róil:

[Gach duine] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS fianaise ar aistriú róil a thaifeadadh in REG01 agus REG12 laistigh de 10 lá gnó ó athrú róil.

Ón rannán ‘Cur chun feidhme’, clásal beartais 7.1.6.

Éilíonn an beartas céanna fianaise chumarsáide tar éis athshannadh nó imeacht freisin:

[Gach duine] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS fianaise chumarsáide maidir le hathrú róil a nuashonrú in REG11 laistigh de 10 lá gnó tar éis athshannadh róil nó imeacht.

Ón rannán ‘Fianaise chuntasachta agus cumarsáid’, clásal beartais 4.5.4.

Déanann an dá chlásal sin rialú príobháideachais in-iniúchta d’athrú pearsanra. Ní aistriú neamhfhoirmiúil eolais é an t-aistriú a thuilleadh. Éiríonn sé ina fhianaise PIMS dhoiciméadaithe.

Cad é comhad aistrithe OCS i ndáiríre

Ní PDF aonair é comhad maith aistrithe OCS. Is pacáiste fianaise rialaithe é ina bhfuil innéacs, úinéirí, naisc, réimsí stádais, stair cinnteoireachta agus rialacha aisghabhála. Ba cheart go gcumasódh sé don OCS nua seasamh príobháideachais na heagraíochta a thuiscint laistigh d’uaireanta, ní laistigh de sheachtainí.

Smaoinigh air mar thaifeadán eitilte an chláir phríobháideachais. Ní mór dó a thaispeáint ní hamháin cad a tharla, ach cén fáth a ndearnadh cinntí agus cad nach mór tarlú ina dhiaidh sin.

Ba cheart do chomhad praiticiúil aistrithe OCS ceithre cheist a fhreagairt:

1. Cé na hoibleagáidí agus cinntí príobháideachais atá gníomhach faoi láthair?
2. Cén fhianaise a chruthaíonn go bhfuil na hoibleagáidí sin á mbainistiú?
3. Cé leis gach mír oscailte le linn an aistrithe agus ina dhiaidh?
4. Cé na rioscaí, spriocdhátaí nó íogaireachtaí rialála a dteastaíonn aird láithreach uathu?

Níor cheart don chomhad gach taifead a dhúbailt. Cruthaíonn dúbailt fianaise as dáta. Ina ionad sin, ba cheart dó tagairt a dhéanamh don taifead údarásach, stádas a mhíniú, úinéireacht a shainaithint agus an chéad chinneadh riachtanach eile a mharcáil.

Bunaíonn Beartas Bainistíochta Faisnéise Doiciméadaithe agus Fianaise PIMS [C2] Enterprise de chuid Clarysec an bhunchloch fianaise:

[Gach duine] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS innéacs faisnéise doiciméadaithe PIMS a choinneáil in REG12 roimh fhoilsiú tosaigh PIMS agus go ráithiúil ina dhiaidh sin.

Ón rannán ‘Rialú faisnéise doiciméadaithe PIMS’, clásal beartais 4.1.1.

Éilíonn sé fianaise aisghabhála freisin:

[Gach duine] NÍ MÓR don Cheannaire Príobháideachais / Bainisteoir PIMS iarratais ar aisghabháil fianaise iniúchta agus stádas comhlíonta iarratais a thaifeadadh in REG12 laistigh de chúig lá gnó ón iarratas a fháil.

Ón rannán ‘Rochtain, cosaint, aisghabháil agus nochtadh’, clásal beartais 4.4.4.

Dá bhrí sin, ba cheart comhad aistrithe OCS a thógáil timpeall ar REG12 nó ar innéacs coibhéiseach faisnéise doiciméadaithe. Murar féidir fianaise phríobháideachais a aimsiú go tapa le linn aistrithe, ní féidir léi tacú le cuntasacht nuair a iarrann iniúchóir, custaiméir nó rialálaí cruthúnas.

Croístruchtúr chomhad aistrithe OCS atá réidh don iniúchadh

De ghnáth, roinneann cur chun feidhme Clarysec comhad aistrithe OCS ina dheich rannán. Tugann na rannáin seo léargas oibríochtúil aonair don OCS nua gan na córais údarásacha taifead a athsholáthar.

Ní hiad na doiciméid féin an chuid is luachmhaire den chomhad go minic. Is é an comhthéacs idir doiciméid é. D’fhéadfadh DPIA conclúid a thaispeáint, ach ní mór don OCS nua a bheith ar an eolas freisin faoin gcomhairle a tugadh, cé na rioscaí iarmharacha ar glacadh leo, cé na coinníollacha a ceanglaíodh, agus an bhfuil faireachán fós á dhéanamh ar na coinníollacha sin.

Cnámh droma GDPR: RoPA, DPIAnna, DSRanna, sáruithe agus bonn dlíthiúil

Ba cheart tús a chur le comhad aistrithe OCS le cnámh droma oibríochtúil GDPR. Is anseo a theipeann ar go leor aistrithe, toisc go dtuigeann an OCS atá ag imeacht an stair atá taobh thiar de na taifid, ach nach bhfeiceann an OCS nua ach blúirí.

Sannann Beartas um Chosaint Sonraí agus Príobháideachas [C3] Enterprise freagracht don OCS as príomhthaifid:

Coinníonn sé an Taifead ar Ghníomhaíochtaí Próiseála (RoPA) de réir GDPR Article 30.

Ón rannán ‘Rólanna agus freagrachtaí’, clásal beartais 4.2.2.

Deir sé freisin:

Treoraíonn sé idirghníomhaíocht rialála, déanann sé Measúnuithe Tionchair ar Chosaint Sonraí (DPIAnna), agus bainistíonn sé próisis fógra sáraithe.

Ón rannán ‘Rólanna agus freagrachtaí’, clásal beartais 4.2.3.

Agus maidir le bainistíocht ceart:

Ní mór don Oifigeach Cosanta Sonraí (OCS) próisis dhoiciméadaithe a choinneáil le haghaidh glacadh, bailíochtú, rianú agus freagairt Iarratais Ábhar Sonraí (DSR).

Ón rannán ‘Ceanglais chun an beartas a chur chun feidhme’, clásal beartais 6.4.1.

Ní tascanna riaracháin ar leithligh iad seo. Cruthaíonn siad slabhra cuntasachta.

Má iarrann ábhar sonraí léirscriosadh, teastaíonn ón OCS nua an RoPA chun córais agus próiseálaithe a shainaithint, an Clár Bonn Dlíthiúil chun a mheas an mbaineann léirscriosadh leis, an sceideal coinneála chun teorannú stórála a sheiceáil, taifid soláthraithe chun scriosadh iarsrutha a chomhordú, agus an clár DSR chun an amlíne agus an fhreagairt a léiriú. Má athraíonn an OCS i lár iarratais, ní mór don chomhad aistrithe an slabhra sin a chaomhnú.

I gcás eagraíochtaí níos lú, úsáideann Data Protection and Privacy Policy-sme [C4] de chuid Clarysec teanga scálaithe agus an prionsabal cuntasachta céanna á chaomhnú aige:

Coinníonn sé taifid ar ghníomhaíochtaí próiseála

Ón rannán ‘Rólanna agus freagrachtaí’, clásal beartais 4.2.1.

Éilíonn sé freisin:

Ní mór don Chomhordaitheoir Príobháideachais clár de na gníomhaíochtaí próiseála sonraí pearsanta go léir a choinneáil, lena n-áirítear catagóirí sonraí, cuspóir, bonn dlíthiúil agus tréimhsí coinneála

Ón rannán ‘Ceanglais rialachais’, clásal beartais 5.2.1.

Agus maidir le hiarratais chearta:

Ní mór gach freagairt ar iarratais ó ábhair sonraí a logáil i gclár slán, agus rochtain teoranta don Chomhordaitheoir Príobháideachais agus don Bhainisteoir Ginearálta

Ón rannán ‘Ceanglais chun an beartas a chur chun feidhme’, clásal beartais 6.5.4.

I dtimpeallachtaí fiontair agus FGBM araon, ba cheart painéal oibríochtaí príobháideachais a bheith sa chomhad aistrithe a thaispeánann stádas RoPA, DPIAnna, DSRanna, sáruithe, athbhreithnithe coinneála agus athbhreithnithe soláthraithe. Seo mar a chruthaíonn eagraíocht nach mbraitheann cuntasacht GDPR ar dhuine amháin.

ISO/IEC 27701:2025: aistriú róil mar fhianaise PIMS rialaithe

Leathnaíonn ISO/IEC 27701:2025 rialachas príobháideachais isteach i gCóras Bainistíochta Faisnéise Príobháideachais struchtúrtha. Ciallaíonn sé sin gur cheart caitheamh le haistriú róil mar aon phróiseas rialaithe eile: pleanáilte, sannta, fianaiseithe, athbhreithnithe agus feabhsaithe.

Ba cheart réimsí leanúnachais PIMS a bheith sa chomhad aistrithe do gach mórphróiseas príobháideachais:

• Ainm an phróisis, amhail DPIA, RoPA, DSR, measúnú sáraithe nó athbhreithniú príobháideachais soláthraithe.
• Ról PIMS, amhail OCS, Ceannaire Príobháideachais, Bainisteoir PIMS, ionadaí rialaitheora nó ionadaí próiseálaí.
• Ról oibríochtúil, amhail rialaitheoir, próiseálaí, rialaitheoir comhpháirteach nó fophhróiseálaí.
• Úinéir reatha agus tarmligí sealadach.
• Tagairt don Chlár Fianaise.
• Dáta an athbhreithnithe dheireanaigh agus dáta an chéad athbhreithnithe eile.
• Cinntí oscailte agus rioscaí gan réiteach.
• Bealach uaschéimnithe.
• Naisc le clásail beartais, nósanna imeachta agus teimpléid.
• Stádas iniúchta, lena n-áirítear an t-iarratas fianaise agus an fhreagairt is déanaí.

Déanann Beartas Córas Bainistíochta Faisnéise Príobháideachais [C5] Enterprise comhairle phríobháideachais féin ina hábhar fianaise:

[Gach duine] NÍ MÓR don Oifigeach Cosanta Sonraí / Comhairleoir Príobháideachais comhairle phríobháideachais maidir le raon feidhme PIMS, critéir DPIA agus cinntí ardriosca a thaifeadadh in REG04 roimh fhormheas an chinnidh ábhartha.

Ón rannán ‘Rólanna agus freagrachtaí’, clásal beartais 5.1.3.

Tá an clásal seo ríthábhachtach le linn aistrithe. D’fhéadfadh an tuarascáil DPIA an formheas deiridh a thaispeáint, ach caomhnaíonn REG04 nó clár coibhéiseach comhairle phríobháideachais an réasúnaíocht ghairmiúil taobh thiar den chinneadh. Dá uireasa, d’fhéadfadh nach mbeadh an OCS nua in ann a mhíniú cén fáth ar cheadaigh an eagraíocht gníomhaíocht phróiseála ardriosca nó cé na coinníollacha faireacháin a ceanglaíodh.

Nascann Clarysec aistriú róil le rialachas níos leithne freisin. Deir Beartas Rólanna agus Freagrachtaí Rialachais [C6] Enterprise:

Déanfar tarmligin a rianú sa Chlár Rólanna agus Freagrachtaí, agus coinneoidh an t-úinéir bunaidh an chuntasacht deiridh.

Ón rannán ‘Ceanglais chun an beartas a chur chun feidhme’, clásal beartais 6.2.5.

Coscann sé seo an bhearna aistrithe is contúirtí: glacann gach duine leis go bhfuil duine éigin eile ag clúdach DSRanna, DPIAnna, measúnuithe sáraithe nó freagraí rialálaithe. Cuimsíonn comhad láidir aistrithe OCS tábla tarmligin agus deir sé go soiléir an bhfuil gach freagracht buan, eatramhach nó comhairleach.

An stór a thógáil leis an Zenith Blueprint

Ní bhíonn comhad aistrithe úsáideach ach chomh maith leis an stór atá taobh thiar de. Ní córas fianaise PIMS é tiomántán comhroinnte mí-eagraithe.

Caitheann Zenith Blueprint: Treochlár 30 Céim d’Iniúchóirí [C7] de chuid Clarysec le doiciméadacht mar chóras bainistíochta beo. Sa chéim ISMS Foundation & Leadership, Céim 6, “Faisnéis Dhoiciméadaithe agus Leabharlann ISMS a Thógáil,” molann an Zenith Blueprint d’eagraíochtaí stór doiciméadachta ISMS struchtúrtha a chruthú:

Is tráth maith é seo chun struchtúr a chur ar bun chun do dhoiciméadacht ISMS go léir a stóráil (do “leabharlann ISMS”). Mar shampla:

✓ Príomhfhillteán darb ainm “Doiciméadacht ISMS” le fofhillteáin amhail: ✓ Beartais agus Nósanna Imeachta: ina bhfuil leaganacha formheasta de bheartais (m.sh., Beartas InfoSec, Beartas Úsáide Inghlactha) agus nósanna imeachta (nós imeachta freagartha do theagmhais, nós imeachta cúltaca, srl.). ✓ Measúnú Riosca & SoA: fillteán le haghaidh tuarascálacha measúnaithe riosca, Clár Rioscaí (comhad oibre), agus an Ráiteas Infheidhmeachta (nuair a bheidh sé dréachtaithe). ✓ Taifid Oiliúna & Feasachta: logaí oiliúna, cóipeanna d’aon ábhar a seachadadh, bileoga tinrimh. ✓ Iniúchadh agus Athbhreithniú: tuarascálacha iniúchta inmheánaigh, miontuairiscí cruinnithe athbhreithnithe bainistíochta, logaí gníomhartha ceartaitheacha. ✓ Taifid Teagmhas: loga teagmhas, tuarascálacha teagmhas, doiciméid ar cheachtanna foghlamtha. ✓ Sócmhainní & Fardal: liostaí sócmhainní, torthaí Aicmithe Sonraí, srl. ✓ Rialuithe Iarscríbhinn A (nó “Leabharlann Rialuithe”): b’fhéidir liosta na rialuithe agus aon doiciméadacht ar an gcaoi a gcuirtear i bhfeidhm iad.

Cinntigh go bhfuil an stór seo inrochtana ach slán. Mar shampla, d’fhéadfadh beartais a bheith i bhfillteán inléite poiblí do gach fostaí, ach d’fhéadfadh an fillteán measúnaithe riosca a bheith teoranta don fhoireann ISMS agus don Ardbhainistíocht.

Ón gcéim ISMS Foundation & Leadership, Céim 6: Faisnéis Dhoiciméadaithe agus Leabharlann ISMS a Thógáil.

I gcás comhad aistrithe OCS, éiríonn an patrún céanna ina leabharlann PIMS. Is fillteán barrleibhéil praiticiúil é “Aistriú agus Cuntasacht OCS PIMS,” le rochtain theoranta don OCS, don Cheannaire Príobháideachais, don chomhairle dlí, don CISO, don Iniúchadh Inmheánach agus d’fheidhmeannaigh fhormheasta.

I gcás FGBManna, is féidir an prionsabal céanna a chur i bhfeidhm ar bhealach níos simplí. Deir Audit and Compliance Monitoring Policy-sme [C8] de chuid Clarysec:

Ní mór gach fianaise a stóráil i bhfillteán iniúchta láraithe.

Ón rannán ‘Ceanglais chun an beartas a chur chun feidhme’, clásal beartais 6.2.1.

Féadfaidh an leibhéal aibíochta athrú, ach níor cheart don phrionsabal athrú. Ní mór fianaise phríobháideachais a bheith láraithe, rialaithe, innéacsaithe agus in-aisghabhála.

Na hancairí rialaithe ISO: róil, taifid agus cosaint PII

Mapálann comhad aistrithe OCS go láidir chuig trí rialú eagraíochtúla ISO/IEC 27002:2022 a chuirtear i láthair i Zenith Controls: The Cross-Compliance Guide [C9] de chuid Clarysec. Is rialuithe ISO iad seo, ní sraith rialuithe ar leith a chruthaigh Zenith.

Nascann na rialuithe seo freisin le ceanglais chórais bainistíochta ISO/IEC 27001:2022. Éilíonn Clásal 5.3 go sannfar agus go gcuirfear in iúl róil, freagrachtaí agus údaráis eagraíochtúla. Éilíonn Clásal 7.5 go rialófar faisnéis dhoiciméadaithe. Éilíonn Clásal 6.1 pleanáil rioscaí agus deiseanna, lena n-áirítear cóireáil riosca. Éilíonn Clásal 8.1 pleanáil agus rialú oibríochtúil. Éilíonn Clásal 9.1 faireachán agus meastóireacht. Éilíonn Clásal 10.2 gníomh ceartaitheach.

Tacaíonn comhad aistrithe OCS le gach ceann de na hionchais sin trí aistriú róil a iompú ina fhianaise rialaithe agus in-iniúchta.

Cleachtadh aon seisiúin chun comhad aistrithe OCS a thógáil

Ní gá fanacht le litir éirí as. Déan an cleachtadh seo roimh imeacht OCS, le linn iniúchta inmheánaigh phríobháideachais nó tar éis ceannaire príobháideachais nua a cheapadh.

Céim 1: Cruthaigh an t-innéacs aistrithe

Oscail REG12, nó d’innéacs faisnéise doiciméadaithe, agus cruthaigh rannán darb ainm “Comhad Aistrithe OCS.” Cuir réimsí leis le haghaidh:

• Mír fianaise.
• Réimse próisis.
• Suíomh údarásach.
• Úinéir.
• Úinéir cúltaca.
• Athbhreithnithe go deireanach.
• An chéad athbhreithniú eile.
• Leibhéal rúndachta.
• Gníomh oscailte.
• Ábharthacht iniúchta.

Líon isteach na chéad 25 iontráil. Tosaigh leis an RoPA, clár DPIA, clár DSR, loga sáraithe, Clár Soláthraithe, sceideal coinneála, clár comhairle phríobháideachais, comhad comhfhreagrais rialálaithe, clár riosca príobháideachais agus raon feidhme PIMS.

Céim 2: Tóg liosta faire spriocdhátaí 30, 60 agus 90 lá

Cruthaigh painéal crios dearg do mhíreanna atá dlite sna 30, 60 agus 90 lá atá romhainn. Cuir san áireamh:

• Iarratais oscailte ó ábhair sonraí.
• Formheasanna DPIA atá ar feitheamh.
• Measúnuithe sáraithe oscailte.
• Spriocdhátaí freagartha rialálaithe nó custaiméirí.
• Dátaí athbhreithnithe soláthraithe.
• Spriocdhátaí fógraí aistrithe nó fo-phróiseálaithe.
• Clocha míle athbhreithnithe coinneála.
• Gníomhartha ceartaitheacha iniúchta.

Is í seo an leathanach a léann an OCS nua ar dtús.

Céim 3: Mapáil próisis ardriosca chuig úinéirí ainmnithe

Úsáid an Clár Rólanna agus Freagrachtaí. Do gach próiseas, doiciméadaigh cibé acu a bhí an OCS a bhí ag imeacht cuntasach, freagrach, comhairlithe nó curtha ar an eolas. Sann úinéir eatramhach do gach próiseas beo. Rianaigh an tarmligean agus cuir an t-athrú in iúl, i gcomhréir leis an Beartas Rólanna, Freagrachtaí agus Cuntasachta Príobháideachais agus an Beartas Rólanna agus Freagrachtaí Rialachais.

Céim 4: Caomhnaigh comhthéacs cinnteoireachta

Do gach DPIA gníomhach nó cinneadh ardriosca, cuir nóta gairid staire cinnteoireachta leis:

• Cad a moladh?
• Cén fáth a raibh DPIA de dhíth nó nach raibh de dhíth?
• Cén chomhairle phríobháideachais a tugadh?
• Cé na rioscaí atá fós ann?
• Cé a ghlac leis an riosca iarmharach?
• Cé na coinníollacha nach mór faireachán a dhéanamh orthu?

Seo an áit a mbíonn REG04 riachtanach. Gan comhairle thaifeadta, d’fhéadfadh nach bhfeicfeadh an OCS nua ach an formheas deiridh agus go gcaillfeadh sé na srianta atá taobh thiar de.

Céim 5: Tástáil aisghabhála

Iarr ar an Iniúchadh Inmheánach nó ar Chomhlíonadh cúig mhír a iarraidh ón gcomhad aistrithe:

1. An iontráil RoPA le haghaidh gníomhaíocht phróiseála ardriosca.
2. An DPIA agus an taifead comhairle don ghníomhaíocht chéanna.
3. An comhaontú próiseálaí a thacaíonn léi.
4. An riail choinneála a bhaineann leis na sonraí.
5. An cinneadh DSR nó sáraithe is déanaí a bhaineann leis an bpróiseas sin, más ann dó.

Murar féidir leis an bhfoireann iad seo a aisghabháil laistigh den chreat ama atá leagtha síos sa bheartas, níl an comhad aistrithe réidh.

Spleáchais soláthraithe, próiseálaithe agus scamall

Teipeann ar go leor aistrithe OCS ag an teorainn idir príobháideachas, soláthar, slándáil agus oibríochtaí.

D’fhéadfadh OCS atá ag imeacht a bheith ar an eolas go bhfuil fionnachtain iniúchta gan réiteach ag próiseálaí, go bhfuil fógra fo-phróiseálaí le hathbhreithniú, nó nach bhfuil téarmaí leordhóthanacha cúnaimh teagmhais i gconradh. Mura gcaomhnaítear an t-eolas sin, faigheann an OCS nua riosca folaithe le hoidhreacht.

Leagann Beartas Slándála Tríú Páirtí agus Soláthraithe-sme [C10] de chuid Clarysec an bhunchloch fianaise síos:

Ní mór Clár Soláthraithe a choinneáil agus a nuashonrú ag an teagmhálaí riaracháin nó soláthair. Ní mór an méid seo a leanas a bheith ann:

Ón rannán ‘Ceanglais rialachais’, clásal beartais 5.4.

Ba cheart don chomhad aistrithe an Clár Soláthraithe a nascadh le:

• Comhaontuithe Próiseála Sonraí.
• Liostaí fo-phróiseálaithe.
• Doiciméadacht aistrithe.
• Dícheall cuí slándála.
• Clásail fógra teagmhais.
• Cearta iniúchta.
• Oibleagáidí scoir agus scriosta.
• Míreanna oscailte leigheasta.

Seo freisin an áit a mbaineann NIS2 agus DORA tábhacht amach.

Éilíonn NIS2 ar eintitis riachtanacha agus thábhachtacha bearta teicniúla, oibríochtúla agus eagraíochtúla cuí bainistíochta riosca cibearshlándála a ghlacadh. Áirítear ar a réimsí bainistíochta riosca láimhseáil teagmhas, leanúnachas gnó, slándáil slabhra soláthair, fáil agus forbairt shlán, láimhseáil leochaileachtaí, measúnú éifeachtachta, sláinteachas cibear, oiliúint, cripteagrafaíocht, slándáil AD, rialú rochtana agus bainistíocht sócmhainní.

Éilíonn DORA ar eintitis airgeadais rialachas TFC, bainistíocht riosca TFC, aicmiú agus tuairisciú teagmhas, tástáil athléimneachta oibríochtúla digití agus bainistíocht riosca tríú páirtí TFC a choinneáil. Maidir le feidhmeanna criticiúla nó tábhachtacha, bíonn DORA ag súil freisin le coimircí conarthacha láidre, cearta rochtana agus iniúchta, cearta foirceanta, straitéisí scoir agus socruithe aistrithe.

Ba cheart do chomhad aistrithe OCS a shainaithint cá bhfuil soláthraithe atá ábhartha don phríobháideachas mar chuid d’oibleagáidí athléimneachta oibríochtúla freisin. Má thacaíonn próiseálaí le seirbhís airgeadais chriticiúil nó le seirbhís dhigiteach thábhachtach, ní mór don OCS nua tionchar rialála theip soláthraí, fógra teagmhais moillithe nó laige conartha a thuiscint.

Leanúnachas teagmhais agus sáraithe

Tá comhthéacs sáraithe príobháideachais thar a bheith íogair ó thaobh ama de. Le linn aistriú OCS, is furasta an chúis ar cinneadh gan fógra a thabhairt a chailleadh, nó cén fáth ar cuireadh moill ar fhógra, nó cén fáth ar measadh go raibh grúpa áirithe daoine aonair lena mbaineann.

Sainmhíníonn GDPR sárú sonraí pearsanta go leathan, lena n-áirítear scriosadh, caillteanas, athrú, nochtadh neamhúdaraithe nó rochtain ar shonraí pearsanta de thaisme nó go neamhdhleathach. Dá bhrí sin, ní mór triáis phríobháideachais a bheith san fhreagairt do theagmhais, ní hamháin teorannú teicniúil.

Leagann an Zenith Blueprint, sa chéim Controls in Action, Céim 23, béim ar an gcomhéadan dlíthiúil i rialuithe a bhaineann le príobháideachas:

Tugann an rialú comhéadan dlíthiúil isteach san ISMS freisin. Ní mór oifigigh phríobháideachais, comhairleoirí dlí nó oifigigh chosanta sonraí (OCSanna) a bheith páirteach i sainmhíniú an chaoi a láimhseáiltear sonraí pearsanta, go háirithe maidir le haistrithe idirnáisiúnta, próiseáil trasteorann, nó cearta ábhar sonraí amhail rochtain, ceartú agus scriosadh. Ní cearta amháin iad seo; is oibleagáidí oibríochtúla iad, agus ní mór tacú leo le próisis struchtúrtha in-iniúchta.

Ó thaobh iniúchta de, tá an rialú seo ag teacht níos mó chun cinn. Ba mhaith le hiniúchóirí, rialálaithe agus custaiméirí araon an méid seo a fheiceáil:

✓ Cá bhfuil PII suite, ✓ Cén bonn dlíthiúil a rialaíonn a phróiseáil, ✓ Conas a shriantar rochtain, ✓ Conas a thuairiscítear teagmhais, ✓ Agus conas a urramaíonn an eagraíocht cearta agus a choinníonn sí trédhearcacht.

Ón gcéim Controls in Action, Céim 23: Rialuithe eagraíochtúla (5.19–5.37).

I gcás gach teagmhais sonraí pearsanta atá oscailte nó dúnta le déanaí, ba cheart bileog leanúnachais sáraithe a bheith sa chomhad aistrithe.

Tacaíonn sé seo freisin le hionchais teagmhais NIS2 agus DORA. Úsáideann NIS2 tuairisciú céimnithe ar theagmhais shuntasacha, lena n-áirítear luathrabhadh, fógra, nuashonruithe nuair is gá agus tuarascáil deiridh. Éilíonn DORA ar eintitis airgeadais teagmhais mhóra a bhaineann le TFC a bhrath, a bhainistiú, a aicmiú agus fógra a thabhairt fúthu, le tuairisciú tosaigh, idirmheánach agus deiridh agus anailís bunchúise. Ní mór d’OCS nua a bheith in ann idirdhealú a dhéanamh idir teagmhas slándála, sárú sonraí pearsanta, teagmhas suntasach NIS2 agus mórtheagmhas TFC a bhaineann le DORA, lena n-áirítear nuair a spreagann teagmhas amháin sreafaí oibre iolracha.

Coinneáil agus diúscairt: an riosca ciúin aistrithe

Is minic a éiríonn rialacha coinneála as dáta le linn athruithe róil toisc go suíonn siad idir an fhoireann Dlí, bainistíocht taifead, TF agus úinéirí gnó. Mar sin féin, éilíonn teorannú stórála GDPR nach gcoimeádfar sonraí pearsanta níos faide ná mar is gá chun críocha na próiseála.

Sannann Beartas um Choinneáil Sonraí agus Diúscairt Sonraí [C11] Enterprise ról rialaithe príobháideachais:

Déanann sé athbhreithniú agus bailíochtú ar sceidil choinneála do shonraí pearsanta chun bonn dlíthiúil a chinntiú do stóráil leanúnach.

Ón rannán ‘Rólanna agus freagrachtaí’, clásal beartais 4.3.2.

Ba cheart don chomhad aistrithe sceidil choinneála ar gá athbhreithniú a dhéanamh orthu a shainaithint, mar aon le córais ina bhfuil scriosadh srianta go teicniúil, coinneálacha dlíthiúla, tacair sonraí chartlainne, saincheisteanna coinneála cúltaca agus spleáchais scriosta próiseálaithe.

Tá tástáil úsáideach simplí. Roghnaigh iontráil RoPA amháin agus fiafraigh an féidir leis an OCS nua an tréimhse choinneála, an truicear scriosta, úinéir an chórais, rannpháirtíocht próiseálaí, láimhseáil cúltaca agus fianaise ar an athbhreithniú deireanach a chinneadh. Mura féidir, níl cuntasacht choinneála réidh don aistriú.

Mapáil thraschomhlíonta: comhad amháin, go leor ionchas

Ní chuireann comhad láidir aistrithe OCS oibleagáidí dlíthiúla in ionad aon ní, ach tugann sé rian fianaise comhleanúnach d’iniúchóirí agus do rialálaithe thar chreataí éagsúla.

Tá NIST CSF 2.0 thar a bheith úsáideach mar chiseal cumarsáide. Bíonn feidhm GOVERN ag súil go dtuigfear agus go mbainisteofar oibleagáidí dlíthiúla, rialála, conarthacha, príobháideachais agus saoirsí sibhialta. Cabhraíonn a mhodh Próifílí Eagraíochtúla le heagraíochtaí staid reatha agus spriocstaid a shainiú, beartais agus ionchuir riosca a bhailiú, bearnaí a shainaithint agus pleananna gníomhaíochta tosaíochta a chruthú.

Sin go díreach a dhéanann comhad aistrithe OCS. Sainíonn sé an seasamh príobháideachais reatha, sainaithníonn sé ceanglais spriocleanúnachais agus cruthaíonn sé liosta leigheasta tosaíochta.

Conas a scrúdaíonn iniúchóirí próiseas aistrithe OCS

Ní stopfaidh iniúchóir dáiríre le hainm an OCS a iarraidh. Déanfaidh sé tástáil an bhfuil an fheidhm phríobháideachais athléimneach.

Ní hé an fhionnachtain is coitianta nach bhfuil comhad aistrithe ann. Is í an fhionnachtain nach nascann an comhad fianaise le cinntí. Ní doiciméid amháin atá á lorg ag iniúchóirí. Tá inrianaitheacht á lorg acu.

Patrúin choitianta teipe agus réitigh Clarysec

Is é an chéad phatrún teipe ná an t-aistriú trí bhosca isteach. Seolann an OCS atá ag imeacht ríomhphoist ar aghaidh, ach níl Clár Fianaise innéacsaithe ann. Réitíonn Clarysec é seo trí fhianaise a chur isteach in REG12 agus gach mír a nascadh le próiseas, úinéir agus dáta athbhreithnithe.

Is é an dara ceann an t-aistriú teimpléid. Tá teimpléid DPIA agus DSR ag an eagraíocht, ach níl stádas reatha ann. Réitíonn Clarysec é seo le painéal crios dearg de spriocdhátaí oscailte, cinntí ardriosca agus gníomhartha gan réiteach.

Is é an tríú ceann beartas gan tarmligean. Deir beartais gur leis an OCS an príobháideachas, ach ní thaifeadann aon duine freagracht eatramhach. Réitíonn Clarysec é seo tríd an gClár Rólanna agus Freagrachtaí, fianaise ar aistriú róil in REG01 agus REG12, agus fianaise chumarsáide in REG11.

Is é an ceathrú ceann an dallspota soláthraithe. Ní bhíonn taifid phríobháideachais próiseálaithe nasctha le taifid soláthair agus slándála. Réitíonn Clarysec é seo tríd an gClár Soláthraithe, stór Comhaontuithe Próiseála Sonraí, liosta fo-phróiseálaithe, clásail teagmhais, dualgais scoir agus dícheall cuí slándála a nascadh.

Is é an cúigiú ceann an bhearna chomhthéacs teagmhais. Tá an taifead teagmhais theicniúil ann, ach tá réasúnaíocht an tsáraithe phríobháideachais in easnamh. Réitíonn Clarysec é seo trí bhileoga leanúnachais sáraithe a éileamh a chaomhnaíonn anailís fhógartha, tionchar ar ábhair sonraí, cinntí rialálaithe agus ceachtanna foghlamtha.

Do sheicliosta 30 lá maidir le hullmhacht aistrithe OCS

Dá n-athródh d’OCS nó do cheannaire príobháideachais amárach, an bhféadfá leanúnachas a chruthú? Úsáid an seicliosta seo.

• Deimhnigh go bhfuil an OCS, an Ceannaire Príobháideachais, Bainisteoir PIMS agus úinéirí cúltaca taifeadta sa chlár ról.
• Taifead fianaise ar aistriú róil in REG01 agus REG12 laistigh de 10 lá gnó.
• Nuashonraigh fianaise chumarsáide maidir le hathrú róil in REG11 laistigh de 10 lá gnó.
• Fíoraigh go bhfuil innéacs faisnéise doiciméadaithe PIMS REG12 cothrom le dáta.
• Cruthaigh liosta faire spriocdhátaí príobháideachais 30, 60 agus 90 lá.
• Déan athbhreithniú ar DSRanna oscailte agus deimhnigh úinéirí freagartha.
• Déan athbhreithniú ar gach DPIA gníomhach agus cinneadh ardriosca.
• Deimhnigh go bhfuil comhairle phríobháideachais in REG04 maidir le raon feidhme PIMS, critéir DPIA agus cinntí ardriosca.
• Réitigh an RoPA le córais, soláthraithe agus sceidil choinneála.
• Déan athbhreithniú ar mheasúnuithe sáraithe oscailte agus le déanaí.
• Deimhnigh go bhfuil taifid phróiseálaithe, fo-phróiseálaithe agus soláthraithe iomlán.
• Bailíochtaigh sceidil choinneála do shonraí pearsanta.
• Tástáil aisghabháil cúig mhír fianaise chriticiúla.
• Tuairiscigh stádas an aistrithe don bhainistíocht.
• Cuir ceachtanna foghlamtha le plean feabhsúcháin PIMS.

Déan leanúnachas príobháideachais réidh don iniúchadh sula n-athraíonn an ról

Is é an t-am is fearr chun comhad aistrithe OCS a thógáil ná sula n-éiríonn aon duine as, sula n-iarrann rialálaí é, agus sula gcuireann teagmhas brú ar an gceist.

Cabhraíonn Clarysec le heagraíochtaí rialachas príobháideachais a iompú ina fhianaise oibríochtúil trí theimpléid beartais, cláir PIMS, sreafaí oibre aistrithe, stórtha atá réidh don iniúchadh agus mapálacha traschomhlíonta a chomhcheangal. Tosaigh leis an Zenith Blueprint don treochlár cur chun feidhme 30 céim, úsáid Zenith Controls chun rialuithe ISO/IEC 27002:2022 a nascadh le hionchais chomhlíonta níos leithne, agus ailínigh do chlásail inmheánacha le beartais phríobháideachais agus bainistíochta fianaise Clarysec.

Dá n-athródh d’OCS amárach, an gcoinneodh d’eagraíocht an comhthéacs taobh thiar de gach DPIA, cinneadh sáraithe, iontráil RoPA agus gealltanas rialálaithe?

Má tá an freagra éiginnte, tá an chéad chéim eile praiticiúil. Tóg an t-innéacs aistrithe, mapáil an fhianaise, sann úinéirí eatramhacha agus tástáil aisghabháil an tseachtain seo. Is féidir le Clarysec cabhrú leat an comhad sin a dhéanamh iomlán, rialaithe agus réidh don iniúchadh.