Asmens duomenų valdysena pagal ISO 27701:2025 ir GDPR

Užklausa informacijos saugumo vadovo (CISO) pašto dėžutę pasiekė apgaulingai paprastu pavadinimu: „Project Wellness“. Sparčiai auganti finansinių technologijų įmonė norėjo analizuoti esamus klientų operacijų duomenis, kad galėtų teikti suasmenintus taupymo patarimus, produktų rekomendacijas ir įžvalgas apie klientų pasitraukimo riziką. Rinkodaros komanda matė klientų įsitraukimą. Produktų komanda matė inovaciją. Vadovybė matė konkurencinį pranašumą.

CISO matė valdysenos minų lauką.

Operacijų duomenys buvo surinkti mokėjimams apdoroti pagal apibrėžtą tikslą ir teisinį pagrindą. Dabar verslas norėjo juos pakartotinai naudoti finansinės gerovės analitikai, kampanijų personalizavimui ir prognoziniam vertinimui balais. Kad paspartintų įgyvendinimą, komanda taip pat norėjo perduoti pseudonimizuotą duomenų rinkinį trečiosios šalies DI analitikos tiekėjui.

Tinkle nebuvo užpuoliko. Duomenų bazė nebuvo nutekėjusi. Incidentų eilėje nemirgėjo raudonas įspėjimas.

Tačiau būtent čia dažnai prasideda GDPR atskaitomybės nesėkmės.

Klausimas nėra vien tai, ar organizacija turi privatumo pranešimą, duomenų apsaugos pareigūną (DAP), teisinio pagrindo registrą ar saugojimo terminų grafiką. Gilesnis klausimas yra veiklos klausimas: kas tvirtina naują asmens duomenų rinkimą, kas patvirtina būtinumą, kas apibrėžia leistiną vidinį naudojimą, kas sprendžia, ar antrinis naudojimas yra suderinamas, kas autorizuoja atskleidimą tiekėjui ir kas vėliau gali įrodyti priimtą sprendimą?

Tai yra kontrolės spraga, kurią turi uždaryti ISO/IEC 27701:2025 privatumo informacijos valdymo sistemos, arba PIMS, įgyvendinimas. GDPR Article 5 reikalauja, kad asmens duomenys būtų tvarkomi teisėtai, sąžiningai ir skaidriai, renkami nustatytais, aiškiai apibrėžtais ir teisėtais tikslais, ribojami iki to, kas būtina, tikslūs, saugomi tik tiek, kiek reikia, tinkamai apsaugoti ir tvarkomi pagal duomenų valdytojo atskaitomybę. GDPR Article 6 papildo teisinio pagrindo ir suderinamumo logiką tolesniam tvarkymui. Tačiau šie principai tampa pagrindžiami tik tada, kai jie paverčiami darbo eigomis, registrais, patvirtinimais, prieigos taisyklėmis, tiekėjų kontrolės priemonėmis, stebėsena ir įrodymais.

Clarysec požiūris paprastas: asmens duomenų rinkimo, naudojimo ir atskleidimo valdyseną reikia traktuoti kaip kontroliuojamą veiklos modelį, o ne kaip teisinę pažymą. Modelis remiasi ISO/IEC 27001:2022 ISVS pagrindu, išplečiamas į ISO/IEC 27701:2025 PIMS vaidmenis ir pagrindžiamas Clarysec politikomis, registrais, Zenith Blueprint: auditoriaus 30 žingsnių planu ir Zenith Controls: kelių atitikties režimų vadovu.

Kodėl asmens duomenų valdysena žlunga net ir turint privatumo dokumentus

Dauguma privatumo programų žlunga ne todėl, kad niekas nežino apie GDPR. Jos žlunga todėl, kad privatumo sprendimai priimami produktų užduotyse, tiekėjų įtraukimo el. laiškuose, skaičiuoklių eksportuose, valdymo skydų eksperimentuose ir DI bandomuosiuose projektuose be pakartojamo valdysenos kontrolės taško.

Tipinis modelis atrodo pažįstamai:

1. Komanda prideda naują lauką prie registracijos formos, nes tai pagerina segmentavimą.
2. Niekas neužfiksuoja, kodėl būtent tas laukas yra būtinas.
3. Kita komanda vėliau pakartotinai naudoja duomenis kitam tikslui.
4. Tiekėjas gauna eksportą pagal plačią paslaugų sutartį.
5. Tvarkymo registras atnaujinamas po paleidimo, jeigu apskritai atnaujinamas.
6. Audito metu organizacija gali parodyti privatumo pranešimą, bet negali parodyti sprendimo įrodymų.

GDPR Articles 4 ir 5 plačiai apibrėžia tvarkymą. Į jį patenka rinkimas, įrašymas, saugojimas, naudojimas, atskleidimas, ištrynimas ir sunaikinimas. Article 5 taip pat aiškiai įtvirtina atskaitomybę. Duomenų valdytojai turi gebėti įrodyti principų laikymąsi.

Tai reiškia, kad audito klausimas nėra tik „Ar turite politiką?“ Klausimas yra: „Parodykite, kaip šis konkretus duomenų elementas buvo patvirtintas, kodėl jo reikėjo, kaip jis buvo naudojamas, kas jį gavo ir kokios kontrolės priemonės neleido juo piktnaudžiauti.“

Clarysec P17 Duomenų apsaugos ir privatumo politika aiškiai nustato gyvavimo ciklo lūkestį:

Ji formalizuoja įmonės atsakomybes pagal tarptautinius standartus ir reguliavimo sistemas, užtikrindama, kad asmens identifikavimo informacija (PII) būtų renkama, tvarkoma, saugoma, ja būtų dalijamasi ir ji būtų sunaikinama teisėtai, saugiai ir skaidriai.

MVĮ atveju Clarysec Duomenų apsaugos ir privatumo politika – MVĮ tą patį principą paverčia pragmatiška veiklos taisykle:

Asmens duomenys gali būti renkami tik tada, kai tai būtina teisėtam, teisiškai pagrįstam arba sutartiniam tikslui.

O minimizavimo atveju:

Turi būti renkami ir saugomi tik minimalūs būtini asmens duomenys.

Šie teiginiai veiksmingi tik tada, kai taikomi prieš pradedant tvarkymą. Priešingu atveju jie lieka privatumo formuluotėmis be veiklos įrodymų.

Kontrolės tikslas: sustabdyti nekontroliuojamą tvarkymą trijuose kontrolės taškuose

Stipri PIMS turi kontroliuoti sprendimus dėl asmens duomenų trimis momentais: prieš rinkimą, prieš naudojimą ir prieš atskleidimą.

Prieš rinkimą organizacija turi žinoti, ką nori rinkti, iš ko, per kurį kanalą, kokiu tikslu, pagal kokį teisinį pagrindą ir kodėl kiekvienas laukas yra būtinas.

Prieš naudojimą organizacija turi apibrėžti leistino vidinio naudojimo taisykles. Pagalbos tarnybai, klientų sėkmės komandai, rinkodarai, sukčiavimo prevencijai, finansams ir inžinerijai retai reikia tokio paties matomumo ar tokių pačių teisių veikti su asmens duomenimis.

Prieš atskleidimą organizacija turi žinoti, kas yra gavėjas, kokį vaidmenį jis atlieka, kodėl atskleidimas būtinas, kur vyksta tvarkymas, kokios asmens duomenų kategorijos perduodamos, kaip dažnai vyksta dalijimasis ir koks įgaliojimo šaltinis leidžia dalytis.

Clarysec PII09 Asmens duomenų rinkimo, naudojimo, atskleidimo ir dalijimosi politika sukurta šiam valdysenos sluoksniui. Ji naudoja PIMS vaidmenų žymėjimą, ypač duomenų valdytojo vaidmenį, nes sprendimai dėl rinkimo, naudojimo ir atskleidimo paprastai tenka organizacijai, kuri nustato tikslus ir priemones.

Rinkimo ribojimui PII09 Asmens duomenų rinkimo, naudojimo, atskleidimo ir dalijimosi politika reikalauja:

[Duomenų valdytojas] Procesų savininkas / verslo savininkas PRIVALO REG02 įrašyti rinkimo tikslą, šaltinį arba kanalą, asmens duomenų kategorijas, duomenų subjektų kategorijas ir minimalius duomenų elementus prieš pradedant bet kokią naują rinkimo veiklą arba esminį rinkimo pakeitimą.

Tada ji padaro minimizavimą patikrinamą:

[Duomenų valdytojas] Procesų savininkas / verslo savininkas PRIVALO REG02 įrašyti būtinumo pagrindimą kiekvienam asmens duomenų elementui prieš tą elementą renkant.

Reikalavimas „kiekvienam asmens duomenų elementui“ yra skirtumas tarp bendros tvarkymo veiklos apskaitos ir lauko lygmens atskaitomybės įrodymų.

Vidiniam naudojimui ta pati politika reikalauja:

[Duomenų valdytojas] Procesų savininkas / verslo savininkas PRIVALO REG02 įrašyti patvirtintas vidinio naudojimo taisykles kiekvienai tvarkymo veiklai prieš pradedant naudojimą.

Antriniam naudojimui:

[Duomenų valdytojas] Procesų savininkas / verslo savininkas PRIVALO REG02 įrašyti antrinio naudojimo suderinamumo patikrą prieš naudojant asmens duomenis tikslui, kuris dar nėra patvirtintas tai tvarkymo veiklai.

O išoriniam atskleidimui:

[Duomenų valdytojas] Tiekėjo / pirkimų savininkas PRIVALO REG08 įrašyti gavėjo tapatybę, gavėjo vaidmenį, atskleidimo tikslą, asmens duomenų kategorijas, dalijimosi dažnį, tvarkymo vietą ir įgaliojimo šaltinį prieš pradedant reguliarų išorinį dalijimąsi.

Šios nuostatos sukuria aiškų atsakymą, kai vadovybė klausia, ar verslas gali greitai diegti inovacijas: taip, jeigu sprendimas praeina dokumentuotą valdysenos darbo eigą, o kontrolės priemonės atitinka patvirtinimą.

REG02 ir REG08: Clarysec politikos ir kontrolės grandinė

Clarysec diegimuose REG02 nėra pasyvi tvarkymo veiklos apskaita. Tai sprendimų registras dėl rinkimo tikslo, teisinio pagrindo, asmens duomenų kategorijų, būtinumo, vidinio naudojimo taisyklių, suderinimo su saugojimo terminais ir antrinio naudojimo suderinamumo.

REG08 yra atskleidimo ir dalijimosi kontrolės registras. Jis ypač svarbus tiekėjams, partneriams, grupės įmonėms, institucijoms, subtvarkytojams, integracijoms ir reguliariems eksportams.

Kartu jie sukuria politikos ir kontrolės grandinę, kurią gali testuoti privatumo, saugumo, pirkimų ir audito komandos.

Šis modelis natūraliai dera su ISO/IEC 27001:2022. 4–10 skyriai reikalauja, kad organizacija suprastų kontekstą, suinteresuotųjų šalių reikalavimus, taikymo sritį, vadovybės atsakomybes, rizikos vertinimą, rizikos tvarkymą, veiklos kontrolę, veiklos rezultatų vertinimą ir tobulinimą. Privatumo įpareigojimai pagal GDPR ir ISO/IEC 27701:2025 tampa valdymo sistemos dalimi, o ne atskira privatumo sala.

ISO/IEC 27002:2022 taip pat palaiko šį veiklos modelį. Kontrolė 5.31, teisiniai, įstatyminiai, reguliavimo ir sutartiniai reikalavimai, įtvirtina GDPR ir sektoriaus įpareigojimus. Kontrolė 5.34, privatumas ir asmens duomenų apsauga, skirta privatumo apsaugai. Kontrolė 5.9, informacijos ir kito susijusio turto apskaita, palaiko duomenų žinojimą. Kontrolės 5.12 ir 5.13 palaiko klasifikavimą ir ženklinimą. Kontrolė 5.14 reglamentuoja informacijos perdavimą. Kontrolės 5.19–5.23 apima santykius su tiekėjais, tiekėjų sutartis, IRT tiekimo grandinę, tiekėjų paslaugų stebėseną ir debesijos paslaugas. Kontrolė 8.11 palaiko duomenų maskavimą, 8.12 – duomenų praradimo prevenciją, 8.15 – žurnalavimą, 8.16 – stebėsenos veiklas, o 8.24 – kriptografijos naudojimą.

Zenith Blueprint šias kontrolės priemones įtraukia į įgyvendinimo kelią. „Controls in Action“ fazėje 23 žingsnis apima organizacines kontrolės priemones 5.19–5.37, įskaitant kontrolę 5.34 dėl privatumo ir asmens duomenų apsaugos. Blueprint paaiškina:

Šiandienos duomenimis grindžiamame pasaulyje asmenį identifikuojanti informacija nėra tik dar vienas duomenų tipas – tai itin jautri pasitikėjimo išraiška. Vardai, adresai, tapatybės dokumentų numeriai, sveikatos įrašai, finansiniai duomenys – šie duomenys pasakoja istoriją apie tikrus žmones.

Tada pateikiamas veiklos pagrindas:

Šios kontrolės priemonės pagrindas yra duomenų žinojimas. Organizacija turi žinoti, kokius asmens duomenis renka, kur jie yra, kodėl jie tvarkomi ir kas gali prie jų prieiti.

Būtent tai suteikia REG02 ir REG08, kai jie traktuojami kaip gyvi valdysenos įrašai.

Praktinis pavyzdys: Project Wellness patvirtinimas neprarandant kontrolės

Grįžkime prie finansinių technologijų scenarijaus. Verslas nori analizuoti klientų operacijų duomenis suasmenintoms finansinės gerovės rekomendacijoms. Rinkodara nori naudoti rezultatus kampanijoms. Produktų komanda nori kurti pasitraukimo ir įsitraukimo balus. Trečiosios šalies DI analitikos platforma tvarkys dalį duomenų rinkinio.

Štai kaip Clarysec valdytų šią užklausą.

1 žingsnis: sukurti arba atnaujinti REG02 tvarkymo veiklą

Procesų savininkas atidaro REG02 ir įrašo tvarkymo veiklą prieš pradedant darbą.

Svarbus momentas yra laikas. REG02 atnaujinamas prieš pradedant naują tvarkymą, o ne po to, kai funkcija jau veikia produkcinėje aplinkoje.

2 žingsnis: įrašyti lauko lygmens būtinumo pagrindimus

Rinkodara iš pradžių prašo penkerių metų visos operacijų istorijos, įskaitant prekybininkų pavadinimus, tikslias laiko žymas, kortelių metaduomenis ir klientų profilio atributus. Valdysenos komanda kvestionuoja kiekvieną lauką.

Tai yra duomenų minimizavimas kaip įrodymas, o ne siekis. Verslas vis tiek gauna naudingą analitiką, bet duomenų rinkinys susiaurinamas iki to, kas būtina patvirtintam tikslui.

3 žingsnis: suklasifikuoti ir paženklinti duomenų rinkinį

Duomenų rinkinys klasifikuojamas pagal Clarysec Duomenų klasifikavimo ir ženklinimo politiką. MVĮ versija reikalauja:

Išorinis dalijimasis turi būti aiškiai autorizuotas ir užregistruotas žurnale.

Įmonės Duomenų klasifikavimo ir ženklinimo politika prideda apsaugos priemonę jautriai informacijai:

Išorėje gali būti dalijamasi tik pagal NDA arba lygiavertes sutartines apsaugos priemones.

Praktikoje Project Wellness duomenų rinkinys negali būti neformaliai eksportuojamas į DI platformą. Jam reikia patvirtinto atskleidimo įrašo, sutartinių apsaugos priemonių, techninių perdavimo kontrolės priemonių ir žurnalų.

Zenith Blueprint 22 žingsnyje, skirtame kontrolei 5.12 „Informacijos klasifikavimas“, paaiškina, kodėl tai svarbu:

Kiekviena kada nors parašyta informacijos saugumo kontrolės priemonė – prieigos ribojimas, šifravimas, atsarginės kopijos, stebėsena ar sunaikinimas – remiasi viena prielaida: organizacija žino, ką saugo.

Be klasifikavimo prieigos apribojimai, šifravimas, DLP ir saugojimo taisyklės tampa spėlionėmis.

4 žingsnis: apibrėžti vidinio naudojimo taisykles prieš paleidimą produkcinėje aplinkoje

Procesų savininkas REG02 įrašo patvirtintas vidinio naudojimo taisykles. Čia dažnai sustabdomas tikslo plėtimasis.

Pagrindžiamas taisyklių rinkinys galėtų numatyti:

• Produktų komanda gali naudoti agreguotus rekomendacijų veiksmingumo rodiklius.
• Klientų aptarnavimas, nagrinėdamas pagalbos prašymą, gali matyti, ar rekomendacija buvo parodyta klientui.
• Rinkodara negali naudoti individualaus lygmens finansinės gerovės balų kampanijų segmentavimui, nebent atlikta antrinio naudojimo suderinamumo patikra.
• Finansai negali prieiti prie detalių finansinės gerovės analitikos duomenų, nebent yra atskiras patvirtintas tikslas.
• Kūrėjai negali naudoti produkcinių asmens duomenų testavimo aplinkose.
• DI modelių vertinimui turi būti naudojami maskuoti, pseudonimizuoti arba agreguoti duomenų rinkiniai, kai tai įmanoma.

Paskutinės dvi taisyklės siejasi su ISO/IEC 27002:2022 kontrole 8.11 „Duomenų maskavimas“. Zenith Blueprint 19 žingsnyje apibūdina duomenų maskavimą kaip praktinį metodą, padedantį išvengti perteklinio atskleidimo testavimo aplinkose, mokymo duomenų rinkiniuose, analitikos platformose, trečiųjų šalių integracijose ir CI/CD testavimo konvejeriuose.

5 žingsnis: atlikti antrinio naudojimo suderinamumo patikrą

Vėliau rinkodara paprašo naudoti finansinės gerovės balus tikslinėms kampanijoms. Tai naujas tikslas. Pagal PII09 Asmens duomenų rinkimo, naudojimo, atskleidimo ir dalijimosi politikos 4.3.1 nuostatą verslo savininkas privalo REG02 įrašyti suderinamumo patikrą prieš pradedant naują naudojimą.

Patikra turi įvertinti:

• Ar finansinės gerovės rinkodara suderinama su pirminiu tvarkymo tikslu.
• Kas klientams buvo pasakyta rinkimo metu ir privatumo pranešime.
• Ar iš operacijų išvestos išvados gali būti jautrios arba netikėtos.
• Ar naujas naudojimas galėtų sukelti spaudimą, atskirtį arba nesąžiningą profiliavimą.
• Ar tokios apsaugos priemonės kaip agregavimas, atsisakymo galimybė, pseudonimizavimas arba paskyros lygmens segmentavimas mažina riziką.
• Ar teisinis pagrindas išlieka galiojantis.
• Ar reikalingi skaidrumo atnaujinimai arba sutikimo mechanizmai.

Rezultatas gali būti patvirtinimas, patvirtinimas su apsaugos priemonėmis arba atmetimas. Vertė yra ta, kad sprendimas dokumentuojamas prieš pradedant naudojimą.

6 žingsnis: patvirtinti išorinį atskleidimą per REG08

Jeigu DI analitikos tiekėjas gaus duomenis, tiekėjo arba pirkimų savininkas REG08 įrašo:

Clarysec Trečiųjų šalių ir tiekėjų saugumo politika – MVĮ sustiprina minimizuotą tiekėjo prieigą:

Tiekėjams turi būti suteikta prieiga tik prie minimalių sistemų ir duomenų, reikalingų jų funkcijai atlikti.

Tai yra privatumo minimizavimas, taikomas tiekėjo prieigai ir atskleidimui.

7 žingsnis: pridėti techninį įgyvendinimą

Valdysenos įrašai turi būti paremti techninėmis kontrolės priemonėmis. Project Wellness atveju Clarysec paprastai rekomenduotų DLP taisykles eksportams, vaidmenimis grindžiamus prieigos apribojimus, prieigos ir perdavimo įvykių žurnalavimą, maskuotus duomenų rinkinius kūrimui, šifravimą perduodant ir saugant, tiekėjo prieigos peržiūras, debesijos saugumo išsamųjį patikrinimą ir periodinį REG02 bei REG08 atrankinį sulyginimą su faktine sistemų elgsena.

Taip ISO/IEC 27701:2025 ir GDPR atskaitomybė tampa veiklos įrodymais.

Kontrolės priemonių susiejimas: nuo privatumo sprendimo iki saugumo įgyvendinimo

Asmens duomenų valdysena nėra viena izoliuota kontrolės priemonė. Tai ryšys tarp privatumo reikalavimų, saugumo kontrolės priemonių, tiekėjų valdysenos ir audito įrodymų.

Zenith Controls ISO/IEC 27002:2022 kontrolę 5.34 „Privatumas ir asmens duomenų apsauga“ traktuoja kaip prevencinę kontrolės priemonę, palaikančią konfidencialumą, vientisumą ir prieinamumą, su „Identify“ ir „Protect“ kibernetinio saugumo koncepcijomis bei veiklos gebėjimais informacijos apsaugos, teisės ir atitikties srityse.

Kontrolei 5.34 Zenith Controls susieja aplinkinę kontrolės ekosistemą, įskaitant apskaitą, klasifikavimą, perdavimą, prieigą, tapatybę, debesiją, tiekėjų saugumą, maskavimą, duomenų nutekėjimo prevenciją, žurnalavimą, stebėseną ir kriptografiją.

Dėl maskavimo Zenith Controls nurodo:

Duomenų maskavimas (8.11) yra technika, dažnai naudojama asmens duomenims apsaugoti neprodukcinėse aplinkose arba dalijantis duomenimis. Ji tiesiogiai palaiko 5.34, mažindama tikrų asmens duomenų atskleidimą ir taip mažindama privatumo riziką.

Dėl duomenų praradimo prevencijos vadove paaiškinama praktinė riba:

DLP tiesiogiai prisideda prie asmens duomenų apsaugos. Kontrolė 8.12 įgyvendina ribas, kaip prie asmens duomenų galima prieiti, kaip jais galima dalytis arba juos perkelti, užtikrindama, kad asmens duomenys negalėtų nutekėti neautorizuotais kanalais.

Todėl auditorius, testuojantis atskleidimo valdyseną, gali prašyti ne tik REG08, bet ir DLP politikų, blokuotų perdavimų žurnalų, išeinančio el. pašto kontrolės priemonių, debesijos bendrinimo apribojimų, šifravimo reikalavimų, tiekėjo prieigos įrašų ir patvirtintų išimčių įrodymų.

Kelių atitikties režimų vertė: GDPR, ISO 27701, NIS2, DORA, NIST ir COBIT

Asmens duomenų rinkimo, naudojimo ir atskleidimo valdyseną lemia privatumo reikalavimai, tačiau jos įrodymai palaiko platesnius kibernetinio saugumo, atsparumo ir valdysenos įpareigojimus.

GDPR Articles 2 ir 3 apibrėžia plačią materialinę ir teritorinę taikymo sritį, kuri gali apimti SaaS, finansinių technologijų ir skaitmeninių paslaugų teikėjus už ES ribų, kai jie aptarnauja arba stebi ES esančius asmenis. Article 5 reikalauja tikslo apribojimo, duomenų minimizavimo, tikslumo, saugojimo trukmės ribojimo, vientisumo, konfidencialumo ir atskaitomybės. Article 6 reikalauja teisinio pagrindo ir suderinamumo vertinimo tolesniam tvarkymui. Article 9 nustato griežtesnes sąlygas specialių kategorijų duomenims, kurios aktualios, kai taikomas profiliavimas, su sveikata susiję duomenys, biometrinis įtraukimas arba jautrūs atributai.

NIS2 Article 21 reikalauja, kad esminiai ir svarbūs subjektai įgyvendintų proporcingas technines, veiklos ir organizacines rizikos valdymo priemones. Minimalios sritys apima rizikos analizę, informacinių sistemų saugumo politikas, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų kūrimą, kontrolės veiksmingumą, mokymus, kriptografiją, žmogiškųjų išteklių saugumą, prieigos kontrolę, turto valdymą ir autentifikavimą.

DORA reikalauja, kad finansų sektoriaus subjektai palaikytų IRT rizikos valdymo sistemą, valdymo organo atskaitomybę, IRT turto ir priklausomybių identifikavimą, apsaugos ir prevencijos kontrolės priemones, aptikimą, reagavimą, atkūrimą, atsargines kopijas, mokymąsi, incidentų valdymą, testavimą ir IRT trečiųjų šalių rizikos valdymą. Ji taip pat reikalauja informacijos registrų IRT paslaugų sutartims, išsamiojo patikrinimo, audito teisių, saugumo reikalavimų ir pasitraukimo strategijų.

NIST Cybersecurity Framework 2.0 suteikia integruojančią valdysenos kalbą. Jo GOVERN funkcija tikisi, kad teisiniai, reguliavimo ir sutartiniai reikalavimai, įskaitant privatumo įpareigojimus, bus suprasti ir valdomi. Ji taip pat apima rizikos strategiją, vaidmenis, politikas, priežiūrą ir tiekėjų rizikos valdymą.

COBIT 2019 auditoriai ieško valdysenos tikslų, sprendimų priėmimo teisių, atskaitomybės, procesų savininkystės, veiklos rodiklių ir užtikrinimo įrodymų. Asmens duomenų valdysenai tai reiškia, kad privatumo reikalavimai turi būti integruoti į įmonės valdyseną, o ne valdomi kaip šalutinis procesas.

Kaip auditoriai testuoja tą patį valdysenos sluoksnį

Stiprus PIMS įgyvendinimas turi atlaikyti skirtingus audito stilius.

ISO/IEC 27001:2022 ir ISO/IEC 27701:2025 auditorius pradės nuo taikymo srities, suinteresuotųjų šalių, teisinių ir sutartinių reikalavimų, rizikos vertinimo, Taikytinumo pareiškimo, veiklos planavimo ir dokumentuotų įrodymų. Jis gali atrinkti tvarkymo veiklas iš REG02 ir tikrinti, ar tokios kontrolės priemonės kaip 5.34, 5.12, 5.14, 5.19–5.23, 8.11, 8.12, 8.15, 8.16 ir 8.24 yra įgyvendintos ir stebimos.

Į GDPR orientuotas auditorius arba reguliuotojas tikrins atskaitomybę. Jis gali pradėti nuo privatumo pranešimo, skundo, duomenų subjekto prašymo arba tiekėjo atskleidimo, o tada sekti atgal. Kodėl šie duomenys buvo surinkti? Koks teisinis pagrindas taikytas? Ar tikslas buvo nurodytas? Ar vėlesnis naudojimas buvo suderinamas? Ar gavėjas buvo autorizuotas? Ar asmenys buvo informuoti? Ar įrašai atnaujinti prieš pradedant tvarkymą?

DORA priežiūros institucija, kai taikoma, sutelks dėmesį į IRT palaikomas verslo funkcijas, trečiųjų šalių IRT teikėjus, sutartines nuostatas, audito teises, duomenų apsaugą, incidentų komunikaciją, atsparumo testavimą ir pasitraukimo planavimą. Jei klientų asmens duomenimis dalijamasi su kritiniu analitikos arba debesijos paslaugų teikėju, REG08, tiekėjų išsamusis patikrinimas ir sutarčių kontrolės priemonės tampa pagrindiniais įrodymais.

NIST CSF vertintojas klausimą formuluos per valdysenos rezultatus. Ar teisiniai ir reguliavimo reikalavimai valdomi? Ar vaidmenys ir atsakomybės aiškūs? Ar politikos palaikomos ir įgyvendinamos? Ar tiekėjų rizikos valdomos? Ar veikia duomenų apsaugos, stebėsenos ir reagavimo rezultatai?

COBIT arba ISACA tipo auditorius klaus, ar apibrėžtos sprendimų priėmimo teisės, ar verslo savininkai priima privatumo riziką, ar matuojamas kontrolės veiksmingumas, ar sekamos išimtys ir ar vadovybė gauna prasmingas ataskaitas.

Dažnos spragos, kurias Clarysec randa diegimuose

Pirmoji spraga – tvarkymo veiklos apskaitos traktavimas kaip dokumentavimo pratimo, o ne patvirtinimo kontrolės taško. Jeigu REG02 atnaujinamas po paleidimo, jis negali įrodyti išankstinės valdysenos.

Antroji – neapibrėžta tikslo kalba. „Analitika“, „paslaugos gerinimas“ arba „klientų įžvalgos“ retai yra pakankamai konkretu, kad būtų galima kontroliuoti vidinį arba antrinį naudojimą.

Trečioji – trūkstamas lauko lygmens būtinumas. Duomenų minimizavimo negalima įrodyti teigiant, kad kiekvienas laukas naudingas. Verslas turi paaiškinti, kodėl kiekvienas laukas būtinas patvirtintam tikslui.

Ketvirtoji – nekontroliuojamas antrinis naudojimas. Duomenys, surinkti paskyros administravimui, tyliai tampa pardavimo žvalgyba, tada rinkodaros segmentavimu, tada DI mokymu. Kiekvienas tikslo pakeitimas reikalauja suderinamumo analizės, o kai kuriais atvejais – naujo teisinio pagrindo arba skaidrumo atnaujinimo.

Penktoji – silpna atskleidimo valdysena. Tiekėjų sąrašai nėra tas pats, kas atskleidimo įrašai. REG08 sujungia gavėją, vaidmenį, tikslą, asmens duomenų kategorijas, vietą, dažnį ir įgaliojimo šaltinį į vieną patvirtinimo pėdsaką.

Šeštoji – trūkstamas techninis įgyvendinimas. Politikose gali būti nurodyta, kad asmens duomenys neturi palikti patvirtintų kanalų, tačiau el. paštas, eksportai, bendrinami diskai ir analitikos priemonės dažnai tai leidžia. Čia ISO/IEC 27002:2022 kontrolės priemonės 5.14, 8.12, 8.15, 8.16 ir 8.24 tampa būtinos.

Praktinis 30 dienų pradžios planas

Organizacijoms nereikia iš karto spręsti visko. Pradėkite nuo vienos didelės rizikos tvarkymo veiklos, pageidautina susijusios su klientų profiliavimu, DI analitika, jautriais atributais, tarpvalstybiniu perdavimu arba trečiosios šalies platforma.

Pirmą savaitę identifikuokite tvarkymo veiklą, savininką, asmens duomenų kategorijas, sistemas, tiekėjus ir esamą tikslą. Patvirtinkite, ar veikla jau įtraukta į REG02 ir ar atskleidimas įtrauktas į REG08.

Antrą savaitę užbaikite lauko lygmens būtinumo pagrindimus. Kvestionuokite perteklinius duomenų elementus. Patvirtinkite klasifikavimą ir ženklinimą. Nustatykite, ar maskavimas, agregavimas arba pseudonimizavimas gali sumažinti riziką.

Trečią savaitę apibrėžkite vidinio naudojimo taisykles ir atlikite visas reikalingas antrinio naudojimo suderinamumo patikras. Nuspręskite, ar reikia atnaujinti privatumo pranešimus, teisinio pagrindo vertinimus arba duomenų subjektų kontrolės priemones.

Ketvirtą savaitę patikrinkite išorinio atskleidimo įrašus, tiekėjų prieigą, sutartines apsaugos priemones, duomenų tvarkymo sutarties sąlygas, perdavimo kontrolės priemones, žurnalavimą, DLP ir ištrynimo įpareigojimus. Tada atrankos būdu sulyginkite faktinę sistemų elgseną su patvirtinimais.

Po 30 dienų vadovybė turi turėti konkretų įrodymų paketą: REG02, REG08, klasifikavimo įrašus, prieigos matricas, DLP ir žurnalavimo įrodymus, tiekėjų išsamųjį patikrinimą, sutartines apsaugos priemones, suderinamumo patikras ir atvirus taisomuosius veiksmus.

Nuo politikos iki įrodymo

Asmens duomenų rinkimo, naudojimo ir atskleidimo valdysena yra vieta, kur privatumas tampa realus. Tai skirtumas tarp teiginio „mes laikomės GDPR“ ir įrodymo, kad kiekvienas rinkimo, naudojimo, pakartotinio naudojimo ir atskleidimo sprendimas buvo kontroliuojamas prieš pradedant tvarkymą.

Clarysec priemonių rinkinys privatumo, saugumo ir atitikties komandoms suteikia praktinį kelią:

• Naudokite PII09 Asmens duomenų rinkimo, naudojimo, atskleidimo ir dalijimosi politiką, kad apibrėžtumėte privalomus patvirtinimo kontrolės taškus.
• Naudokite P17 Duomenų apsaugos ir privatumo politiką arba Duomenų apsaugos ir privatumo politiką – MVĮ, kad įtvirtintumėte teisėtą, sąžiningą, skaidrų ir minimizuotą tvarkymą.
• Naudokite Duomenų klasifikavimo ir ženklinimo politiką ir Trečiųjų šalių ir tiekėjų saugumo politiką – MVĮ, kad valdytumėte klasifikavimą, dalijimąsi ir tiekėjų prieigą.
• Vadovaukitės Zenith Blueprint: auditoriaus 30 žingsnių planu, kad kontrolės aplinką įgyvendintumėte tinkama seka.
• Naudokite Zenith Controls: kelių atitikties režimų vadovą, kad suprastumėte, kaip ISO/IEC 27002:2022 kontrolės priemonės, tokios kaip 5.34, 5.12, 5.14, 8.11 ir 8.12, palaiko GDPR, NIS2, DORA, NIST ir audito lūkesčius.

Jeigu kitas jūsų auditas, kliento išsamiojo patikrinimo užklausa arba valdybos peržiūra paklaus, kaip kontroliuojate, kokie asmens duomenys renkami, kaip jie naudojami ir kada atskleidžiami, nesiremkite vien politikos teiginiais.

Pradėkite nuo vienos didelės rizikos veiklos. Sukurkite REG02 įrašą. Pagrįskite kiekvieną duomenų elementą. Apibrėžkite vidinio naudojimo taisykles. Atlikite antrinio naudojimo suderinamumo patikrą. Sukurkite REG08 atskleidimo įrašą. Tada patikrinkite, ar prieiga, DLP, maskavimas, žurnalavimas, šifravimas ir tiekėjų kontrolės priemonės atitinka sprendimą.

Taip ISO/IEC 27701:2025 ir GDPR atskaitomybė tampa įrodymais.

Susipažinkite su Clarysec PIMS priemonių rinkiniu, pradėkite nuo PII09 Asmens duomenų rinkimo, naudojimo, atskleidimo ir dalijimosi politikos ir naudokite Zenith Blueprint, kad privatumo valdyseną paverstumėte iš politikos ketinimo į auditui tinkamus įrodymus.