AUT-0317· Безпека та відповідність
Контроль оцінки впливу обробки персональних даних
Запланована обробка має рішення про необхідність оцінки, перевірені заходи та окреме рішення щодо залишкового ризику.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Команда погоджує документ оцінки, але запускає обробку без виконаних заходів або не переглядає оцінку після зміни мети й складу даних.
02 / Результат
Редакція обробки має обґрунтовану оцінку, власників заходів, докази їх виконання й належний наступний крок для невирішеного ризику.
03 / Процес
ТригерЗаплановано нову обробку персональних даних або змінено мету, обсяг, технологію чи отримувачів чинної обробки.
Зафіксувати редакцію обробки, мету, категорії даних і людей, потоки, отримувачів та відповідального контролера.
Фахівець визначає необхідність оцінки впливу за застосовними правилами; рішення й підставу зберігати також коли оцінка не потрібна.
Зібрати опис обробки, оцінку необхідності й пропорційності та ризики для людей; записати консультації й пораду відповідального за захист даних, коли це потрібно.
Погодити заходи зменшення ризику, власників і докази виконання; перенести їх до плану проєкту зі зв’язком із конкретним ризиком.
Перевірити фактичні заходи й залишковий ризик; невирішений високий ризик передати на належний маршрут консультації з органом, якщо цього вимагають застосовні правила.
Записати уповноважене рішення й умови подальшої обробки; зміна мети або нові ризики відкривають перегляд без автоматичного успадкування старого погодження.
04 / Реалізація1 варіант
Приклад · Оцінка редакції обробки з доказами заходів
Команда планує поєднати історію звернень із даними поведінки клієнтів. Фахівець визначив потрібну оцінку й заходи. Документ погодили, але обмеження доступу ще не застосували, тому доказ виконання лишився відкритим. Пізніше додали нового отримувача даних; оцінку передали на перегляд, а не використали старе погодження автоматично.
Спосіб реалізації
- Проєктна модель PlanFix: редакція обробки, оцінка, ризики, поради фахівців, задачі заходів і докази; реєстри, права та цільовий акаунт перевіряють під час аудиту.
Що потрібно для реалізації
- Є фахівець із захисту даних, визначена застосовність правил і достатній опис запланованої обробки.
- Погоджено повноваження, доступ до оцінки, докази заходів і правила повторного перегляду.
- Є опис обробки й уповноважені фахівці.
Обмеження
- Автоматизація не визначає правової підстави, рівня ризику чи необхідності оцінки замість фахівця.
- Погоджений документ не доводить виконання заходів і не є автоматичним дозволом на запуск.
- Ірландська DPC пояснює контекст GDPR; застосовність, винятки й належний орган конкретної компанії перевіряють окремо.
- Внутрішнє прийняття ризику не замінює обов’язкової попередньої консультації.
- Години попередні; сама правова оцінка, незалежна експертиза й реалізація захисних заходів не включені.
- Не виконує юридичної оцінки й не видає автоматичного дозволу.
Що потрібно уточнити (2)
- Чи потрібно отримувати редакції обробки з окремого реєстру?
Перевірте ключі обробки, мету, отримувачів і контроль змін; імпорт запису не підтверджує правомірності.
- Чи потрібне зіставлення заходів із доказами виконання в кількох системах?
Визначте власників, допустимі докази й спосіб перевірити стан; закриття задачі не означає усунення ризику.