Nowe wytyczne Kanady dotyczące oceny przeprowadzanej przez niezależną stronę trzecią
Jakiś czas temu coraz bardziej zainteresowałem się kwestią prywatności w Kanadzie. Kupiłem nawet książkę, żeby przygotować się do egzaminu CIPP/C. Praktycznie ją już przeczytałem, ale wciąż nie znalazłem odpowiedniego momentu, żeby porządnie się przygotować i przystąpić do egzaminu. W dziedzinie cyberbezpieczeństwa, sztucznej inteligencji i GRC dzieje się zbyt wiele, więc Kanada musiała na chwilę poczekać na półce.
Jednak kanadyjski krajobraz ochrony prywatności zdecydowanie warto śledzić, zwłaszcza ze względu na jego historię, ewolucję i sposób funkcjonowania w praktyce.
Foto: magnific
Kanadyjski Urząd Ochrony Danych Osobowych (OPC) opublikował właśnie nowe wytyczne dotyczące oceny zewnętrznych dostawców usług. Dokument ten jest skierowany do organizacji podlegających przepisom ustawy PIPEDA, które korzystają z usług podmiotów zewnętrznych w celu gromadzenia, wykorzystywania, ujawniania lub przetwarzania danych osobowych.
Organizacja pozostaje odpowiedzialna za dane osobowe znajdujące się pod jej kontrolą, nawet jeśli są one przetwarzane przez podmiot zewnętrzny. Zasada 4.1.3 ustawy PIPEDA wymaga również od organizacji stosowania środków umownych lub innych w celu zapewnienia porównywalnego poziomu ochrony w przypadku przetwarzania danych osobowych przez dostawców usług.
W wytycznych zaleca się przeprowadzenie oceny przed nawiązaniem współpracy z dostawcą i uwzględniono w nich obszary, które z perspektywy zarządzania ryzykiem związanym z podmiotami zewnętrznymi (TPRM) są bardzo dobrze znane:
➡️ identyfikację, jakie dane osobowe i wrażliwe są przedmiotem przetwarzania,
➡️ mapowanie przepływów danych i podwykonawców,
➡️ zrozumienie wszystkich celów przetwarzania,
➡️ sprawdzenie, czy dane są wykorzystywane do własnych celów dostawcy, w tym do szkolenia algorytmów,
➡️ wyjaśnienie ról i obowiązków,
➡️ ocena przetwarzania transgranicznego,
➡️ przegląd praktyk bezpieczeństwa i obowiązków związanych z reagowaniem na naruszenia,
➡️ weryfikacja zasad przechowywania i usuwania danych,
➡️ ocena uzależnienia od dostawcy oraz możliwości zmiany dostawcy,
➡️ monitorowanie dostawcy za pomocą logów, testów, inspekcji i niezależnych audytów.
Podoba mi się wyraźne zalecenie, by identyfikować źródło danych szkoleniowych, gdy dostawca korzysta ze sztucznej inteligencji. Wytyczne wzywają również organizacje do wnikliwej analizy oświadczeń dotyczących anonimizacji oraz do rozważenia, czy rzekomo anonimowe informacje można faktycznie ponownie zidentyfikować.
Na papierze wygląda to na dojrzałe podejście. Dostrzegam tu dokładnie to samo wyzwanie, z jakim mamy do czynienia w ramach RODO. Przeprowadzanie analizy due diligence w zakresie ochrony prywatności przez dostawców stało się w wielu organizacjach stosunkowo standardową praktyką. Niestety, bardzo często sprowadza się to do ćwiczenia pod hasztagiem #compliance:
wyślij kwestionariusz → odbierz kwestionariusz → zbierz umowę o przetwarzaniu danych (DPA) → zaznacz pole → nawiąż współpracę z dostawcą.
To nie jest prawdziwa ocena ryzyka.
Wytyczne OPC zwracają również uwagę na inną ważną kwestię: osoby przeprowadzające te oceny powinny posiadać odpowiednią wiedzę specjalistyczną, a w przypadku niewystarczających kompetencji wewnętrznych może być konieczne skorzystanie z zewnętrznego wsparcia prawnego lub technicznego.
Autor: Sebastian Burgemejster
Komentarze