Privacidade
Conduza uma avaliação de impacto à proteção de dados
Um uso de dados de alto risco proposto é mapeado, questionado quanto à necessidade e à proporcionalidade, e redesenhado para reduzir riscos às pessoas antes do lançamento.
O processo
Faça nesta ordem.
- Faça a triagem do projeto cedo para determinar se uma DPIA é exigida ou prudente e registre a justificativa.
- Descreva o propósito do processamento, o contexto, os titulares, os elementos de dados, as fontes, os destinatários, os locais, as tecnologias, a frequência, a retenção e os fluxos ponta a ponta.
- Consulte perspectivas relevantes de produto, segurança, jurídico, privacidade, operações, processadores e partes interessadas representativos, quando apropriado.
- Avalie necessidade e proporcionalidade, inclusive base legal, limitação de finalidade, minimização, acurácia, transparência, direitos dos indivíduos, retenção e arranjos com processadores.
- Identifique danos plausíveis às pessoas e avalie probabilidade e gravidade usando um método documentado.
- Escolha medidas para evitar, reduzir, transferir ou aceitar cada risco; atribua responsáveis, datas e ratings de risco residual.
- Obtenha a aprovação exigida de privacidade ou liderança antes do processamento começar, consulte o regulador quando legalmente exigido e revise a DPIA quando o processamento ou o risco mudar.
Traga isto
Entradas que o gato vai pedir.
- Propósito do projeto e processamento proposto
- Inventário de dados e diagrama de fluxo
- Países, pessoas, fornecedores e retenção envolvidos
- Regras de privacidade aplicáveis e método organizacional de risco
Roteador + um playbook
Roteie primeiro. Escolha um.
O Cat Paw carrega um playbook por tarefa, sem misturar vários. Comece por este roteador; os outros caminhos são candidatos específicos do workflow.
- Roteador:
cybersecurity-pack skills/cybersecurity-skills/performing-privacy-impact-assessment/SKILL.mdskills/cybersecurity-skills/implementing-gdpr-data-protection-controls/SKILL.md
Limites
As fronteiras viajam com o prompt.
- Não trate este fluxo de trabalho como substituto de aconselhamento jurídico ou de proteção de dados qualificado.
- Conclua a avaliação antes de o processamento de alto risco começar e escale risco residual alto pelo caminho legalmente exigido.
- Minimize dados pessoais incluídos nos artefatos da avaliação e restrinja o acesso a eles.
Pronto significa
Um fim que dá para checar.
A DPIA aprovada documenta processamento, consulta, necessidade, riscos, mitigações, decisões de risco residual, responsáveis pelas ações e um gatilho de revisão antes do lançamento.
Fontes
De onde veio este processo.
- ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/how-do-we-do-a-dpia/
- www.nist.gov/privacy-framework
As fontes estabelecem o padrão do workflow. Posts de Reddit e da comunidade, quando aparecem, valem como anedota de quem pratica — não como fato universal.
