ประเมินผลกระทบต่อการคุ้มครองข้อมูล

กระบวนการ

ทำตามลำดับนี้

1. คัดกรองโครงการตั้งแต่ต้นเพื่อดูว่าต้องมีหรือสมควรมี DPIA และบันทึกเหตุผล
2. อธิบายจุดประสงค์การประมวลผล บริบท เจ้าของข้อมูล องค์ประกอบข้อมูล แหล่ง ผู้รับ ที่ตั้ง เทคโนโลยี ความถี่ การเก็บ และกระแสข้อมูลจากต้นถึงปลาย
3. ปรึกษามุมมองผลิตภัณฑ์ ความปลอดภัย กฎหมาย ความเป็นส่วนตัว ปฏิบัติการ ผู้ประมวลผล และผู้มีส่วนได้ส่วนเสียตัวแทนเมื่อเหมาะสม
4. ประเมินความจำเป็นและสัดส่วน รวมฐานกฎหมาย การจำกัดจุดประสงค์ การลดข้อมูล ความถูกต้อง ความโปร่งใส สิทธิบุคคล การเก็บ และการจัดกับผู้ประมวลผล
5. ระบุอันตรายที่น่าเชื่อต่อคน และประเมินโอกาสกับความรุนแรงด้วยวิธีที่บันทึก
6. เลือกมาตรการเลี่ยง ลด โอน หรือยอมรับแต่ละความเสี่ยง กำหนดเจ้าของ วันที่ และระดับความเสี่ยงคงเหลือ
7. ขออนุมัติความเป็นส่วนตัวหรือผู้นำที่ต้องมีก่อนเริ่มประมวลผล ปรึกษาหน่วยงานกำกับเมื่อกฎหมายบังคับ และทบทวน DPIA เมื่อการประมวลผลหรือความเสี่ยงเปลี่ยน

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• จุดประสงค์โครงการและการประมวลผลที่เสนอ
• บัญชีข้อมูลและแผนภาพกระแส
• ประเทศ คน ผู้ขาย และการเก็บที่เกี่ยวข้อง
• กฎความเป็นส่วนตัวที่ใช้ได้และวิธีความเสี่ยงขององค์กร

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/performing-privacy-impact-assessment/SKILL.md
• skills/cybersecurity-skills/implementing-gdpr-data-protection-controls/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

DPIA ที่อนุมัติบันทึกการประมวลผล การปรึกษา ความจำเป็น ความเสี่ยง การลด การตัดสินใจความเสี่ยงคงเหลือ เจ้าของงาน และตัวกระตุ้นทบทวนก่อนเปิดใช้

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/accountability-and-governance/data-protection-impact-assessments-dpias/how-do-we-do-a-dpia/
2. www.nist.gov/privacy-framework

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล