Картографування даних і реєстр операцій обробки

Що таке Картографування даних і реєстр операцій обробки?

Стаття 30 GDPR вимагає від кожної організації, де працює 250 і більше осіб, вести реєстр операцій обробки. Те саме стосується менших організацій, якщо їхня обробка не разова, охоплює спеціальні категорії персональних даних або створює ризик для суб'єктів даних. У ролі відповідальної особи з питань захисту персональних даних у медичній організації ви проводите щорічний перегляд за діаграмою потоків даних: простежуєте дані пацієнтів через реєстрацію, клінічну допомогу, зовнішню лабораторію, виставлення рахунків та архівування, записуєте мету, правову підставу й умову за статтею 9 для кожної операції та підтверджуєте, що договір із процесором діє.

Що ви дізнаєтесь у Картографування даних і реєстр операцій обробки

• Простежуйте дані пацієнтів за діаграмою потоків даних, щоб знайти кожну операцію обробки, через яку вони проходять
• Фіксуйте мету, правову підставу, категорії даних і строк зберігання кожної операції обробки
• Документуйте умову за статтею 9, яка дозволяє медичній організації обробляти дані про здоров'я
• Відрізняйте процесорів, з якими потрібен договір за статтею 28, від самостійних контролерів, як-от страховиків
• Пояснюйте, чому реєстр операцій обробки — живий документ, який треба переглядати щоразу, коли змінюється обробка

Картографування даних і реєстр операцій обробки — Кроки навчання

1. Вступ

   Медична організація обробляє чутливі дані пацієнтів, тому вести точний реєстр операцій обробки (RoPA) — не вибір, а вимога статті 30 GDPR. Сьогодні починається щорічний перегляд RoPA. Наглядовий орган оголосив, що пильніше стежитиме за медичними організаціями, тож кожна операція обробки має бути належно задокументована.

2. Вимоги статті 30

   Стаття 30 GDPR зобов'язує контролерів вести письмовий реєстр, який містить: назву й контактні дані контролера цілі обробки категорії суб'єктів даних і персональних даних категорії одержувачів передачі до третіх країн (за наявності) строки зберігання опис технічних і організаційних заходів безпеки Медичні дані ускладнюють завдання: для обробки спеціальних категорій персональних даних про здоров'я треба також задокументувати правову підставу за статтею 9.

3. Відкриття діаграми потоків даних

   Ви відкриваєте «Портал управління даними», щоб перейти до інструмента з діаграмою потоків даних. Там видно всі операції обробки персональних даних у Meridian Healthcare: які системи обробляють персональні дані, як дані рухаються між ними і яку правову підставу має кожна операція.

4. Як читати діаграму

   Діаграма потоків даних показує всі сутності, які беруть участь в обробці персональних даних у Meridian Healthcare. Кожен вузол — це система, особа або організація, а лінії між вузлами показують, як рухаються дані. Колір вузла вказує на тип сутності: Синій — суб'єкти даних (пацієнти) Зелений — контролери (ваші системи) Помаранчевий — процесори (зовнішні організації, що діють від вашого імені) Фіолетовий — треті сторони (самостійні одержувачі)

5. Визначення суб'єкта даних

   Кожен запис у RoPA починається з визначення суб'єктів даних. У медичній організації основні суб'єкти даних — пацієнти. Потрібно задокументувати, які категорії персональних даних ви збираєте від них, і переконатися, що для кожної категорії є належна правова підстава.

6. Категорії даних пацієнта

   У вузлі «Пацієнт» показано категорії зібраних персональних даних: ідентифікаційні дані (ім'я, дата народження, національний ідентифікаційний номер) контактні дані (адреса, телефон, електронна пошта) медичні записи — спеціальна категорія персональних даних дані про страхування Для медичних записів потрібна окрема підстава за статтею 9: звичайної згоди чи законного інтересу для спеціальних категорій персональних даних недостатньо.

7. Відстеження збору даних

   Потрібно задокументувати, як дані пацієнтів потрапляють до організації. Є два основні канали збору: портал пацієнтів — для реєстрації та отримання згоди, і збір даних безпосередньо під час лікування — для медичних записів. Для кожного каналу слід задокументувати правову підставу й мету.

8. Документування реєстрації пацієнтів

   Перша операція обробки, яку треба задокументувати, — реєстрація пацієнтів. Коли пацієнти створюють облікові записи на порталі, ви збираєте ідентифікаційні й контактні дані та фіксуєте налаштування згоди. Правові підстави такі: Згода (Consent) — для маркетингових повідомлень Договір (Contract) — для надання послуг Строк зберігання: поки триває співпраця з пацієнтом, і ще 10 років через обов'язок зберігати медичну документацію.

9. Виділення операції реєстрації

   Операцію реєстрації пацієнтів тепер виділено. Це ключовий запис у RoPA, бо саме на ньому тримаються записи про згоду, від яких залежить подальша обробка. Якщо реєстрацію не задокументовано належно, ви не зможете довести, що отримали дійсну згоду.

10. Обробка даних у клінічній допомозі

    Основна операція обробки в будь-якій медичній організації — надання клінічної допомоги. Вона передбачає обробку спеціальних категорій персональних даних про здоров'я: діагнозів, лікування, рецептів і клінічних нотаток. Підстава за статтею 9 тут — медична необхідність (Medical Necessity) за статтею 9(2)(h): вона дозволяє обробку, потрібну для медичної діагностики або лікування. Поряд із нею потрібна ще й правова підстава за статтею 6.