Gizlilik etki değerlendirmesini karar öncesinde yapmak

Nasıl yapılır

1. 1Tetikleyici listesini önceden yaz: özel nitelikli veri, biyometrik doğrulama, profilleme ve otomatik karar, geniş alan izleme, çocuklara ilişkin veri, yeni yurt dışı hizmet. Değerlendirme kararını kişinin takdirine değil bu listeye bağla.
2. 2Değerlendirmeyi proje kararı alınmadan başlat. Canlıya alma tarihinden sonra yazılan değerlendirme yalnız kağıt üretir, hiçbir tasarımı değiştirmez.
3. 3Etkiyi ilgili kişinin dilinde yaz: yanlış eşleşme sonucu kapıda kalma, ifşa sonucu itibar kaybı, hatalı skor sonucu hizmetten yararlanamama. Sunucu ele geçirilir cümlesi teknik risktir, etki değil.
4. 4Veri asgarileştirmeyi bir tasarım seçeneği olarak masaya koy: aynı sonucu daha az veriyle, daha kısa saklamayla veya takma adla üretebilir misin? Değerlendirmenin asıl çıktısı bu karşılaştırmadır.
5. 5Azaltıcı tedbirlerin her birine sorumlu, tarih ve doğrulama yolu koy; yapılacak olarak kalan tedbir değerlendirmenin sonucunu geçersizleştirir.
6. 6Kalan etkiyi kabul edecek kişinin yetkisini yaz. Proje yöneticisi değil, veri sorumlusu adına karar verebilen yönetici imzalar; kapsam değişince değerlendirmeyi yeniden aç.

Sahada sık yapılan hatalar

• Değerlendirme sistem canlıya alındıktan sonra yazılmış; çıktısı hiçbir tasarım kararını değiştirmemiş.
• Risk bölümü tamamen teknik yazılmış; ilgili kişinin göreceği somut zarar tek satırla bile geçmiyor.
• Tetikleyici tanımlanmadığı için her projede değerlendirme yapılıp yapılmayacağı yeniden tartışılıyor, çoğu kez yapılmıyor.
• Azaltıcı tedbirler listelenmiş ama sorumlu ve tarih yok; altı ay sonra hiçbiri uygulanmamış.