ISO 27701: Διαχείριση της ιδιωτικής ζωής

1) Τι είναι το ISO 27701 και γιατί είναι φορέας εκμετάλλευσης iGaming

Το ISO 27701 αποτελεί προσθήκη στο ISO 27001 και 27002 που επεκτείνει το ISMS στο PIMS (Σύστημα Διαχείρισης Πληροφοριών Απορρήτου).
Για το iGaming: αποδεδειγμένη συμμόρφωση με τις απαιτήσεις απορρήτου (GDPR/UK GDPR/ePrivacy κ.λπ.), επιτάχυνση των εργασιών με τις ρυθμιστικές αρχές/τράπεζες/εταίρους KYC/PSP, μείωση του κινδύνου επιβολής προστίμων και απλουστευμένη διαχείριση πωλητών.

2) Πεδίο εφαρμογής και πλαίσιο PIMS

• Ρόλοι και όρια: σε ποιες διαδικασίες είστε ελεγκτής, πού είναι ο εκτελών την επεξεργασία; ποιες μάρκες/περιφέρειες/διαδικασίες περιλαμβάνονται στο πεδίο εφαρμογής.
• Κατηγορίες δεδομένων: καταχώριση, πληρωμές, KYC/AML/κυρώσεις, συμπεριφορικά συμβάντα, σήματα RG, υποστήριξη, μάρκετινγκ/SDK.
• Νομικές υποχρεώσεις: τοπικοί νόμοι περί προστασίας της ιδιωτικής ζωής, όροι αδειοδότησης, συμφωνίες με εταίρους.

Αποτέλεσμα: Έγγραφο πεδίου εφαρμογής και πλαισίου PIMS + χάρτης ενδιαφερομένων.

3) Βασικοί ρόλοι και αρμοδιότητες

4) Δέσμη ISO 27701 ↔ ISO 27001

ISMS (27001/27002): βάση ασφαλείας (στοιχεία ενεργητικού, κίνδυνοι, έλεγχοι).
PIMS (27701): προσθέτει πολιτικές προστασίας της ιδιωτικής ζωής, νομιμότητα της επεξεργασίας, δικαιώματα των υποκειμένων, κύκλο ζωής των δεδομένων, συμβατικούς και διασυνοριακούς μηχανισμούς.
SoA/Δήλωση εφαρμοσιμότητας: Επέκταση με ιδιωτικούς ελέγχους PIMS.

5) Μητρώο Επεξεργασίας (RoPA) και Χάρτης Δεδομένων

Για κάθε διαδικασία: σκοπός, νομική βάση, κατηγορίες υποκειμένων/δεδομένων, διάρκεια ζωής, αποδέκτες/υποεπεξεργαστές, γεωγραφία, TOMs, σημαία DPIA.

yaml process: account_registration controller_role: controller purpose: account creation and contract execution lawful_basis: contract data_categories: [PII_basic, contact, device_fingerprint]
recipients: [psp, kyc_provider]
retention: P + 5y # storage policy locations: [EU, UK]
toms: [mTLS, encryption_at_rest, RBAC+ABAC, MFA, masking]
dpia_required: false

6) Νόμιμη βάση και συναίνεση

Σύμβαση/Νομική Υποχρέωση: Πληρωμές, KYC/AML, Πρόληψη της απάτης.
Έννομο συμφέρον: βασική ανάλυση/ασφάλεια (με βαθμολόγηση μολύβδου και opt-out όπου απαιτείται).
Συγκατάθεση: μάρκετινγκ, cookies/SDK για μη απολύτως αναγκαίους σκοπούς, ορισμένοι τύποι διαμόρφωσης προφίλ.
Ειδικές κατηγορίες: μόνο με σαφείς λόγους και ενισχυμένα μέτρα.

Διαχείριση CIW/συγκατάθεσης: καταγραφή της έκδοσης πολιτικής/πανό, κοκκότητα ανά σκοπό, δυνατότητα απόδειξης της ανάκλησης.

7) DPIA/PIA - Εκτίμηση επιπτώσεων στην ιδιωτική ζωή

Πότε: νέα τεχνολογία, μεγάλης κλίμακας επεξεργασία, ευαίσθητα δεδομένα, συστηματική διαμόρφωση προφίλ, διασυνοριακή.
Περιεχόμενο: περιγραφή της επεξεργασίας, αναγκαιότητα και αναλογικότητα, κίνδυνοι για τα δικαιώματα των υποκειμένων, μέτρα μετριασμού.
Έξοδος: απόφαση (go/rework/απόρριψη) + σχέδιο CAPA και έλεγχος ημερομηνίας.

8) Δικαιώματα των υποκειμένων των δεδομένων (DSAR)

Δικαιώματα: πρόσβαση, διόρθωση, διαγραφή, περιορισμός, φορητότητα, ένσταση, άρνηση προσδιορισμού προφίλ/εμπορίας.
SLA: επιβεβαίωση της αίτησης γρήγορα και εκτέλεση εντός της προγραμματισμένης περιόδου.
Ροή εκτέλεσης: παραλαβή → επαλήθευση της ταυτότητας → συλλογή δεδομένων → απάντηση/εκτέλεση → ημερολογίου.

Απαγόρευση της «τυφλής εκφόρτωσης»: μόνο μέσω παραθύρων με καμουφλάζ και κορμούς. όρια προστασίας της ιδιωτικής ζωής.

9) Ελαχιστοποίηση, κάλυψη και συγκράτηση

Ελαχιστοποίηση δεδομένων: αποθηκεύστε μόνο ό, τι χρειάζεστε για τους σκοπούς σας. διαγράφονται τακτικά/ανωνυμοποιούνται τα «νεκρά» πεδία.
Κάλυψη/ψευδαίσθηση: προεπιλογή για PII. αποκάλυψη - JIT + «σκοπός» + έλεγχος.
Πίνακας κατακράτησης: περίοδος κατακράτησης ανά διαδικασία/κατηγορία, συντελεστές διακοπής (νόμιμοι), αυτόματη διαγραφή/αρχείο.

10) Διασυνοριακές διαβιβάσεις και υπεργολάβοι

Συμβατικές ρυθμίσεις: DPA, SCC/IDTA, DTIA (αξιολόγηση διαβίβασης).
Θέση δεδομένων/κλειδιών: όπου φυσικά δεδομένα/κλειδιά (KMS/HSM), πολιτική VUOK/περιφερειακά κλειδιά.
Μητρώο υπεργολάβων: κοινοποίηση αλλαγών, δικαίωμα ένστασης, επίπεδο TOMs όχι χαμηλότερο από το δικό μας.

11) Προστασία της ιδιωτικής ζωής εκ σχεδιασμού/εξ ορισμού

Στο στάδιο του σχεδιασμού: Απαιτήσεις προστασίας δεδομένων σε PRD, υπόδειγμα μοντέλου απειλής με ιδιωτικές απειλές.
Εφαρμόστηκε: RLS/CLS, μαρκινοποίηση, κρυπτογράφηση, ελάχιστα πεδία API, τηλεμετρία χωρίς PII.
Εξ ορισμού: οι προαιρετικοί ανιχνευτές είναι απενεργοποιημένοι, μεμονωμένα κλειδιά/χώροι ονομάτων ανά περιοχή/ενοικιαστή.

12) Καταγραφή, δυνατότητα απόδειξης και λογιστικός έλεγχος PIMS

( ): 'READ _ PII', 'EXPORT _ DATA', 'PII _ UNMASK', 'CONSENT _ UPDATE', 'DSAR _', 'BREACH _'.
Αναφορά: Καθεστώς RoPA, εκστρατείες DPIA, DSAR SLA/εκκρεμότητες, διαγραφές διατήρησης, αλλαγές πωλητών, παραβιάσεις/περιστατικά.
Έλεγχος: ετησίως (ή με αλλαγές), έλεγχος σχεδιασμού/λειτουργικής αποτελεσματικότητας των ιδιωτικών ελέγχων.

13) Μετρική PIMS (KPI/KRI)

• DSAR σε χρόνο ≥ 95%
• Συνάφεια του RoPA ≥ 98%
• Κάλυψη DPIA ανά οντότητα κινδύνου = 100%
• Ποσοστό αυτόματων απορροφήσεων ανά κατακράτηση ≥ 95%
• Επίπεδο καταχώρισης της CMP (καταχωρισμένα αρχεία συγκατάθεσης) = 100%

• Πρόσβαση PII χωρίς «σκοπό» = 0
• Μη εξουσιοδοτημένη εξαγωγή/μεταφορά = 0
• Περιστατικά/Διαρροές αργά = 0
• Έλλειψη DPA/SCC για ενεργό μετάδοση = 0

14) Ενσωμάτωση στους υφιστάμενους ελέγχους

IGA/RBAC/ABAC/JIT/PAM: ελαχιστοποίηση δικαιωμάτων και συνθήκες πρόσβασης στο πλαίσιο.
Πολιτική καταγραφής και διαδρομές ελέγχου: απόδειξη των ενεργειών με το PII.
TPRM και συμβάσεις: DPA/SCC/DTIA, δικαιώματα ελέγχου, κοινοποιήσεις SLA ≤ 72 ώρες.
27001/ISMS ISO: γενικό υπόδειγμα κινδύνου, SoA και εσωτερικοί έλεγχοι.
Περιστατικά και διαρροές: παραβίαση βιβλίου παιχνιδιού, κοινή αίθουσα πολέμου με πωλητές.

15) Μοτίβα τεχνουργημάτων (θραύσματα)

15. 1 Πολιτική προστασίας της ιδιωτικής ζωής (εσωτερικό απόσπασμα)

yaml privacy_policy:
principles: [lawfulness, fairness, transparency, minimization, accuracy, storage_limitation, integrity_confidentiality, accountability]
roles: {controller: true, processor: true}
data_subject_rights: enabled consent_management: CMP_v2 retention_policy: matrix_ref:v1. 4

15. 2 Πολιτική αποκάλυψης

yaml pii_unmask:
allowed_roles: [aml_officer, dpo, fraud_analyst_jit]
approvals: [data_owner, privacy]
ttl_minutes: 30 logging: [PII_UNMASK, READ_PII]

15. 3 Διαδικασία DSAR

yaml dsar:
intake_channels: [portal, email]
verification: kyc_level>=2 sla_days: 30 export_mechanism: curated_vitrines_only audit_events: [DSAR_OPEN, DSAR_VERIFY, DSAR_FULFILL, DSAR_CLOSE]

15. Μήτρα κατακράτησης (θραύσμα)

yaml retention:
registration_logs: {basis: legal, period: "P5Y"}
marketing_events: {basis: consent, period: "P12M", on_withdraw: "delete"}
kyc_documents:   {basis: legal, period: "P5Y", storage: "vault_encrypted"}

16) SOP (διαδικασίες)

16. 1 Επικαιροποίηση RoPA

1. Κάρτα διαδικασίας προϊόντος/ιδιοκτήτη νομικής/ιδιωτικής ζωής επανεξέταση τομέων ασφαλείας δημοσίευση και έκδοση.

16. 2 DPIA

1. Έλεγχος κινδύνων υπόδειγμα DPIA διαβούλευση με τον ΥΠΔ απόφαση και χρονοδιάγραμμα του CAPA

16. 3 DSAR

1. Αποδοχή → επαλήθευση → συλλογή και φίλτρο μέσω εκθέσεων → απόκρισης/εκτέλεσης → καταγραφής και κλεισίματος.

16. 4 Πωλητές/Μεταφορές

1. Δέουσα επιμέλεια → DPA/SCC/DTIA → μητρώο υπεργολάβων επεξεργασίας → παρακολούθηση αλλαγών → offboarding και επιβεβαίωση διαγραφής.

17) RACI (διευρυμένη)

18) Χάρτης πορείας για την εφαρμογή (8-10 εβδομάδες)

Εβδομάδες 1-2: Πεδίο εφαρμογής/Πλαίσιο, ρόλοι και RACI, απογραφή διαδικασιών/δεδομένων, σχέδιο RoPA και πίνακες διατήρησης.
Εβδομάδες 3-4: πολιτική απορρήτου, ροή CMP/συγκατάθεσης, διαδικασία DSAR, πρότυπα DPIA, ενημέρωση DPA/SCCs/DTIA με πωλητές.
Εβδομάδες 5-6: εφαρμογή TOMs (συγκάλυψη, RLS/CLS, JIT/PAM), εκθέσεις για DSAR, αρχεία καταγραφής WORM, εκθέσεις KPI/KRI.
Εβδομάδες 7-8: DPIA για υψηλού κινδύνου, στενό CAPA, εσωτερικό λογιστικό έλεγχο PIMS, ανασκόπηση διαχείρισης (PIMS).
Εβδομάδες 9-10: προσαρμογές, έναρξη τακτικών εκθέσεων, προετοιμασία για εξωτερική αξιολόγηση (εάν είναι απαραίτητο).

19) Συχνά λάθη και τρόπος αποφυγής τους

RoPA «for show»: σύνδεση κάθε εγγραφής με στόχους, βάσεις και κρατήσεις· διατηρεί ζωντανή έκδοση.
DSAR μέσω «ακατέργαστων» βάσεων δεδομένων: μόνο μέσω βάσεων/εξαγωγών με συγκάλυψη και κορμοτεμάχια.
Καμία DTIA όταν είναι διασυνοριακή: έκδοση εκ των προτέρων, καθορισμός της θέσης των δεδομένων/κλειδιών.
Η CHMP έκρινε ότι, σύμφωνα με τις απαιτήσεις της ΕΕ, τα οφέλη και οι κίνδυνοι που συνδέονται με αυτό υπερτερούν των κινδύνων που συνδέονται με αυτό και εισηγήθηκε την έγκριση της χρήσης του εν λόγω φαρμάκου στην ΕΕ.
No Pbd/PbD: Να συμπεριληφθούν οι απαιτήσεις απορρήτου στην PRD και στον ορισμό του Done.

20) Εκτέλεση PIMS

Μηνιαία: εκθέσεις KPI/KRI, έλεγχοι αλλαγής RoPA, παρακολούθηση επιμέρους επεξεργαστών, SLA DSAR.
Τριμηνιαία: επανεξέταση της διατήρησης/διαγραφής, θεματικοί έλεγχοι (μάρκετινγκ, SDK, KYC).
Ετήσια: Εσωτερικός έλεγχος PIMS, πλαίσιο/επικαιροποίηση κινδύνου, κατάρτιση προσωπικού, ανασκόπηση διαχείρισης.

TL, DR

ISO 27701 = PIMS έναντι ISMS: RoPA + νομικοί λόγοι/άδειες + DPIA/DSAR + ελαχιστοποίηση/κατακράτηση + διασυνοριακοί και υπο-επεξεργαστές + αποδεδειγμένοι TOMs. Κατασκευάζουμε αρχεία καταγραφής και TPRM σε υπάρχουσες RBAC/ABAC/JIT/και διαχειριζόμαστε, μετρήσιμη ιδιωτικότητα, έτοιμα για εσωτερικούς και εξωτερικούς ελέγχους.