GDPR we şahsy maglumatlary gaýtadan işlemek

1) GDPR näme düzgünleşdirýär we subýektiň kimdigi

• EUB/EEA-da oturdylýarsyňyz ýa-da EUB-de ulanyjylary nyşana alýarsyňyz (harytlar/hyzmatlar, özüni alyp barşyň gözegçiligi);
• Siz gözegçi (maksatlary/bejeriş serişdelerini kesgitleýärsiňiz) ýa-da prosessor (gözegçiniň adyndan PD-ni gaýtadan işleýärsiňiz).

• Gözegçi: maksatlaryň/serişdeleriň eýesi, kanunylyk we aç-açanlyk üçin jogapkärçilik çekýär.
• Prosessor: gözegçiniň dokumentleşdirilen görkezmeleri boýunça hereket edýär, DPA jemleýär.
• DPO (maglumatlary goramak boýunça ofiser): garaşsyz gözegçilik, DPIA/DSR, geňeşmeler, gözegçilik bilen aragatnaşyk.

2) Gaýtadan işlemegiň ýörelgeleri (5-nji madda)

1. Kanunylyk, adalat, aç-açanlyk.
2. Maksat çäkleri. Anyk beýan edilen, gabat gelýän maksatlar.
3. Maglumatlary azaltmak. Diňe zerur zatlar.
4. Takyklyk. Täzelenmek we düzetmek.
5. Saklamagyň çäklendirilmegi. Retenşn we aýyrmak/anonimleşdirmek.
6. Bitewilik we gizlinlik. Ygtybarly.
7. Jogapkärçilik. Laýyklygyň subut edilmegi (policies, logi, DPIA).

3) Kanuny esaslar (6-njy madda) - iGaming/fintech üçin matrisa

4) Ýörite kategoriýalar we biometriýa (9-njy madda)

Aýratyn esaslar bolmasa, ýörite kategoriýalary (saglygy, ynançlary we ş.m.) gaýtadan işlemek gadagan edilýär.
Özboluşly kesgitlemek üçin biometriýa (mysal üçin, liveness/face-match üçin face-template) gönüden-göni razylygy ýa-da beýleki dar hukuk binýadyny talap edýär (ýurda bagly). Mümkin bolan ýerlerde "çig" şekilleri däl-de, şablonlary saklaň.

5) Profillemek we awtomatlaşdyrylan çözgütler (22-nji madda)

• logikanyň (paýhasly çäklerde), ähmiýetiniň we netijeleriniň aç-açan aýan edilmegi;
• adamyň gatyşmak we karara garşy çykmak hukugy;
• DPIA, hukuklar/azatlyklar töwekgelçiligi ýokary bolan ýagdaýynda (uly göwrümli profillemek).
• Teklipler: reason codes saklaň, modelleri/düzgünleri wersiýa ediň, bias-audit geçiriň.

6) DPIA/DTIA: hökmany bolanda

Töwekgelçilik ýokary bolsa, DPIA geçiriň: uly göwrümli profillemek, biometrika, "yzygiderli gözegçilik", täze maglumat çeşmeleri.
DPIA şablon: gaýtadan işlemegiň maksady we beýany → hukuk esaslary → subýektleriň töwekgelçiligi → ýeňilleşdirmek çäreleri → galyndy töwekgelçiligi → meýilnama.
DTIA (serhetaşa geçişe baha bermek): alyjy ýurduň hukuk gurşawy + şertnama/şol çäreleri (SCC/ekwiwalent, şifrlemek, açarlary bölmek).

7) Serhetaşa geçirimler (V bap)

Mehanizmler: SCC, BCR, ýeterlik çözgütler, ýerli meňzeşler.
Tehniki çäreler: end-to-end şifrlemek, açarlary bölmek, meýdanlary azaltmak, geçirmezden ozal lakamlaşdyrmak.
Geçirimleriň sanawyny we DTIA-nyň netijelerini dokumentleşdiriň; töwekgelçilikleri yzygiderli gözden geçiriň.

8) Subýektleriň hukuklary (DSR)

Marketinge girmek, düzetmek, aýyrmak, çäklendirmek, çydamlylyk, garşylyk bildirmek, ondan ýüz döndermek hukugy.
Möhletler: adatça 30 güne çenli (duýduryş bilen çylşyrymlylykda ýene 60-a çenli uzaldylyp bilner).
Arza berijiniň şahsyýetini barlaň (artykmaç zady aýan etmezden).
Kadadan çykmalar: AML/salgyt borjy we ş.m. sebäpli saklamak.

9) Cookie/SDK we marketing

Çerezleri kategoriýalara bölüň: hökmany/funksional/analitika/marketing.
Analitika/marketing üçin EUB/EEZ - opt-in (hakyky saýlaw), razylyk magazineurnaly, jikme-jik düşündirişler.
Do Not Track/Opt-out-a hormat goýuň; serwer analitikasyny we maglumatlary azaltmak.
E-mail/SMS marketing - aýratyn razylyk; razylyk we wagt setirlerini saklaň.

10) Howpsuzlyk we "privacy by design/default"

In transit we at rest şifrlemek, töleg rekwizitlerini bellemek, maglumat zolaklaryny izolirlemek (PII analitika).
Giriş gözegçiligi RBAC/ABAC, MFA, JIT-girişler, Hereket žurnaly, WORM-arhiw.
DLP - düşüriş we alyş-çalyş gözegçiligi; dev/stage-de prod-maglumatlaryň rugsatsyz nusgalarynyň gadagan edilmegi.
Kesgitlemegiň zerurlygy bolmadyk ýerlerde meýdanlary azaldyň, birleşdiriň we anonimleşdiriň.

11) Amallaryň sanawy (RoPA) we retenşn

RoPA-ny alyp baryň: maglumatlaryň we subýektleriň maksady, esaslary, kategoriýalary, alyjylar, saklanyş möhletleri, howpsuzlyk çäreleri, daşary ýurda geçirmek.
Retenshn-matrisa: PD-iň her kategoriýasy üçin - möhlet (mysal üçin, AML/KYC ≥ gatnaşyklar gutarandan soň 5 ýyl), aýyrmagyň/anonimleşdirmegiň usuly, jogapkär eýesi.

12) Syzdyrmalar we habarnamalar (33/34 madda)

Hukuklar we azatlyklar üçin töwekgelçilige baha beriň: zyýan ýetirilmegi ähtimal bolsa, gözegçilik edarasyna 72 sagadyň dowamynda, töwekgelçilik ýokary bolsa, subýektlere hem esassyz gijikdirilmezden habar beriň.
Jogap bermek meýilnamasy: izolýasiýa, forensika, düzediş, aragatnaşyk, deňizden soňky; artefaktlary we çözgütleri saklaň.

13) Prosessorlar, DPA we wendorlary dolandyrmak

Her prosessor bilen DPA-ny jemläň: predmet, PD kategoriýalary, subprosessorlar, howpsuzlyk, DSR/hadysalar bilen kömek, audit, maglumatlary aýyrmak/yzyna gaýtarmak.
Due diligence geçiriň: ýerleşiş, sertifikatlar (ISO/SOC), hadysalar, howpsuzlyk çäreleri, subprosessorlar.
Her ýyl we üýtgeşmeler bolan ýagdaýynda gaýtadan bahalandyrmak (sanksiýalar, M&A, geografiýa).

14) "Maksatlar → Esaslar → Saklamak möhletleri" matrisa

15) Wiki üçin resminamalar (skeletler)

1. Gizlinlik syýasaty (gatlak): gysgaça wersiýasy + doly.
2. Çerez/konsensus dolandyryş syýasaty.
3. Bejeriş sanawy (RoPA).
4. DPIA/DTIA şablony + trigger ölçegleri.
5. DSR syýasaty (SLA/amallar/şablonlar).
6. Gaýtadan işlemek we aýyrmak syýasaty + job-paypline.
7. Wakalar we habarnamalar syýasaty (RACI, formalar).
8. DPA şablony we wendorlaryň due diligence barlag sanawy.
9. Profillemegiň we awtomatlaşdyrylan çözgütleriň düzgünleri (explainability, apellyasiýa).

16) Metrika we gözegçilik

DSR SLA: haýyşlaryň paýy 30 günden ≤ ýapylýar.
Consent Coverage: opt-in/opt-out bilen wakalaryň paýy.
Data Minimization Index: PD-iň ortaça sany.
Access Violations/Exports: giriş we düşüriş hadysalary, tendensiýa.
Encryption Coverage: Şifrlemede% tablisalar/baketler/bellikler.
Incident MTTR/MTTD we gaýtalanma.
"Vendor Compliance Rate" we auditleriň netijeleri.
RoPA Completeness и Retention Adherence.

17) Çek-listler

• DPIA/kanunylygyň esaslary DPO tarapyndan tassyklandy.
• Maksatlar/esaslar/retenşn RoPA-a girizildi.
• Meýdanlary minimallaşdyrmak/lakamlaşdyrmak/maglumat zolaklaryny izolirlemek.
• Konsens banner we cookie kategoriýalary sazlandy.
• DPA/satyjylar ylalaşyldy, subprosessorlar sanalandyr.
• Girişler, aladalar, audit, aýyrmak/anonimleşdirmek - goşulýar.

• Giriş review (RBAC/ABAC), goşmaça yzyna almak.
• Bellikleri dikeltmek synagy.
• DTIA/SCC we subprosessorlaryň sanawyna täzeden garamak.
• Retenşnanyň barlagy (möhleti boýunça aýryldy) we DSR-sanawy.
• IR meýilnamasyny taýýarlamak we oýun kitaplaryny täzelemek.

• Arza berijini barlamak.
• RoPA ulgamlaryndan maglumatlary ýygnamak.
• Kadadan çykmalaryň esaslary kesgitlenilen möhletde jogap.
• Ýazgylary täzelemek we taraplara habar bermek (çydamly bolanda).

18) Durmuşa geçirmegiň ýol kartasy

1. PD ulgamlarynyň we akymlarynyň inventarizasiýasy; RoPA emele gelmegi.
2. DPO-ny bellemek, syýasatçylary tassyklamak we RACI.
3. DPIA/DTIA-kontury we konsens-dolandyryşy işe girizmek.
4. Maglumat zolaklaryny bölmek, şifrlemek, DLP, loglar we WORM arhiwi.
5. Retenshn-paypline we aýyrmak/anonimleşdirmek.
6. Wendor-revew, DPA, subprosessorlaryň sanawy.
7. Profillemek: reason codes, apellyasiýa, explainability.
8. Yzygiderli metrikler, Board hasabaty, daşarky/içerki audit sessiýalary.

Jemi

GDPR-laýyklyk diňe bir sahypadaky syýasat däl, eýsem PD-iň durmuş siklini dolandyrmak ulgamy: dogry esaslar, minimallaşdyrmak we howpsuzlyk, DPIA/DTIA, subýektleriň hukuklaryna hormat goýmak, gözegçilik edilýän satyjylar we ölçelýän metrikler. Arhitektura we proseslere gizlinligi ornaşdyrmak bilen, siz ygtyýarnamalary, hyzmatdaşlyklary we oýunçylaryň ynamyny saklarsyňyz - önümiň tizligine we öwrümine zyýan bermezden.