CCPA und Risikomanagement für Drittparteien
Der California Consumer Privacy Act regelt die Erhebung und den Verkauf von Verbraucherdaten durch Unternehmen, um die sensiblen persönlichen Daten der Einwohner Kaliforniens zu schützen und den Verbrauchern die Kontrolle über die Verwendung dieser Daten zu ermöglichen. Das CCPA wird im Jahr 2023 aktualisiert und mit dem California Privacy Rights Act mit schärferen Sanktionen durchgesetzt.
Das CCPA gilt für Verbraucherdaten, die von allen Einwohnern Kaliforniens erhoben werden - unabhängig davon, ob ein Unternehmen seinen Hauptsitz in Kalifornien hat oder dort nur geschäftlich tätig ist.
Unternehmen sollten daher sicherstellen, dass ihre externen Partner und Dienstleister gut auf den Schutz von Verbraucherdaten vorbereitet sind. Der erste Schritt eines jeden Sicherheitsprogramms ist die Identifizierung und Priorisierung bestehender Risiken durch eine gründliche Sicherheitsbewertung.
Einschlägige Verordnungen
- 1798.81.5 (b) "Ein Unternehmen, das personenbezogene Daten einer in Kalifornien ansässigen Person besitzt, lizenziert oder verwaltet, muss angemessene Sicherheitsverfahren und -praktiken einführen und beibehalten, die der Art der Daten angemessen sind, um die personenbezogenen Daten vor unbefugtem Zugriff, Zerstörung, Verwendung, Änderung oder Offenlegung zu schützen."
- 1798.185 (a) "Führen Sie jährlich ein Cybersicherheitsaudit durch, einschließlich der Festlegung des Umfangs des Audits und der Einführung eines Verfahrens, das gewährleistet, dass die Audits gründlich und unabhängig sind. Zu den Faktoren, die bei der Bestimmung, wann die Verarbeitung ein erhebliches Risiko für die Sicherheit personenbezogener Daten darstellen kann, zu berücksichtigen sind, gehören die Größe und Komplexität des Unternehmens sowie die Art und der Umfang der Verarbeitungstätigkeiten."
- 1798.140(c) "Erlaubt dem Unternehmen, vorbehaltlich einer Vereinbarung mit dem Auftragnehmer [oder Dienstleister], die Einhaltung des Vertrags durch den Auftragnehmer [oder Dienstleister] durch Maßnahmen zu überwachen, einschließlich, aber nicht beschränkt auf laufende manuelle Überprüfungen und automatisierte Scans und regelmäßige Bewertungen, Audits oder andere technische und betriebliche Tests mindestens einmal alle 12 Monate."
- 1798.185 (b) "der kalifornischen Datenschutzbehörde regelmäßig eine Risikobewertung in Bezug auf die Verarbeitung personenbezogener Daten vorlegen."
Erfüllung der CCPA TPRM-Anforderungen
Hier erfahren Sie, wie Prevalent Ihnen helfen kann, die Best Practices des CCPA-Risikomanagements für Dritte einzuhalten:
CCPA Bewährte Praktiken
Wie wir helfen
Entdeckung & Daten-Mapping
Prevalent unterstützt planmäßige Bewertungen, um Datenflüsse zwischen Beziehungen zu identifizieren und festzustellen, wo Daten vorhanden sind, wohin sie fließen und mit wem sie außerhalb des Unternehmens geteilt werden, indem eine einzigartige Beziehungszuordnungsfunktion verwendet wird. Automatische Erstellung eines Risikoregisters, das die wichtigsten Risikobereiche hervorhebt, um die Transparenz der Daten zu erhöhen.
Selbsteinschätzungen
Prevalent führt eine Datenschutz-Folgenabschätzung (Privacy Impact Assessment, PIA) durch, die sich auf die sensibelsten geschäfts- und datenschutzbezogenen Daten und Geschäftsprozesse mit dem höchsten Risiko konzentriert. Sie bewertet den Ursprung, die Art und den Schweregrad des potenziellen Risikos und gibt Empfehlungen zur Minderung festgestellter Risiken, um die künftige Einhaltung der Datenschutzbestimmungen zu gewährleisten.
Risikobewertungen von Anbietern
Prevalent bewertet die Datenschutzkontrollen von Anbietern anhand des Prevalent Compliance Framework (PCF) im Hinblick auf den CCPA. Spezifische Fragebögen helfen bei der Identifizierung und Zuordnung von Risiken, die während der Bewertung identifiziert wurden, zu den Kontrollen, um einen klaren Überblick über potenzielle Schwachstellen zu erhalten.
Risiko-Reaktion
Prevalent automatisiert die Risikoerkennung auf der Grundlage von in der Plattform festgelegten Schwellenwerten. Beschleunigt die Reaktion mit vordefinierten Workflow-Regeln, die identifizierte Risiken zur sofortigen Überprüfung und Beseitigung an den richtigen Stakeholder weiterleiten.
Verfolgung der Einhaltung von Vorschriften und Berichterstattung
Prevalent erstellt Berichte über die CCPA unter Verwendung des Prevalent Compliance Frameworks, das automatisch Risiken und Reaktionen auf Kontrollen abbildet, eine prozentuale Bewertung der Konformität liefert und stakeholder-spezifische Berichte bereitstellt, um die Datensicherheit transparent zu machen.
Überwachung der Benachrichtigung bei Sicherheitsverletzungen
Prevalent bietet Zugang zu einer Datenbank, die mehr als 10 Jahre Datenverletzungen für Tausende von Unternehmen auf der ganzen Welt enthält. Sie enthält Arten und Mengen gestohlener Daten, Probleme mit der Einhaltung von Vorschriften und Bestimmungen sowie Echtzeit-Benachrichtigungen über Datenschutzverletzungen durch Anbieter.
Anträge auf Zugang zum Thema
Prevalent ermöglicht Anbietern und Geschäftsanwendern die Auslösung von SAR-Workflows (Subject Access Request) auf der Grundlage von Anfragen, die sie erhalten, und nutzt eine proaktive Bewertung zur Erfassung der relevanten Daten. Mithilfe der Relationship Map können Risiko- und Datenschutzteams visualisieren, mit wem Daten geteilt werden und wer Zugang zu den Daten dieses Anbieters hat.
