ผู้ผลิตจีนที่ส่งออกเครื่องมือแพทย์ไปยังประเทศในสหภาพยุโรปต้องเป็นไปตาม MDR (กฎระเบียบด้านเครื่องมือแพทย์ของสหภาพยุโรป) มาตรา 110 ในบทที่ IX ของ MDR กำหนดให้เครื่องมือแพทย์ต้องปฏิบัติตามกฎหมายคุ้มครองข้อมูล [(EU) 2016/679 เช่น GDPR] และแถบการปฏิบัติตาม GDPR จะสูงขึ้นเมื่อประมวลผลข้อมูลสุขภาพของผู้ป่วย (หมวดหมู่พิเศษส่วนบุคคล ข้อมูล)
GDPR มีผลกระทบอย่างมากต่อบริษัทต่างๆ ในฐานะ “กฎหมายแนวนอน” จะควบคุมข้อมูลผู้ป่วย ข้อมูลทางคลินิก และข้อมูลการใช้งานที่บริษัทเครื่องมือแพทย์ดำเนินการตลอดวงจรชีวิตผลิตภัณฑ์ (R&D, การผลิต, ทางคลินิก, หลังการขาย) ซึ่งทั้งหมดนี้เป็น “ข้อมูลส่วนบุคคลประเภทพิเศษ” ภายใต้ GDPR
แก่นแท้ของ GDPR จะเปลี่ยนกฎของการประมวลผลข้อมูล และความผิดพลาดเพียงเล็กน้อยอาจนำไปสู่ค่าปรับจำนวนมากหรือวิกฤตความไว้วางใจ โดยทั่วไปแล้ว บริษัทต่างๆ ส่วนใหญ่ต้องการเข้าใจข้อกำหนดในวงกว้างของ MDR และ GDPR และจุดที่ตัดกัน และเส้นทางที่ใช้งานได้จริงเพื่อบรรลุ GDPR
ข้อกำหนดเฉพาะและจุดตัด
เส้นทางที่ใช้งานได้จริงเพื่อพบกับ GDPR
มาตรา 42–43 ของ GDPR ให้กลไกที่ได้รับการยอมรับอย่างเป็นทางการสามประการสำหรับการแสดงการปฏิบัติตามข้อกำหนดในการปกป้องข้อมูล: กลไกการรับรองการปกป้องข้อมูล ตราประทับการปกป้องข้อมูล และเครื่องหมายการปกป้องข้อมูล
กลไกทั้งสามนี้ถูกกำหนดไว้เคียงข้างกันในมาตรา 42(1) ของ GDPR ทั้งหมดเป็นเครื่องมือการปฏิบัติตามข้อกำหนดโดยสมัครใจที่ใช้เพื่อแสดงให้เห็นว่าการประมวลผลข้อมูลส่วนบุคคลของตัวควบคุมและตัวประมวลผลสอดคล้องกับ GDPR กลไกที่ได้รับอนุมัติภายใต้มาตรา 42(5) ยังสามารถใช้เพื่อแสดงให้เห็นถึงการมีอยู่ของการป้องกันที่เหมาะสมเมื่อถ่ายโอนข้อมูลส่วนบุคคลไปยังประเทศที่สาม
แล้วความสัมพันธ์ระหว่าง GDPR และ ISO 27701 คืออะไร? บริษัทต้องการทราบเรื่องนี้เช่นกัน เราอธิบายทีละขั้นตอนด้านล่าง
ISO 27701: คำอธิบาย ขอบเขต มูลค่าการปฏิบัติตามและการบริหารความเสี่ยง
-
ชื่อเต็มของ ISO 27701 คือ “เทคนิคความปลอดภัย — การขยาย ISO/IEC 27001 และ ISO/IEC 27002 สำหรับการจัดการข้อมูลความเป็นส่วนตัว — ข้อกำหนดและแนวทาง” มาตรฐานแห่งชาติจีนที่เทียบเท่าคือ GB/T 35273.2
-
ชื่อเต็มของ ISO 27001 คือ “ความปลอดภัยของข้อมูล การรักษาความปลอดภัยทางไซเบอร์ และการปกป้องความเป็นส่วนตัว – ระบบการจัดการความปลอดภัยของข้อมูล – ข้อกำหนด” มาตรฐานแห่งชาติจีนที่เทียบเท่าคือ GB/T 22080
-
ชื่อเต็มของ ISO 27002 คือ “ความปลอดภัยของข้อมูล การรักษาความปลอดภัยทางไซเบอร์ และการปกป้องความเป็นส่วนตัว – การควบคุมความปลอดภัยของข้อมูล” มาตรฐานแห่งชาติจีนที่เทียบเท่าคือ GB/T 22081
เส้นทางการรับรอง ISO 27701 และตรรกะการใช้งาน ข้อกำหนดใหม่ที่สำคัญ ลำดับการรับรอง และความแตกต่างที่สำคัญระหว่าง ISO 27701 และ ISO 27001 – ในแผนภูมิเดียว:
คำแนะนำการใช้งานสำหรับบริษัท
(1) Foundation First จากนั้นขยายเวลา: องค์กรควรสร้างระบบการจัดการความปลอดภัยของข้อมูล ISO 27001 เป็นพื้นฐานสำหรับการปกป้องความเป็นส่วนตัว
(2) ตามความเสี่ยง: ประเมินความเสี่ยงด้านความเป็นส่วนตัวตามปริมาณ ประเภท และความไวของ PII (ข้อมูลส่วนบุคคลที่สามารถระบุตัวตนได้) ที่ประมวลผล และกำหนดขอบเขตของการใช้งาน ISO 27701
(3) การจัดการแบบบูรณาการ: เรียกใช้ ISMS และ PIMS เป็นระบบแบบบูรณาการพร้อมเอกสารประกอบ กระบวนการ และกลไกการตรวจสอบเพื่อปรับปรุงประสิทธิภาพ
(4) การปรับปรุงอย่างต่อเนื่อง: อัปเดตสินค้าคงคลัง PII อย่างสม่ำเสมอ ประเมินความเสี่ยงด้านความเป็นส่วนตัว และปรับการควบคุมให้เหมาะสมเพื่อให้แน่ใจว่าระบบจะทันกับการเปลี่ยนแปลงด้านกฎระเบียบ
ความสัมพันธ์ระหว่าง ISO 27701 กับระเบียบ (EU) 2016/679
สรุป: ISO 27701 และ GDPR เป็นส่วนเสริม ไม่ใช่สารทดแทน ISO 27701 ช่วยให้บริษัทต่างๆ มีวิธีการและกรอบการรับรองที่เป็นระบบเพื่อให้เป็นไปตามข้อกำหนดของ GDPR และเป็นเครื่องมือที่มีประสิทธิภาพสำหรับบริษัทเครื่องมือแพทย์ในการปฏิบัติตาม MDR และ GDPR แบบคู่
บทความเพิ่มเติม:
ทำความเข้าใจข้อกำหนด EMC ที่เข้มงวดขึ้นของ FDA สำหรับแหล่งที่มาทั่วไปของการปล่อยคลื่นแม่เหล็กไฟฟ้า
คำสั่ง CE-MID อธิบาย: อย่าเข้าใจผิดว่าเครื่องมือในห้องปฏิบัติการสำหรับอุปกรณ์มาตรวิทยาทางกฎหมาย
[คอลัมน์ข้อบังคับ EVERBIZ EU] ผลิตภัณฑ์ใดบ้างที่อยู่ภายใต้ EU GPSD? เหตุใดสินค้าอุปโภคบริโภคบางประเภทจึงต้องการเครื่องหมาย CE และสินค้าอื่นๆ ไม่ต้องการ