+Standardized Terminology
|
Standardized Terminology
Description
Mechanisms exist to standardize technology and process terminology to reduce confusion amongst groups and departments.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Follow secure coding basics when developing software
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Secure coding guidelines for developers ∙ Basic security review before release
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal security engineering principles ∙ Secure design patterns ∙ Threat modeling
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise security engineering program ∙ Formal threat modeling ∙ Security architecture standards
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise security architecture framework (SABSA) ∙ Formal threat modeling program ∙ Security design patterns library
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control: ▪ A reasonable person would conclude this control requires a structured process. ▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Secure Engineering & Architecture (SEA) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist: ▪ Policies and standards associated with SEA domain capabilities are formally documented and centrally-managed by the entity. ▪ Standardized Operating Procedures (SOP) associated with SEA domain capabilities are documented and maintained by process owners. ▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with SEA domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD). ▪ Secure engineering and architecture-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines). ▪ Secure engineering and architecture management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel. ▪ IT and/or cybersecurity personnel define entity-specific secure engineering practices to protect the Confidentiality, Integrity, Availability and Safety (CIAS) of the entity's TAASD. ▪ IT and/or cybersecurity personnel align secure engineering practices with the entity's broader IT architecture practices. ▪ IT and/or cybersecurity personnel use secure engineering practices to influence Secure Baseline Configurations (SBC).
Level 3 Well Defined
Cybersecurity & Data Protection Governance (GOV) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist: ▪ Policies and standards associated with GOV domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function. ▪ Standardized Operating Procedures (SOP) associated with GOV domain capabilities are well-documented and kept current by process owners. ▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain GOV domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls). ▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform). ▪ An implemented and operational capability exists to standardize technology and process terminology to reduce confusion amongst groups and departments.
Level 4 Quantitatively Controlled
Utilize SCR-CMM Level 3 criteria definitions: ▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control. ▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions: ▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control. ▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies. ▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Ülevaade
1.1 Viited
1.2 Tuvastatud nõuded
1.3 Seotud regulatsioonid
2. Tuvastatud nõuded
3. Seotud regulatsioonid
Regulatsioonid
| Allikas |
Regulatsioon |
|
EULAW
|
Artikkel 3 Mõisted
Artikkel 3
Käesolevas määruses kasutatakse järgmisi mõisteid:
1)
„tehisintellektisüsteem“ – masinpõhine süsteem, mis on projekteeritud töötama erineval autonoomsuse tasemel ning mis võib pärast juurutamist olla kohanemisvõimeline ja mis saadud sisendist otseste või kaudsete eesmärkide saavutamiseks järeldab, kuidas genereerida väljundeid, näiteks prognoose, sisu, soovitusi või otsuseid, mis võivad mõjutada füüsilist või virtuaalset keskkonda;
2)
„risk“ – kahju tekkimise tõenäosuse ja kahju tõsiduse astme kombinatsioon;
3)
„pakkuja“ – füüsiline või juriidiline isik, ametiasutus, ametkond või muu organ, kes arendab tehisintellektisüsteemi või üldotstarbelist tehisintellektimudelit või kellel on väljatöötatud tehisintellektisüsteem või üldotstarbeline tehisintellektimudel ja kes laseb selle turule või võtab tehisintellektisüsteemi kasutusele oma nime või kaubamärgi all kas tasu eest või tasuta;
4)
„juurutaja“ – füüsiline või juriidiline isik, ametiasutus, ametkond või muu organ, kes kasutab tehisintellektisüsteemi oma volituste alusel, välja arvatud juhul, kui tehisintellektisüsteemi kasutatakse isikliku, mitte kutselise tegevuse jaoks;
5)
„volitatud esindaja“ – füüsiline või juriidiline isik, kes asub või on asutatud liidus ja kes on saanud tehisintellektisüsteemi või üldotstarbelise tehisintellektimudeli pakkujalt kirjaliku volituse vastavalt täita käesoleva määrusega kehtestatud kohustusi ja sooritada menetlusi tema nimel ning on selle volituse vastu võtnud;
6)
„importija“ – füüsiline või juriidiline isik, kes asub või on asutatud liidus ja kes laseb turule sellise füüsilise või juriidilise isiku nime või kaubamärki kandva tehisintellektisüsteemi, kes asub või on asutatud kolmandas riigis;
7)
„turustaja“ – füüsiline või juriidiline isik tarneahelas, välja arvatud pakkuja või importija, kes teeb tehisintellektisüsteemi liidu turul kättesaadavaks;
8)
„operaator“ – pakkuja, toote valmistaja, juurutaja, volitatud esindaja, importija või levitaja;
9)
„turule laskmine“ – tehisintellektisüsteemi või üldotstarbelise tehisintellektimudeli liidu turul esmakordselt kättesaadavaks tegemine;
10)
„turul kättesaadavaks tegemine“ – tehisintellektisüsteemi või üldotstarbelise tehisintellektimudeli tasu eest või tasuta tarnimine liidu turule kaubandustegevuse käigus kas turustamiseks või kasutamiseks;
11)
„kasutusele võtmine“ – tehisintellektisüsteemi tarnimine esmakordseks kasutamiseks otse juurutajale või oma tarbeks, et kasutada seda sihtotstarbeliselt liidus;
12)
„sihtotstarve“ – kasutus, kaasa arvatud kasutamise konkreetne kontekst ja tingimused, mille jaoks pakkuja on tehisintellektisüsteemi kasutusjuhendis, reklaam- või müügimaterjalides või avaldustes ning tehnilistes dokumentides esitatud teabe kohaselt ette näinud;
13)
„mõistlikult prognoositav väärkasutamine“ – tehisintellektisüsteemi kasutamine viisil, mis ei ole kooskõlas selle sihtotstarbega, kuid mis võib tuleneda mõistlikult prognoositavast inimkäitumisest või interaktsioonist muude süsteemidega, sealhulgas muude tehisintellektisüsteemidega;
▼M1
14)
„turvakomponent“ – toote või tehisintellektisüsteemi komponent, mis täidab selle toote või tehisintellektisüsteemi ohutusfunktsiooni või mille rike või talitlushäire ohustab inimeste tervist ja ohutust või vara; käesoleva määratluse kohaldamisel täidab komponent turvafunktsiooni, kui selle sihtotstarve on ennetada või leevendada riske inimeste tervisele ja ohutusele või varale;
▼M1
14a)
„mikro-, väike- ja keskmise suurusega ettevõtja“ ehk „VKE“ – soovituse 2003/361/EÜ lisa artiklis 2 määratletud mikro-, väike- ja keskmise suurusega ettevõtja;
14b)
„väike keskmise turukapitalisatsiooniga ettevõtja“ – soovituse (EL) 2025/1099 lisa punktis 2 määratletud väike keskmise turukapitalisatsiooniga ettevõtja;
▼B
15)
„kasutusjuhend“ – teave, mille pakkuja esitab, et teavitada juurutajat eeskätt tehisintellektisüsteemi sihtotstarbest ja nõuetekohasest kasutamisest;
16)
„tehisintellektisüsteemi tagasinõudmine“ – mis tahes meede, mille eesmärk on saavutada juurutajatele kättesaadavaks tehtud tehisintellektisüsteemi tagastamine pakkujale või selle kasutusest kõrvaldamine või selle kasutamise keelamine;
17)
„tehisintellektisüsteemi turult kõrvaldamine“ – mis tahes meede, mille eesmärk on hoida ära tarneahelas oleva tehisintellektisüsteemi turul kättesaadavaks tegemist;
18)
„tehisintellektisüsteemi toimimine“ – tehisintellektisüsteemi suutlikkus täita talle seatud sihtotstarvet;
19)
„teavitav asutus“ – riigi ametiasutus, kes vastutab vastavushindamisasutuste hindamise, määramise ja neist teavitamise ning nende seire jaoks vajalike menetluste väljatöötamise ja läbiviimise eest;
20)
„vastavushindamine“ – protsess, mille käigus tõendatakse, kas suure riskiga tehisintellektisüsteemi kohta III peatüki 2. jaos sätestatud nõuded on täidetud;
21)
„vastavushindamisasutus“ – asutus, kes teeb kolmanda isikuna vastavushindamise toiminguid, sealhulgas testimist, sertifitseerimist ja kontrollimist;
22)
„teada antud asutus“ – vastavushindamisasutus, millest on teada antud käesoleva määruse ja liidu muude asjaomaste ühtlustamisõigusaktide kohaselt;
23)
„oluline muudatus“ – tehisintellektisüsteemis pärast selle turule laskmist või kasutusele võtmist tehtud muudatus, mida pakkuja ei ole algses läbi viidud vastavushindamises ette näinud ega kavandanud ning mis mõjutab tehisintellektisüsteemi vastavust III peatüki 2. jaos sätestatud nõuetele või mille tulemusena muutub kasutusotstarve, mida silmas pidades on tehisintellektisüsteemi hinnatud;
24)
„CE-märgis“ – märgis, millega pakkuja kinnitab, et tehisintellektisüsteem vastab III peatüki 2. jaos sätestatud nõuetele ja muudele kohaldatavatele liidu ühtlustamisõigusaktidele, millega nähakse ette märgise paigaldamine;
25)
„turustamisjärgse seire süsteem“ – kõik toimingud, mida tehisintellektisüsteemi pakkuja teeb, et koguda ja läbi vaadata tema poolt turule lastud või kasutusele võetud tehisintellektisüsteemide kasutamise käigus saadud kogemusi, eesmärgiga teha kindlaks juhud, kui tuleb viivitamata võtta vajalikke parandus- või ennetusmeetmeid;
26)
„turujärelevalveasutus“ – riigi ametiasutus, kes teeb toiminguid ja võtab meetmeid vastavalt määrusele (EL) 2019/1020;
27)
„harmoneeritud standard“ – määruse (EL) nr 1025/2012 artikli 2 lõike 1 punktis c määratletud harmoneeritud standard;
28)
„ühtne kirjeldus“ – kogum tehnilistest spetsifikatsioonidest, nagu on määratletud määruse (EL) nr 1025/2012 artikli 2 punktis 4, mille abil saab täita teatavaid käesoleva määrusega kehtestatud nõudeid;
29)
„treenimisandmed“ – andmed, mida kasutatakse tehisintellektisüsteemi treenimiseks selle õpitavate parameetrite sobitamise abil;
30)
„valideerimisandmed“ – andmed, mida kasutatakse treenitud tehisintellektisüsteemi hindamiseks ning selle mitteõpitavate parameetrite ja õppimisprotsessi reguleerimiseks, et muu hulgas hoiduda ala- või ülesobitamisest;
31)
„valideerimisandmestik“ – eraldi andmestik või treenimisandmestiku osa kindlaksmääratud või muutuva jaotuse alusel;
32)
„testimisandmed“ – andmed, mida kasutatakse sõltumatu hinnangu andmiseks tehisintellektisüsteemile, et kinnitada selle süsteemi eeldustekohast toimimist, enne kui süsteem lastakse turule või võetakse kasutusele;
33)
„sisendandmed“ – andmed, mis esitatakse tehisintellektisüsteemile või mille tehisintellektisüsteem vahetult saab ning mille põhjal süsteem genereerib väljundi;
34)
„biomeetrilised andmed“ – konkreetse tehnilise töötlemise abil saadavad isikuandmed füüsilise isiku füüsiliste, füsioloogiliste või käitumuslike omaduste kohta, näiteks näokujutis või sõrmejälgede andmed;
35)
„biomeetriline tuvastamine“ – inimese füüsiliste, füsioloogiliste, käitumuslike või psühholoogiliste omaduste automaatne tuvastamine füüsilise isiku isikusamasuse kindlakstegemiseks, võrreldes isiku biomeetrilisi andmeid andmebaasis säilitatavate isikute biomeetriliste andmetega;
36)
„biomeetriline kontroll“ – füüsiliste isikute isikusamasuse automaatne, üks-ühele kontrollimine, sealhulgas autentimine, võrreldes nende biomeetrilisi andmeid varem esitatud biomeetriliste andmetega;
37)
„isikuandmete eriliigid“ – määruse (EL) 2016/679 artikli 9 lõikes 1, direktiivi (EL) 2016/680 artiklis 10 ja määruse (EL) 2018/1725 artikli 10 lõikes 1 osutatud isikuandmete liigid;
38)
„tundlikud operatiivandmed“ – operatiivandmed, mis on seotud kuritegude tõkestamise, avastamise, uurimise või nende eest vastutusele võtmisega ning mille avalikustamine võib ohustada kriminaalmenetluse terviklikkust;
39)
„emotsioonituvastussüsteem“ – tehisintellektisüsteem, mille eesmärk on tuvastada või tuletada füüsiliste isikute emotsioone või kavatsusi nende biomeetriliste andmete põhjal;
40)
„biomeetrilise liigitamise süsteem“ – tehisintellektisüsteem, mille eesmärk on jagada füüsilisi isikuid nende biomeetriliste andmete põhjal konkreetsetesse kategooriatesse, välja arvatud juhul, kui see on teise äriteenuse lisateenus ja rangelt vajalik objektiivsetel tehnilistel põhjustel;
41)
„biomeetrilise kaugtuvastamise süsteem“ – tehisintellektisüsteem, mille eesmärk on tuvastada füüsilisi isikuid tavaliselt eemalt ilma nende aktiivse osaluseta, võrreldes isiku biomeetrilisi andmeid võrdlusandmebaasis sisalduvate biomeetriliste andmetega;
42)
„reaalajas toimuva biomeetrilise kaugtuvastamise süsteem“ – biomeetrilise kaugtuvastamise süsteem, milles biomeetriliste andmete hõive, võrdlemine ja tuvastamine toimub ilma märkimisväärse viivituseta, hõlmates lisaks viivitamatule tuvastamisele ka piiratud lühikesi viivitusi, et vältida kõrvalehoidmist;
43)
„tagantjärele toimuva biomeetrilise kaugtuvastamise süsteem“ – biomeetrilise kaugtuvastamise süsteem, mis ei ole reaalajas toimuva biomeetrilise kaugtuvastamise süsteem;
44)
„avalikult juurdepääsetav ruum“ – avalikus või eraomandis füüsiline koht, millele on juurdepääs määramatul arvul füüsilistel isikutel, olenemata sellest, kas kohaldatakse teatavaid juurdepääsutingimusi, ja olenemata võimalikest mahutavuspiirangutest;
45)
„õiguskaitseasutus“ –
a)
ametiasutus, kes on pädev kuritegusid tõkestama, uurima, avastama või nende eest vastutusele võtma või kriminaalkaristusi täitmisele pöörama, sealhulgas kaitsma avalikku julgeolekut ähvardavate ohtude eest ja neid ohte ennetama, või
b)
muu asutus või üksus, kellele liikmesriigi õiguse kohaselt on antud ülesanne teostada avalikku võimu kuritegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil;
46)
„õiguskaitse“ – tegevus, mida õiguskaitseasutus teostab kuritegude tõkestamiseks, uurimiseks, avastamiseks või nende eest vastutusele võtmiseks või kriminaalkaristuse täitmisele pööramiseks, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmiseks ja nende ohtude ennetamiseks;
47)
„tehisintellektiamet“ – komisjoni ülesanne aidata kaasa tehisintellektisüsteemide ning üldotstarbeliste tehisintellektimudelite rakendamisele, seirele ja järelevalvele ning tehisintellekti juhtimisele vastavalt komisjoni 24. jaanuari 2024. aasta otsusele; käesolevas määruses sisalduvaid viiteid tehisintellektiametile käsitatakse viidetena komisjonile;
48)
„riigi pädev asutus“ – teavitav asutus või turujärelevalveasutus; ELi institutsioonide, ametite, asutuste, ja organite poolt kasutusele võetud või kasutatavate tehisintellektisüsteemide puhul käsitatakse käesolevas määruses toodud viiteid riikide pädevatele asutustele või turujärelevalveasutustele viidetena Euroopa Andmekaitseinspektorile;
49)
„tõsine intsident“ – juhtum või tehisintellektisüsteemi talitlushäire, mis otseselt või kaudselt põhjustab ühe järgmistest tagajärgedest:
a)
inimese surm või tõsine kahju inimese tervisele;
b)
elutähtsa taristu juhtimise või käitamise tõsine ja pöördumatu katkemine;
c)
põhiõiguste kaitsmiseks mõeldud liidu õigusest tulenevate kohustuste rikkumine;
d)
tõsine kahju varale või keskkonnale;
50)
„isikuandmed“ – isikuandmed, nagu need on määratletud määruse (EL) 2016/679 artikli 4 punktis 1;
51)
„isikustamata andmed“ – muud andmed kui määruse (EL) 2016/679 artikli 4 punktis 1 määratletud isikuandmed;
52)
„profiilianalüüs“ – profiilianalüüs, nagu on määratletud määruse (EL) 2016/679 artikli 4 punktis 4;
53)
„tegelikes tingimustes testimise kava“ – dokument, milles kirjeldatakse tegelikes tingimustes testimise eesmärke, meetodeid, geograafilist, rahvastikuga seotud ja ajalist ulatust, järelevalvet, korraldust ja läbiviimist;
54)
„regulatiivliivakasti kava“ – osaleva pakkuja ja pädeva asutuse vahel kokku lepitud dokument, milles kirjeldatakse regulatiivliivakastis toimuva tegevuse eesmärke, tingimusi, ajakava, metoodikat ja nõudeid;
55)
„tehisintellekti regulatiivliivakast“ – pädeva asutuse loodud kontrollitud raamistik, mis pakub tehisintellektisüsteemide pakkujatele või võimalikele pakkujatele võimalust arendada, treenida, valideerida ja testida innovatiivset tehisintellektisüsteemi asjakohastel juhtudel tegelikes tingimustes ning regulatiivliivakasti kava kohaselt piiratud aja jooksul regulatiivse järelevalve all;
56)
„tehisintellektipädevus“ – oskused, teadmised ja arusaamine, mis võimaldavad pakkujatel, juurutajatel ja mõjutatud isikutel, võttes arvesse nende käesolevas määruses sätestatud õigusi ja kohustusi, tehisintellektisüsteeme teadlikult juurutada ja suurendada teadlikkust tehisintellekti võimalustest ja riskidest ning võimalikust kahjust, mida see võib põhjustada;
57)
„tegelikes tingimustest testimine“ – tehisintellektisüsteemi ajutine testimine selle sihtotstarbe jaoks tegelikes tingimustes väljaspool laborit või muul moel simuleeritud keskkonda, eesmärgiga koguda usaldusväärseid ja stabiilseid andmeid ning hinnata ja kontrollida tehisintellektisüsteemi vastavust käesoleva määruse nõuetele, ning see ei kvalifitseeru tehisintellektisüsteemi turule laskmiseks või kasutusele võtmiseks käesoleva määruse tähenduses, eeldusel et täidetud on kõik artiklite 57 või 60 kohased tingimused;
58)
„subjekt“ – tegelikes tingimustes testimise kontekstis füüsiline isik, kes osaleb tegelikes tingimustes testimises;
59)
„teadev nõusolek“ – subjekti vaba, konkreetne, ühemõtteline ja vabatahtlik väljendus oma tahtest osaleda teatavas tegelikes tingimustes toimuvas testimises pärast seda, kui teda on teavitatud testimise kõikidest aspektidest, mis on subjekti osalemisotsuse jaoks asjakohased;
60)
„süvavõltsing“ – loodud või manipuleeritud kujutis või audio- või videosisu, mis sarnaneb tegelike isikute, esemete, kohtade, üksuste või sündmustega ning mis näib kasutajale petlikult ehtne või tõene;
61)
„ulatuslik rikkumine“ – üksikisikute huve kaitsva liidu õigusega vastuolus olev tegevus või tegevusetus, mis:
a)
on kahjustanud või võib tõenäoliselt kahjustada nende üksikisikute kollektiivseid huve, kes elavad vähemalt kahes muus liikmesriigis kui see, kus
i)
tegevus või tegevusetus alguse sai või toimus,
ii)
asjaomase pakkuja või, kui see on kohaldatav, tema volitatud esindaja asub või on asutatud, või
iii)
juurutaja on asutatud, kui rikkumise on toime pannud juurutaja;
b)
on kahjustanud, kahjustab või võib tõenäoliselt kahjustada üksikisikute kollektiivseid huve ja millel on ühiseid tunnuseid, sealhulgas sama ebaseaduslik tava, sama huvi rikkumine ja toimepanemine sama operaatori poolt samaaegselt vähemalt kolmes liikmesriigis;
62)
„elutähtis taristu“ – määruse (EL) 2022/2557 artikli 2 punktis 4 määratletud elutähtis taristu;
63)
„üldotstarbeline tehisintellektimudel“ – tehisintellektimudel, sealhulgas juhul, kui sellist tehisintellektimudelit treenitakse suure hulga andmetega, kasutades mastaapset enesejärelevalvet, millele on omane märkimisväärne üldisus ja suudab pädevalt täita mitmesuguseid eri ülesandeid, olenemata mudeli turule laskmise viisist, ning mida saab integreerida mitmesugustesse järgmise etapi süsteemidesse või rakendustesse, välja arvatud tehisintellektimudelid, mida kasutatakse teadus- ja arendustegevuses või prototüüpide loomiseks enne nende turule laskmist;
64)
„suure mõjuga võimed“ – võimed, mis vastavad kõige arenenumates üldotstarbelistes tehisintellektimudelites tuvastatud võimetele või ületavad neid;
65)
„süsteemne risk“ – risk, mis on spetsiifiline üldotstarbeliste tehisintellektimudelite suure mõjuga võimetele ja millel on märkimisväärne mõju liidu turule nende ulatuse või tegeliku või mõistlikult prognoositava negatiivse mõju tõttu rahvatervisele, ohutusele, avalikule julgeolekule, põhiõigustele või ühiskonnale tervikuna ning mida saab laialdaselt levitada kogu väärtusahela ulatuses;
66)
„üldotstarbeline tehisintellektisüsteem“ – tehisintellektisüsteem, mis põhineb üldotstarbelisel tehisintellektimudelil ja mis suudab teenida mitmesuguseid eesmärke ja mis on mõeldud nii otseseks kasutamiseks kui ka integreerimiseks teistesse tehisintellektisüsteemidesse;
67)
„ujukomatehe“ – mis tahes matemaatiline tehe või väärtuse omistamine, mis hõlmab ujukoma-arve (alamhulk reaalarvudest, mida arvutites esitatakse tavaliselt fikseeritud täpsusega täisarvudena, mille fikseeritud alus on astendatud täisarvulise astmega);
68)
„järgmise etapi pakkuja“ – tehisintellektisüsteemi, sealhulgas üldotstarbelise tehisintellektisüsteemi pakkuja, mis integreerib tehisintellektimudeli, olenemata sellest, kas ta pakub tehisintellektimudelit ise ja see on vertikaalselt integreeritud või pakub seda lepinguliste suhete alusel mõni muu üksus.
|
|
EULAW
|
Artikkel 4 Mõisted
Artikkel 4
Käesolevas määruses kasutatakse järgmisi mõisteid:
|
1)
|
„isikuandmed” – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti”) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal;
|
|
2)
|
„isikuandmete töötlemine” – isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine;
|
|
3)
|
„isikuandmete töötlemise piiramine” – säilitatud isikuandmete märgistamine eesmärgiga piirata nende edaspidist töötlemist;
|
|
4)
|
„profiilianalüüs” – igasugune isikuandmete automatiseeritud töötlemine, mis hõlmab isikuandmete kasutamist füüsilise isikuga seotud teatavate isiklike aspektide hindamiseks, eelkõige selliste aspektide analüüsimiseks või prognoosimiseks, mis on seotud asjaomase füüsilise isiku töötulemuste, majandusliku olukorra, tervise, isiklike eelistuste, huvide, usaldusväärsuse, käitumise, asukoha või liikumisega;
|
|
5)
|
„pseudonümiseerimine” – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid;
|
|
6)
|
„andmete kogum” – isikuandmete igasugune korrastatud kogum, millest võib andmeid leida teatavate kriteeriumide põhjal, olenemata sellest, kas kõnealune andmete kogum on funktsionaalsel või geograafilisel põhimõttel tsentraliseeritud, detsentraliseeritud või hajutatud;
|
|
7)
|
„vastutav töötleja” – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;
|
|
8)
|
„volitatud töötleja” – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes töötleb isikuandmeid vastutava töötleja nimel;
|
|
9)
|
„vastuvõtja” – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kellele isikuandmed avaldatakse, olenemata sellest, kas tegemist on kolmanda isikuga või mitte. Vastuvõtjaiks ei peeta siiski avaliku sektori asutusi, kes võivad kooskõlas liidu või liikmesriigi õigusega saada isikuandmeid seoses konkreetse päringuga; nimetatud avaliku sektori asutused töötlevad kõnealuseid andmeid kooskõlas kohaldatavate andmekaitsenormidega vastavalt töötlemise eesmärkidele;
|
|
10)
|
„kolmas isik” – füüsiline või juriidiline isik, avaliku sektori asutus, amet või organ, välja arvatud andmesubjekt, vastutav töötleja, volitatud töötleja ja isikud, kes võivad isikuandmeid töödelda vastutava töötleja või volitatud töötleja otseses alluvuses;
|
|
11)
|
andmesubjekti „nõusolek” – vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega;
|
|
12)
|
„isikuandmetega seotud rikkumine” – turvanõuete rikkumine, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu;
|
|
13)
|
„geneetilised andmed” – isikuandmed, mis on seotud asjaomase füüsilise isiku päritud või omandatud geneetiliste omadustega, mis annavad ainulaadset teavet kõnealuse füüsilise isiku füsioloogia ja tervise kohta ning mis tulenevad eelkõige asjaomase füüsilise isiku bioloogilise proovi analüüsist saadud isikuandmetest;
|
|
14)
|
„biomeetrilised andmed” – konkreetse tehnilise töötlemise abil saadavad isikuandmed isiku füüsiliste, füsioloogiliste ja käitumuslike omaduste kohta, mis võimaldavad kõnealust füüsilist isikut kordumatult tuvastada või kinnitavad selle füüsilise isiku tuvastamist, näiteks näokujutis ja sõrmejälgede andmed;
|
|
15)
|
„terviseandmed” – füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi kohta;
|
|
16)
|
„peamine tegevuskoht” –
a)
kui vastutaval töötlejal on tegevuskoht rohkem kui ühes liikmesriigis, siis tema juhatuse asukoht liidus, välja arvatud juhul, kui isikuandmete töötlemise eesmärke ja vahendeid käsitlevad otsused võetakse vastu vastutava töötleja liidus asuvas muus tegevuskohas ning sellel tegevuskohal on volitused neid otsuseid rakendada – sellisel juhul loetakse peamiseks tegevuskohaks tegevuskohta, kus sellised otsused vastu võetakse;
b)
kui volitatud töötlejal on tegevuskoht rohkem kui ühes liikmesriigis, siis tema juhatuse asukoht liidus või kui volitatud töötlejal ei ole juhatust liidus, siis volitatud töötleja tegevuskoht liidus, kus toimub peamine töötlemistegevus seoses volitatud töötleja tegevusega sellises ulatuses, et volitatud töötleja suhtes kehtivad käesoleva määruse kohased konkreetsed kohustused;
|
|
17)
|
„esindaja” – liidus asuv füüsiline või juriidiline isik, kelle vastutav töötleja või volitatud töötleja on kirjalikult artikli 27 kohaselt määranud ja kes esindab vastutavat töötlejat või volitatud töötlejat seoses nende käesolevast määrusest tulenevate vastavate kohustustega;
|
|
18)
|
„ettevõtja” – majandustegevusega tegelev füüsiline või juriidiline isik, olenemata selle õiguslikust vormist, sealhulgas partnerlused ja ühendused, kes tegelevad korrapäraselt majandustegevusega;
|
|
19)
|
„kontsern” – kontrolliv ettevõtja ja tema kontrolli all olevad ettevõtjad;
|
|
20)
|
„siduvad kontsernisisesed eeskirjad” – isikuandmete kaitse põhimõtted, millest vastutav töötleja või volitatud töötleja, kelle asukoht on liikmesriigi territooriumil, lähtub isikuandmete ühekordsel või korduval edastamisel ühes või mitmes kolmandas riigis kontserni koosseisus või ühise majandustegevusega tegelevate ettevõtjate rühmas tegutsevale vastutavale töötajale või volitatud töötlejale;
|
|
21)
|
„järelevalveasutus” – liikmesriigis artikli 51 kohaselt asutatud sõltumatu avaliku sektori asutus;
|
|
22)
|
„asjaomane järelevalveasutus” –
järelevalveasutus, kes on isikuandmete töötlemisega seotud, kuna
a)
vastutava töötleja või volitatud töötleja tegevuskoht asub kõnealuse järelevalveasutuse liikmesriigi territooriumil;
b)
asjaomase järelvalveasutuse liikmesriigis elavad andmesubjektid on töötlemisest oluliselt või tõenäoliselt oluliselt mõjutatud või
c)
kõnealusele järelevalveasutusele on esitatud kaebus;
|
|
23)
|
„isikuandmete piiriülene töötlemine” –
kas
a)
isikuandmete töötlemine, mis toimub liidus olukorras, kus vastutava töötleja või volitatud töötleja, kelle tegevuskoht on enamas kui ühes liikmesriigis, tegevus toimub rohkem kui ühes liikmesriigis, või
b)
isikuandmete töötlemine, mis toimub liidus olukorras, kus vastutava töötleja või volitatud töötleja tegevus toimub ühes kohas, kuid see mõjutab oluliselt või võib tõenäoliselt oluliselt mõjutada andmesubjekte rohkem kui ühes liikmesriigis;
|
|
24)
|
„asjakohane ja põhjendatud vastuväide” – vastuväide kavandatavale otsusele seoses sellega, kas käesolevat määrust on rikutud või kas seoses vastutava töötleja või volitatud töötlejaga kavandatud meede on määrusega kooskõlas, mis näitab selgelt, kui suurt ohtu kujutab endast kavandatav otsus seoses andmesubjektide põhiõiguste ja -vabadustega ning, kui see on asjakohane, isikuandmete vaba liikumisega liidus;
|
|
25)
|
„infoühiskonna teenus” – teenus, mis vastab Euroopa Parlamendi ja nõukogu direktiivi (EL) 2015/1535 (
1
) artikli 1 lõike 1 punktile b;
|
|
26)
|
„rahvusvaheline organisatsioon” – organisatsioon ja sellele alluvad asutused, mida reguleerib rahvusvaheline avalik õigus, või mis tahes muu asutus, mis on loodud kahe või enama riigi vahelise lepinguga või selle alusel.
|
|
Lingitud teemad
- Secure Controls Framework -
"The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.
The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.
Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.
The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/
Terms & Conditions
The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.
|