+Standardized Terminology
|
Standardized Terminology
Description
Mechanisms exist to standardize technology and process terminology to reduce confusion amongst groups and departments.
Possible Solutions & Considerations
Micro-Small Business (<10 staff) / BLS Firm Size Classes 1-2
∙ Follow secure coding basics when developing software
Small Business (10-49 staff) / BLS Firm Size Classes 3-4
∙ Secure coding guidelines for developers
∙ Basic security review before release
Medium Business (50-249 staff) / BLS Firm Size Classes 5-6
∙ Formal security engineering principles
∙ Secure design patterns
∙ Threat modeling
Large Business (250-999 staff) / BLS Firm Size Classes 7-8
∙ Enterprise security engineering program
∙ Formal threat modeling
∙ Security architecture standards
Enterprise (> 1,000 staff) / BLS Firm Size Class 9
∙ Enterprise security architecture framework (SABSA)
∙ Formal threat modeling program
∙ Security design patterns library
SCR-CMM
Level 0 Not Performed
Practices are non-existent, based on the inability to demonstrate an implemented and operational capability. A reasonable person would conclude the control is not being performed.
Level 1 Performed Informally
SCR-CMM Level 1 criteria definitions are not available for this control:
▪ A reasonable person would conclude this control requires a structured process.
▪ At this level of maturity, the "ad hoc" nature of performing a capability informally would indicate the intent of the control is not met due to a lack of consistency and formality.
Level 2 Planned Tracked
Secure Engineering & Architecture (SEA) capabilities are requirements-driven, but are not standardized across the entity (e.g., local/regional level consistency). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with SEA domain capabilities are formally documented and centrally-managed by the entity.
▪ Standardized Operating Procedures (SOP) associated with SEA domain capabilities are documented and maintained by process owners.
▪ IT and/or cybersecurity personnel work with business stakeholders and process owners to appropriately scope and reasonably implement cybersecurity and data protection controls associated with SEA domain capabilities to address applicable statutory, regulatory and/or contractual requirements for Technology Assets, Applications, Services and/or Data (TAASD).
▪ Secure engineering and architecture-related controls are primarily administrative and preventative in nature (e.g., policies, standards and procedures & guidelines).
▪ Secure engineering and architecture management may be a defined function (e.g., team or department) or assigned as an additional duty to existing IT and/or cybersecurity personnel.
▪ IT and/or cybersecurity personnel define entity-specific secure engineering practices to protect the Confidentiality, Integrity, Availability and Safety (CIAS) of the entity's TAASD.
▪ IT and/or cybersecurity personnel align secure engineering practices with the entity's broader IT architecture practices.
▪ IT and/or cybersecurity personnel use secure engineering practices to influence Secure Baseline Configurations (SBC).
Level 3 Well Defined
Cybersecurity & Data Protection Governance (GOV) capabilities are standardized across the entity for applicability to People, Processes, Technologies, Data and/or Facilities (PPTDF) to ensure consistency for Technology Assets, Applications, Services and/or Data (TAASD). Capability criteria associated with this control reasonably expect the following criteria to exist:
▪ Policies and standards associated with GOV domain capabilities are formally documented and centrally-managed by the entity's Governance, Risk & Compliance (GRC) team, or similar function.
▪ Standardized Operating Procedures (SOP) associated with GOV domain capabilities are well-documented and kept current by process owners.
▪ The entity's Governance, Risk & Compliance (GRC) team, or similar function, is appropriately staffed and supported to implement and maintain GOV domain capabilities to address Minimum Compliance Requirements (MCR) (e.g., applicable statutory, regulatory and/or contractual requirements) and Discretionary Security Requirements (DSR) (e.g., entity-required controls).
▪ Technology is leveraged to enhance the efficiency and accuracy of governance, risk management and compliance operations (e.g., GRC platform).
▪ An implemented and operational capability exists to standardize technology and process terminology to reduce confusion amongst groups and departments.
Level 4 Quantitatively Controlled
Utilize SCR-CMM Level 3 criteria definitions:
▪ There are no defined Level 4 criteria, since it is reasonable to assume a quantitatively-controlled process is not necessary to operationalize this control.
▪ While it may be possible to develop “metrics-driven” capabilities for this control, the criteria would be organization-specific to define.
Level 5 Continuously Improving
Utilize SCR-CMM Level 3 or Level 4 (if available) criteria definitions:
▪ There are no defined Level 5 criteria, since it is reasonable to assume a continuously-improving process is not necessary to operationalize this control.
▪ Level 5 capabilities should be considered “world-class” where the control builds on Level 4 capabilities, but are continuously improving through Artificial Intelligence (AI) and/or Machine Learning (ML) technologies.
▪ While it may be possible to develop responsive capabilities for this control through the use of AI and/or ML technologies, the criteria would be organization-specific to define.
1. Pārskats
1.1 Atsauces
1.2 Identificētās prasības
1.3 Saistītie tiesību akti
2. Identificētās prasības
3. Saistītie tiesību akti
Tiesību akti
| Avots |
Regulējums |
|
EULAW
|
3. pants Definīcijas
3. pants
Šajā regulā piemēro šādas definīcijas:
1)
“MI sistēma” ir mašinizēta sistēma, kura projektēta darboties ar dažādiem autonomijas līmeņiem, kura var pēc ieviešanas būt adaptīva, un kura eksplicītiem vai implicītiem mērķiem secina no informācijas, ko tā saņem, kā ģenerēt iznākumus, piemēram, prognozes, saturu, ieteikumus vai lēmumus, kas var ietekmēt fizisko vai virtuālo vidi;
2)
“risks” ir kaitējuma rašanās varbūtības un minētā kaitējuma smaguma kombinācija;
3)
“nodrošinātājs” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura par samaksu vai par brīvu izstrādā MI sistēmu vai vispārīga lietojuma MI modeli vai kura liek izstrādāt MI sistēmu vai vispārīga lietojuma MI modeli un laiž to tirgū vai nodod MI sistēmu ekspluatācijā ar savu nosaukumu/vārdu vai preču zīmi;
4)
“uzturētājs” ir fiziska vai juridiska persona, publiskā sektora iestāde, aģentūra vai cita struktūra, kura lieto MI sistēmu, kas ir tās pārziņā, izņemot gadījumus, kad MI sistēmu lieto personiskas neprofesionālas darbības veikšanai;
5)
“pilnvarotais pārstāvis” ir jebkura fiziska vai juridiska persona, kas atrodas vai ir iedibināta Savienībā un ir saņēmusi un akceptējusi rakstisku pilnvarojumu no MI sistēmas vai vispārīga lietojuma MI modeļa nodrošinātāja, lai tā vārdā attiecīgi veiktu un pildītu šajā regulā noteiktos pienākumus un procedūras;
6)
“importētājs” ir jebkura fiziska vai juridiska persona, kas atrodas vai ir iedibināta Savienībā un laiž tirgū MI sistēmu ar trešā valstī iedibinātas fiziskas vai juridiskas personas nosaukumu/vārdu vai preču zīmi;
7)
“izplatītājs” ir jebkura fiziska vai juridiska persona piegādes ķēdē, kas nav nodrošinātājs vai importētājs un kas MI sistēmu dara pieejamu Savienības tirgū;
8)
“operators” ir nodrošinātājs, produkta ražotājs, uzturētājs, pilnvarotais pārstāvis, importētājs vai izplatītājs;
9)
“laist tirgū” nozīmē pirmo reizi MI sistēmu vai vispārīga lietojuma MI modeli darīt pieejamu Savienības tirgū;
10)
“darīt pieejamu tirgū” nozīmē, veicot komercdarbību, par samaksu vai par brīvu piegādāt MI sistēmu vai vispārīga lietojuma MI modeli izplatīšanai vai lietošanai Savienības tirgū;
11)
“nodot ekspluatācijā” nozīmē MI sistēmas piegādi pirmajai lietošanai tieši uzturētājam vai pašu lietošanai Savienībā tai paredzētajā nolūkā;
12)
“paredzētais nolūks” ir lietojums, kuram nodrošinātājs ir paredzējis MI sistēmu, arī konkrētais konteksts un lietošanas nosacījumi, kas norādīti nodrošinātāja sniegtajā informācijā, kura iekļauta lietošanas instrukcijā, reklāmas vai pārdošanas materiālos un paziņojumos, kā arī tehniskajā dokumentācijā;
13)
“saprātīgi paredzama nepareiza lietošana” ir MI sistēmas lietošana tādā veidā, kas neatbilst tai paredzētajam nolūkam, bet var rasties no saprātīgi paredzamas cilvēka rīcības vai mijiedarbības ar citām sistēmām, tai skaitā citām MI sistēmām;
▼M1
14)
“drošības sastāvdaļa” ir produkta vai MI sistēmas sastāvdaļa, kura pilda šā produkta vai MI sistēmas drošības funkciju vai kuras atteice vai darbības traucējumi apdraud cilvēku veselību un drošību vai īpašuma drošību; šajā definīcijā sastāvdaļa pilda drošības funkciju, ja tās paredzētais nolūks ir novērst vai mazināt riskus cilvēku veselībai un drošībai vai īpašuma drošībai;
▼M1
14.a)
“mazie un vidējie uzņēmumi” jeb “MVU” ir mikrouzņēmumi un mazie vai vidēji uzņēmumi, kā definēts Komisijas Ieteikuma 2003/361/EK pielikuma 2. pantā;
14.b)
mazs vidējas kapitalizācijas uzņēmums jeb “MVKU” ir mazs vidējas kapitalizācijas uzņēmums, kā definēts Ieteikuma (ES) 2025/1099 pielikuma 2. punktā;
▼B
15)
“lietošanas instrukcija” ir informācija, ko sniedz nodrošinātājs, lai uzturētāju informētu jo īpaši par MI sistēmas paredzēto nolūku un pareizu lietošanu;
16)
“MI sistēmas atsaukšana” ir jebkurš pasākums, kura mērķis ir panākt MI sistēmas, kas ir darīta uzturētājiem pieejama, atpakaļnodošanu nodrošinātājam vai izņemšanu no ekspluatācijas, vai lietošanas atspējošanu;
17)
“MI sistēmas izņemšana” ir katrs pasākums, kura mērķis ir novērst to, ka piegādes ķēdē esoša MI sistēma tiek darīta pieejama tirgū;
18)
“MI sistēmas veiktspēja” ir MI sistēmas spēja sasniegt tai paredzēto nolūku;
19)
“paziņojošā iestāde” ir valsts iestāde, kas atbild par vajadzīgo procedūru izveidi un izpildi atbilstības novērtēšanas struktūru novērtēšanai, izraudzīšanai un paziņošanai, kā arī to pārraudzībai;
20)
“atbilstības novērtēšana” ir process, kurā apliecina, vai ir izpildītas šīs regulas III nodaļas 2. iedaļā noteiktās prasības, kas attiecas uz augsta riska MI sistēmu;
21)
“atbilstības novērtēšanas struktūra” ir struktūra, kas kā trešā persona veic atbilstības novērtēšanas darbības, ieskaitot testēšanu, sertificēšanu un pārbaudi;
22)
“paziņotā struktūra” ir atbilstības novērtēšanas struktūra, kas paziņota saskaņā ar šo regulu un citiem attiecīgajiem Savienības saskaņošanas tiesību aktiem;
23)
“būtiska modifikācija” ir tādas MI sistēmas izmaiņas pēc tās laišanas tirgū vai nodošanas ekspluatācijā, kuras nav paredzētas vai plānotas sākotnējā riska novērtējumā, ko veic nodrošinātājs, un kuru dēļ ir ietekmēta MI sistēmas atbilstība II nodaļas 2. iedaļā noteiktajām prasībām vai kuru dēļ tiek mainīts paredzētais nolūks, attiecībā uz kuru MI sistēma ir novērtēta;
24)
“CE zīme” ir marķējums, ar kuru nodrošinātājs norāda, ka MI sistēma atbilst prasībām, kas paredzētas III nodaļas 2. iedaļā un citos piemērojamos Savienības saskaņošanas tiesību aktos, un kas paredz tās uzlikšanu;
25)
“pēctirgus pārraudzības sistēma” ir visas darbības, ko MI sistēmu nodrošinātāji veic, lai apkopotu un pārskatītu pieredzi, kura gūta, lietojot MI sistēmas, ko tie laiž tirgū vai nodod ekspluatācijā, ar mērķi identificēt vajadzību nekavējoties piemērot nepieciešamās korektīvās vai preventīvās darbības;
26)
“tirgus uzraudzības iestāde” ir valsts iestāde, kas veic darbības un pasākumus, ievērojot Regulu (ES) 2019/1020;
27)
“saskaņots standarts” ir saskaņots standarts, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 1. punkta c) apakšpunktā;
28)
“kopīgā specifikācija” ir tehnisko specifikāciju kopums, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 4. punktā, kas nodrošina līdzekļus dažu šajā regulā noteiktu prasību izpildei;
29)
“apmācības dati” ir dati, ko izmanto MI sistēmas apmācībai, pielāgojot tās apgūstamos parametrus;
30)
“validēšanas dati” ir dati, ko izmanto apmācītās MI sistēmas izvērtēšanai un tās neapgūstamo parametru un mācību procesa pielāgošanai, lai cita starpā novērstu nepietiekamu vai pārmērīgu pielāgošanu;
31)
“validēšanas datu kopa” ir atsevišķa datu kopa vai apmācības datu kopas daļa, kā vai nu fiksēts, vai mainīgs tās sadalījums;
32)
“testēšanas dati” ir dati, ko izmanto, lai nodrošinātu MI sistēmas neatkarīgu izvērtēšanu nolūkā apstiprināt šīs sistēmas sagaidāmo veiktspēju pirms tās laišanas tirgū vai nodošanas ekspluatācijā;
33)
“ievaddati” ir MI sistēmā ievadītie vai tās tieši iegūtie dati, pamatojoties uz kuriem, šī sistēma rada iznākumu;
34)
“biometriskie dati” ir personas dati pēc specifiskas tehniskas apstrādes, kuri attiecas uz fiziskas personas fiziskajām, fizioloģiskajām vai uzvedības pazīmēm, piemēram, sejas attēli vai daktiloskopiskie dati;
35)
“biometriskā identifikācija” ir cilvēka fizisko, fizioloģisko, uzvedības vai psiholoģisko īpašību automatizēta atpazīšana nolūkā noskaidrot fiziskas personas identitāti, salīdzinot minētā indivīda biometriskos datus ar datubāzē glabātiem indivīdu biometriskajiem datiem;
36)
“biometriskā verifikācija” ir automatizēta fizisku personu identitātes verifikācija “viens pret vienu”, tostarp autentifikācija, kas notiek, fiziskas personas biometriskos datus salīdzinot ar iepriekš sniegtiem biometriskajiem datiem;
37)
“īpašu kategoriju personas dati” ir personas datu kategorijas, kas minētas Regulas (ES) 2016/679 9. panta 1. punktā, Direktīvas (ES) 2016/680 10. pantā un Regulas (ES) 2018/1725 10. panta 1. punktā;
38)
“sensitīvi operatīvie dati” ir ar noziedzīgu nodarījumu novēršanas, atklāšanas, izmeklēšanas vai kriminālvajāšanas darbībām saistīti operatīvie dati, kuru izpaušana varētu apdraudēt kriminālprocesa integritāti;
39)
“emociju atpazīšanas sistēma” ir MI sistēma, kuras mērķis ir identificēt vai izsecināt fizisku personu emocijas vai nodomus, pamatojoties uz viņu biometriskajiem datiem;
40)
“biometriskās kategorizācijas sistēma” ir MI sistēma, kuras mērķis ir noteikt fizisku personu piederību konkrētām kategorijām, pamatojoties uz viņu biometriskajiem datiem, ja vien tas nepapildina citus komercpakalpojumus un nav absolūti nepieciešams objektīvu tehnisku iemeslu dēļ;
41)
“biometriskās tālidentifikācijas sistēma” ir MI sistēma, kuras nolūks ir identificēt fiziskas personas bez to aktīvas iesaistīšanas, parasti no attāluma salīdzinot personas biometriskos datus ar atsauces datubāzē esošajiem biometriskajiem datiem;
42)
“reāllaika biometriskās tālidentifikācijas sistēma” ir biometriskās tālidentifikācijas sistēma, kurā biometrisko datu uztveršana, salīdzināšana un identificēšana notiek bez būtiskas aiztures, ieetverot ne tikai tūlītēju identifikāciju, bet arī ierobežotu īslaicīgu aizturi, lai novērstu apiešanu;
43)
“vēlāklaika biometriskās tālidentifikācijas sistēma” ir biometriskās tālidentifikācijas sistēma, kas nav reāllaika biometriskās tālidentifikācijas sistēma;
44)
“publiski piekļūstama vieta” ir jebkura publiskā vai privātā īpašumā esoša fiziska vieta, kas ir piekļūstama nenoteiktam skaitam fizisku personu, neatkarīgi no tā, vai var būt piemērojami daži konkrēti piekļuves nosacījumi, un neatkarīgi no iespējamās kapacitātes ierobežojumiem;
45)
“tiesībaizsardzības iestāde” ir:
a)
publiska iestāde, kuras kompetencē ir novērst, izmeklēt, atklāt noziedzīgus nodarījumus vai saukt pie atbildības par tiem, vai izpildīt kriminālsodus, tostarp pasargāt no draudiem sabiedriskajai drošībai un tos novērst; vai
b)
cita struktūra vai vienība, kurai dalībvalsts tiesībās uzticēts īstenot publisku varu un publiskas pilnvaras ar mērķi novērst, izmeklēt atklāt noziedzīgus nodarījumus vai saukt pie atbildības par tiem, vai izpildīt kriminālsodus, tostarp pasargāt no draudiem sabiedriskajai drošībai un tos novērst;
46)
“tiesībaizsardzība” ir darbības, ko veic tiesībaizsardzības iestādes vai to vārdā, lai novērstu, izmeklētu, atklātu noziedzīgus nodarījumus vai sauktu pie atbildības par tiem, vai izpildītu kriminālsodus, tostarp lai pasargātu no draudiem sabiedriskajai drošībai un tos novērstu;
47)
“MI birojs” ir Komisijas funkcija, ar kuru sniedz ieguldījumu MI sistēmu un vispārīga lietojuma MI modeļu pārvaldības īstenošanā, pārraudzībā un uzraudzībā, ko paredz Komisijas 2024. gada 24. janvāra lēmumu; atsauces uz MI biroju šajā regulā saprot kā atsauces uz Komisiju;
48)
“valsts kompetentā iestāde” ir paziņojošā iestāde vai tirgus uzraudzības iestāde; attiecībā uz MI sistēmām, ko nodod ekspluatācijā vai izmanto Savienības iestādes, aģentūras, biroji un struktūras, atsauces uz valstu kompetentajām iestādēm vai tirgus uzraudzības iestādēm šajā regulā ir atsauces uz Eiropas Datu aizsardzības uzraudzītāju;
49)
“nopietns incidents” ir jebkurš incidents vai MI sistēmas darbības traucējums, kas tieši vai netieši izraisa kādas no šīm sekām:
a)
personas nāve vai nopietns kaitējums personas veselībai;
b)
nopietni un neatgriezeniski kritiskās infrastruktūras pārvaldības vai darbības traucējumi;
c)
Savienības tiesību aktos pamattiesību aizsardzībai paredzēto pienākumu pārkāpums;
d)
nopietns kaitējums īpašumam vai videi;
50)
“personas dati” ir personas dati, kā definēts Regulas (ES) 2016/679 4. panta 1. punktā;
51)
“nepersondati” ir dati, kas nav Regulas (ES) 2016/679 4. panta 1. punktā definētie personas dati;
52)
“profilēšana” ir profilēšana, kā definēts Regulas (ES) 2016/679 4. panta 4. punktā;
53)
“testēšanas reālos apstākļos plāns” ir dokuments, kurā aprakstīti testēšanas mērķi, metodika, ģeogrāfiskais, iedzīvotāju skaita un laika tvērums, pārraudzība, organizācija un veikšana reālos apstākļos;
54)
““smilškastes” plāns” ir dokuments, par kuru vienojušies iesaistītais nodrošinātājs un kompetentā iestāde un kurā aprakstīti smilškastes satvarā veicamo pasākumu mērķi, nosacījumi, laika grafiks, metodika un prasības;
55)
“MI “regulatīvā smilškaste”” ir kontrolēts satvars, ko izveido valsts kompetentā iestāde un kas piedāvā MI sistēmu nodrošinātājiem vai potenciālajiem nodrošinātājiem iespēju izstrādāt, apmācīt, validēt un attiecīgā gadījumā reālos apstākļos testēt inovatīvu MI sistēmu, ievērojot smilškastes plānu uz ierobežotu laiku regulatīvās uzraudzības ietvaros;
56)
“MI pratība” ir prasmes, zināšanas un izpratne, kas nodrošinātājiem, uzturētājiem un skartajām personām dod iespēju, ņemot vērā to tiesības un pienākumus šīs regulas kontekstā, veikt MI sistēmu informētu uzturēšanu, kā arī gūt izpratni par MI iespējām un riskiem un par potenciālo kaitējumu, ko tas var radīt;
57)
“testēšana reālos apstākļos” ir MI sistēmas pagaidu testēšana tai paredzētajam nolūkam reālos apstākļos ārpus laboratorijas vai citādi simulētas vides, lai vāktu uzticamus un robustus datus un novērtētu un verificētu MI sistēmas atbilstību šīs regulas prasībām, un to neuzskata par MI sistēmas laišanu tirgū vai nodošanu ekspluatācijā šīs regulas nozīmē, ar noteikumu, ka ir izpildīti visi 57. vai 60. panta nosacījumi;
58)
“subjekts” saistībā ar testēšanu reālos apstākļos ir fiziska persona, kas piedalās testēšanā reālos apstākļos;
59)
“informēta piekrišana” ir subjekta labprātīgi, konkrēti, nepārprotami un brīvprātīgi pausta gatavība piedalīties konkrētā testēšanā reālos apstākļos pēc tam, kad tas ir saņēmis informāciju par visiem testēšanas aspektiem, kuri ir būtiski subjekta lēmumam tajā piedalīties;
60)
“dziļviltojums” ir MI ģenerēts vai manipulēts attēls, audio vai video saturs, kurš atgādina reālas personas, priekšmetus, vietas, vienības vai notikumus un maldinātu personu, ka attiecīgais saturs ir autentisks vai patiess;
61)
“plašas ietekmes pārkāpums” ir jebkura darbība vai bezdarbība, kas ir pretrunā Savienības tiesību aktiem, kuri aizsargā indivīdu intereses, un kas:
a)
ir kaitējusi vai varētu kaitēt tādu indivīdu kolektīvajām interesēm, kuri dzīvo vismaz divās dalībvalstīs, no kurām neviena nav tā pati dalībvalsts, kurā:
i)
sākusies vai notikusi attiecīgā darbība vai bezdarbība,
ii)
atrodas vai ir iedibināts attiecīgais nodrošinātājs vai, attiecīgā gadījumā, tā pilnvarotais pārstāvis; vai
iii)
ir iedibināts uzturētājs, ja pārkāpumu ir izdarījis uzturētājs;
b)
ir radījusi, rada vai, iespējams, radīs kaitējumu indivīdu kolektīvajām interesēm, un kam ir kopīgas iezīmes, tostarp tā ir viena un tā pati nelikumīgā prakse vai tiek pārkāptas vienas un tās pašas intereses, un ko viens un tas pats operators vienlaikus izdara vismaz trīs dalībvalstīs;
62)
“kritiskā infrastruktūra” ir kritiskā infrastruktūra, kā definēts Direktīvas (ES) 2022/2557 2. panta 4. punktā;
63)
“vispārīga lietojuma MI modelis” ir MI modelis – tostarp, ja šāds MI modelis ir apmācīts ar lielu datu apjomu, izmantojot pašuzraudzību plašā mērogā –, kuram piemīt ievērojams vispārīgums un kurš spēj kompetenti veikt plašu atšķirīgu uzdevumu klāstu neatkarīgi no tā, kādā veidā modelis ir laists tirgū, un kuru var integrēt dažādās lejasposma sistēmās vai lietotnēs, izņemot MI modeļus, ko pirms to laišanas tirgū izmanto pētniecības, izstrādes vai prototipu izstrādes darbībām;
64)
“augstas ietekmes spējas” ir spējas, kas atbilst vai pārsniedz spējas, kuras ir iekļautas modernākajos vispārīga lietojuma MI modeļos;
65)
“sistēmisks risks” ir risks, kas konkrēti piemīt vispārīga lietojuma MI modeļu augstas ietekmes spējām, kam ir būtiska ietekme uz Savienības tirgu to tvēruma dēļ vai faktisku vai saprātīgi paredzamu negatīvu seku dēļ uz sabiedrības veselību, drošumu, sabiedrisko drošību, pamattiesībām vai uz sabiedrību kopumā, un kas var plaši izplatīties visā vērtības ķēdē;
66)
“vispārīga lietojuma MI sistēma” ir MI sistēma, kura ir balstīta uz vispārīga lietojuma MI modeli, un kam ir spējas kalpot dažādiem mērķiem gan saistībā ar tiešo lietojumu, gan integrēšanu citās MI sistēmās;
67)
“peldošā komata operācija” ir jebkura matemātiska darbība vai vērtības piešķiršana, kurā izmanto skaitļus ar peldošo komatu, kas ir reālo skaitļu apakškopa un kurus datoros parasti attēlo kā noteiktas precizitātes veselu skaitli, reizinātu ar veselu skaitli, kurš kāpināts noteiktā veselā pakāpē;
68)
“lejasposma nodrošinātājs” ir MI sistēmas, tostarp vispārīga lietojuma MI sistēmas, kas integrē MI modeli, nodrošinātājs neatkarīgi no tā, vai MI modeli nodrošina pats un to vertikāli integrē, vai to nodrošina cita vienība, pamatojoties uz līgumattiecībām.
|
|
EULAW
|
4. pants Definīcijas
4. pants
Šajā regulā:
1)
“personas dati” ir jebkura informācija, kas attiecas uz identificētu vai identificējamu fizisku personu (“datu subjekts”); identificējama fiziska persona ir tāda, kuru var tieši vai netieši identificēt, jo īpaši atsaucoties uz identifikatoru, piemēram, minētās personas vārdu, uzvārdu, identifikācijas numuru, atrašanās vietas datiem, tiešsaistes identifikatoru vai vienu vai vairākiem minētajai fiziskajai personai raksturīgiem fiziskās, fizioloģiskās, ģenētiskās, garīgās, ekonomiskās, kultūras vai sociālās identitātes faktoriem;
2)
“apstrāde” ir jebkura ar personas datiem vai personas datu kopumiem veikta darbība vai darbību kopums, ko veic ar vai bez automatizētiem līdzekļiem, piemēram, vākšana, reģistrācija, organizēšana, strukturēšana, glabāšana, pielāgošana vai pārveidošana, atgūšana, aplūkošana, izmantošana, izpaušana, nosūtot, izplatot vai citādi darot tos pieejamus, saskaņošana vai kombinēšana, ierobežošana, dzēšana vai iznīcināšana;
3)
“apstrādes ierobežošana” ir uzglabātu personas datu iezīmēšana ar mērķi ierobežot to apstrādi nākotnē;
4)
“profilēšana” ir jebkura veida automatizēta personas datu apstrāde, kas izpaužas kā personas datu izmantošana nolūkā izvērtēt konkrētus ar fizisku personu saistītus personiskus aspektus, jo īpaši analizēt vai prognozēt aspektus saistībā ar minētās fiziskās personas sniegumu darbā, ekonomisko situāciju, veselību, personīgām vēlmēm, interesēm, uzticamību, uzvedību, atrašanās vietu vai pārvietošanos;
5)
“pseidonimizācija” ir personas datu apstrāde, ko veic tādā veidā, lai personas datus vairs nav iespējams saistīt ar konkrētu datu subjektu bez papildu informācijas izmantošanas, ar noteikumu, ka šāda papildu informācija tiek turēta atsevišķi un tai piemēro tehniskus un organizatoriskus pasākumus, lai nodrošinātu, ka personas dati netiek saistīti ar identificētu vai identificējamu fizisku personu;
6)
“kartotēka” ir jebkurš strukturēts personas datu kopums, kas ir pieejams saskaņā ar konkrētiem kritērijiem, neatkarīgi no tā, vai datu kopums ir centralizēts, decentralizēts vai izkliedēts, pamatojoties uz funkcionālu vai ģeogrāfisku motivāciju;
7)
“pārzinis” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kas viena pati vai kopīgi ar citām nosaka personas datu apstrādes nolūkus un līdzekļus; ja šādas apstrādes nolūkus un līdzekļus nosaka ar Savienības vai dalībvalsts tiesību aktiem, pārzini vai tā iecelšanas konkrētos kritērijus var paredzēt Savienības vai dalībvalsts tiesību aktos;
8)
“apstrādātājs” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kura pārziņa vārdā apstrādā personas datus;
9)
“saņēmējs” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai cita struktūra, kurai izpauž personas datus – neatkarīgi no tā, vai tā ir trešā persona vai nav. Tomēr publiskas iestādes, kas var saņemt personas datus saistībā ar konkrētu izmeklēšanu saskaņā ar Savienības vai dalībvalsts tiesību aktiem, netiek uzskatītas par saņēmējiem; minēto datu apstrāde, ko veic minētās publiskās iestādes, atbilst piemērojamiem datu aizsardzības noteikumiem saskaņā ar apstrādes nolūkiem;
10)
“trešā persona” ir fiziska vai juridiska persona, publiska iestāde, aģentūra vai struktūra, kura nav datu subjekts, pārzinis, apstrādātājs un personas, kuras pārziņa vai apstrādātāja tiešā pakļautībā ir pilnvarotas apstrādāt personas datus;
11)
datu subjekta “piekrišana” ir jebkura brīvi sniegta, konkrēta, apzināta un viennozīmīga norāde uz datu subjekta vēlmēm, ar kuru viņš paziņojuma vai skaidri apstiprinošas darbības veidā sniedz piekrišanu savu personas datu apstrādei;
12)
“personas datu aizsardzības pārkāpums” ir drošības pārkāpums, kura rezultātā notiek nejauša vai nelikumīga nosūtīto, uzglabāto vai citādi apstrādāto personas datu iznīcināšana, nozaudēšana, pārveidošana, neatļauta izpaušana vai piekļuve tiem;
13)
“ģenētiskie dati” ir personas dati, kas attiecas uz fiziskas personas pārmantotajām vai iegūtajām ģenētiskajām pazīmēm, sniedz unikālu informāciju par minētās fiziskās personas fizioloģiju vai veselību un kas izriet jo īpaši no attiecīgās fiziskās personas bioloģiskā parauga analīzes;
14)
“biometriskie dati” ir personas dati pēc specifiskas tehniskas apstrādes, kuri attiecas uz fiziskas personas fiziskajām, fizioloģiskajām vai uzvedības pazīmēm, kas ļauj veikt vai apstiprina minētās fiziskās personas unikālu identifikāciju, piemēram, sejas attēli vai daktiloskopijas dati;
15)
“veselības dati” ir personas dati, kas saistīti ar fiziskas personas fizisko vai garīgo veselību, tostarp veselības aprūpes pakalpojumu sniegšanu, un kas atspoguļo informāciju par tās veselības stāvokli;
16)
“galvenā uzņēmējdarbības vieta”:
a)
attiecībā uz pārzini, kura uzņēmējdarbības vietas atrodas vairāk nekā vienā dalībvalstī – tā galvenās pārvaldes atrašanās vieta Savienībā, ja vien lēmumi par personas datu apstrādes nolūkiem un līdzekļiem netiek pieņemti citā pārziņa uzņēmējdarbības vietā Savienībā un ja vien šai citai uzņēmējdarbības vietai nav šādu lēmumu īstenošanas pilnvaru – tādā gadījumā par galveno uzņēmējdarbības vietu uzskata to uzņēmējdarbības vietu, kurā pieņemti šādi lēmumi;
b)
attiecībā uz apstrādātāju, kura uzņēmējdarbības vietas atrodas vairāk nekā vienā dalībvalstī – tā galvenās pārvaldes atrašanās vieta Savienībā, vai, ja apstrādātājam nav galvenās pārvaldes Savienībā, – apstrādātāja uzņēmējdarbības vieta Savienībā, kur notiek galvenās apstrādes darbības saistībā ar apstrādātāja uzņēmējdarbības vietas darbībām, ciktāl uz apstrādātāju attiecas šajā regulā paredzētie konkrētie pienākumi;
17)
“pārstāvis” ir fiziska vai juridiska persona, kura veic uzņēmējdarbību Savienībā un kuru pārzinis vai apstrādātājs ir iecēlis rakstiski saskaņā ar 27. pantu, un kura pārstāv pārzini vai apstrādātāju saistībā ar to attiecīgajiem pienākumiem, kas paredzēti šajā regulā;
18)
“uzņēmums” ir fiziska vai juridiska persona, kas veic saimniecisku darbību, neatkarīgi no tās juridiskā statusa, tostarp partnerības vai apvienības, kas regulāri veic saimniecisku darbību;
19)
“uzņēmumu grupa” ir kontrolējošais uzņēmums un tā kontrolētie uzņēmumi;
20)
“saistošie uzņēmuma noteikumi” ir personas datu aizsardzības vadlīnijas, ko stingri ievēro pārzinis vai apstrādātājs, kas veic uzņēmējdarbību dalībvalsts teritorijā, attiecībā uz personas datu nosūtīšanu vai vairākkārtēju nosūtīšanu pārzinim vai apstrādātājam vienā vai vairākās trešās valstīs uzņēmumu grupā vai uzņēmējsabiedrību grupā, kas iesaistīta kopīgā saimnieciskā darbībā;
21)
“uzraudzības iestāde” ir neatkarīga publiska iestāde, ko dalībvalsts izveidojusi, ievērojot51. pantu;
22)
“attiecīgā uzraudzības iestāde” ir uzraudzības iestāde, uz kuru personas datu apstrāde attiecas tāpēc, ka:
a)
pārzinis vai apstrādātājs veic uzņēmējdarbību minētās uzraudzības iestādes dalībvalsts teritorijā;
b)
apstrāde būtiski ietekmē vai var būtiski ietekmēt datu subjektus, kas dzīvo minētās uzraudzības iestādes dalībvalstī; vai
c)
sūdzība ir iesniegta minētajai uzraudzības iestādei;
23)
“pārrobežu apstrāde” ir vai nu:
a)
personas datu apstrāde, kas notiek saistībā ar darbībām, kuras Savienībā veic pārziņa vai apstrādātāja uzņēmējdarbības vietās vairāk nekā vienā dalībvalstī, ja pārzinis vai apstrādātājs veic uzņēmējdarbību vairāk nekā vienā dalībvalstī; vai
b)
personas datu apstrāde, kas notiek saistībā ar darbībām, kuras Savienībā veic pārziņa vai apstrādātāja vienīgajā uzņēmējdarbības vietā, bet kas būtiski ietekmē vai var būtiski ietekmēt datu subjektus vairāk nekā vienā dalībvalstī;
24)
“būtisks un motivēts iebildums” ir iebildums lēmuma projektam par to, vai šī regula ir pārkāpta, vai par to, vai iecerētā darbība attiecībā uz pārzini vai apstrādātāju atbilst šai regulai, skaidri parādot to risku nozīmīgumu, ko lēmuma projekts rada datu subjektu pamattiesībām un pamatbrīvībām un attiecīgā gadījumā – personas datu brīvai apritei Savienībā;
25)
“informācijas sabiedrības pakalpojums” ir pakalpojums, kā definēts Eiropas Parlamenta un Padomes Direktīvas (ES) 2015/1535 (
1
) 1. panta 1. punkta b) apakšpunktā;
26)
“starptautiska organizācija” ir organizācija un tai pakārtotas struktūras, kas ir starptautisko publisko tiesību subjekti, vai jebkura cita struktūra, kas ir izveidota ar divu vai vairāku valstu nolīgumu vai uz tā pamata.
|
Saistītie uzdevumi
- Secure Controls Framework -
"The SCF is the Common Controls Framework™ (CCF), the world's most comprehensive cybersecurity and data privacy metaframework - it is also free to use. The entire concept is building secure, compliant and resilient capabilities in the most efficient and cost-effective manner possible.
The SCF is more than just a unified control catalog, since its included content creates a playbook for Governance, Risk & Compliance (GRC) capabilities. Used globally by organizations of every size, the SCF is a robust and scalable solution for security, compliance and resilience controls. As a comprehensive security framework, the SCF maps 1,400+ controls across 200+ laws, regulations, and industry frameworks so you can implement once and comply everywhere.
Like it or not, cybersecurity is a protracted war on an asymmetric battlefield, where the threats are everywhere and as defenders we have to make the effort to work together to help improve cybersecurity and data privacy practices, since we all suffer when massive data breaches occur or when cyber attacks have physical impacts. Hackers share information on attack methods with other hackers, so why shouldn’t the good guys share information on how to best protect an organization? We decided to take action and make a difference, since we feel it is too important to wait for someone else to fix the problems that exist.
The SCF is made up of volunteers, mainly specialists within the cybersecurity profession, who focus on GRC and the cybersecurity side of data privacy. These are auditors, engineers, architects, incident responders, consultants and other specialists who live and breathe these topics on a daily basis. The end product is "expert-derived content" that makes up the SCF." https://securecontrolsframework.com/
Terms & Conditions
The SCF End User License Agreement (EULA) governs the use of the Secure Controls Framework® (SCF) under the Creative Commons Attribution-No Derivatives 4.0 International Public License.
|