Минимизируют доступ к PII, маскируют в отчётах, хранят evidence по срокам, проверяют, что subprocessors/облака в scope законны, уведомляют DPO при необходимости. Заказчик подтверждает законность теста своих систем.
Разбор
- Не выгружайте базы «для анализа» без нужды.
- Cross-border данные в evidence.
- Контрактные clauses confidentiality.
- Осторожность с пациентскими/финансовыми данными.
Итог
Pentest подчиняется privacy: minimize, protect, delete evidence.