Politika správy dokumentovaných informací a důkazů PIMS

Politika správy dokumentovaných informací a důkazů PIMS vymezuje povinné požadavky na řízení celého životního cyklu dokumentovaných informací systému řízení informací o soukromí. Její rozsah zahrnuje tvorbu, schvalování, verzování, ochranu, uchovávání, vyhledávání, překlady, stahování a dokládání záznamů PIMS. Politika se vztahuje na politiky PIMS, registry, dokumentovaná schválení, důkazní záznamy, auditní důkazy, záznamy z přezkoumání vedením, důkazy o nápravných opatřeních a řízené překlady používané k prokazování shody PIMS. Je vytvořena pro kontext správce, společného správce, zpracovatele a dílčího zpracovatele, a je proto použitelná napříč rolemi, které organizace může při zpracování PII zastávat. Ústředním prvkem politiky je používání kanonických důkazních objektů PIMS REG01 až REG12 namísto vytváření samostatného registru řízení dokumentů. Politika stanoví, že důkazy o řízení dokumentovaných informací se udržují prostřednictvím těchto důkazních objektů, přičemž REG03 a REG12 se výslovně používají pro použitelnost opatření, audit, neshodu, nápravné opatření a důkazy o zlepšování. Tento přístup má zabránit zbytečné byrokracii v oblasti řízení dokumentů a zároveň zachovat záznamy připravené na audit pro certifikaci, programy ujištění zákazníků a neustálé zlepšování. REG12 se rozsáhle používá pro index dokumentovaných informací, úrovně přístupu, klasifikace citlivosti, stav schválení, historii verzí, žádosti o vyhledání, schválení zpřístupnění, kategorie uchovávání, stav stažení, výjimky a sledování nápravných opatření. Politika stanoví podrobná opatření pro tvorbu, schvalování, verzování a zveřejňování. Před zveřejněním dokumentovaných informací PIMS musí vedoucí ochrany soukromí / manažer PIMS přiřadit v REG12 identifikátor dokumentu, vlastníka, číslo verze, stav schválení, datum účinnosti a datum přezkumu. Vrcholové vedení musí před zveřejněním schválit klíčové politiky PIMS a významné změny politik, zatímco vedoucí ochrany soukromí / manažer PIMS schvaluje šablony důkazů nebo vložené části registrů před jejich provozním použitím. Politika také vyžaduje zaznamenání historie verzí a odůvodnění změny před vydáním a zaznamenání komunikace schválených změn v REG11 do 30 dnů od zveřejnění. Kvalita a dohledatelnost důkazů jsou pojaty jako provozní požadavky, nikoli jako volitelné dokumentační úkoly. Vedoucí ochrany soukromí / manažer PIMS musí definovat konvence pojmenování důkazů, čtvrtletně a před externím auditem sesouladit odkazy na opatření v REG03 se záznamy důkazů k politikám a před sdílením důkazů pro certifikační audit, programy ujištění zákazníků nebo regulační reakci použít schválenou konvenci pro pojmenování exportů. Vlastníci procesů / vlastníci podnikových procesů musí zajistit, aby důkazy o zpracování obsahovaly vlastníka důkazu, datum, odkaz na činnost zpracování, stav rozhodnutí a stav schválení předtím, než se na ně bude spoléhat při auditu. Interní audit / přezkoumávající osoby v oblasti souladu musí při plánovaných auditech nebo přezkumech souladu zaznamenávat mezery v úplnosti, přesnosti nebo dohledatelnosti. Politika dále vymezuje opatření pro přístup, ochranu, vyhledávání, zpřístupnění, uchovávání, stahování, archivaci, likvidaci a vícejazyčné řízení verzí. Omezení přístupu k repozitáři musí být zaznamenána před udělením přístupu a přezkoumávána čtvrtletně; přístup k důkazům PIMS obsahujícím PII musí být před udělením schválen. Zpřístupnění důkazů externím auditorům, zákazníkům, zpracovatelům, správcům, dozorovým orgánům nebo jiným externím stranám vyžaduje zaznamenání schválení a rozsahu zpřístupnění. Zastaralé verze musí být staženy ve stanovených lhůtách, předchozí schválené verze politik musí být uchovány a archivace nebo výmaz nesmí proběhnout, dokud nebyly ověřeny závislosti na auditním pozastavení, pozastavení mazání, vyšetřování incidentu nebo nápravném opatření. Metriky, ošetření výjimek, prosazování požadavků a požadavky na každoroční přezkum zajišťují, že dokumentované informace zůstávají aktuální, vyhledatelné, chráněné a sladěné s potřebami shody PIMS.