Richtlinie zur Richtigkeit und Qualität personenbezogener Daten

Die Richtlinie zur Richtigkeit und Qualität personenbezogener Daten definiert, wie eine Organisation die Richtigkeit, Vollständigkeit, Aktualität, Angemessenheit und Relevanz personenbezogener Daten aufrechterhält, die innerhalb des Privacy Information Management Systems verarbeitet werden. Ihr erklärter Zweck ist sicherzustellen, dass die von der Organisation verwendeten personenbezogenen Daten richtig und für die im PIMS erfassten Verarbeitungszwecke geeignet bleiben und dass unrichtige, unvollständige, veraltete oder bestrittene personenbezogene Daten mithilfe kontrollierter Nachweise berichtigt, synchronisiert oder eskaliert werden. Die Richtlinie gilt in Kontexten als Verantwortlicher, als gemeinsam Verantwortlicher, als Auftragsverarbeiter und als Unterauftragsverarbeiter; dabei werden Pflichten des Verantwortlichen als vorrangig behandelt, während Pflichten von Auftragsverarbeitern oder Unterauftragsverarbeitern gelten, wenn die Organisation Berichtigung, Synchronisierung oder Weisungen zur Datenrichtigkeit des Verantwortlichen unterstützt. Die Richtlinie ist auf praktische operative Kontrollen statt auf ein eigenständiges Datenqualitätsprogramm ausgerichtet. Sie richtet ausdrücklich kein separates Datenqualitätsregister, keine Funktion für Stammdaten-Governance, kein Rahmenwerk für die Qualität von Analysedaten und kein Rahmenwerk für die Qualität von KI-Trainingsdaten ein. Stattdessen integriert sie Anforderungen an Datenrichtigkeit und Qualität in bestehende PIMS-Aufzeichnungen und Workflows. REG02 wird verwendet, um die Verantwortlichkeit für die Datenrichtigkeit, maßgebliche Quelle, Kennzeichnungen von Datensätzen mit hoher Tragweite, Prüffrequenz der Datenrichtigkeit, Methoden zur Prüfung der Datenrichtigkeit, Systemverknüpfungen und Indikatoren für veraltete Daten zu erfassen. REG06 wird für von betroffenen Personen ausgehende Berichtigungsansprüche und akzeptierte Berichtigungseinträge verwendet. REG08 unterstützt Zuweisungen bei gemeinsam Verantwortlichen, Unterstützungspflichten gegenüber Kunden bei Berichtigungen, autorisierte Weisungskanäle, Nachweise zu Auftragsverarbeitern und Unterauftragsverarbeitern, Benachrichtigungen an Empfänger und Bestätigungen nachgelagerter Parteien. REG12 konsolidiert Überwachungsstatus, Lücken, Ausnahmen, Nichtkonformitäten, Korrekturmaßnahmen und Nachweise für die Managementbewertung. Ein zentrales Merkmal der Richtlinie ist das Konzept des Datensatzes mit hoher Tragweite. Die Richtlinie definiert diesen als Datensatz personenbezogener Daten, der genutzt wird, um den Zugang zu einem Service, einem Vertrag, einer Beschäftigungsangelegenheit, einem finanziellen Ergebnis, einem gesundheitsbezogenen Ergebnis, einer Eignungsentscheidung, einer Identitätsentscheidung, einer Risikoentscheidung oder einer anderen Entscheidung zu gewähren, zu verweigern, zu ändern oder wesentlich zu beeinflussen, wenn unrichtige personenbezogene Daten eine betroffene Person wesentlich beeinträchtigen könnten. Diese Datensätze erhalten spezifische Kontrollen: Sie müssen in REG02 klassifiziert werden, bevor die Verarbeitung durch den Verantwortlichen beginnt, und danach jährlich; sie müssen mindestens jährlich geprüft und vor der Nutzung geprüft werden, wenn Prüftermine überfällig sind. Systemverantwortliche müssen vor der Produktivsetzung und innerhalb von 30 Tagen nach einer wesentlichen Systemänderung Indikatoren für veraltete Daten bei Systemdatensätzen mit hoher Tragweite identifizieren. Wenn Probleme mit der Datenrichtigkeit bei hoher Tragweite ungelöst bleiben, wiederkehren oder genehmigte Fälligkeitstermine überschreiten, verlangt die Richtlinie eine Eskalation in REG12 und, soweit erforderlich, an die oberste Leitung. Der Berichtigungs-Workflow verbindet die Bearbeitung von Datenschutzrechten, geschäftliche Validierung und technische Umsetzung. Von betroffenen Personen ausgehende Berichtigungsansprüche werden innerhalb von fünf Geschäftstagen nach Zuweisung in REG06 mit der betroffenen REG02-Verarbeitungstätigkeit verknüpft. Akzeptierte Berichtigungseinträge müssen innerhalb von zwei Geschäftstagen nach Eintritt in die inhaltliche Prüfung sowohl dem Prozessverantwortlichen oder Geschäftsinhaber als auch dem Systemverantwortlichen oder Anwendungsverantwortlichen zugewiesen werden. Der Prozessverantwortliche validiert vorgeschlagene Berichtigungen innerhalb von 10 Geschäftstagen gegen die maßgebliche Quelle, den Verarbeitungszweck und den aktuellen REG02-Datensatz, während der Systemverantwortliche genehmigte Berichtigungen im Quellsystem umsetzt und den Abschluss innerhalb von fünf Geschäftstagen nach Genehmigung oder bis zum genehmigten Fälligkeitstermin in REG06 und REG02 erfasst. Die Richtlinie verlangt außerdem dokumentierte Beratung vor der Ablehnung einer Berichtigung, strittigem Abschluss oder Berichtigungsentscheidungen mit hoher Tragweite und leitet Ergebnisse, die ausschließlich Löschung, Aufbewahrungsbeschränkung oder Entsorgung betreffen, an den zugehörigen Workflow weiter, wenn Berichtigung allein nicht das erforderliche Ergebnis ist. Synchronisierung und Aufsicht werden ebenfalls ausdrücklich behandelt. Vor der Umsetzung einer genehmigten Berichtigung müssen relevante Quellsysteme, verknüpfte Anwendungen, Replikate, Schnittstellen und Berichte in REG02 identifiziert werden. Genehmigte Berichtigungen müssen anschließend über die identifizierten Systeme im Geltungsbereich synchronisiert werden, während Empfänger, Auftragsverarbeiter oder Parteien der Datenweitergabe über REG08 verfolgt werden, wenn nachgelagerte Aktualisierungen erforderlich sind. Vierteljährliche Kennzahlen umfassen den Prozentsatz der REG02-Verarbeitungstätigkeiten mit hoher Tragweite und aktueller Prüfung der Datenrichtigkeit, offene und überfällige Berichtigungseinträge aus REG06 sowie ungelöste Synchronisierungsfehler aus REG08 und REG12. Ausnahmen müssen beantragt, bewertet, auf höchstens 90 Tage befristet und abgeschlossen oder neu bewertet werden. Die Richtlinie wird jährlich und innerhalb von 30 Tagen nach wesentlichen Änderungen an rechtlichen Anforderungen, an der Verarbeitung, an Systemen oder am Geltungsbereich der Zertifizierung überprüft; wesentliche Änderungen werden vor Veröffentlichung durch die oberste Leitung genehmigt.