Richtlinie zur Erhebung, Nutzung, Offenlegung und Weitergabe personenbezogener Daten

Die Richtlinie zur Erhebung, Nutzung, Offenlegung und Weitergabe personenbezogener Daten definiert operative Anforderungen dafür, wie personenbezogene Daten innerhalb des PIMS-Geltungsbereichs erhoben, genutzt, offengelegt und weitergegeben werden. Ihr erklärter Zweck ist sicherzustellen, dass personenbezogene Daten nur für dokumentierte, genehmigte, begrenzte und rechenschaftspflichtige Zwecke gehandhabt werden. Die Richtlinie gilt für Kontexte als Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter und Unterauftragsverarbeiter und umfasst die Erhebung über direkte, indirekte, automatisierte, manuelle, interne, externe und Drittparteien-Kanäle. Sie behandelt außerdem die genehmigte interne Nutzung durch Geschäftsprozesse, Systeme und Anwendungen, Sekundärnutzung für neue oder wesentlich geänderte Zwecke, externe Offenlegung gegenüber Empfängern und Drittparteien sowie sowohl wiederkehrende Datenweitergabevereinbarungen als auch einmalige Offenlegungen. Ein zentrales Merkmal der Richtlinie ist die Nutzung von Nachweisregistern, um Datenschutzentscheidungen mit auditierbaren Aufzeichnungen zu verbinden. REG02 wird für das Verarbeitungsinventar personenbezogener Daten, genehmigte Zwecke, Erhebungsregeln, Nutzungsregeln und Vereinbarkeitsprüfungen für Sekundärnutzung verwendet. REG08 wird für Aufzeichnungen zu Auftragsverarbeitern, Unterauftragsverarbeitern und Datenweitergabe verwendet, einschließlich der Identität des Empfängers, Rolle des Empfängers, Offenlegungszweck, Kategorien personenbezogener Daten, Häufigkeit der Weitergabe, Verarbeitungsort und maßgebliche Quelle. REG09 wird verwendet, wenn die Weitergabe ein neues Land, eine internationale Organisation, einen Remote-Zugriffsort, einen Empfängerort oder einen Ort der Weiterübermittlung betrifft. REG12 wird für Ausnahmen, Nichtkonformitäten, Audit-Feststellungen, Korrekturmaßnahmen, blockierende Umsetzungsprobleme und Aufzeichnungen zur Richtlinienüberprüfung verwendet. Die Richtlinie legt klare Kontrollpunkte fest, bevor die Verarbeitung beginnt. Prozessverantwortliche oder Geschäftsinhaber müssen Erhebungszwecke, Quellen oder Kanäle, Kategorien personenbezogener Daten, Kategorien betroffener Personen und minimale Datenelemente in REG02 aufzeichnen, bevor eine neue Erhebung oder wesentliche Änderung beginnt. Außerdem müssen sie vor der Erhebung eine Begründung der Erforderlichkeit für jedes Datenelement personenbezogener Daten dokumentieren. Systemverantwortliche oder Anwendungsverantwortliche dürfen nur genehmigte Erhebungsfelder, Workflow-Felder, Berichte, Exporte oder Offenlegungsausgaben umsetzen, die mit der REG02- oder REG08-Genehmigung übereinstimmen. In Kontexten als Auftragsverarbeiter muss die Ausrichtung an Kundenweisungen aufgezeichnet werden, bevor personenbezogene Daten von Kunden erhoben, genutzt oder offengelegt werden. Sekundärnutzung wird als gesteuerte Entscheidung behandelt und nicht als informelle Erweiterung einer bestehenden Tätigkeit. Bevor personenbezogene Daten für einen Zweck genutzt werden, der in REG02 noch nicht genehmigt ist, muss der Prozessverantwortliche oder Geschäftsinhaber eine Vereinbarkeitsprüfung aufzeichnen, die den ursprünglichen Zweck, den vorgeschlagenen Zweck, die Abhängigkeit von der Rechtsgrundlage, Kategorien personenbezogener Daten, Erwartungen betroffener Personen, Begründung der Datenminimierung, Auswirkungen auf die Offenlegung oder Übermittlung und erforderliches Routing zu anderen PIMS-Richtlinien abdeckt. Der Datenschutzverantwortliche oder PIMS-Manager muss eine Genehmigung oder Ablehnung aufzeichnen, bevor die Sekundärnutzung beginnt. Wenn sensible wiederkehrende Weitergaben, schutzbedürftige betroffene Personen, Datensätze mit hoher Tragweite oder wesentlich geänderte Erwartungen betroffen sind, muss vor der Genehmigung die Beratung durch den Datenschutzbeauftragten (DPO) oder Datenschutzberater aufgezeichnet werden. Governance, Messung und Durchsetzung sind in die Richtlinie integriert. Der Datenschutzverantwortliche oder PIMS-Manager überprüft genehmigte Nutzungsregeln mindestens jährlich, gleicht genehmigte REG02-Zwecke mindestens jährlich mit aktiven REG08-Weitergabeaufzeichnungen ab und zeichnet Ergebnisse in REG12 auf. Verantwortliche für Lieferanten oder Beschaffung gleichen aktive REG08-Weitergabeeinträge mindestens quartalsweise mit aktiven Beziehungen zu Auftragsverarbeitern, Unterauftragsverarbeitern, Empfängern und Datenweitergaben ab. Das interne Audit oder Compliance-Prüfer nehmen jährlich Stichproben aus REG02-, REG08- und REG09-Nachweisen und zeichnen Ergebnisse in REG12 auf. Nicht genehmigte Erhebung, Nutzung, Offenlegung oder Weitergabe muss innerhalb von fünf Geschäftstagen als Nichtkonformität aufgezeichnet werden; die Verarbeitung kann innerhalb eines Geschäftstages ausgesetzt werden, wenn genehmigte Nachweise fehlen.