Richtlinie zur Aufbewahrung, Löschung und Entsorgung personenbezogener Daten

Die Richtlinie zur Aufbewahrung, Löschung und Entsorgung personenbezogener Daten legt die Anforderungen der Organisation für Definition, Prüfung, Ausführung und Nachweisführung zur Aufbewahrung, Löschung, Anonymisierung, De-Identifizierung, Rückgabe, Übermittlung und Entsorgung personenbezogener Daten fest. Ihr zentraler Zweck besteht darin, sicherzustellen, dass personenbezogene Daten nur für genehmigte Zwecke und Zeiträume aufbewahrt, gelöscht oder anderweitig entsorgt werden, wenn sie nicht mehr erforderlich sind, und durch auditbereite Nachweise unterstützt werden. Die Richtlinie gilt für Kontexte als Verantwortlicher, gemeinsam Verantwortlicher, Auftragsverarbeiter und Unterauftragsverarbeiter und berücksichtigt, dass Pflichten zur Aufbewahrung und abschließenden Behandlung aus genehmigten Verarbeitungszwecken, Aufzeichnungen zur Rechtsgrundlage, Weisungen des Verantwortlichen, vertraglichen Anforderungen, Ergebnissen von Löschanträgen betroffener Personen, Servicebeendigung, Entsorgung von Speichermedien und Feststellungen aus dem PIMS-Überwachungsprogramm entstehen können. Die Richtlinie ist operativ ausgerichtet und verlangt, dass die Governance der Aufbewahrung in kanonische PIMS-Nachweisaufzeichnungen eingebettet wird, statt in einem separaten Löschregister geführt zu werden. Verarbeitungstätigkeiten des Verantwortlichen müssen vor Beginn der Verarbeitung eine dokumentierte Aufbewahrungsregel in REG02 zugewiesen haben. Verantwortlichkeiten gemeinsam Verantwortlicher werden in REG02 und REG08 dokumentiert, während Anweisungen zur Aufbewahrung, Rückgabe, Übermittlung und Löschung durch Auftragsverarbeiter und Unterauftragsverarbeiter in REG08 geführt werden. Genehmigte Aufbewahrungsregeln müssen Aufbewahrungsfrist, Startauslöser, Verantwortlichen, Begründung, abschließende Behandlung und nächstes Prüfdatum enthalten. Die Richtlinie verlangt außerdem Beratung durch den Datenschutzbeauftragten (DPO) oder Datenschutzberater vor Genehmigung von Aufbewahrungsregeln, die rechtliche Konflikte, Verarbeitung mit hohem Risiko, besondere Kategorien personenbezogener Daten oder Aufbewahrung über den ursprünglichen Verarbeitungszweck hinaus betreffen. Die Ausführungsanforderungen decken den gesamten Lebenszyklus personenbezogener Daten ab. Der Systemverantwortliche / Anwendungsverantwortliche muss genehmigte Löschung, Rückgabe, Übermittlung, Anonymisierung, De-Identifizierung oder Entsorgung innerhalb des Löschfensters ausführen oder einplanen, das für die anwendbare Aufbewahrungsregel dokumentiert ist. Die Richtlinie unterscheidet Produktivsysteme, Archive, Backup-Kopien, Replikate, Protokolle, Staging-Bereiche und temporäre Dateien und verlangt, dass diese Speicherorte vor der Produktivsetzung und während der jährlichen Aufbewahrungsprüfung in REG02 identifiziert werden. Sie verlangt außerdem, dass Aufbewahrungsfenster für Backups und die Behandlung von Löschungen bei Wiederherstellungen dokumentiert werden und dass abgelaufene Lösch- oder Einschränkungsmaßnahmen erneut auf wiederhergestellte Backup-Daten angewendet werden, bevor die wiederhergestellte Umgebung zur geschäftlichen Nutzung freigegeben wird. Temporäre Dateien und Staging-Kopien, die personenbezogene Daten enthalten, müssen innerhalb der dokumentierten REG02-Frist nach Ende der zugehörigen Verarbeitungsaufgabe gelöscht oder entsorgt werden. Die Richtlinie behandelt außerdem sichere Entsorgung, Anonymisierung, De-Identifizierung, Ausnahmekontrolle und Überwachung. Klassen von Entsorgungsverfahren für Speichermedien, die personenbezogene Daten enthalten oder enthalten können, müssen vor Wiederverwendung, Freigabe, Vernichtung oder externer Entsorgung durch den Sicherheitsverantwortlichen in REG12 genehmigt werden. Anonymisierung oder De-Identifizierung kann als risikomindernde Maßnahme für die Aufbewahrung oder als Ergebnis der abschließenden Behandlung genutzt werden, muss jedoch in REG02 dokumentiert und vom Datenschutzverantwortlichen / PIMS-Manager genehmigt werden, bevor identifizierbare personenbezogene Daten über ihren Zweck oder ihre Aufbewahrungsfrist hinaus aufbewahrt werden. Ausnahmen von genehmigten Aufbewahrungsregeln müssen in REG12 eingereicht und genehmigt werden, bevor sie wirksam werden, mit monatlicher Prüfung bis zum Abschluss. Kennzahlen wie vollständige Aufbewahrungsmetadaten, überfällige Prüfungen, überfällige Lebenszyklusmaßnahmen und überfällige Nachweise zur abschließenden Behandlung werden in definierten Intervallen gemessen, während Nichtkonformitäten, Audit-Feststellungen und Korrekturmaßnahmen mit REG12 verknüpft werden, um kontinuierliche Verbesserung zu unterstützen.