Πολιτική του Εκτελούντος την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα σε Περιβάλλον Νέφους

Η Πολιτική του Εκτελούντος την Επεξεργασία Δεδομένων Προσωπικού Χαρακτήρα σε Περιβάλλον Νέφους καθορίζει υποχρεωτικές απαιτήσεις ιδιωτικότητας για υπηρεσίες νέφους όπου ο οργανισμός ενεργεί ως εκτελών την επεξεργασία δεδομένων προσωπικού χαρακτήρα ή υπεργολάβος επεξεργασίας. Το πεδίο εφαρμογής της περιλαμβάνει SaaS, PaaS, IaaS, φιλοξενούμενες εφαρμογές, διαχειριζόμενο περιβάλλον νέφους, υποστήριξη νέφους, αποθήκευση νέφους, analytics νέφους και υπηρεσίες υποδομής νέφους που επεξεργάζονται δεδομένα προσωπικού χαρακτήρα για λογαριασμό πελατών. Η πολιτική έχει σχεδιαστεί ώστε η επεξεργασία σε περιβάλλον νέφους να παραμένει ευθυγραμμισμένη με τεκμηριωμένες συμφωνίες πελατών, εντολές πελάτη, εντολές ανάντη εκτελούντος την επεξεργασία, ρυθμίσεις υπεργολάβων επεξεργασίας, διαμόρφωση περιοχής νέφους, πρόσβαση υποστήριξης νέφους, διαχείριση υπηρεσιών, αντίγραφα ασφαλείας, αναπαραγωγή, καταγραφή, παρακολούθηση, διαγραφή, επιστροφή, υποστήριξη σε περίπτωση παραβίασης, υποστήριξη ελέγχου και υποχρεώσεις συνδρομής προς τον πελάτη. Κεντρικός σκοπός της πολιτικής είναι ο έλεγχος βάσει τεκμηρίων. Πριν από την ένταξη πελάτη ή ουσιώδη αλλαγή υπηρεσίας, ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να καταγράφει κάθε υπηρεσία επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε περιβάλλον νέφους, ρόλο επεξεργασίας, πηγή εντολών πελάτη, κατηγορίες δεδομένων προσωπικού χαρακτήρα, κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, σκοπό υπηρεσίας, τοποθεσία επεξεργασίας, εξάρτηση από υπεργολάβο επεξεργασίας, εξάρτηση διαγραφής και ένδειξη διαβίβασης στα REG02 και REG08. Η πολιτική απαιτεί επίσης η εφαρμοσιμότητα ελέγχων του εκτελούντος την επεξεργασία σε περιβάλλον νέφους να καταγράφεται στο REG03, η δρομολόγηση διαβιβάσεων και τοποθεσιών να αποτυπώνεται στο REG09 όπου απαιτείται, τα περιστατικά που αφορούν δεδομένα προσωπικού χαρακτήρα σε περιβάλλον νέφους να διαχειρίζονται μέσω του REG10, και η παρακολούθηση, οι εξαιρέσεις, οι διαφορές, τα αποτελέσματα επικύρωσης και οι διορθωτικές ενέργειες να διαχειρίζονται μέσω του REG12. Με αυτόν τον τρόπο οι υποχρεώσεις του εκτελούντος την επεξεργασία σε περιβάλλον νέφους ενσωματώνονται στο υφιστάμενο σύνολο πολιτικών PIMS και αποφεύγεται η δημιουργία χωριστών μητρώων για συμβάσεις, υπηρεσίες, απομόνωση μισθωτών, πρόσβαση, αρχεία καταγραφής, διαγραφή, υποστήριξη, ελέγχους, παραβιάσεις ή υπεργολάβους επεξεργασίας. Η πολιτική θέτει πρακτικές απαιτήσεις σε όλο τον κύκλο ζωής των υπηρεσιών νέφους. Απαιτεί τεκμηριωμένες εντολές πελάτη ή εντολές ανάντη εκτελούντος την επεξεργασία πριν από την έναρξη της επεξεργασίας, ανασκόπηση εντολών που φαίνονται ασύμβατες με υποχρεώσεις ή με το εγκεκριμένο πεδίο υπηρεσίας, και έγκριση πριν από οποιαδήποτε επεξεργασία δεδομένων προσωπικού χαρακτήρα πελάτη εκτός των τεκμηριωμένων εντολών. Αντιμετωπίζει επίσης τη διαμόρφωση νέφους και τα τεκμήρια ασφάλειας, απαιτώντας όρια κοινής ευθύνης, επικύρωση απομόνωσης μισθωτών, ελεγχόμενη διαχειριστική πρόσβαση, τριμηνιαία ανασκόπηση προνομιούχας πρόσβασης και κάλυψης καταγραφής, διαχωρισμό περιβαλλόντων, καθώς και καταγεγραμμένες τοποθεσίες αντιγράφων ασφαλείας, αναπαραγωγής, αποθήκευσης αρχείων καταγραφής και πρόσβασης υποστήριξης. Οι απαιτήσεις αυτές συνδέονται σκόπιμα με τους υφιστάμενους ελέγχους ασφάλειας δεδομένων προσωπικού χαρακτήρα, αντί να αντικαθιστούν την ευρύτερη Πολιτική Ασφάλειας και Ελέγχου Πρόσβασης Δεδομένων Προσωπικού Χαρακτήρα. Η διακυβέρνηση των υπεργολάβων επεξεργασίας και της εφοδιαστικής αλυσίδας νέφους αντιμετωπίζεται ως βασική υποχρέωση του εκτελούντος την επεξεργασία. Ο Υπεύθυνος Προμηθευτών / Προμηθειών πρέπει να καταγράφει υπεργολάβους επεξεργασίας σε περιβάλλον νέφους, παρόχους υποδομής, παρόχους φιλοξενίας, παρόχους διαχειριζόμενων υπηρεσιών, παρόχους υποστήριξης και άλλες ουσιώδεις εξαρτήσεις από υπηρεσίες νέφους πριν από τη χρήση. Η πολιτική απαιτεί τεκμήρια έγκρισης πελάτη ή τεκμηριωμένης βάσης έγκρισης, μετακυλιόμενες υποχρεώσεις για ιδιωτικότητα, ασφάλεια, συνδρομή, περιστατικά, επιστροφή, διαγραφή, υποστήριξη ελέγχου και διαβιβάσεις, καθώς και αρχεία τοποθεσιών υπηρεσιών, τοποθεσιών απομακρυσμένης υποστήριξης, περιοχών φιλοξενίας και δρομολόγησης περαιτέρω διαβίβασης. Απαιτεί επίσης κοινοποίηση στους πελάτες για προβλεπόμενες αλλαγές υπεργολάβων επεξεργασίας σε περιβάλλον νέφους εντός της συμβατικά απαιτούμενης προθεσμίας ειδοποίησης και τουλάχιστον ετήσια ανασκόπηση ενεργών αρχείων υπεργολάβων επεξεργασίας και εξαρτήσεων νέφους. Η πολιτική καλύπτει επίσης τη συνδρομή προς τον πελάτη, την υποστήριξη ελέγχου, τη διεπαφή παραβίασης, τη διαγραφή και την έξοδο. Οι υποχρεώσεις συνδρομής προς τον πελάτη για αιτήματα άσκησης δικαιωμάτων, διαγραφή, διόρθωση, περιορισμό, πρόσβαση, έλεγχο, υποστήριξη DPIA και υποστήριξη σε περίπτωση παραβίασης πρέπει να καταγράφονται πριν από την εκτέλεση της σύμβασης ή την ενεργοποίηση της υπηρεσίας. Η υποστήριξη δικαιωμάτων που ζητείται από πελάτη πρέπει να ολοκληρώνεται εντός του συμφωνημένου με τον πελάτη χρονικού πλαισίου, τα αιτήματα υποστήριξης DPIA ή αξιολόγησης που είναι σημαντικά για την ιδιωτικότητα πρέπει να ανασκοπούνται εντός δέκα εργάσιμων ημερών, και τα εκπρόθεσμα ή αμφισβητούμενα αιτήματα συνδρομής πρέπει να παρακολουθούνται. Για την έξοδο, η πολιτική απαιτεί τεκμήρια δυνατότητας εξαγωγής, επιστροφής, διαβίβασης ή διαγραφής πριν από την ένταξη ή ουσιώδη αλλαγή υπηρεσίας, ολοκλήρωση εντός των συμφωνημένων με τον πελάτη χρονικών πλαισίων, συμπερίληψη ενεργών συστημάτων, αντιγράφων ασφαλείας, αντιγράφων αναπαραγωγής, αρχείων καταγραφής, προσωρινών αρχείων, περιβαλλόντων σταδιοποίησης και αντιγράφων υποστήριξης, καθώς και χειρισμό μη συμμόρφωσης όταν οι υποχρεώσεις δεν μπορούν να ολοκληρωθούν εγκαίρως. Η διακυβέρνηση ενισχύεται μέσω τριμηνιαίων ανασκοπήσεων πληρότητας τεκμηρίων, ετήσιων ανασκοπήσεων πολιτικής και υπεργολάβων επεξεργασίας, δειγματοληψίας ελέγχου, μετρικών, ενεργειών εφαρμογής και έγκρισης από την Ανώτατη Διοίκηση για ουσιώδεις εξαιρέσεις και αναθεωρήσεις.