Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα στον Χρηματοοικονομικό Τομέα

Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα στον Χρηματοοικονομικό Τομέα ορίζει απαιτήσεις για την αναγνώριση, αναφορά, αρχική αξιολόγηση, ταξινόμηση, αξιολόγηση, περιορισμό, γνωστοποίηση, τεκμηρίωση, κλείσιμο και βελτίωση σχετικά με περιστατικά που αφορούν δεδομένα προσωπικού χαρακτήρα και παραβιάσεις δεδομένων προσωπικού χαρακτήρα σε πεδία εφαρμογής PIMS του χρηματοοικονομικού τομέα. Εφαρμόζεται όταν ο οργανισμός ενεργεί ως υπεύθυνος επεξεργασίας, από κοινού υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία ή υπεργολάβος επεξεργασίας σε περιβάλλον χρηματοοικονομικού τομέα και καλύπτει επίσης συστήματα, εφαρμογές, υπηρεσίες, διαδικασίες, προμηθευτές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας και τρίτα μέρη που επεξεργάζονται, αποθηκεύουν, μεταδίδουν, υποστηρίζουν, έχουν πρόσβαση ή επηρεάζουν με άλλον τρόπο δεδομένα προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής. Η πολιτική έχει σχεδιαστεί ρητά ως παραλλαγή αντικατάστασης του PII15 για τον χρηματοοικονομικό τομέα και απαιτεί από τους οργανισμούς να επιλέγουν είτε το PII15 είτε το PII15-FS για το ίδιο πεδίο εφαρμογής, ώστε να αποφεύγονται διπλές υποχρεώσεις, μητρώα και εργασίες ελεγκτικών τεκμηρίων. Σκοπός της πολιτικής είναι να διασφαλίζει ότι τα περιστατικά και οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα αντιμετωπίζονται με συνέπεια, έγκαιρα, νόμιμα, με ασφάλεια και με τεκμήρια κατάλληλα για έλεγχο. Το REG10 — Μητρώο Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα καθιερώνεται ως το κύριο αντικείμενο τεκμηρίων, ενώ τα υποστηρικτικά μητρώα συνδέουν την εγγραφή περιστατικού με το ευρύτερο μοντέλο τεκμηρίων του PIMS. Το REG01 χρησιμοποιείται για το πεδίο εφαρμογής, τα ενδιαφερόμενα μέρη, το κλαδικό, πελατειακό, συμβατικό και αναφορικό πλαίσιο. Το REG02 συνδέει τις επηρεαζόμενες δραστηριότητες επεξεργασίας, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, τους σκοπούς επεξεργασίας, τα συστήματα και τις υπηρεσίες. Το REG03 αποτυπώνει τη Δήλωση Εφαρμοσιμότητας και τις επικαιροποιήσεις της εφαρμοσιμότητας ελέγχων, συμπεριλαμβανομένης της αντικατάστασης του PII15 από το PII15-FS. Το REG04 υποστηρίζει τη σύνδεση με τον κίνδυνο ιδιωτικότητας, τη DPIA, τον υπολειπόμενο κίνδυνο και την αντιμετώπιση, ενώ τα REG08, REG09, REG11 και REG12 καλύπτουν διεπαφές τρίτων μερών, διεθνείς διαβιβάσεις, εκπαίδευση και τεκμήρια ελέγχου ή διορθωτικών ενεργειών. Σε επιχειρησιακό επίπεδο, η πολιτική απαιτεί κάθε αναφερόμενο ή εντοπισμένο ύποπτο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα στον χρηματοοικονομικό τομέα να καταγράφεται στο REG10 εντός μίας εργάσιμης ημέρας από τη λήψη του ή νωρίτερα όταν ενδέχεται να ενεργοποιηθούν χρονοδιαγράμματα γνωστοποίησης, ενημέρωσης πελατών ή αναφοράς. Τα περιστατικά πρέπει να ταξινομούνται εντός 24 ωρών από την εισαγωγή τους ως συμβάν που δεν αφορά δεδομένα προσωπικού χαρακτήρα, ύποπτο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα, επιβεβαιωμένο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα, επιβεβαιωμένη παραβίαση δεδομένων προσωπικού χαρακτήρα, περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα στον χρηματοοικονομικό τομέα, μείζον συμβάν στον χρηματοοικονομικό τομέα, σημαντική κυβερνοαπειλή ή καταχώριση με εκκρεμή ταξινόμηση. Η αξιολόγηση παραβίασης πρέπει να λαμβάνει υπόψη τα επηρεαζόμενα δεδομένα προσωπικού χαρακτήρα, τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, τα συστήματα, τις υπηρεσίες, τις δραστηριότητες επεξεργασίας, τους εκτελούντες την επεξεργασία, τους υπεργολάβους επεξεργασίας, τις διαβιβάσεις, τους κινδύνους, τους πελάτες, τους αντισυμβαλλομένους και τις ενέργειες αποκατάστασης. Η πολιτική απαιτεί επίσης διατήρηση τεκμηρίων, περιορισμό εντός καθορισμένων χρονικών πλαισίων, επικύρωση ανάκαμψης και τεκμηριωμένες αποφάσεις κλεισίματος που περιλαμβάνουν ταξινόμηση, απόφαση γνωστοποίησης, κατάσταση περιορισμού, κατάσταση ανάκαμψης, υπολειπόμενο κίνδυνο, διορθωτικές ενέργειες και πληρότητα τεκμηρίων. Η πολιτική διακρίνει τις υποχρεώσεις υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας. Οι υπεύθυνοι επεξεργασίας πρέπει να καταγράφουν αποφάσεις γνωστοποίησης παραβίασης, να προετοιμάζουν τεκμήρια γνωστοποίησης προς την εποπτική αρχή όταν απαιτείται και να ανασκοπούν την επικοινωνία με τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα όταν εντοπίζεται υψηλός κίνδυνος. Οι εκτελούντες την επεξεργασία και οι υπεργολάβοι επεξεργασίας πρέπει να αξιολογούν τις εντολές πελάτη, τις συμβατικές υποχρεώσεις γνωστοποίησης, τις ανάντη αλυσίδες γνωστοποίησης και τις απαιτήσεις δρομολόγησης τεκμηρίων, με τα σχετικά αρχεία να τηρούνται στα REG08 και REG10. Οι αρμοδιότητες από κοινού υπευθύνων επεξεργασίας πρέπει να συντονίζονται και να τεκμηριώνονται πριν από τις εφαρμοστέες προθεσμίες εξωτερικής γνωστοποίησης. Για περιστατικά υψηλού αντικτύπου που αφορούν δεδομένα προσωπικού χαρακτήρα στον χρηματοοικονομικό τομέα και σημαντικές κυβερνοαπειλές, ο Συντονιστής Αντιμετώπισης Περιστατικών πρέπει να αξιολογεί τα εναύσματα αναφοράς στον χρηματοοικονομικό τομέα και να διατηρεί τεκμήρια απόφασης στο REG10. Η διακυβέρνηση, η μέτρηση και η βελτίωση ενσωματώνονται στον κύκλο ζωής της πολιτικής. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να ανασκοπεί τα ανοικτά περιστατικά REG10 τουλάχιστον εβδομαδιαία έως το κλείσιμό τους, και η Ανώτατη Διοίκηση πρέπει να λαμβάνει κλιμάκωση για επιβεβαιωμένα περιστατικά υψηλού αντικτύπου στον χρηματοοικονομικό τομέα, μείζονα περιστατικά ή σημαντικές κυβερνοαπειλές εντός 24 ωρών μετά την ταξινόμηση. Οι μετρικές περιλαμβάνουν μηνιαίες καταμετρήσεις ύποπτων και επιβεβαιωμένων περιστατικών, παραβιάσεων, μειζόνων συμβάντων στον χρηματοοικονομικό τομέα και σημαντικών κυβερνοαπειλών, καθώς και την έγκαιρη γνωστοποίηση παραβιάσεων, την έγκαιρη αναφορά στον χρηματοοικονομικό τομέα, τον περιορισμό, την ανάκαμψη, την επικύρωση αποκατάστασης και την απόδοση απόκρισης τρίτων μερών. Η πολιτική απαιτεί περαιτέρω ετήσια ανασκόπηση, ανασκόπηση μετά το περιστατικό ύστερα από μείζονα συμβάντα, ανασκόπηση από τον Εσωτερικό Έλεγχο, διαχείριση εξαιρέσεων, εφαρμογή μέσω μη συμμορφώσεων REG12 και διορθωτική εκπαίδευση μέσω REG11 όταν προκύπτουν αστοχίες ευαισθητοποίησης ή επικοινωνίας.