Πολιτική Ακρίβειας και Ποιότητας Δεδομένων Προσωπικού Χαρακτήρα

Η Πολιτική Ακρίβειας και Ποιότητας Δεδομένων Προσωπικού Χαρακτήρα ορίζει πώς ένας οργανισμός διατηρεί την ακρίβεια, την πληρότητα, την επικαιρότητα, την επάρκεια και τη συνάφεια των προσωπικά αναγνωρίσιμων πληροφοριών που υποβάλλονται σε επεξεργασία εντός του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας. Ο δηλωμένος σκοπός της είναι να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα που χρησιμοποιεί ο οργανισμός παραμένουν ακριβή και κατάλληλα για τους σκοπούς επεξεργασίας που καταγράφονται στο PIMS, και ότι ανακριβή, ελλιπή, παρωχημένα ή αμφισβητούμενα δεδομένα προσωπικού χαρακτήρα διορθώνονται, συγχρονίζονται ή κλιμακώνονται με χρήση ελεγχόμενων τεκμηρίων. Η πολιτική εφαρμόζεται σε πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, με τις υποχρεώσεις του υπευθύνου επεξεργασίας να αντιμετωπίζονται ως πρωτεύουσες και τις υποχρεώσεις του εκτελούντος την επεξεργασία ή του υπεργολάβου επεξεργασίας να εφαρμόζονται όταν ο οργανισμός υποστηρίζει οδηγίες διόρθωσης, συγχρονισμού ή σχετικές με την ακρίβεια από τον υπεύθυνο επεξεργασίας. Η πολιτική δομείται γύρω από πρακτικούς επιχειρησιακούς ελέγχους και όχι ως αυτοτελές πρόγραμμα ποιότητας δεδομένων. Ρητά δεν δημιουργεί χωριστό μητρώο ποιότητας δεδομένων, λειτουργία διακυβέρνησης κύριων δεδομένων, πλαίσιο ποιότητας δεδομένων αναλυτικών ή πλαίσιο ποιότητας δεδομένων εκπαίδευσης τεχνητής νοημοσύνης. Αντίθετα, ενσωματώνει τις απαιτήσεις ακρίβειας και ποιότητας στα υφιστάμενα αρχεία και στις ροές εργασίας του PIMS. Το REG02 χρησιμοποιείται για την καταγραφή της υπεύθυνης ιδιοκτησίας ακρίβειας, της έγκυρης πηγής, των επισημάνσεων εγγραφών υψηλού αντικτύπου, της συχνότητας ανασκόπησης ακρίβειας, των μεθόδων ελέγχου ακρίβειας, των διασυνδέσεων συστημάτων και των δεικτών παρωχημένων δεδομένων. Το REG06 χρησιμοποιείται για ισχυρισμούς διόρθωσης που προέρχονται από υποκείμενο των δεδομένων προσωπικού χαρακτήρα και για αποδεκτά στοιχεία διόρθωσης. Το REG08 υποστηρίζει κατανομές μεταξύ από κοινού υπευθύνων επεξεργασίας, υποχρεώσεις υποστήριξης διόρθωσης πελατών, εγκεκριμένους διαύλους εντολών, τεκμήρια εκτελούντων την επεξεργασία και υπεργολάβων επεξεργασίας, γνωστοποιήσεις αποδεκτών και κατάντη επιβεβαιώσεις. Το REG12 ενοποιεί την κατάσταση παρακολούθησης, τα κενά, τις εξαιρέσεις, τις μη συμμορφώσεις, τις διορθωτικές ενέργειες και τα τεκμήρια ανασκόπησης της Διοίκησης. Κεντρικό χαρακτηριστικό της πολιτικής είναι η έννοια της εγγραφής υψηλού αντικτύπου. Η πολιτική την ορίζει ως εγγραφή δεδομένων προσωπικού χαρακτήρα που χρησιμοποιείται για τη χορήγηση, άρνηση, τροποποίηση ή ουσιώδη επίδραση στην πρόσβαση σε υπηρεσία, σύμβαση, ζήτημα απασχόλησης, χρηματοοικονομικό αποτέλεσμα, αποτέλεσμα σχετικό με την υγεία, απόφαση επιλεξιμότητας, απόφαση ταυτότητας, απόφαση κινδύνου ή άλλη απόφαση όπου ανακριβή δεδομένα προσωπικού χαρακτήρα θα μπορούσαν να επηρεάσουν ουσιωδώς ένα υποκείμενο των δεδομένων προσωπικού χαρακτήρα. Οι εγγραφές αυτές υπόκεινται σε ειδικούς ελέγχους: πρέπει να ταξινομούνται στο REG02 πριν από την έναρξη της επεξεργασίας από τον υπεύθυνο επεξεργασίας και ετησίως στη συνέχεια, να ανασκοπούνται τουλάχιστον ετησίως και να ελέγχονται πριν από τη χρήση τους όταν οι ημερομηνίες ανασκόπησης έχουν παρέλθει. Οι Ιδιοκτήτες Συστημάτων πρέπει να προσδιορίζουν δείκτες παρωχημένων δεδομένων για εγγραφές συστημάτων υψηλού αντικτύπου πριν από τη θέση σε λειτουργία και εντός 30 ημερών από ουσιώδη αλλαγή συστήματος. Όταν ζητήματα ακρίβειας υψηλού αντικτύπου παραμένουν ανεπίλυτα, επαναλαμβάνονται ή υπερβαίνουν εγκεκριμένες καταληκτικές ημερομηνίες, η πολιτική απαιτεί κλιμάκωση στο REG12 και, όπου απαιτείται, στην Ανώτατη Διοίκηση. Η ροή εργασίας διόρθωσης συνδέει τη διαχείριση δικαιωμάτων ιδιωτικότητας, την επιχειρησιακή επικύρωση και την τεχνική υλοποίηση. Ισχυρισμοί διόρθωσης που προέρχονται από υποκείμενο των δεδομένων προσωπικού χαρακτήρα συνδέονται από το REG06 με την επηρεαζόμενη δραστηριότητα επεξεργασίας του REG02 εντός πέντε εργάσιμων ημερών από την ανάθεση. Τα αποδεκτά στοιχεία διόρθωσης πρέπει να ανατίθενται τόσο στον Ιδιοκτήτη Διεργασίας ή στον Ιδιοκτήτη Επιχείρησης όσο και στον Ιδιοκτήτη Συστήματος ή στον Ιδιοκτήτη Εφαρμογής εντός δύο εργάσιμων ημερών από την έναρξη της ουσιαστικής ανασκόπησης. Ο Ιδιοκτήτης Διεργασίας επικυρώνει τις προτεινόμενες διορθώσεις έναντι της έγκυρης πηγής, του σκοπού επεξεργασίας και της τρέχουσας εγγραφής REG02 εντός 10 εργάσιμων ημερών, ενώ ο Ιδιοκτήτης Συστήματος υλοποιεί τις εγκεκριμένες διορθώσεις στο σύστημα πηγής και καταγράφει την ολοκλήρωση στο REG06 και στο REG02 εντός πέντε εργάσιμων ημερών από την έγκριση ή έως την εγκεκριμένη καταληκτική ημερομηνία. Η πολιτική απαιτεί επίσης τεκμηριωμένη συμβουλή πριν από άρνηση διόρθωσης, κλείσιμο αμφισβητούμενης υπόθεσης ή αποφάσεις διόρθωσης υψηλού αντικτύπου, και δρομολογεί αποτελέσματα που αφορούν διαγραφή, περιορισμό διατήρησης, διαγραφή ή μόνο διάθεση στη σχετική ροή εργασίας όταν η διόρθωση από μόνη της δεν αποτελεί το απαιτούμενο αποτέλεσμα. Ο συγχρονισμός και η εποπτεία αντιμετωπίζονται επίσης ρητά. Πριν από την υλοποίηση εγκεκριμένης διόρθωσης, τα σχετικά συστήματα πηγής, οι συνδεδεμένες εφαρμογές, τα αντίγραφα, οι διεπαφές και οι αναφορές πρέπει να προσδιορίζονται στο REG02. Οι εγκεκριμένες διορθώσεις πρέπει στη συνέχεια να συγχρονίζονται σε όλα τα προσδιορισμένα εντός πεδίου εφαρμογής συστήματα, ενώ οι αποδέκτες, οι εκτελούντες την επεξεργασία ή τα μέρη κοινοχρησίας δεδομένων παρακολουθούνται μέσω του REG08 όταν απαιτούνται κατάντη επικαιροποιήσεις. Οι τριμηνιαίες μετρικές περιλαμβάνουν το ποσοστό δραστηριοτήτων επεξεργασίας REG02 υψηλού αντικτύπου με τρέχουσα ανασκόπηση ακρίβειας, ανοικτά και εκπρόθεσμα στοιχεία διόρθωσης από το REG06, και ανεπίλυτες αστοχίες συγχρονισμού από το REG08 και το REG12. Οι εξαιρέσεις πρέπει να ζητούνται, να αξιολογούνται, να περιορίζονται χρονικά σε όχι περισσότερες από 90 ημέρες και να κλείνουν ή να επαναξιολογούνται. Η πολιτική ανασκοπείται ετησίως και εντός 30 ημερών από ουσιώδη νομική αλλαγή, αλλαγή επεξεργασίας, συστήματος ή πεδίου εφαρμογής πιστοποίησης, με τις ουσιώδεις αλλαγές να εγκρίνονται από την Ανώτατη Διοίκηση πριν από τη δημοσίευση.