Πολιτική Συλλογής, Χρήσης, Κοινολόγησης και Κοινοχρησίας Δεδομένων Προσωπικού Χαρακτήρα

Η Πολιτική Συλλογής, Χρήσης, Κοινολόγησης και Κοινοχρησίας Δεδομένων Προσωπικού Χαρακτήρα ορίζει τις επιχειρησιακές απαιτήσεις για τον τρόπο με τον οποίο οι προσωπικά αναγνωρίσιμες πληροφορίες συλλέγονται, χρησιμοποιούνται, κοινολογούνται και κοινοχρησιμοποιούνται εντός του πεδίου εφαρμογής του PIMS. Ο δηλωμένος σκοπός της είναι να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα χειρίζονται μόνο για τεκμηριωμένους, εγκεκριμένους, περιορισμένους και λογοδοτούμενους σκοπούς. Η πολιτική εφαρμόζεται σε πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, και καλύπτει τη συλλογή μέσω άμεσων, έμμεσων, αυτοματοποιημένων, χειροκίνητων, εσωτερικών και εξωτερικών διαύλων και διαύλων τρίτων μερών. Καλύπτει επίσης την εγκεκριμένη εσωτερική χρήση από επιχειρησιακές διαδικασίες, συστήματα και εφαρμογές, τη δευτερογενή χρήση για νέους ή ουσιωδώς μεταβλημένους σκοπούς, την εξωτερική κοινολόγηση σε αποδέκτες και τρίτα μέρη, καθώς και τόσο τις επαναλαμβανόμενες ρυθμίσεις κοινοχρησίας δεδομένων όσο και τις εφάπαξ κοινολογήσεις. Κεντρικό χαρακτηριστικό της πολιτικής είναι η χρήση μητρώων τεκμηρίων για τη σύνδεση των αποφάσεων ιδιωτικότητας με ελέγξιμα αρχεία. Το REG02 χρησιμοποιείται για την απογραφή επεξεργασίας δεδομένων προσωπικού χαρακτήρα, τους εγκεκριμένους σκοπούς, τους κανόνες συλλογής, τους κανόνες χρήσης και τους ελέγχους συμβατότητας δευτερογενούς χρήσης. Το REG08 χρησιμοποιείται για αρχεία εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας και κοινοχρησίας δεδομένων, συμπεριλαμβανομένης της ταυτότητας του αποδέκτη, του ρόλου του αποδέκτη, του σκοπού κοινολόγησης, των κατηγοριών δεδομένων προσωπικού χαρακτήρα, της συχνότητας κοινοχρησίας, της τοποθεσίας επεξεργασίας και της πηγής αρμοδιότητας. Το REG09 χρησιμοποιείται όταν η κοινοχρησία αφορά νέα χώρα, διεθνή οργανισμό, τοποθεσία απομακρυσμένης πρόσβασης, τοποθεσία του αποδέκτη ή τοποθεσία περαιτέρω διαβίβασης. Το REG12 χρησιμοποιείται για εξαιρέσεις, μη συμμορφώσεις, ευρήματα ελέγχου, διορθωτικές ενέργειες, ζητήματα που εμποδίζουν την υλοποίηση και αρχεία ανασκόπησης πολιτικής. Η πολιτική θέτει σαφή σημεία ελέγχου πριν από την έναρξη της επεξεργασίας. Οι Ιδιοκτήτες Διεργασιών ή οι Ιδιοκτήτες Επιχειρησιακών Διεργασιών πρέπει να καταγράφουν στο REG02 τους σκοπούς συλλογής, τις πηγές ή τους διαύλους, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα και τα ελάχιστα στοιχεία δεδομένων πριν από την έναρξη νέας συλλογής ή ουσιώδους αλλαγής. Πρέπει επίσης να τεκμηριώνουν αιτιολόγηση αναγκαιότητας για κάθε στοιχείο δεδομένων προσωπικού χαρακτήρα πριν από τη συλλογή. Οι Ιδιοκτήτες Συστημάτων ή οι Ιδιοκτήτες Εφαρμογών μπορούν να υλοποιούν μόνο εγκεκριμένα πεδία συλλογής, πεδία ροής εργασίας, αναφορές, εξαγωγές ή αποτελέσματα κοινολόγησης που αντιστοιχούν σε έγκριση REG02 ή REG08. Σε πλαίσια εκτελούντος την επεξεργασία, η ευθυγράμμιση με την εντολή πελάτη πρέπει να καταγράφεται πριν από τη συλλογή, χρήση ή κοινολόγηση δεδομένων προσωπικού χαρακτήρα πελάτη. Η δευτερογενής χρήση αντιμετωπίζεται ως ελεγχόμενη απόφαση διακυβέρνησης και όχι ως άτυπη επέκταση υφιστάμενης δραστηριότητας. Πριν από τη χρήση δεδομένων προσωπικού χαρακτήρα για σκοπό που δεν έχει ήδη εγκριθεί στο REG02, ο Ιδιοκτήτης Διεργασίας ή ο Ιδιοκτήτης Επιχειρησιακής Διεργασίας πρέπει να καταγράφει έλεγχο συμβατότητας που καλύπτει τον αρχικό σκοπό, τον προτεινόμενο σκοπό, την εξάρτηση από τη νομική βάση, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις προσδοκίες των υποκειμένων των δεδομένων προσωπικού χαρακτήρα, την αιτιολόγηση ελαχιστοποίησης, τον αντίκτυπο κοινολόγησης ή διαβίβασης και τη δρομολόγηση σε άλλες πολιτικές PIMS όπου απαιτείται. Ο Επικεφαλής Ιδιωτικότητας ή ο Υπεύθυνος PIMS πρέπει να καταγράφει έγκριση ή απόρριψη πριν από την έναρξη της δευτερογενούς χρήσης. Όταν εμπλέκονται ευαίσθητη επαναλαμβανόμενη κοινοχρησία, ευάλωτα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, εγγραφή υψηλού αντικτύπου ή ουσιωδώς μεταβλημένες προσδοκίες, η γνωμοδότηση του Υπευθύνου Προστασίας Δεδομένων ή του Συμβούλου Ιδιωτικότητας πρέπει να καταγράφεται πριν από την έγκριση. Η διακυβέρνηση, η μέτρηση και η εφαρμογή της πολιτικής είναι ενσωματωμένες στην πολιτική. Ο Επικεφαλής Ιδιωτικότητας ή ο Υπεύθυνος PIMS ανασκοπεί τους κανόνες εγκεκριμένης χρήσης τουλάχιστον ετησίως, συμφωνεί τους εγκεκριμένους σκοπούς του REG02 με τα ενεργά αρχεία κοινοχρησίας του REG08 τουλάχιστον ετησίως και καταγράφει τα αποτελέσματα στο REG12. Οι Ιδιοκτήτες Προμηθευτών ή Προμηθειών συμφωνούν τις ενεργές καταχωρίσεις κοινοχρησίας του REG08 με τις ενεργές σχέσεις εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας, αποδεκτών και κοινοχρησίας δεδομένων τουλάχιστον ανά τρίμηνο. Ο Εσωτερικός Έλεγχος ή οι Ανασκοπητές Συμμόρφωσης εξετάζουν δειγματοληπτικά τα τεκμήρια REG02, REG08 και REG09 ετησίως και καταγράφουν τα αποτελέσματα στο REG12. Η μη εγκεκριμένη συλλογή, χρήση, κοινολόγηση ή κοινοχρησία πρέπει να καταγράφεται ως μη συμμόρφωση εντός πέντε εργάσιμων ημερών και η επεξεργασία μπορεί να ανασταλεί εντός μίας εργάσιμης ημέρας όταν απουσιάζουν εγκεκριμένα τεκμήρια.