Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα

Η Πολιτική Διαχείρισης Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα καθορίζει τον τρόπο με τον οποίο ένας οργανισμός αναγνωρίζει, αναφέρει, αξιολογεί αρχικά, εκτιμά, περιορίζει, γνωστοποιεί, τεκμηριώνει, κλείνει και βελτιώνεται μετά από περιστατικά που αφορούν δεδομένα προσωπικού χαρακτήρα και παραβιάσεις δεδομένων προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας. Ο δηλωμένος σκοπός της είναι να διασφαλίζει ότι τα περιστατικά και οι παραβιάσεις αντιμετωπίζονται με συνέπεια, έγκαιρα, νόμιμα, με ασφάλεια και με τεκμήρια έτοιμα για έλεγχο. Η πολιτική εφαρμόζεται σε πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, και εκτείνεται σε συστήματα, εφαρμογές, υπηρεσίες, διεργασίες, προμηθευτές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας και τρίτα μέρη που επεξεργάζονται, αποθηκεύουν, διαβιβάζουν, υποστηρίζουν, προσπελάζουν ή επηρεάζουν με άλλο τρόπο δεδομένα προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του PIMS. Κεντρικό χαρακτηριστικό της πολιτικής είναι το ενσωματωμένο μοντέλο τεκμηρίων. Το REG10 — Μητρώο Περιστατικών και Παραβιάσεων Δεδομένων Προσωπικού Χαρακτήρα είναι το κύριο αντικείμενο τεκμηρίων για τη διαχείριση περιστατικών και παραβιάσεων, ενώ τα υποστηρικτικά μητρώα παρέχουν πλαίσιο και ιχνηλασιμότητα. Το REG01 υποστηρίζει το πεδίο εφαρμογής, καθώς και το νομικό, συμβατικό, τομεακό, πελατειακό και αναφορικό πλαίσιο. Το REG02 συνδέει τις επηρεαζόμενες δραστηριότητες επεξεργασίας, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, τους σκοπούς και τα συστήματα. Το REG04 υποστηρίζει τη σύνδεση με τον κίνδυνο ιδιωτικότητας, τη DPIA και τον υπολειπόμενο κίνδυνο. Το REG08 καταγράφει διεπαφές περιστατικών με εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας, πελάτες, προμηθευτές και τρίτα μέρη. Το REG09 χρησιμοποιείται όταν τα περιστατικά επηρεάζουν διασυνοριακή επεξεργασία, το REG11 υποστηρίζει τεκμήρια εκπαίδευσης και επάρκειας, και το REG12 αποτυπώνει τεκμήρια ελέγχου, μη συμμορφώσεων, διορθωτικών ενεργειών και βελτίωσης. Η δομή αυτή συμβάλλει ώστε τα αρχεία περιστατικών να μην απομονώνονται από το ευρύτερο PIMS. Η πολιτική θέτει αναλυτικές απαιτήσεις για ετοιμότητα, λήψη περιστατικών, ταξινόμηση, αξιολόγηση παραβίασης, περιορισμό, ανάκαμψη, γνωστοποίηση, επικοινωνίες, προστασία τεκμηρίων και διδάγματα που αντλήθηκαν. Τα ύποπτα περιστατικά που αφορούν δεδομένα προσωπικού χαρακτήρα πρέπει να καταγράφονται έγκαιρα, με κάθε αναφερόμενο ή ανιχνευθέν ύποπτο περιστατικό να εισάγεται στο REG10 εντός μίας εργάσιμης ημέρας από τη λήψη ή νωρίτερα όταν ενδέχεται να ενεργοποιηθούν χρονοδιαγράμματα γνωστοποίησης ή αναφοράς προς πελάτη. Η τεχνική αρχική αξιολόγηση συμβάντων ασφάλειας που αφορούν δεδομένα προσωπικού χαρακτήρα πρέπει να ολοκληρώνεται εντός 24 ωρών από την ανίχνευση, και κάθε καταχώριση REG10 πρέπει να ταξινομείται ως συμβάν που δεν αφορά δεδομένα προσωπικού χαρακτήρα, ύποπτο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα, επιβεβαιωμένο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα ή επιβεβαιωμένη παραβίαση δεδομένων προσωπικού χαρακτήρα εντός 24 ωρών από τη λήψη, εκτός εάν τεκμηριώνεται ο λόγος εκκρεμούς ταξινόμησης. Για την αξιολόγηση παραβίασης, η πολιτική απαιτεί την αναγνώριση των επηρεαζόμενων δραστηριοτήτων επεξεργασίας, κατηγοριών δεδομένων προσωπικού χαρακτήρα, κατηγοριών υποκειμένων των δεδομένων προσωπικού χαρακτήρα, συστημάτων, εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας, τοποθεσιών διαβίβασης και κινδύνων ιδιωτικότητας πριν από την οριστικοποίηση των αποφάσεων γνωστοποίησης. Οι υποχρεώσεις γνωστοποίησης και επικοινωνίας διαχωρίζονται ανά ρόλο. Για τους υπευθύνους επεξεργασίας, η πολιτική απαιτεί τεκμηριωμένες αποφάσεις γνωστοποίησης προς ρυθμιστικές αρχές για κάθε επιβεβαιωμένη παραβίαση δεδομένων προσωπικού χαρακτήρα χωρίς αδικαιολόγητη καθυστέρηση, με τη γνωστοποίηση, την αιτιολόγηση μη γνωστοποίησης ή την αιτιολόγηση καθυστέρησης να διατηρούνται στο REG10. Όταν ενεργοποιείται επικοινωνία προς τα επηρεαζόμενα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, η πολιτική απαιτεί την καταγραφή του περιεχομένου, του κοινού, του χρόνου, της μεθόδου παράδοσης και των τεκμηρίων έγκρισης. Για εκτελούντες την επεξεργασία και υπεργολάβους επεξεργασίας, η πολιτική απαιτεί γνωστοποίηση προς τους επηρεαζόμενους υπευθύνους επεξεργασίας, πελάτες, ανάντη εκτελούντες την επεξεργασία ή εγκεκριμένους συμβατικούς διαύλους χωρίς αδικαιολόγητη καθυστέρηση και εντός των εφαρμοστέων συμβατικών προθεσμιών. Για περιστατικά υψηλού αντικτύπου που αφορούν δεδομένα προσωπικού χαρακτήρα, απαιτεί επίσης αξιολόγηση νομικών, τομεακών, χρηματοοικονομικού τομέα, κυβερνοασφάλειας, συμβατικών, πελατειακών και σχετικών με αποδέκτες υπηρεσιών εναυσμάτων αναφοράς, όπου εφαρμόζεται. Η διακυβέρνηση, η μέτρηση και η βελτίωση ενσωματώνονται στη διαδικασία. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS έχει την κυριότητα της διαδικασίας διαχείρισης περιστατικών και παραβιάσεων και πρέπει να διασφαλίζει ότι το REG10 τηρείται έως το κλείσιμο. Ο Συντονιστής Αντιμετώπισης Περιστατικών διαχειρίζεται τη λήψη, την αρχική αξιολόγηση, τη ροή εργασίας περιορισμού, την παρακολούθηση κατάστασης, το κλείσιμο και τα διδάγματα που αντλήθηκαν. Η Ασφάλεια Πληροφοριών ηγείται της τεχνικής διερεύνησης, του περιορισμού, της εξάλειψης, της ανάκαμψης, της διατήρησης τεκμηρίων και της ανάλυσης βασικής αιτίας όταν εμπλέκονται συστήματα ή έλεγχοι ασφάλειας. Η Ανώτατη Διοίκηση λαμβάνει κλιμάκωση για επιβεβαιωμένα περιστατικά υψηλού αντικτύπου που αφορούν δεδομένα προσωπικού χαρακτήρα εντός 24 ωρών από την ταξινόμηση και ανασκοπεί περιστατικά υψηλού αντικτύπου, κοινοποιητέες παραβιάσεις, εκπρόθεσμες διορθωτικές ενέργειες και ουσιώδεις επιπτώσεις κατά την ανασκόπηση της Διοίκησης. Οι μετρικές περιλαμβάνουν όγκους περιστατικών, χρόνους ταξινόμησης και περιορισμού, έγκαιρη γνωστοποίηση, παλαιότητα διορθωτικών ενεργειών, απόδοση απόκρισης τρίτων μερών και ολοκλήρωση ασκήσεων. Η πολιτική απαιτεί επίσης ετήσια ανασκόπηση, ανασκόπηση μετά το περιστατικό μετά από περιστατικά υψηλού αντικτύπου ή επιβεβαιωμένες παραβιάσεις, και ετήσια ανασκόπηση της υλοποίησης από τον εσωτερικό έλεγχο.