Πολιτική Διαχείρισης Δικαιωμάτων Υποκειμένων των Δεδομένων Προσωπικού Χαρακτήρα

Η Πολιτική Διαχείρισης Δικαιωμάτων Υποκειμένων των Δεδομένων Προσωπικού Χαρακτήρα καθορίζει την υποχρεωτική προσέγγιση του οργανισμού για τη διαχείριση αιτημάτων από υποκείμενα των δεδομένων προσωπικού χαρακτήρα ή τους εξουσιοδοτημένους εκπροσώπους τους. Το πεδίο εφαρμογής της καλύπτει τον πλήρη κύκλο ζωής του χειρισμού αιτημάτων άσκησης δικαιωμάτων: λήψη, επικύρωση, αξιολόγηση, ικανοποίηση, απόρριψη, παράταση, κλείσιμο, παρακολούθηση και τεκμηρίωση αιτημάτων. Εφαρμόζεται σε πρόσβαση, διόρθωση, διαγραφή, περιορισμό, φορητότητα δεδομένων, αντίρρηση, αυτοματοποιημένη λήψη αποφάσεων, δρομολόγηση ανάκλησης συγκατάθεσης, καταγγελίες και συναφή ερωτήματα. Η πολιτική έχει σχεδιαστεί για πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, ενώ οι υποχρεώσεις εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας εφαρμόζονται όταν παρέχεται υποστήριξη σε υπεύθυνο επεξεργασίας, πελάτη ή ανάντη εκτελούντα την επεξεργασία βάσει τεκμηριωμένων εντολών. Σκοπός της πολιτικής είναι να διασφαλίζει ότι τα αιτήματα άσκησης δικαιωμάτων υποκειμένων των δεδομένων προσωπικού χαρακτήρα αντιμετωπίζονται με συνέπεια, νόμιμα, με ασφάλεια, εντός καθορισμένων προθεσμιών και με τεκμήρια έτοιμα για έλεγχο. Απαιτεί κάθε αίτημα να καταγράφεται στο REG06 εντός δύο εργάσιμων ημερών από τη λήψη του και να ταξινομείται πριν αρχίσει η αξιολόγηση. Τα απαιτούμενα πεδία ταξινόμησης περιλαμβάνουν τύπο αιτήματος, δίαυλο αιτήματος, ημερομηνία αιτήματος, αναφορά ταυτότητας αιτούντος, ανατεθειμένο υπεύθυνο, εσωτερική προθεσμία, νόμιμη ή συμβατική προθεσμία και τρέχουσα κατάσταση. Για τους υπευθύνους επεξεργασίας, ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να επιβεβαιώνει τη λήψη ή να παρέχει την επόμενη απαιτούμενη επικοινωνία εντός πέντε εργάσιμων ημερών από την εισαγωγή. Τα αιτήματα πρέπει επίσης να συνδέονται με σχετικές δραστηριότητες επεξεργασίας REG02 πριν ανατεθούν ενέργειες ικανοποίησης, ώστε οι αποφάσεις απάντησης να βασίζονται σε αρχεία επεξεργασίας, σκοπούς επεξεργασίας, κατηγορίες δεδομένων προσωπικού χαρακτήρα, συστήματα, αποδέκτες και περιορισμούς διατήρησης. Σημαντική επιχειρησιακή έμφαση δίνεται στην επαλήθευση ταυτότητας και την ασφαλή αξιολόγηση. Πριν από την κοινολόγηση δεδομένων προσωπικού χαρακτήρα ή την πραγματοποίηση των ζητούμενων αλλαγών, ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS πρέπει να επαληθεύει στο REG06 την ταυτότητα του αιτούντος ή την εξουσιοδότηση εκπροσώπησης. Όταν η ταυτότητα ή η εξουσιοδότηση δεν είναι επαρκής, μπορεί να ζητείται μόνο η ελάχιστη πρόσθετη πληροφορία που απαιτείται για την επαλήθευση. Η πολιτική αναθέτει αιτήματα υψηλού κινδύνου, αμφισβητούμενα, ασαφή, υπερβολικά, επαναλαμβανόμενα, απορριφθέντα ή μερικώς ικανοποιημένα στον Υπεύθυνο Προστασίας Δεδομένων / Σύμβουλο Ιδιωτικότητας για ανασκόπηση πριν κοινοποιηθεί η απόφαση. Απαιτεί επίσης ανασκόπηση από τον Ιδιοκτήτη Συστήματος / Ιδιοκτήτη Εφαρμογής των αποσπασμάτων απάντησης, ώστε να αποκλείονται άσχετα δεδομένα προσωπικού χαρακτήρα και μη εξουσιοδοτημένα δεδομένα τρίτων μερών, καθώς και ανασκόπηση από τον Επικεφαλής Ασφάλειας Πληροφοριών των μεθόδων παράδοσης πριν κοινολογηθούν μεγάλου όγκου, ευαίσθητα, ειδικής κατηγορίας ή υψηλού κινδύνου δεδομένα προσωπικού χαρακτήρα. Οι απαιτήσεις ικανοποίησης είναι ειδικές για τη φύση του δικαιώματος. Οι ιδιοκτήτες επιχειρησιακών δραστηριοτήτων πρέπει να παρέχουν αποτελέσματα αναζήτησης πρόσβασης το αργότερο δέκα εργάσιμες ημέρες πριν από την προθεσμία απάντησης. Οι Ιδιοκτήτες Συστημάτων πρέπει να ολοκληρώνουν εγκεκριμένες ενέργειες διόρθωσης, διαγραφής, περιορισμού ή καταστολής και να καταγράφουν τεκμήρια ολοκλήρωσης στο REG06. Τα πακέτα απάντησης πρόσβασης και φορητότητας δεδομένων πρέπει να παραδίδονται μέσω εξουσιοδοτημένης μεθόδου, με τεκμήρια παράδοσης καταγεγραμμένα πριν από το κλείσιμο. Τα αιτήματα αντίρρησης πρέπει να αξιολογούνται και να καταγράφονται πριν συνεχιστεί ή διακοπεί η αμφισβητούμενη επεξεργασία. Τα αιτήματα που αφορούν αποκλειστικά αυτοματοποιημένες αποφάσεις απαιτούν ανασκόπηση πριν ο οργανισμός παράσχει αποτέλεσμα, διαδρομή ανθρώπινης ανασκόπησης ή αιτιολόγηση απόρριψης. Όταν τα εγκεκριμένα αποτελέσματα απαιτούν γνωστοποίηση σε εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας, από κοινού υπευθύνους επεξεργασίας, αποδέκτες ή μέρη κοινοχρησίας δεδομένων που καταγράφονται στο REG08, ο Υπεύθυνος Προμηθευτών / Προμηθειών πρέπει να συντονίζει τη γνωστοποίηση αυτή. Η πολιτική ορίζει επίσης απαιτήσεις διακυβέρνησης, μέτρησης, εξαιρέσεων και εφαρμογής. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS έχει την ευθύνη για τη ροή εργασίας αιτημάτων άσκησης δικαιωμάτων, τη δομή του REG06, τις προθεσμίες, τους κανόνες ανάθεσης και τα κριτήρια κλεισίματος, με τουλάχιστον ετήσια ανασκόπηση και επικαιροποιήσεις μετά από ουσιώδη αλλαγή. Οι μετρικές περιλαμβάνουν μηνιαία μέτρηση αιτημάτων ανά τύπο, κατάσταση, ιδιοκτήτη επιχειρησιακής δραστηριότητας και δραστηριότητα επεξεργασίας, μηνιαία αναφορά εκπρόθεσμων στοιχείων, τριμηνιαία μέτρηση ποσοστών απόρριψης, μερικής ικανοποίησης και παράτασης, καθώς και τριμηνιαία ανασκόπηση επαναλαμβανόμενων θεμάτων, καταγγελιών, διαφορών και διορθωτικών ενεργειών. Οι προγραμματισμένοι έλεγχοι πρέπει να εξετάζουν δειγματοληπτικά κλειστά αρχεία REG06 και να καταγράφουν ευρήματα ποιότητας τεκμηρίων, τήρησης προθεσμιών και κλεισίματος στο REG12. Οι εξαιρέσεις πρέπει να εγκρίνονται στο REG12 πριν από την υλοποίηση, με ημερομηνίες λήξης, υπευθύνους και αντισταθμιστικούς ελέγχους. Οι διατάξεις εφαρμογής απαιτούν μη συμμορφώσεις, κλιμάκωση μη συνεργασίας τρίτων μερών, ανάθεση ιδιοκτησίας διορθωτικών ενεργειών από τη διοίκηση για συστημικές αστοχίες και ανασκόπηση REG10 όταν μια μη συμμόρφωση υποδηλώνει μη εξουσιοδοτημένη κοινολόγηση, απώλεια, αλλοίωση, μη διαθεσιμότητα ή άλλο ύποπτο περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα.