Πολιτική Παρακολούθησης, Ελέγχου και Βελτίωσης του PIMS

Η Πολιτική Παρακολούθησης, Ελέγχου και Βελτίωσης του PIMS ορίζει τις απαιτήσεις του οργανισμού για την αξιολόγηση της απόδοσης του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας σε όλο το φάσμα της παρακολούθησης, της μέτρησης, της ανάλυσης, της αξιολόγησης, του εσωτερικού ελέγχου, της ανασκόπησης της Διοίκησης, του χειρισμού μη συμμορφώσεων, της διορθωτικής ενέργειας και της συνεχούς βελτίωσης. Ο δηλωμένος σκοπός της είναι να διασφαλίζει ότι ο οργανισμός αξιολογεί την απόδοση του PIMS, επαληθεύει τη συμμόρφωση του PIMS, αναγνωρίζει μη συμμορφώσεις, διορθώνει αδυναμίες ελέγχων και βελτιώνει συνεχώς το PIMS με χρήση αντικειμενικών τεκμηρίων. Η πολιτική εφαρμόζεται σε όλες τις διαδικασίες, τους ελέγχους, τις πολιτικές, τα μητρώα, τα αντικείμενα τεκμηρίων, τα συστήματα, τους προμηθευτές, τους εκτελούντες την επεξεργασία, τους υπεργολάβους επεξεργασίας και τις ρυθμίσεις κοινοχρησίας δεδομένων εντός του πεδίου εφαρμογής του PIMS. Καλύπτει επίσης τα πλαίσια του οργανισμού ως υπεύθυνου επεξεργασίας, από κοινού υπεύθυνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, καθιστώντας τη συναφή τόσο με τη διακυβέρνηση ιδιωτικότητας όσο και με τις δραστηριότητες επιχειρησιακής διασφάλισης. Βασικό χαρακτηριστικό της πολιτικής είναι το ενοποιημένο μοντέλο τεκμηρίων. Το REG12 χρησιμοποιείται ως η κύρια τοποθεσία για το πρόγραμμα παρακολούθησης, τους ορισμούς μετρικών, το πρόγραμμα ελέγχων, τα αποτελέσματα ελέγχων, τα τεκμήρια ανασκόπησης της Διοίκησης, τις μη συμμορφώσεις, τις διορθωτικές ενέργειες, τις εξαιρέσεις και τις ενέργειες βελτίωσης. Τα υποστηρικτικά τεκμήρια προέρχονται από το REG01 έως το REG11, συμπεριλαμβανομένων των εισροών δραστηριοτήτων επεξεργασίας από το REG02, της κατάστασης ελέγχων ασφάλειας από το REG03, των επικαιροποιήσεων κινδύνου ιδιωτικότητας από το REG04, των τεκμηρίων διασφάλισης προμηθευτών και εκτελούντων την επεξεργασία από το REG08, των εισροών τάσεων περιστατικών και παραβιάσεων από το REG10 και της κατάστασης ολοκλήρωσης εκπαίδευσης από το REG11. Η πολιτική απαιτεί από τον Επικεφαλής Ιδιωτικότητας / Υπεύθυνο PIMS να ορίζει μεθόδους μέτρησης, συχνότητα, πηγή τεκμηρίων, στόχους και υπόλογους ρόλους για κάθε μετρική του PIMS πριν από την έναρξη του κύκλου μέτρησης και να ενοποιεί τα αποτελέσματα ανά τρίμηνο. Οι απαιτήσεις ελέγχου και ανασκόπησης είναι δομημένες γύρω από τον σχεδιασμό βάσει κινδύνου, τα τεκμηριωμένα τεκμήρια και την ανεξαρτησία. Ο Εσωτερικός Έλεγχος / Ανασκοπητής Συμμόρφωσης πρέπει να καταρτίζει ετήσιο πρόγραμμα εσωτερικών ελέγχων PIMS βάσει κινδύνου στο REG12 και να ορίζει τον στόχο, τα κριτήρια, το πεδίο εφαρμογής, τη μέθοδο, τη βάση δειγματοληψίας και την προθεσμία αναφοράς πριν από την έναρξη των επιτόπιων ελεγκτικών εργασιών. Η ανεξαρτησία του ελεγκτή και οι έλεγχοι σύγκρουσης συμφερόντων πρέπει να καταγράφονται πριν από κάθε ανάθεση ελέγχου. Οι δραστηριότητες ελέγχου περιλαμβάνουν δοκιμή της κατάστασης εφαρμογής των εφαρμοστέων ελέγχων PIMS έναντι του REG03, καταγραφή επιλεγμένων δειγμάτων τεκμηρίων επεξεργασίας δεδομένων προσωπικού χαρακτήρα και τεκμηρίωση των αποτελεσμάτων εντός 15 εργάσιμων ημερών μετά την ολοκλήρωση του ελέγχου. Τα αποδεκτά ευρήματα πρέπει να ανατίθενται σε υπευθύνους διορθωτικών ενεργειών στο REG12 εντός 10 εργάσιμων ημερών από την αποδοχή των αποτελεσμάτων ελέγχου. Η ανασκόπηση της Διοίκησης, η διορθωτική ενέργεια και η βελτίωση ελέγχονται επίσης αυστηρά. Η Ανώτατη Διοίκηση πρέπει να διενεργεί ανασκόπηση της Διοίκησης για το PIMS τουλάχιστον ετησίως στο REG12, εξετάζοντας προηγούμενες ενέργειες, μετρικές απόδοσης PIMS, κατάσταση στόχων ιδιωτικότητας, μη συμμορφώσεις, διορθωτικές ενέργειες, αποτελέσματα παρακολούθησης, αποτελέσματα ελέγχων, κινδύνους ιδιωτικότητας, διασφάλιση προμηθευτών και εισροές αλλαγών από ενδιαφερόμενα μέρη. Οι μη συμμορφώσεις πρέπει να καταγράφονται, να υποβάλλονται οι βασικές αιτίες και τα σχέδια διορθωτικών ενεργειών, να εγκρίνονται καταληκτικές ημερομηνίες και κριτήρια αποδοχής, να διατηρούνται τεκμήρια ολοκλήρωσης και να επαληθεύεται η αποτελεσματικότητα. Η συνεχής βελτίωση καθοδηγείται από τριμηνιαία ανασκόπηση των αποτελεσμάτων παρακολούθησης, των αποτελεσμάτων ελέγχων, των τάσεων περιστατικών, της κατάστασης κινδύνου ιδιωτικότητας, της κατάστασης διασφάλισης προμηθευτών και των τάσεων διορθωτικών ενεργειών. Όταν η ίδια κατηγορία ευρήματος εμφανίζεται δύο ή περισσότερες φορές εντός 12 μηνών, η πολιτική απαιτεί τη δημιουργία συστημικής ενέργειας βελτίωσης στο REG12.