Πολιτική Ειδοποιήσεων Ιδιωτικότητας και Διαφάνειας

Η Πολιτική Ειδοποιήσεων Ιδιωτικότητας και Διαφάνειας ορίζει τις απαιτήσεις του οργανισμού για τη δημιουργία, έγκριση, δημοσίευση, διατήρηση, ανασκόπηση και τεκμηρίωση ειδοποιήσεων ιδιωτικότητας και πληροφοριών διαφάνειας για την επεξεργασία δεδομένων προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του PIMS. Ο δηλωμένος σκοπός της είναι να διασφαλίζει ότι τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα λαμβάνουν «σαφείς, επίκαιρες, προσβάσιμες και ελέγξιμες ειδοποιήσεις ιδιωτικότητας πριν από ή στο απαιτούμενο σημείο του κύκλου ζωής της επεξεργασίας δεδομένων προσωπικού χαρακτήρα». Η πολιτική εφαρμόζεται στην επεξεργασία από υπεύθυνο επεξεργασίας, στις πληροφορίες διαφάνειας από κοινού υπευθύνων επεξεργασίας και στην υποστήριξη από εκτελούντα την επεξεργασία ή υπεργολάβο επεξεργασίας για τις υποχρεώσεις ειδοποιήσεων του υπευθύνου επεξεργασίας, όταν ο οργανισμός ενεργεί βάσει τεκμηριωμένων εντολών πελάτη ή εκτελούντος την επεξεργασία. Ιδιοκτήτης της είναι ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS, εγκρίνεται από την Ανώτατη Διοίκηση και χρησιμοποιεί τα REG02, REG06, REG07, REG11 και REG12 ως αντικείμενα τεκμηρίων. Κεντρικό στοιχείο της πολιτικής είναι ο έλεγχος του περιεχομένου των ειδοποιήσεων ιδιωτικότητας μέσω του REG07. Η πολιτική καθιερώνει το REG07 ως το έγκυρο αντικείμενο τεκμηρίων για το αποθετήριο ειδοποιήσεων, την έγκριση, τη δημοσίευση, την ανασκόπηση, τη γλώσσα και τα αρχεία ελέγχου εκδόσεων. Για επεξεργασία από υπεύθυνο επεξεργασίας, οι Ιδιοκτήτες Διεργασιών / Ιδιοκτήτες της επιχείρησης πρέπει να δημιουργούν αρχείο ειδοποίησης ιδιωτικότητας REG07 συνδεδεμένο με τη σχετική δραστηριότητα επεξεργασίας REG02 πριν από την έναρξη οποιουδήποτε νέου διαύλου συλλογής δεδομένων προσωπικού χαρακτήρα, υπηρεσίας, εντύπου, εκστρατείας, προϊόντος ή λειτουργίας. Όταν τα δεδομένα προσωπικού χαρακτήρα λαμβάνονται από πηγή άλλη από το υποκείμενο των δεδομένων προσωπικού χαρακτήρα, το αρχείο πρέπει να δημιουργείται πριν από την πρώτη επικοινωνία, πριν από την πρώτη κοινολόγηση σε τρίτο μέρος ή εντός 20 εργάσιμων ημερών από τη λήψη των δεδομένων προσωπικού χαρακτήρα, όποιο από αυτά συμβεί πρώτο. Η πολιτική απαιτεί επίσης οι ειδοποιήσεις να συνδέονται με τους τρέχοντες σκοπούς επεξεργασίας REG02, τις αναφορές νομικής βάσης, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες πηγών, τις κατηγορίες αποδεκτών, τις αναφορές διατήρησης και τις αναφορές διαβίβασης. Η πολιτική ορίζει δομημένο κύκλο ζωής έγκρισης και δημοσίευσης. Οι Ιδιοκτήτες Διεργασιών / Ιδιοκτήτες της επιχείρησης πιστοποιούν την ακρίβεια και πληρότητα του περιεχομένου της ειδοποίησης και υποβάλλουν το αρχείο REG07 για έγκριση από τον Επικεφαλής Ιδιωτικότητας / Υπεύθυνο PIMS πριν από τη δημοσίευση ή την ενεργοποίηση διαύλου συλλογής. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS επαληθεύει τη συνέπεια με το REG02 και εγκρίνει ή απορρίπτει την ειδοποίηση. Οι Ιδιοκτήτες Συστημάτων / Ιδιοκτήτες Εφαρμογών μπορούν να δημοσιεύουν μόνο την εγκεκριμένη έκδοση ειδοποίησης REG07 πριν από την ενεργοποίηση ψηφιακών διαύλων συλλογής, ενώ οι Ιδιοκτήτες Διεργασιών / Ιδιοκτήτες της επιχείρησης πρέπει να καθιστούν τις εγκεκριμένες ειδοποιήσεις διαθέσιμες μέσω μη ψηφιακών διαύλων πριν από τη συλλογή δεδομένων προσωπικού χαρακτήρα. Τα τεκμήρια δημοσίευσης, συμπεριλαμβανομένης της τοποθεσίας και της χρονοσήμανσης ή ισοδύναμης απόδειξης, πρέπει να καταχωρίζονται στο REG07 εντός δύο εργάσιμων ημερών μετά τη δημοσίευση. Εάν λείπουν τα απαιτούμενα τεκμήρια εγκεκριμένης ειδοποίησης, ο νέος δίαυλος συλλογής του υπευθύνου επεξεργασίας δεν πρέπει να τίθεται σε λειτουργία. Η ποιότητα της διαφάνειας αντιμετωπίζεται μέσω ελέγχων γλώσσας, προσβασιμότητας, έκδοσης και αλλαγών. Η πολιτική απαιτεί αναγνώριση των στοχευόμενων υποκειμένων των δεδομένων προσωπικού χαρακτήρα και των απαιτούμενων γλωσσικών εκδόσεων πριν από την έγκριση. Απαιτεί τεκμήρια σαφούς γλώσσας και καταλληλότητας για τους αποδέκτες στο REG07, μεταφρασμένες ή τοπικοποιημένες εκδόσεις πριν από τη δημοσίευση και ισοτιμία εκδόσεων μεταξύ κύριας και τοπικοποιημένων ειδοποιήσεων εντός 10 εργάσιμων ημερών μετά από ουσιώδη επικαιροποίηση. Οι παρωχημένες εκδόσεις ειδοποιήσεων πρέπει να αφαιρούνται, να ανακατευθύνονται ή να επισημαίνονται εντός πέντε εργάσιμων ημερών μετά τη δημοσίευση της αντικατάστασης, ενώ οι αντικατασταθείσες εκδόσεις, οι ημερομηνίες έναρξης ισχύος, τα τεκμήρια έγκρισης και τα τεκμήρια δημοσίευσης πρέπει να διατηρούνται στο REG07. Ουσιώδεις αλλαγές στην ταυτότητα του υπευθύνου επεξεργασίας, στο σημείο επαφής, στον σκοπό επεξεργασίας, στη νομική βάση, στις κατηγορίες δεδομένων προσωπικού χαρακτήρα, στις κατηγορίες αποδεκτών, στις αναφορές διατήρησης, στις αναφορές διαβίβασης, στους διαύλους αιτημάτων άσκησης δικαιωμάτων, στους διαύλους παραπόνων ή επικοινωνίας για την ιδιωτικότητα, στην κάλυψη γλωσσών, στους διαύλους δημοσίευσης ή στο πλαίσιο επεξεργασίας ενεργοποιούν ελέγχους επικαιροποίησης ειδοποιήσεων. Η πολιτική περιλαμβάνει επίσης απαιτήσεις διακυβέρνησης, μέτρησης, εξαίρεσης, εφαρμογής και συντήρησης. Οι ενεργές ειδοποιήσεις REG07 ανασκοπούνται τουλάχιστον ετησίως και εντός 30 ημερών μετά από ουσιώδεις νομικές, ρυθμιστικές, συμβατικές ή επεξεργαστικές αλλαγές. Τα αρχεία ειδοποιήσεων REG07 συμφωνούνται ανά τρίμηνο με τους σκοπούς επεξεργασίας REG02, με τις μη επιλυμένες ασυμφωνίες να καταχωρίζονται στο REG12. Οι μετρικές περιλαμβάνουν το ποσοστό ενεργών ειδοποιήσεων που συνδέονται με τρέχοντες σκοπούς REG02, ειδοποιήσεις που ανασκοπήθηκαν έως την καταληκτική ημερομηνία, καθυστερημένες επικαιροποιήσεις, μη επιλυμένες ασυμφωνίες, αποκλεισμένους ή καθυστερημένους διαύλους συλλογής, αιτήματα υποστήριξης ειδοποιήσεων πελατών που ολοκληρώθηκαν εγκαίρως και ειδοποιήσεις με τρέχοντα τεκμήρια γλώσσας, έκδοσης, έγκρισης και δημοσίευσης. Οι εξαιρέσεις πρέπει να καταχωρίζονται στο REG12 πριν από την εμφάνιση αποκλίσεων, με απαιτούμενη συμβουλή σε θέματα ιδιωτικότητας και έγκριση από την Ανώτατη Διοίκηση για καθορισμένες εξαιρέσεις που σχετίζονται με ειδοποιήσεις. Ελλιπή, ανακριβή, μη δημοσιευμένα, μη εγκεκριμένα ή παρωχημένα τεκμήρια ειδοποιήσεων καταχωρίζονται ως μη συμμόρφωση, ενώ ουσιωδώς ανακριβείς ή παραπλανητικές ειδοποιήσεις κλιμακώνονται στον Υπεύθυνο Προστασίας Δεδομένων / Σύμβουλο Ιδιωτικότητας και στην Ανώτατη Διοίκηση εντός δύο εργάσιμων ημερών από την επιβεβαίωση.