Πολιτική αξιολόγησης κινδύνου ιδιωτικότητας και DPIA

Η Πολιτική αξιολόγησης κινδύνου ιδιωτικότητας και DPIA ορίζει πώς ένας οργανισμός αναγνωρίζει, αξιολογεί, αντιμετωπίζει, εγκρίνει, ανασκοπεί και τεκμηριώνει κινδύνους ιδιωτικότητας εντός του πεδίου εφαρμογής του PIMS. Σκοπός της είναι να διασφαλίζει ότι οι κίνδυνοι ιδιωτικότητας και οι υποχρεώσεις DPIA αντιμετωπίζονται πριν η επεξεργασία δεδομένων προσωπικού χαρακτήρα δημιουργήσει μη αποδεκτό κίνδυνο για τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα ή για το PIMS. Η πολιτική εφαρμόζεται σε νέες και ουσιωδώς μεταβληθείσες δραστηριότητες επεξεργασίας δεδομένων προσωπικού χαρακτήρα σε πλαίσια υπεύθυνου επεξεργασίας, από κοινού υπεύθυνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας. Καλύπτει επίσης συστήματα, εφαρμογές, υπηρεσίες, επιχειρησιακές διαδικασίες, προμηθευτές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας, διεθνείς διαβιβάσεις και ρυθμίσεις κοινοχρησίας δεδομένων που επηρεάζουν την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Κεντρικό χαρακτηριστικό της πολιτικής είναι το λειτουργικό μοντέλο που βασίζεται στο REG04. Ο έλεγχος κινδύνου ιδιωτικότητας, ο έλεγχος αναγκαιότητας DPIA, η αξιολόγηση κινδύνου, τα σχέδια αντιμετώπισης κινδύνων, η αποδοχή υπολειπόμενου κινδύνου, οι αποφάσεις διαβούλευσης, οι εγκρίσεις και η κατάσταση ανασκόπησης τεκμηριώνονται στο REG04, με υποστηρικτικά τεκμήρια συνδεδεμένα με τα REG02, REG03, REG08, REG09, REG10, REG11 και REG12. Η πολιτική αποφεύγει ρητά τη δημιουργία χωριστών μητρώων DPIA, κινδύνου ή διαβούλευσης εκτός του REG04. Αυτό συμβάλλει στη διατήρηση ενιαίας διαδρομής τεκμηρίων για τα αποτελέσματα του ελέγχου αναγκαιότητας, τις αποφάσεις πλήρους DPIA, τις διαβαθμίσεις κινδύνου, τους υπευθύνους αντιμετώπισης, τις καταληκτικές ημερομηνίες, τον υπολειπόμενο κίνδυνο, την κατάσταση έγκρισης και τις ημερομηνίες ανασκόπησης. Η πολιτική καθορίζει υποχρεωτικά εναύσματα για τον έλεγχο κινδύνου ιδιωτικότητας και τον προσδιορισμό πλήρους DPIA. Οι Ιδιοκτήτες Διεργασιών / Ιδιοκτήτες της επιχείρησης πρέπει να ξεκινούν τον έλεγχο αναγκαιότητας στο REG04 πριν αρχίσει νέα ή ουσιωδώς μεταβληθείσα επεξεργασία που έχει καταγραφεί στο REG02. Επεξεργασία από υπεύθυνο επεξεργασίας που είναι πιθανό να επιφέρει υψηλό κίνδυνο απαιτεί πλήρη DPIA πριν αρχίσει η επεξεργασία. Η πολιτική επισημαίνει ότι επεξεργασία που περιλαμβάνει μεγάλης κλίμακας δραστηριότητα, συστηματική παρακολούθηση, κατάρτιση προφίλ, αυτοματοποιημένες αποφάσεις, ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, δεδομένα ποινικών καταδικών ή αδικημάτων, ευάλωτα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, καινοτόμο τεχνολογία και ουσιώδη αλλαγή επεξεργασίας πρέπει να παραπέμπεται στον Επικεφαλής Ιδιωτικότητας / Υπεύθυνο PIMS πριν από την έναρξη της επεξεργασίας. Απαιτεί επίσης νέο έλεγχο αναγκαιότητας πριν από τη χρήση δεδομένων προσωπικού χαρακτήρα για νέο σκοπό, την προσθήκη νέου αποδέκτη, την εισαγωγή νέου εκτελούντος την επεξεργασία ή υπεργολάβου επεξεργασίας, την αλλαγή αρχιτεκτονικής συστήματος ή την έναρξη νέας διεθνούς διαβίβασης. Η αντιμετώπιση κινδύνου και η κλιμάκωση ορίζονται επίσης με σαφήνεια. Όταν ο κίνδυνος ιδιωτικότητας υπερβαίνει το εγκεκριμένο όριο αποδοχής, ο Ιδιοκτήτης Διεργασίας / Ιδιοκτήτης της επιχείρησης πρέπει να καταγράφει σχέδιο αντιμετώπισης στο REG04 πριν προχωρήσει η επεξεργασία. Οι ενέργειες ασφάλειας, σχεδιασμού συστήματος, προμηθευτών, συμβατικές ενέργειες και ενέργειες διασφάλισης ανατίθενται στον σχετικό ρόλο και πρέπει να υλοποιούνται πριν από τη θέση σε λειτουργία, την ένταξη, την ανανέωση ή την εγκεκριμένη καταληκτική ημερομηνία. Ο υψηλός υπολειπόμενος κίνδυνος ιδιωτικότητας για επεξεργασία από υπεύθυνο επεξεργασίας απαιτεί έγκριση από την Ανώτατη Διοίκηση πριν αρχίσει ή συνεχιστεί η επεξεργασία. Όταν παραμένει υψηλός υπολειπόμενος κίνδυνος μετά την αντιμετώπιση, ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS καταγράφει την απόφαση προηγούμενης διαβούλευσης στο REG04, και η Ανώτατη Διοίκηση εγκρίνει τη συνέχιση, την αναστολή, τον ανασχεδιασμό ή τις ενέργειες διαβούλευσης πριν προχωρήσει η επεξεργασία. Οι απαιτήσεις διακυβέρνησης, παρακολούθησης και εφαρμογής διασφαλίζουν ότι η διαδικασία παραμένει ενεργή μετά την αρχική έγκριση. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS ανασκοπεί σε μηνιαία βάση ανοικτούς κινδύνους ιδιωτικότητας και εκπρόθεσμες ενέργειες αντιμετώπισης, αναφέρει την κατάσταση κινδύνου ιδιωτικότητας και DPIA ανά τρίμηνο και πριν από την Ανασκόπηση της Διοίκησης, και συμφωνεί τα ενεργά αρχεία κινδύνου REG04 με τα αρχεία απογραφής επεξεργασίας REG02. Η πολιτική ορίζει μετρικές για την κάλυψη ελέγχου αναγκαιότητας, τις ενεργές πλήρεις DPIA, τις εκπρόθεσμες ανασκοπήσεις, τους υψηλούς υπολειπόμενους κινδύνους, την κατάσταση ενεργειών αντιμετώπισης, τον μέσο χρόνο κλεισίματος, τις ενέργειες προμηθευτών, τις ενέργειες αντιμετώπισης ασφάλειας, την επαναξιολόγηση λόγω περιστατικού και τα ευρήματα ελέγχου. Οι εξαιρέσεις πρέπει να ζητούνται πριν από την απόκλιση, να αξιολογούνται ως προς τον αντίκτυπο στην ιδιωτικότητα, τον νομικό αντίκτυπο, την πιστοποίηση, τη λειτουργία και τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, και να λαμβάνουν ημερομηνία λήξης που δεν υπερβαίνει τις 90 ημέρες. Ελλιπή, ανακριβή, ατελή, εκπρόθεσμα ή μη εγκεκριμένα τεκμήρια REG04 αντιμετωπίζονται ως μη συμμόρφωση στο REG12.