Πολιτική εκπαίδευσης, ευαισθητοποίησης και επάρκειας σε θέματα ιδιωτικότητας

Η Πολιτική εκπαίδευσης, ευαισθητοποίησης και επάρκειας σε θέματα ιδιωτικότητας ορίζει τον τρόπο με τον οποίο ένας οργανισμός διαχειρίζεται την εκπαίδευση σε θέματα ιδιωτικότητας στο πλαίσιο του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας. Σκοπός της είναι να διασφαλίζει ότι τα πρόσωπα των οποίων η εργασία επηρεάζει την επεξεργασία δεδομένων προσωπικού χαρακτήρα κατανοούν τις αρμοδιότητές τους, ολοκληρώνουν εκπαίδευση με καθορισμένη περιοδικότητα, διατηρούν επάρκεια σχετική με τον ρόλο τους και παράγουν ελέγξιμα τεκμήρια εκπαίδευσης, ευαισθητοποίησης και κλιμάκωσης. Η πολιτική εφαρμόζεται σε πλαίσια υπεύθυνου επεξεργασίας, από κοινού υπεύθυνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, καθιστώντας τη συναφή τόσο για οργανισμούς που χειρίζονται άμεσα δεδομένα προσωπικού χαρακτήρα όσο και για όσους ενεργούν βάσει εντολών πελάτη ή μέσω ρυθμίσεων επεξεργασίας τρίτων μερών. Το πεδίο εφαρμογής είναι σκόπιμα ευρύ και επιχειρησιακό. Εφαρμόζεται σε προσωπικό, αναδόχους, προσωρινό προσωπικό, συναφή τρίτα μέρη, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας και άλλα ενδιαφερόμενα μέρη των οποίων η εργασία μπορεί να επηρεάσει την επεξεργασία δεδομένων προσωπικού χαρακτήρα, τα δικαιώματα υποκειμένων των δεδομένων προσωπικού χαρακτήρα, τον κίνδυνο ιδιωτικότητας, την ασφάλεια πληροφοριών που σχετίζεται με δεδομένα προσωπικού χαρακτήρα, τις εντολές εκτελούντος την επεξεργασία, τα περιστατικά ιδιωτικότητας, τις τεκμηριωμένες πληροφορίες ή τα τεκμήρια συμμόρφωσης. Η πολιτική καλύπτει την αναγνώριση αποδεκτών της εκπαίδευσης σε θέματα ιδιωτικότητας, την εκπαίδευση κατά τη διαδικασία ένταξης, την ετήσια επαναληπτική εκπαίδευση, την εκπαίδευση βάσει ρόλων και βάσει εναυσμάτων συμβάντων, τα τεκμήρια ολοκλήρωσης εκπαίδευσης, την κλιμάκωση μη ολοκλήρωσης, την ανασκόπηση αποτελεσματικότητας της εκπαίδευσης και τα τεκμήρια διασφάλισης εκπαίδευσης εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας και τρίτων μερών. Κεντρικό χαρακτηριστικό της πολιτικής είναι το μοντέλο τεκμηρίων της. Ορίζει ότι δεν δημιουργείται ξεχωριστή μήτρα εκπαίδευσης, πίνακας ελέγχου, μητρώο επάρκειας, πειθαρχικό μητρώο ή μητρώο εκπαίδευσης πελατών. Αντίθετα, οι αναθέσεις εκπαίδευσης, οι ολοκληρώσεις, οι υπενθυμίσεις, τα τεκμήρια επάρκειας και τα τεκμήρια ευαισθητοποίησης καταγράφονται στο REG11. Οι εξαιρέσεις, οι κλιμακώσεις, οι μη συμμορφώσεις, οι διορθωτικές ενέργειες και τα τεκμήρια ανασκόπησης καταγράφονται στο REG12. Τα τεκμήρια διασφάλισης εκπαίδευσης εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας και τρίτων μερών καταγράφονται στο REG08 όπου είναι συναφή, ενώ στοιχεία από διδάγματα περιστατικών μπορεί να συνδέονται μέσω REG10. Η προσέγγιση αυτή βοηθά ώστε η εκπαίδευση σε θέματα ιδιωτικότητας να παραμένει ιχνηλάσιμη χωρίς διπλασιασμό μητρώων ή περιττή διοικητική επιβάρυνση. Η πολιτική καθορίζει συγκεκριμένες περιοδικότητες και εναύσματα εκπαίδευσης. Η βασική εκπαίδευση ευαισθητοποίησης σε θέματα ιδιωτικότητας πρέπει να ανατίθεται εντός 10 εργάσιμων ημερών από τη διαδικασία ένταξης για προσωπικό με πρόσβαση σε δεδομένα προσωπικού χαρακτήρα ή αρμοδιότητες PIMS, και το προσωπικό πρέπει να ολοκληρώνει την εκπαίδευση ιδιωτικότητας κατά τη διαδικασία ένταξης πριν εγκριθεί μη εποπτευόμενη πρόσβαση σε δεδομένα προσωπικού χαρακτήρα ή εντός 30 ημερών από τη διαδικασία ένταξης, όποιο συμβεί πρώτο. Η ετήσια επαναληπτική εκπαίδευση σε θέματα ιδιωτικότητας πρέπει να ανατίθεται τουλάχιστον μία φορά κάθε 12 μήνες. Στοχευμένη επαναληπτική εκπαίδευση απαιτείται εντός 30 ημερών μετά από ουσιώδη αλλαγή πολιτικής ιδιωτικότητας, ουσιώδη αλλαγή διεργασίας PIMS, εύρημα ελέγχου, επαναλαμβανόμενη αποτυχία εκπαίδευσης ή συναφές δίδαγμα από περιστατικό που αφορά δεδομένα προσωπικού χαρακτήρα. Εκπαίδευση βάσει ρόλων απαιτείται επίσης πριν το προσωπικό αναλάβει αρμοδιότητες που αφορούν νομική βάση, ειδοποιήσεις, συγκατάθεση, δικαιώματα υποκειμένων των δεδομένων προσωπικού χαρακτήρα, DPIAs, διατήρηση, κοινοχρησία, διεθνείς διαβιβάσεις, προνομιούχα πρόσβαση, διαχείριση ασφάλειας, καταγραφή, παρακολούθηση ή υποστήριξη περιστατικών. Η διακυβέρνηση και η τήρηση ενσωματώνονται στην πολιτική μέσω καθορισμένων αρμοδιοτήτων, παρακολούθησης και κλιμάκωσης. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS διατηρεί το περιεχόμενο εκπαίδευσης, τις αναθέσεις, τα τεκμήρια ολοκλήρωσης, τις επιβεβαιώσεις και τα τεκμήρια αποτελεσματικότητας. Οι Ιδιοκτήτες Διεργασιών υποστηρίζουν την ολοκλήρωση για το προσωπικό που υπάγεται στην αρμοδιότητά τους, οι Ιδιοκτήτες Συστημάτων επαληθεύουν την εκπαίδευση πριν εγκρίνουν προνομιούχα πρόσβαση ή πρόσβαση σε σύστημα δεδομένων προσωπικού χαρακτήρα υψηλού αντικτύπου, και οι Υπεύθυνοι Προμηθευτών / Προμηθειών διατηρούν τεκμήρια εκπαίδευσης ή ισοδύναμης διασφάλισης για προμηθευτές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας και μέλη εξωτερικού εργατικού δυναμικού. Η πολιτική απαιτεί τριμηνιαία ανασκόπηση ολοκλήρωσης, εκπρόθεσμης εκπαίδευσης, αναθέσεων βάσει ρόλων και εξαιρέσεων, με αναφορά ανεπίλυτων κενών τεκμηρίων πριν από την ανασκόπηση της Διοίκησης. Οι ανασκοπητές Εσωτερικού Ελέγχου / Συμμόρφωσης εξετάζουν δειγματοληπτικά τεκμήρια REG11 και REG12 σύμφωνα με το εγκεκριμένο σχέδιο ελέγχων, υποστηρίζοντας τη συνεχή βελτίωση και τη λογοδοσία με ετοιμότητα για πιστοποίηση.