Πολιτική Διαχείρισης Ιδιωτικότητας Εκτελούντων την Επεξεργασία, Υπεργολάβων Επεξεργασίας και Τρίτων Μερών

Η Πολιτική Διαχείρισης Ιδιωτικότητας Εκτελούντων την Επεξεργασία, Υπεργολάβων Επεξεργασίας και Τρίτων Μερών καθορίζει πώς ένας οργανισμός διέπει εξωτερικά μέρη που επεξεργάζονται, προσπελαύνουν, λαμβάνουν, αποθηκεύουν, διαβιβάζουν, υποστηρίζουν ή με άλλον τρόπο χειρίζονται δεδομένα προσωπικού χαρακτήρα εντός του πεδίου εφαρμογής του Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας. Εφαρμόζεται όταν ο οργανισμός ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα που χρησιμοποιεί εκτελούντες την επεξεργασία, ως από κοινού υπεύθυνος επεξεργασίας που απαιτεί ταξινόμηση ρόλων, ως εκτελών την επεξεργασία που χρησιμοποιεί υπεργολάβους επεξεργασίας ή υπεργολάβους και ως υπεργολάβος επεξεργασίας που λαμβάνει εντολές πελάτη. Η πολιτική καλύπτει επίσης σχέσεις με τρίτα μέρη που απαιτούν δέουσα επιμέλεια σε θέματα ιδιωτικότητας, συμβατικούς ελέγχους, τεκμηριωμένες οδηγίες, έγκριση υπεργολάβων επεξεργασίας, παρακολούθηση, διασφάλιση, διεπαφή περιστατικών, σύνδεση διαβίβασης, τεκμήρια επιστροφής, διαγραφής ή εξόδου. Βασικό χαρακτηριστικό της πολιτικής είναι η χρήση του REG08 — Μητρώο Εκτελούντων την Επεξεργασία, Υπεργολάβων Επεξεργασίας και Κοινοχρησίας Δεδομένων — ως κύριου αντικειμένου τεκμηρίων για τη διαχείριση ιδιωτικότητας εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας και τρίτων μερών. Η πολιτική απαιτεί από τον Επικεφαλής Ιδιωτικότητας / Υπεύθυνο PIMS να ορίζει τα ελάχιστα πεδία REG08 και να ταξινομεί τις σχέσεις με τρίτα μέρη σε θέματα ιδιωτικότητας ως υπεύθυνος επεξεργασίας, από κοινού υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, υπεργολάβος επεξεργασίας ή άλλη σχέση με τρίτο μέρος πριν από την έγκριση σύμβασης ή πριν αρχίσει η επεξεργασία δεδομένων προσωπικού χαρακτήρα. Απαιτεί επίσης από τον Υπεύθυνο Προμηθευτών / Προμηθειών να αναστέλλει τη διαδικασία ένταξης, την ανανέωση ή την επέκταση έως ότου ολοκληρωθεί το REG08 και συνδεθεί με αρχεία όπως τα REG02, REG04, REG09 ή REG10, όταν ενεργοποιούνται τα συγκεκριμένα αντικείμενα τεκμηρίων. Αυτό δημιουργεί τεκμηριωμένη σύνδεση μεταξύ της διακυβέρνησης σχέσεων, της απογραφής επεξεργασίας, των αρχείων κινδύνου και DPIA, των τεκμηρίων διεθνών διαβιβάσεων, των αρχείων περιστατικών και των διορθωτικών ενεργειών. Η πολιτική θέτει λεπτομερείς απαιτήσεις για δέουσα επιμέλεια, αξιολόγηση κινδύνου και συμβατικό έλεγχο. Η δέουσα επιμέλεια σε θέματα ιδιωτικότητας πρέπει να ολοκληρώνεται πριν από την επιλογή, την ανανέωση ή την ουσιώδη μεταβολή σχέσης με εκτελούντα την επεξεργασία, υπεργολάβο επεξεργασίας ή τρίτο μέρος που επεξεργάζεται ή προσπελαύνει δεδομένα προσωπικού χαρακτήρα. Τα τεκμήρια διασφάλισης ασφάλειας πρέπει να ανασκοπούνται από τον Επικεφαλής Ασφάλειας Πληροφοριών πριν από την έγκριση, ενώ οι σχέσεις υψηλού κινδύνου με εκτελούντες την επεξεργασία ή οι ουσιώδεις αλλαγές τρίτων μερών σε θέματα ιδιωτικότητας ενεργοποιούν αξιολόγηση κινδύνου ιδιωτικότητας και έλεγχο αναγκαιότητας DPIA στο REG04. Οι έλεγχοι συμβάσεων και τεκμηριωμένων οδηγιών διαχωρίζονται για τα πλαίσια υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία. Όταν ενεργεί ως υπεύθυνος επεξεργασίας, ο οργανισμός πρέπει να καταγράφει γραπτή σύμβαση με εκτελούντα την επεξεργασία ή ισοδύναμη δεσμευτική συμφωνία πριν ο εκτελών την επεξεργασία χειριστεί δεδομένα προσωπικού χαρακτήρα. Όταν ενεργεί ως εκτελών την επεξεργασία, οι συμφωνίες πελατών ή οι τεκμηριωμένες εντολές πελάτη πρέπει να καθορίζουν το εξουσιοδοτημένο πεδίο επεξεργασίας πριν από την επεξεργασία δεδομένων προσωπικού χαρακτήρα πελάτη. Η πολιτική απαιτεί επίσης συμβατική κάλυψη για συνδρομή, διασφάλιση ασφάλειας, διεπαφή περιστατικών μέσω PII15, επιστροφή ή διαγραφή μέσω PII10, σύνδεση διαβίβασης μέσω PII13 και συνεργασία σε θέματα ελέγχου ή διασφάλισης. Η διακυβέρνηση υπεργολάβων επεξεργασίας και υπεργολάβων αντιμετωπίζεται μέσω ειδικών απαιτήσεων έγκρισης, ειδοποίησης, μετακυλιόμενων υποχρεώσεων και παρακολούθησης. Ο Υπεύθυνος Προμηθευτών / Προμηθειών πρέπει να τηρεί κατάλογο υπεργολάβων επεξεργασίας και υπεργολάβων στο REG08, να επαληθεύει την έγκριση του πελάτη πριν από την ανάθεση, να ειδοποιεί τους πελάτες για προβλεπόμενους νέους ή αντικαταστάτες υπεργολάβους επεξεργασίας σύμφωνα με την εφαρμοστέα συμφωνία και να διασφαλίζει μετακυλιόμενες υποχρεώσεις ιδιωτικότητας, ασφάλειας, συνδρομής, επιστροφής, διαγραφής, διεπαφής περιστατικών και σύνδεσης διαβιβάσεων πριν οποιοσδήποτε υπεργολάβος επεξεργασίας επεξεργαστεί δεδομένα προσωπικού χαρακτήρα. Οι ειδοποιήσεις αλλαγής υπεργολάβου επεξεργασίας από την πλευρά του υπευθύνου επεξεργασίας πρέπει επίσης να παρακολουθούνται, με αποφάσεις έγκρισης, αντίρρησης ή κλιμάκωσης να καταγράφονται στο REG08 εντός της συμβατικής περιόδου αντίρρησης ή εντός 10 εργάσιμων ημερών από τη λήψη της ειδοποίησης, όποιο διάστημα είναι συντομότερο. Η πολιτική ολοκληρώνει τον κύκλο ζωής με συνεχή παρακολούθηση, χειρισμό συνδρομής, καταγραφή κοινολόγησης, σύνδεση περιστατικών, σύνδεση διαβιβάσεων, τεκμήρια εξόδου, εξαιρέσεις, εφαρμογή και ανασκόπηση. Οι σχέσεις υψηλού κινδύνου με εκτελούντες την επεξεργασία και υπεργολάβους επεξεργασίας παρακολουθούνται ανά τρίμηνο, ενώ οι λοιπές ενεργές σχέσεις με εκτελούντες την επεξεργασία και υπεργολάβους επεξεργασίας που αφορούν δεδομένα προσωπικού χαρακτήρα παρακολουθούνται ετησίως. Τα αιτήματα συνδρομής για δικαιώματα υποκειμένου των δεδομένων προσωπικού χαρακτήρα, DPIA, τεκμήρια ασφάλειας, ελέγχους ή διασφάλιση πελατών πρέπει να συντονίζονται μέσω REG08 και να συνδέονται με REG06, REG04 ή REG12, όπου εφαρμόζεται. Οι ειδοποιήσεις περιστατικών ιδιωτικότητας που σχετίζονται με προμηθευτές δρομολογούνται στο REG10 βάσει του PII15 εντός μίας εργάσιμης ημέρας, ενώ τεκμήρια επιστροφής, διαγραφής, διάθεσης ή μετάβασης πρέπει να λαμβάνονται εντός 30 ημερών μετά τη λύση, τη λήξη, την εντολή πελάτη ή το εγκεκριμένο συμβάν εξόδου, εκτός εάν εφαρμόζεται συντομότερη συμβατική περίοδος. Οι εξαιρέσεις είναι χρονικά περιορισμένες, απαιτούν εκτίμηση αντικτύπου στην ιδιωτικότητα και ενδέχεται να απαιτούν έγκριση από την Ανώτατη Διοίκηση όταν επηρεάζεται επεξεργασία υψηλού κινδύνου ή όταν υπάρχουν ελλείποντα συμβατικά τεκμήρια, κενά σύνδεσης διαβιβάσεων ή πεδίο εφαρμογής πιστοποίησης.