Política de exactitud y calidad de los datos personales

La Política de exactitud y calidad de los datos personales define cómo una organización mantiene la exactitud, integridad, actualidad, adecuación y pertinencia de la información de identificación personal tratada dentro del Sistema de Gestión de la Privacidad de la Información. Su finalidad declarada es garantizar que los datos personales utilizados por la organización sigan siendo exactos y adecuados para las finalidades del tratamiento registradas en el PIMS, y que los datos personales inexactos, incompletos, desactualizados o impugnados se rectifiquen, sincronicen o escalen utilizando evidencias controladas. La política se aplica en contextos de responsable del tratamiento, corresponsable del tratamiento, encargado del tratamiento y subencargado del tratamiento, considerando primarias las obligaciones del responsable del tratamiento y aplicando las obligaciones del encargado o subencargado del tratamiento cuando la organización presta asistencia para instrucciones del responsable relacionadas con la rectificación, la sincronización o la exactitud. La política se estructura en torno a controles operativos prácticos, no como un programa independiente de calidad de datos. Declara expresamente que no crea un registro de calidad de datos separado, una función de gobernanza de datos maestros, un marco de calidad de datos analíticos ni un marco de calidad de datos de entrenamiento de IA. En su lugar, integra los requisitos de exactitud y calidad en los registros y flujos de trabajo existentes del PIMS. REG02 se utiliza para registrar la propiedad de la exactitud, la fuente fehaciente, las marcas de registro de alto impacto, la frecuencia de revisión de exactitud, los métodos de comprobación de exactitud, las vinculaciones de sistemas y los indicadores de datos desactualizados. REG06 se utiliza para reclamaciones de rectificación iniciadas por el interesado y elementos de rectificación aceptados. REG08 respalda las asignaciones entre corresponsables del tratamiento, las obligaciones de asistencia para la rectificación del cliente, los canales de instrucciones autorizados, las evidencias de encargados del tratamiento y subencargados del tratamiento, las notificaciones a destinatarios y los acuses de recibo descendentes. REG12 consolida el estado de seguimiento, las deficiencias, las excepciones, las no conformidades, las acciones correctivas y las evidencias de revisión por la dirección. Una característica central de la política es el concepto de registro de alto impacto. La política lo define como un registro de datos personales utilizado para conceder, denegar, modificar o afectar sustancialmente al acceso a un servicio, contrato, asunto laboral, resultado financiero, resultado relacionado con la salud, decisión de elegibilidad, decisión de identidad, decisión de riesgo u otra decisión en la que datos personales inexactos puedan afectar sustancialmente a un interesado. Estos registros reciben controles específicos: deben clasificarse en REG02 antes de que comience el tratamiento por el responsable del tratamiento y posteriormente con periodicidad anual, revisarse al menos una vez al año y comprobarse antes de su utilización cuando las fechas de revisión estén vencidas. Los propietarios del sistema deben identificar indicadores de datos desactualizados para registros de sistemas de alto impacto antes de la entrada en producción y en un plazo de 30 días desde cualquier cambio material del sistema. Cuando los problemas de exactitud de alto impacto sigan sin resolverse, sean recurrentes o superen las fechas límite aprobadas, la política exige su escalado a REG12 y, cuando sea necesario, a la Alta Dirección. El flujo de trabajo de rectificación conecta la gestión de derechos de privacidad, la validación del negocio y la implementación técnica. Las reclamaciones de rectificación iniciadas por el interesado se vinculan desde REG06 a la actividad de tratamiento REG02 afectada en un plazo de cinco días hábiles desde la asignación. Los elementos de rectificación aceptados deben asignarse tanto al Propietario del proceso o propietario de la empresa como al propietario del sistema o propietario de la aplicación en un plazo de dos días hábiles después de entrar en revisión sustantiva. El Propietario del proceso valida las rectificaciones propuestas frente a la fuente fehaciente, la finalidad del tratamiento y el registro REG02 vigente en un plazo de 10 días hábiles, mientras que el propietario del sistema implementa las rectificaciones aprobadas en el sistema fuente y registra la finalización en REG06 y REG02 en un plazo de cinco días hábiles desde la aprobación o en la fecha límite aprobada. La política también exige asesoramiento documentado antes de denegar una rectificación, cerrar una cuestión impugnada o adoptar decisiones de rectificación de alto impacto, y dirige los resultados de supresión, restricción de conservación, eliminación o solo eliminación al flujo de trabajo relacionado cuando la rectificación por sí sola no sea el resultado requerido. La sincronización y la supervisión también se abordan de forma explícita. Antes de implementar una rectificación aprobada, deben identificarse en REG02 los sistemas fuente pertinentes, las aplicaciones vinculadas, las réplicas, las interfaces y los informes. A continuación, las rectificaciones aprobadas deben sincronizarse en todos los sistemas dentro del alcance identificados, mientras que los destinatarios, encargados del tratamiento o partes con las que se comparten datos se supervisan mediante REG08 cuando se requieran actualizaciones descendentes. Las métricas trimestrales incluyen el porcentaje de actividades de tratamiento REG02 de alto impacto con una revisión de exactitud vigente, los elementos de rectificación abiertos y vencidos de REG06, y los fallos de sincronización no resueltos de REG08 y REG12. Las excepciones deben solicitarse, evaluarse, limitarse en el tiempo a no más de 90 días y cerrarse o reevaluarse. La política se revisa anualmente y en un plazo de 30 días desde cualquier cambio material legal, de tratamiento, de sistema o del alcance de certificación, con los cambios sustanciales aprobados por la Alta Dirección antes de su publicación.