Rahvusvahelise isikut tuvastava teabe edastamise poliitika

Rahvusvahelise isikut tuvastava teabe edastamise poliitika kehtestab nõuded isikut tuvastava teabe rahvusvaheliste edastuste tuvastamiseks, heakskiitmiseks, registreerimiseks, läbivaatamiseks, piiramiseks ja peatamiseks. Seda kohaldatakse vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja tegevustele, kus isikut tuvastav teave tehakse kättesaadavaks, sellele pääsetakse juurde, seda säilitatakse, majutatakse, avalikustatakse või muul viisil edastatakse väljapoole REG02-s või REG09-s registreeritud heakskiidetud töötlemispiiri. Kohaldamisala hõlmab sisemisi sidusettevõtteid, väliseid vastuvõtjaid, volitatud töötlejaid, alltöötlejaid, teenuseosutajaid, tugijuurdepääsu, majutuskohti, kaughaldust, edasisi edastusi, avaliku asutuse avalikustamistaotlusi ja edastusega seotud teenusemuudatusi. Poliitika keskne tunnus on tõendusmaterjalil põhinev lähenemine. Poliitika sätestab, et rahvusvahelised edastused tuleb tuvastada enne töötlemise algust või muutmist ning heakskiidetud edastuskirjeid tuleb hoida REG09-s. REG09 on peamine edastuse tõendusmaterjaliobjekt, samas kui REG02, REG08 ja REG12 annavad toetavat tõendusmaterjali töötlemistoimingute, tarnija- ja volitatud töötleja suhete, erandite, mittevastavuste, parandusmeetmete ja juhtkonna läbivaatamise kohta. Nõutavad REG09 väljad hõlmavad edastuse sihtkohta, vastuvõtjat, PIMS-i rolli, edastusmehhanismi, toetavat tõendusmaterjali, läbivaatamise kuupäeva ja omanikku. Selle struktuuri eesmärk on aidata organisatsioonil tõendada vastutuspõhist edastusjuhtimist ilma eraldi dubleerivaid edastuse mõjuhindamise või standardsete lepingutingimuste (SCC) registreid loomata. Poliitika määratleb kontrollimeetmed edastusmehhanismi valikuks, heakskiitmiseks ja riskide läbivaatamiseks. Vastutava töötleja edastuste puhul registreerib andmekaitsevaldkonna juht / PIMS-i juht heakskiidetud edastusmehhanismi ja toetava tõendusmaterjali REG09-s enne edastuse algust. Andmekaitseametnik / andmekaitsenõustaja vaatab edastusmehhanismi tõendusmaterjali läbi enne uute, oluliselt muudetud või kõrgema riskiga rahvusvaheliste isikut tuvastava teabe edastuste heakskiitmist ning teeb edastusriskide läbivaatamise, kui selleks tekib alus. Kui tuginetakse tehnilistele kaitsemeetmetele, registreerib infoturbejuht tehnilise kaitsemeetme sõltuvuse staatuse REG09-s või REG12-s. Kui edastuse jääkrisk on kõrge, peab tippjuhtkond enne riski aktsepteerimist REG12-s heaks kiitma edastuse jätkamise. Käsitletakse ka volitatud töötlejate, alltöötlejate ja edasiste edastuste juhtimist. Tarnija-/hankeomanik peab enne volitatud töötleja rahvusvaheliste isikut tuvastava teabe edastuste algatamist hankima dokumenteeritud kliendi loa või kliendi juhise REG08-s ja REG09-s, registreerima alltöötleja loa ja edasiantavad edastustingimused ning takistama volitatud töötleja või alltöötleja edasist edastust, kuni kliendi luba on registreeritud. Poliitika nõuab ka, et edasiste edastuste marsruudid, vastuvõtjate kategooriad, piirangud ja kohustused registreeritakse enne heakskiitu. Välisriigi avaliku asutuse avalikustamistaotlused tuleb enne avalikustamist registreerida REG09-s või REG12-s, kui see on teostatav, või ühe tööpäeva jooksul, kui eelnev registreerimine ei ole teostatav; privaatsuse seisukohast olulised taotlused peavad võimaluse korral läbima andmekaitsenõustaja läbivaatamise. Pidev juhtimine toimub määratletud läbivaatamise, mõõtmise, erandite ja rakendamise nõuete kaudu. Aktiivsed edastuskirjed vaadatakse läbi vähemalt kord aastas ja 30 päeva jooksul pärast olulist edastusmuudatust, samas kui andmekaitsevaldkonna juht / PIMS-i juht vaatab tähtaja ületanud edastuste läbivaatamised, puudulikud kirjed, peatatud edastused ja avatud edastuserandid läbi vähemalt kord kvartalis. Mõõdikud hõlmavad aktiivsete REG09 kirjete osakaalu, millel on täielik edastusmehhanismi tõendusmaterjal, tähtaja ületanud edastuste läbivaatamisi, peatatud või edasi lükatud edastusi, tähtaja ületanud volitatud töötleja või kolmanda osapoole tõendusmaterjali ning vastendamata REG02 töötlemistoiminguid, millel on võimaliku rahvusvahelise edastuse indikaatorid. Erandid tuleb enne aktiivseks muutumist registreerida REG12-s, määrata neile omanik, aegumiskuupäev, kompenseeriv kontrollimeede ja läbivaatamise sagedus ning vaadata need kuni sulgemiseni läbi vähemalt kord kuus. Mittevastavused tuleb registreerida, kui tuvastatakse registreerimata edastused, toetamata mehhanismid, puuduv luba, tähtaja ületanud läbivaatamised, puuduv edasise edastuse tõendusmaterjal või loata jätkamine.