Isikut tuvastava teabe kogumise, kasutamise, avalikustamise ja jagamise poliitika

Isikut tuvastava teabe kogumise, kasutamise, avalikustamise ja jagamise poliitika määratleb operatiivsed nõuded selle kohta, kuidas isikut tuvastavat teavet PIMS-i kohaldamisalas kogutakse, kasutatakse, avalikustatakse ja jagatakse. Selle väljendatud eesmärk on tagada, et isikut tuvastavat teavet käsitletakse ainult dokumenteeritud, heakskiidetud, piiratud ja vastutust võimaldavatel eesmärkidel. Poliitikat kohaldatakse vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides ning see hõlmab kogumist otseste, kaudsete, automatiseeritud, manuaalsete, sisemiste, väliste ja kolmandate osapoolte kanalite kaudu. See käsitleb ka heakskiidetud sisekasutust äriprotsessides, süsteemides ja rakendustes, teisest kasutamist uutel või oluliselt muudetud eesmärkidel, välist avalikustamist vastuvõtjatele ja kolmandatele osapooltele ning nii korduvaid andmete jagamise kokkuleppeid kui ka ühekordseid avalikustamisi. Poliitika keskne osa on tõendusmaterjali registrite kasutamine, et siduda privaatsusotsused auditeeritavate kirjetega. REG02-t kasutatakse isikut tuvastava teabe töötlemisregistri, heakskiidetud eesmärkide, kogumisreeglite, kasutusreeglite ja teisese kasutamise kooskõla hindamiste jaoks. REG08-t kasutatakse volitatud töötleja, alltöötleja ja andmete jagamise kirjete jaoks, sealhulgas vastuvõtja identiteet, vastuvõtja roll, avalikustamise eesmärk, isikut tuvastava teabe kategooriad, jagamise sagedus, töötlemise asukoht ja volituse allikas. REG09-t kasutatakse juhul, kui jagamine hõlmab uut riiki, rahvusvahelist organisatsiooni, kaugjuurdepääsu asukohta, vastuvõtja asukohta või edasise edastamise asukohta. REG12-t kasutatakse erandite, mittevastavuste, auditileidude, parandusmeetmete, rakendamist takistavate probleemide ja poliitika läbivaatamise kirjete jaoks. Poliitika kehtestab selged kontrollipunktid enne töötlemise algust. Protsessiomanikud või ettevõtte omanikud peavad enne uue kogumise või olulise muudatuse algust REG02-s registreerima kogumise eesmärgid, allikad või kanalid, isikut tuvastava teabe kategooriad, isikuandmesubjektide kategooriad ja minimaalsed andmeelemendid. Nad peavad enne kogumist dokumenteerima ka iga isikut tuvastava teabe andmeelemendi vajalikkuse põhjenduse. Süsteemiomanikud või rakenduste omanikud võivad rakendada ainult heakskiidetud kogumisvälju, töövoovälju, aruandeid, eksportimisi või avalikustamise väljundeid, mis vastavad REG02 või REG08 heakskiidule. Volitatud töötleja kontekstides tuleb enne kliendi isikut tuvastava teabe kogumist, kasutamist või avalikustamist registreerida kooskõla kliendi juhistega. Teisest kasutamist käsitletakse juhitud otsusena, mitte olemasoleva tegevuse mitteametliku laiendusena. Enne kui isikut tuvastavat teavet kasutatakse eesmärgil, mida ei ole REG02-s juba heaks kiidetud, peab protsessiomanik või ettevõtte omanik registreerima kooskõla hindamise, mis hõlmab algset eesmärki, kavandatavat eesmärki, õigusliku aluse sõltuvust, isikut tuvastava teabe kategooriaid, isikuandmesubjektide ootusi, minimaalsuse põhjendust, avalikustamise või edastamise mõju ning vajaduse korral marsruutimist teiste PIMS-i poliitikate juurde. Privaatsusvaldkonna juht või PIMS-i juht peab enne teisese kasutamise algust registreerima heakskiidu või tagasilükkamise. Kui tegemist on tundliku korduva jagamisega, haavatavate isikuandmesubjektidega, suure mõjuga andmekirjetega või oluliselt muutunud ootustega, tuleb enne heakskiitu registreerida andmekaitseametniku või andmekaitsenõustaja nõuanne. Juhtimine, mõõtmine ja rakendamine on poliitikasse sisse ehitatud. Privaatsusvaldkonna juht või PIMS-i juht vaatab heakskiidetud kasutuse reeglid läbi vähemalt kord aastas, võrdleb REG02-s heakskiidetud eesmärke REG08 aktiivsete jagamiskirjetega vähemalt kord aastas ning registreerib tulemused REG12-s. Tarnija- või hankeomanikud võrdlevad REG08 aktiivseid jagamiskandeid aktiivsete volitatud töötlejate, alltöötlejate, vastuvõtjate ja andmete jagamise suhetega vähemalt kord kvartalis. Siseauditi- või vastavuse ülevaatajad võtavad igal aastal valimeid REG02, REG08 ja REG09 tõendusmaterjalist ning registreerivad tulemused REG12-s. Heakskiitmata kogumine, kasutamine, avalikustamine või jagamine tuleb viie tööpäeva jooksul registreerida mittevastavusena ning töötlemine võidakse ühe tööpäeva jooksul peatada, kui heakskiidetud tõendusmaterjal puudub.