Isikut tuvastava teabe säilitamise, kustutamise ja kõrvaldamise poliitika

Isikut tuvastava teabe säilitamise, kustutamise ja kõrvaldamise poliitika kehtestab organisatsiooni nõuded isikut tuvastava teabe säilitamise, kustutamise, anonüümimise, identifitseerimatuks muutmise, tagastamise, edastamise ja kõrvaldamise määratlemiseks, läbivaatamiseks, teostamiseks ja tõendamiseks. Selle keskne eesmärk on tagada, et isikut tuvastavat teavet säilitatakse ainult heaks kiidetud eesmärkidel ja perioodidel, see kustutatakse või kõrvaldatakse muul viisil, kui seda enam ei vajata, ning seda toetab auditiks valmis tõendusmaterjal. Poliitikat kohaldatakse vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides, arvestades, et säilitamise ja lõppkäitluse kohustused võivad tuleneda heaks kiidetud töötlemise eesmärkidest, õigusliku aluse kirjetest, vastutava töötleja juhistest, lepingulistest nõuetest, isikuandmesubjekti kustutamise tulemustest, teenuse lõpetamisest, salvestuskandjate kõrvaldamisest ja PIMS-i seire leidudest. Poliitika on operatiivse suunitlusega ja nõuab, et säilitamise juhtimine oleks integreeritud PIMS-i kanonilistesse tõendusmaterjali kirjetesse, mitte hoitud eraldi kustutamisregistris. Vastutava töötleja töötlemistoimingutel peab enne töötlemise algust olema REG02-s määratud dokumenteeritud säilitamisreegel. Kaasvastutava töötleja vastutused registreeritakse REG02-s ja REG08-s, samas kui volitatud töötleja ja alltöötleja säilitamise, tagastamise, edastamise ja kustutamise juhiseid hallatakse REG08-s. Heaks kiidetud säilitamisreeglid peavad sisaldama säilitamisperioodi, alguskäivitajat, omanikku, põhjendust, lõppkäitlust ja järgmise läbivaatamise kuupäeva. Poliitika nõuab ka andmekaitseametniku või andmekaitsenõustaja nõu enne selliste säilitamisreeglite heakskiitmist, mis hõlmavad õiguslikku konflikti, kõrge riskiga töötlemist, eriliiki isikut tuvastavat teavet või säilitamist pärast algse töötlemise eesmärgi lõppemist. Täitmisnõuded hõlmavad kogu isikut tuvastava teabe elutsüklit. Süsteemiomanik / rakenduse omanik peab teostama või ajastama heaks kiidetud kustutamise, tagastamise, edastamise, anonüümimise, identifitseerimatuks muutmise või kõrvaldamise asjakohase säilitamisreegli jaoks registreeritud kustutamise ajavahemiku jooksul. Poliitika eristab aktiivkasutuses süsteeme, arhiive, varukoopiaid, koopiaid, logisid, vahealasid ja ajutisi faile ning nõuab, et need andmehoidlad tuvastataks REG02-s enne tootmiskeskkonda kasutuselevõttu ja iga-aastase säilitamise läbivaatamise käigus. Samuti nõuab see varukoopiate säilitamise ajavahemike ja taastamisejärgse kustutamise käsitlemise dokumenteerimist ning aegunud kustutamis- või piirangutoimingute uuesti rakendamist taastatud varundusandmetele enne taastatud keskkonna ärikasutusse vabastamist. Isikut tuvastavat teavet sisaldavad ajutised failid ja vahekeskkonna koopiad tuleb pärast seotud töötlemisülesande lõppu dokumenteeritud REG02 perioodi jooksul kustutada või kõrvaldada. Poliitika käsitleb ka turvalist kõrvaldamist, anonüümimist, identifitseerimatuks muutmist, erandite kontrolli ja seiret. Isikut tuvastavat teavet sisaldavate või sisaldada võivate salvestuskandjate kõrvaldamismeetodi klassid peab infoturbe juht REG12-s heaks kiitma enne taaskasutust, väljastamist, hävitamist või välist kõrvaldamist. Anonüümimist või identifitseerimatuks muutmist võib kasutada säilitamisriski vähendamise meetmena või lõppkäitluse tulemusena, kuid see peab olema dokumenteeritud REG02-s ja heaks kiidetud privaatsusvaldkonna juhi / PIMS-i juhi poolt enne, kui tuvastatav isikut tuvastav teave säilitatakse pärast selle eesmärgi või säilitamisperioodi lõppu. Heaks kiidetud säilitamisreeglite erandid tuleb enne aktiveerumist esitada ja heaks kiita REG12-s ning neid tuleb kuni sulgemiseni igakuiselt läbi vaadata. Mõõdikuid, nagu täielikud säilitamise metaandmed, tähtaja ületanud läbivaatamised, tähtaja ületanud elutsükli tegevused ja tähtaja ületanud lõppkäitluse tõendusmaterjal, mõõdetakse määratud intervallidega, samas kui mittevastavused, auditileiud ja parandusmeetmed seotakse REG12-ga, et toetada pidevat täiustamist.