Lõimitud ja vaikimisi andmekaitse poliitika

Lõimitud ja vaikimisi andmekaitse poliitika määratleb, kuidas privaatsusnõuded tuleb PIMS-i kohaldamisalas uutesse ja muudetud isikut tuvastava teabe töötlemistoimingutesse sisse ehitada. Seda kohaldatakse projektidele, toodetele, teenustele, süsteemidele, rakendustele, integratsioonidele, hanketegevustele ja äriprotsesside muudatustele. Poliitika on koostatud vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstide jaoks, sealhulgas olukordades, kus organisatsioon kavandab, konfigureerib, muudab või käitab töötlemist kliendi, vastutava töötleja või ülesvoolu volitatud töötleja nimel dokumenteeritud juhiste alusel. Selle põhieesmärk on tagada, et privaatsusnõuded tuvastatakse, rakendatakse ja tõendatakse enne isikut tuvastava teabe töötlemise alustamist või olulist muutmist. Poliitika rõhutab eelkõige eesmärki, vajalikkust, andmete minimaalsust ja privaatsust kaitsvaid vaikeseadeid. Protsessiomanikud ja äriprotsesside omanikud peavad enne kogumise või impordi disaini heakskiitmist dokumenteerima REG02 ja REG04 registrites minimaalsed isikut tuvastava teabe kategooriad, isikuandmesubjektide kategooriad, allikad ja eesmärgid. Süsteemiomanikud ja rakenduste omanikud peavad seadistama töötlemise vaikeseaded nii, et kogutakse ja töödeldakse ainult dokumenteeritud eesmärgi jaoks vajalikku minimaalset isikut tuvastavat teavet, ning peavad enne tootmiskeskkonnas kasutuselevõttu salvestama tõendusmaterjali REG04-s. Valikulisi isikut tuvastava teabe välju, valikulisi töötlemisvalikuid, vaikimisi väljalülitatud seadeid, vaadete ja aruannete kokkupuute seadeid ning ajutiste failide, vahemälude, logide või vahekeskkonna kirjete käitlemist käsitletakse disainietapi privaatsuskohustustena, mitte tagantjärele tehtavate operatiivsete parandusmeetmetena. Privaatsusriskide hindamise ja DPIA seos on disainiprotsessi sisse ehitatud, asendamata PII07-s määratletud eraldi metoodikat. Andmekaitse eest vastutav isik / PIMS-i juht peab kinnitama, et uue või oluliselt muudetud isikut tuvastava teabe töötlemise disaini heakskiitmise eel on privaatsusriskide hindamine ja DPIA vajaduse hindamine REG04-s kajastatud. Privaatsuse disaini käsitlustegevused, omanikud ja tähtajad tuleb dokumenteerida enne läbivaatamise sulgemist ning rakendamise tõendusmaterjal tuleb koguda enne tootmiskeskkonnas kasutuselevõttu. Suure riskiga või oluliselt muudetud vastutava töötleja poolse töötlemise korral nõuab poliitika ka rakendamisjärgset privaatsuse disaini kontrolli REG04-s 30 kalendripäeva jooksul pärast tootmiskeskkonnas kasutuselevõttu. Kui disainiküsimused puuduvad, on ebatõhusad, tähtaja ületanud või neist on mööda mindud, avatakse REG12-s parandusmeede. Poliitika laiendab lõimitud andmekaitset ka hangetele ja kolmandate osapoolte suhetele. Tarnija- ja hankeomanikud peavad enne hanke heakskiitmist salvestama REG08-s lõimitud andmekaitse nõuded tarnijatele, volitatud töötlejatele, alltöötlejatele, SaaS-teenustele, platvormidele või väliselt majutatud süsteemidele. Kolmandate osapooltega seotud isikut tuvastava teabe vajalikkus, eesmärk ja minimaalsed isikut tuvastava teabe kategooriad tuleb dokumenteerida enne välist töötlemist, andmete jagamist või hanke heakskiitmist. Tarnija tugi vaikimisi andmekaitse seadetele, andmete minimaalsusele ja kliendi konfiguratsioonivajadustele tuleb registreerida enne kaasamist, samas kui lahendamata tarnija privaatsuse disaini puudujäägid eskaleeritakse REG12-sse viie tööpäeva jooksul ja enne lepingu allkirjastamist. Juhtimine, seire, rakendamine ja hooldus määratletakse korduva tõendusmaterjali ja läbivaatamistsüklite kaudu. Andmekaitse eest vastutav isik / PIMS-i juht esitab REG12-s kord kvartalis privaatsuse disaini staatuse kokkuvõtted, arvutab lõpetamise ja tähtaja ületanud tegevuste mõõdikud ning kontrollib enne siseauditit, et disaini tõendusmaterjal oleks koondatud REG02, REG04, REG08 ja REG12 registritesse. Tippjuhtkond vaatab juhtkonna läbivaatamise käigus läbi suure mõjuga erandid, blokeeritud tootmiskeskkonnas kasutuselevõtu otsused ja korduvad leiud. Rakendussätted nõuavad tootmiskeskkonnas kasutuselevõtu takistamist, kui REG04 läbivaatamine on lõpetamata; kaasamise takistamist, kui REG08 tõendusmaterjal puudub; ning uue või muudetud isikut tuvastava teabe töötlemise peatamist kuni REG04 läbivaatamise, REG02 uuenduste ja nõutavate REG12 erandite lõpuleviimiseni.