Privaatsusteabe haldussüsteemi poliitika

Privaatsusteabe haldussüsteemi poliitika kehtestab organisatsiooni PIMS-i isikut tuvastava teabe töötlemiseks vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides. Selle eesmärk on määratleda kohustuslikud juhtimisnõuded PIMS-i kehtestamiseks, rakendamiseks, haldamiseks, seireks ja pidevaks täiustamiseks. Poliitika toetab vastutuspõhist, riskipõhist ja tõendusmaterjalipõhist isikut tuvastava teabe töötlemise haldust kõigi kohaldatavate PIMS-i rollide lõikes. See hõlmab PIMS-i kohaldamisala, organisatsioonilist konteksti, huvitatud osapooli, piire, PIMS-i rollide määramist, privaatsuspoliitikat, privaatsuseesmärke, privaatsusriskide hindamist, privaatsusriskide käsitlemist, PIMS-i kohaldatavusavaldust, juhtimist, seiret, siseauditit, juhtkonna läbivaatamist, mittevastavust, parandusmeetmeid ja dokumenteeritud tõendusmaterjali, mida on vaja vastavuse ja vastutuse tõendamiseks. Poliitika keskne osa on määratletud vastutus. Tippjuhtkond peab kinnitama PIMS-i kohaldamisala REG01-s enne esmast rakendamist ja 30 päeva jooksul pärast olulist muudatust, kinnitama poliitika ja PIMS-i eesmärgid REG12-s igal aastal ning vaatama juhtkonna läbivaatamise käigus läbi toimivuse, avatud riskid, mittevastavused, parandusmeetmed ja parendusotsused. Privaatsusvaldkonna juht / PIMS-i juht haldab PIMS-i põhikirjeid, sealhulgas kontekstiküsimusi, huvitatud osapooli, eesmärke, kohaldatavusavaldust, riski käsitlemise otsuseid, tõendusmaterjali indeksit, mõõdikuid, erandeid, parandusmeetmeid ja poliitika läbivaatamise kirjeid. Protsessiomanikud klassifitseerivad organisatsiooni PIMS-i rolli iga isikut tuvastava teabe töötlemistegevuse kohta enne töötlemise algust, samas kui tarnija- ja hankevaldkonna omanikud dokumenteerivad kaasvastutava töötleja vastutusvaldkondade jaotuse, kliendi töötlemisjuhised, heakskiidetud alltöötlemise korraldused, tarnijajuhtimise ning väliselt osutatavad PIMS-i seisukohast asjakohased protsessid. Poliitika seob PIMS-i juhtimise operatiivse kontrolliga. Privaatsusriskide hindamine tuleb algatada enne uue või oluliselt muudetud isikut tuvastava teabe töötlemise algust ning DPIA vajadus tuleb määrata enne kõrge riskiga või oluliselt muudetud vastutava töötleja töötlemise jätkamist. Heakskiidetud privaatsusriskide käsitlemise otsused registreeritakse enne käsitlemise rakendamist ning süsteemiomanikud peavad kinnitama PIMS-i operatiivsed kontrollimeetmed enne isikut tuvastavat teavet töötlevate süsteemide tootmiskeskkonnas kasutuselevõttu. Infoturbe juht vastutab kohaldatava isikut tuvastava teabe turbekontrolli baastaseme dokumenteerimise ja turbekontrollide rakendamise staatuse haldamise eest, sidudes privaatsusjuhtimise isikut tuvastava teabe turbekontrolli baastaseme ja kohaldatavusavaldusega. See struktuur aitab tagada, et kohaldamisala, töötlemistegevused, kontrollimeetmete kohaldatavus, tarnijakokkulepped ja riskikirjed püsiksid kooskõlas enne juhtkonna läbivaatamist ja sertifitseerimisega seotud muudatusi. Poliitika määratleb ka auditeeritavuse ja pideva täiustamise nõuded. Privaatsusvaldkonna juht / PIMS-i juht peab enne iga siseauditit haldama PIMS-i tõendusmaterjali indeksit, säilitama dokumenteeritud teavet vastavalt tõendusmaterjali säilitamise nõuetele, haldama tulemusmõõdikuid kord kvartalis ja esitama eesmärkide staatuse enne juhtkonna läbivaatamist. Minimaalne mõõdikute kogum hõlmab kehtiva rolliklassifikatsiooniga kohaldamisalasse kuuluvate töötlemistegevuste osakaalu, kehtiva rakendamise staatusega kohaldatavate kontrollimeetmete osakaalu, avatud mittevastavusi ja tähtaja ületanud parandusmeetmeid ning kinnitamist ootavaid privaatsusriskide hindamisi. Siseauditi / vastavuse läbivaatajad peavad esitama läbivaatamise tulemused 15 tööpäeva jooksul, kontrollima siseauditite käigus valimipõhiselt tõendusmaterjali täielikkust, kontrollima aegunud erandite sulgemise tõendusmaterjali ning kontrollima parandusmeetmete tõhusust 30 päeva jooksul pärast sulgemisest teatamist. Erandeid, rakendamist ja haldamist käsitletakse ametlike PIMS-i protsessidena, mitte mitteametlike kõrvalekalletena. Taotletud erandid tuleb dokumenteerida enne kõrvalekalde tekkimist, hinnata privaatsusriski seisukohast enne heakskiitmist ning vaadata kord kvartalis läbi kuni sulgemiseni. Erandid, mis ületavad aktsepteeritud privaatsusriski künniseid, nõuavad enne rakendamist tippjuhtkonna heakskiitu. Kahtlustatavad mittevastavused tuleb registreerida viie tööpäeva jooksul, tähtaja ületanud suuremad parandusmeetmed tuleb eskaleerida tippjuhtkonnale ning lahendamata olulised mittevastavused tuleb läbi vaadata igal juhtkonna läbivaatamisel. Poliitika ise vaadatakse läbi igal aastal ning 30 päeva jooksul pärast olulisi õiguslikke, organisatsioonilisi, töötlemise, tehnoloogia või sertifitseerimise kohaldamisala muudatusi, kusjuures heakskiidetud muudatused edastatakse REG11-s 30 päeva jooksul pärast avaldamist.