Privaatsusriskide hindamise ja DPIA poliitika

Privaatsusriskide hindamise ja DPIA poliitika määratleb, kuidas organisatsioon tuvastab, hindab, käsitleb, kiidab heaks, vaatab läbi ja tõendab privaatsusriske PIMS-i kohaldamisalas. Selle eesmärk on tagada, et privaatsusriske ja DPIA-kohustusi käsitletakse enne, kui isikut tuvastava teabe töötlemine loob isikuandmesubjektidele või privaatsusteabe haldussüsteemile lubamatu riski. Poliitikat kohaldatakse uutele ja oluliselt muudetud isikut tuvastava teabe töötlemistoimingutele vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides. See hõlmab ka süsteeme, rakendusi, teenuseid, äriprotsesse, tarnijaid, volitatud töötlejaid, alltöötlejaid, rahvusvahelisi edastusi ja andmete jagamise kokkuleppeid, mis mõjutavad isikut tuvastava teabe töötlemist. Poliitika keskne osa on REG04-põhine tegevusmudel. Privaatsusriski eelhindamine, DPIA vajaduse hindamine, riskihindamine, käsitlusplaanid, jääkriski aktsepteerimine, konsulteerimisotsused, heakskiidud ja läbivaatamise staatus dokumenteeritakse REG04-s ning toetav tõendusmaterjal seotakse REG02-ga, REG03-ga, REG08-ga, REG09-ga, REG10-ga, REG11-ga ja REG12-ga. Poliitika välistab selgesõnaliselt eraldi DPIA-, riski- või konsulteerimisregistrite loomise väljaspool REG04. See aitab säilitada ühtse tõendusmaterjali jälje eelhindamise tulemuste, täiemahulise DPIA otsuste, riskihinnangute, riskikäsitluse omanike, tähtaegade, jääkriski, heakskiidu staatuse ja läbivaatamise kuupäevade kohta. Poliitika sätestab kohustuslikud käivitajad privaatsusriski eelhindamiseks ja täiemahulise DPIA määramiseks. Protsessiomanikud / ettevõtte omanikud peavad algatama REG04 eelhindamise enne REG02-s registreeritud uue või oluliselt muudetud töötlemise algust. Vastutava töötleja töötlemine, millega tõenäoliselt kaasneb kõrge risk, nõuab täiemahulist DPIA-d enne töötlemise algust. Poliitika nimetab küsimustena, mis tuleb enne töötlemise alustamist suunata privaatsusvaldkonna juhile / PIMS-i juhile, töötlemist, mis hõlmab suuremahulist tegevust, süstemaatilist seiret, profiilianalüüsi, automatiseeritud otsuseid, eriliiki isikut tuvastavat teavet, süüdimõistvate kohtuotsuste või süütegudega seotud andmeid, haavatavaid isikuandmesubjekte, uuenduslikku tehnoloogiat ja olulist töötlemismuudatust. Samuti nõuab see korduvat eelhindamist enne isikut tuvastava teabe kasutamist uuel eesmärgil, uue saaja lisamist, uue volitatud töötleja või alltöötleja kasutuselevõttu, süsteemiarhitektuuri muutmist või uue rahvusvahelise edastuse alustamist. Selgelt on määratletud ka riskikäsitlus ja eskaleerimine. Kui privaatsusrisk ületab heakskiidetud aktsepteerimiskünnist, peab protsessiomanik / ettevõtte omanik registreerima REG04-s käsitlusplaani enne töötlemise jätkamist. Turbe-, süsteemidisaini-, tarnija-, lepingulised ja kindlust andvad tegevused määratakse asjakohasele rollile ning need tuleb rakendada enne tootmiskeskkonnas kasutuselevõttu, tööle asumist, uuendamist või heakskiidetud tähtpäeva. Kõrge privaatsuse jääkrisk vastutava töötleja töötlemisel nõuab tippjuhtkonna heakskiitu enne töötlemise alustamist või jätkamist. Kui pärast riskikäsitlust jääb püsima kõrge jääkrisk, registreerib privaatsusvaldkonna juht / PIMS-i juht REG04-s eelneva konsulteerimise otsuse ning tippjuhtkond kiidab enne töötlemise jätkamist heaks jätkamise, peatamise, ümberkujundamise või konsulteerimistoimingud. Juhtimise, seire ja rakendamise nõuded tagavad, et protsess jääb aktiivseks ka pärast esmast heakskiitu. Privaatsusvaldkonna juht / PIMS-i juht vaatab avatud privaatsusriskid ja tähtaja ületanud käsitlustegevused läbi kord kuus, esitab privaatsusriski ja DPIA staatuse kohta aruande kord kvartalis ja enne juhtkonna läbivaatamist ning võrdleb aktiivseid REG04 riskikirjeid REG02 töötlemisregistri kirjetega. Poliitika määratleb mõõdikud eelhindamise katvuse, aktiivsete täiemahuliste DPIA-de, tähtaja ületanud läbivaatamiste, kõrgete jääkriskide, käsitlustegevuste staatuse, keskmise sulgemisaja, tarnijate tegevuste, turbe riskikäsitlustegevuste, intsidendipõhise kordushindamise ja auditileidude kohta. Erandeid tuleb taotleda enne kõrvalekallet, hinnata privaatsuse, õiguslike, sertifitseerimise, operatiivsete ja isikuandmesubjektidele avalduvate mõjude seisukohast ning neile tuleb määrata aegumiskuupäev, mis ei ületa 90 päeva. Puuduvat, ebatäpset, mittetäielikku, tähtaja ületanud või heakskiitmata REG04 tõendusmaterjali käsitletakse REG12-s mittevastavusena.