Privaatsusrollide, vastutusvaldkondade ja vastutuse poliitika

Privaatsusrollide, vastutusvaldkondade ja vastutuse poliitika määratleb, kuidas organisatsioon määrab, dokumenteerib, edastab, vaatab läbi ja parendab vastutusvaldkondi oma privaatsusteabe haldussüsteemis. Selle kohaldamisala hõlmab personali, funktsioone, süsteeme, tarnijaid, volitatud töötlejaid, alltöötlejaid ja kaasvastutava töötleja suhteid, mis osalevad PIMS-i kohaldamisalas isikut tuvastava teabe töötlemises või mõjutavad seda. Poliitika kohaldub vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekstides, mistõttu on see asjakohane kõigi dokumendis kirjeldatud privaatsuse tegevusmudelite puhul. Samuti teeb see selgeks, et poliitika ei loo uusi organisatsioonilisi ametinimetusi; selle asemel määratleb see kanoonilised PIMS-i rollid, mida saab määrata olemasolevale personalile või funktsioonidele, kui nõutavad määramise, pädevuse, sõltumatuse ja huvide konflikti nõuded on dokumenteeritud. Poliitika kehtestab struktureeritud PIMS-i rollimudeli ja tõendusmaterjalipõhise vastutuse käsitluse. Tippjuhtkond peab enne esmast rakendamist ja seejärel kord aastas heaks kiitma REG01-s kajastatud kanoonilise rollimudeli. Privaatsusvaldkonna juht / PIMS-i juht haldab REG01-s nimelisi rollimääranguid, vastutuse ulatusi ja volitustasemeid, sealhulgas uuendusi pärast personali- või organisatsioonilisi muudatusi. Töötlemise omamine seotakse REG02-ga, kus protsessiomanikud / äriprotsesside omanikud määravad enne töötlemise alustamist vastutavad omanikud iga isikut tuvastava teabe töötlemise tegevuse jaoks ning süsteemiomanikud / rakenduste omanikud dokumenteerivad enne tootmiskeskkonda kasutuselevõttu vastutavad süsteemiomanikud. Tarnija, volitatud töötleja, alltöötleja, kolmanda osapoole andmete jagamise ja kaasvastutava töötleja suhte omamine registreeritakse REG08-s enne kaasamist või lepingu heakskiitmist. Poliitika keskne osa on rollide kombineerimise, ülesannete lahususe ja sõltumatuse haldus. Poliitika lubab praktilist rollide kombineerimist, sealhulgas väikestes ja keskmise suurusega ettevõtetes, kuid nõuab dokumenteerimist enne kombinatsioonide jõustumist. Rollide kombinatsioonid, mis hõlmavad privaatsusvaldkonna juhti / PIMS-i juhti, andmekaitseametnikku / privaatsusnõustajat, infoturbejuhti, intsidentidele reageerimise koordinaatorit või siseauditi / vastavuse läbivaatajat, nõuavad REG01-s tippjuhtkonna heakskiitu. Siseauditi / vastavuse läbivaataja peab enne iga auditi või vastavuse läbivaatamise algust REG12-s dokumenteerima sõltumatuse läbivaadatavast PIMS-i protsessist. Kui ülesannete lahususe konflikte ei ole võimalik vältida, tuleb registreerida kompenseerivad kontrollimeetmed ning andmekaitseametnik / privaatsusnõustaja peab sõltumatuse või huvide konflikti probleemid registreerima viie tööpäeva jooksul alates nende tuvastamisest. Poliitika määratleb ka vastutuse vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja vastutusvaldkondades. Vastutava töötleja töötlemine nõuab enne töötlemise alustamist REG02-s registreeritud vastutuse omamist, eesmärgi omamist ja tõendusmaterjali omamist. Kaasvastutava töötleja vastutusvaldkondade jaotus, volitatud töötleja kliendi juhise omamine, alltöötleja järelevalve omamine, heakskiidu staatus ja kolmanda osapoole vastutuse eskaleerimisteed hallatakse REG08 kaudu. Privaatsusvaldkonna juht / PIMS-i juht kontrollib REG02 ja REG08 rolliklassifikatsiooni kirjeid kord kvartalis ning 15 tööpäeva jooksul pärast olulist muudatust. Lisaks nõuab poliitika, et privaatsusnõu, isikut tuvastava teabe turvalisuse vastutuse sisend, rikkumise ja privaatsusintsidendi eskaleerimise vastutus, lahendamata vastutusvaidlused ning rollidega seotud eskaleerimised dokumenteeritakse määratletud tõendusmaterjali objektides. Juhtimine, mõõtmine, erandid, rakendamine ja haldus on vastutuse mudelisse integreeritud. Tippjuhtkond vaatab juhtkonna läbivaatamise käigus läbi täielikkuse, täitmata rollid, rollikonfliktid, vastutuse erandid ja mõõdikud. Privaatsusvaldkonna juht / PIMS-i juht teeb kord kvartalis vastutuse läbivaatamisi, jälgib täitmata ja kombineeritud rolle, esitab aruandeid rolliteadlikkuse lõpetamise kohta, haldab erandeid määratletud aegumispiirangutega ning registreerib puuduvad, ebatäpsed või aegunud määrangud mittevastavustena. Protsessiomanikud / äriprotsesside omanikud peavad takistama uue või muudetud isikut tuvastava teabe töötlemise tootmiskeskkonda kasutuselevõttu, kui nõutav rolli- ja vastutuse tõendusmaterjal puudub. Siseauditi / vastavuse läbivaatajad testivad rollide tõendusmaterjali, esitavad leiud ja kontrollivad parandusmeetmete tõhusust. Poliitika tuleb läbi vaadata kord aastas ning 30 päeva jooksul pärast PIMS-i rollimudeli olulist muudatust.