Volitatud töötlejate, alltöötlejate ja kolmandate osapoolte privaatsuse halduse poliitika

Volitatud töötlejate, alltöötlejate ja kolmandate osapoolte privaatsuse halduse poliitika määratleb, kuidas organisatsioon juhib väliseid osapooli, kes töötlevad, kasutavad, saavad, säilitavad, edastavad, toetavad või muul viisil käitlevad isikut tuvastavat teavet privaatsusteabe haldussüsteemi kohaldamisalas. Seda kohaldatakse, kui organisatsioon tegutseb isikut tuvastava teabe vastutava töötlejana ja kasutab volitatud töötlejaid, kaasvastutava töötlejana, mille puhul on nõutav rollide klassifitseerimine, volitatud töötlejana, kes kasutab alltöötlejaid või alltöövõtjaid, ning alltöötlejana, kes saab kliendi juhiseid. Poliitika hõlmab ka kolmandate osapoolte suhteid, mis nõuavad privaatsuse taustakontrolli, lepingulisi kontrollimeetmeid, dokumenteeritud juhiseid, alltöötleja heakskiitu, seiret, kinnitust, intsidendiliidest, edastamisseoseid ning tagastamise, kustutamise või lõpetamise tõendusmaterjali. Poliitika keskne omadus on tuginemine REG08-le — volitatud töötlejate, alltöötlejate ja andmete jagamise registrile — kui esmasele tõendusobjektile volitatud töötlejate, alltöötlejate ja kolmandate osapoolte privaatsuse halduse jaoks. Poliitika nõuab, et privaatsusvaldkonna juht / PIMS-i juht määratleks minimaalsed REG08 väljad ja klassifitseeriks kolmanda osapoole privaatsussuhted vastutava töötleja, kaasvastutava töötleja, volitatud töötleja, alltöötleja või muu kolmanda osapoole suhtena enne lepingu heakskiitmist või enne isikut tuvastava teabe töötlemise algust. Samuti nõuab see, et tarnija / hanke omanik blokeeriks tööle asumise, uuendamise või laiendamise seni, kuni REG08 on täidetud ja seotud kirjetega nagu REG02, REG04, REG09 või REG10, kui need tõendusobjektid käivituvad. See loob dokumenteeritud seose suhte juhtimise, töötlemise registri, riski- ja DPIA-kirjete, rahvusvaheliste edastuste tõendusmaterjali, intsidendikirjete ja parandusmeetmete vahel. Poliitika kehtestab üksikasjalikud nõuded taustakontrollile, riskihindamisele ja lepingulisele kontrollile. Privaatsuse taustakontroll tuleb lõpule viia enne sellise volitatud töötleja, alltöötleja või kolmanda osapoole suhte valimist, uuendamist või olulist muutmist, mis töötleb isikut tuvastavat teavet või pääseb sellele ligi. Infoturbe juht peab enne heakskiitu läbi vaatama turbekindluse tõendusmaterjali ning kõrge riskiga volitatud töötlejate suhted või olulised kolmanda osapoole privaatsusmuudatused käivitavad REG04-s privaatsusriski ja DPIA vajaduse hindamise. Lepingute ja dokumenteeritud juhiste kontrollimeetmed on eristatud vastutava töötleja ja volitatud töötleja kontekstis. Vastutava töötlejana tegutsedes peab organisatsioon enne seda, kui volitatud töötleja käitleb isikut tuvastavat teavet, registreerima kirjaliku volitatud töötleja lepingu või samaväärse siduva kokkuleppe. Volitatud töötlejana tegutsedes peavad kliendilepingud või dokumenteeritud kliendi juhised määratlema lubatud töötlemise kohaldamisala enne kliendi isikut tuvastava teabe töötlemist. Poliitika nõuab ka lepingulist katvust abi, turbekindluse, intsidendiliidese PII15 kaudu, tagastamise või kustutamise PII10 kaudu, edastamisseose PII13 kaudu ning auditi- või kinnitusalase koostöö kohta. Alltöötlejate ja alltöövõtjate juhtimist käsitletakse konkreetsete heakskiitmise, teavitamise, edasiantavate kohustuste ja seire nõuete kaudu. Tarnija / hanke omanik peab pidama REG08-s alltöötlejate ja alltöövõtjate loendit, kontrollima enne kaasamist kliendi luba, teavitama kliente kavandatavatest uutest või asendatavatest alltöötlejatest kohaldatava lepingu järgi ning tagama edasiantavad privaatsuse, turbe, abi, tagastamise, kustutamise, intsidendiliidese ja edastamisseoste kohustused enne seda, kui alltöötleja töötleb isikut tuvastavat teavet. Vastutava töötleja poolel tuleb samuti jälgida alltöötleja muutmise teateid ning heakskiidu, vastuväite või eskaleerimise otsused tuleb registreerida REG08-s lepingulise vastuväiteperioodi jooksul või 10 tööpäeva jooksul pärast teate saamist, olenevalt sellest, kumb tähtaeg on lühem. Poliitika katab elutsükli lõpuni pideva seire, abitaotluste käsitlemise, avalikustamise registreerimise, intsidendiseosed, edastamisseosed, lõpetamise tõendusmaterjali, erandid, rakendamise ja läbivaatamise. Kõrge riskiga volitatud töötlejate ja alltöötlejate suhteid seiratakse kord kvartalis, samal ajal kui muid aktiivseid isikut tuvastava teabe volitatud töötlejate ja alltöötlejate suhteid seiratakse kord aastas. Abitaotlused isikuandmesubjekti õiguste, DPIA-de, turbetõendusmaterjali, auditite või kliendikinnituse kohta tuleb koordineerida REG08 kaudu ja siduda vajaduse korral REG06, REG04 või REG12-ga. Tarnijaga seotud privaatsusintsidentide teated suunatakse PII15 alusel REG10-sse ühe tööpäeva jooksul ning tagastamise, kustutamise, kõrvaldamise või ülemineku tõendusmaterjal tuleb hankida 30 päeva jooksul pärast lõpetamist, aegumist, kliendi juhist või heaks kiidetud lõpetamissündmust, välja arvatud juhul, kui kohaldub lühem lepinguline tähtaeg. Erandid on ajaliselt piiratud, nõuavad privaatsuse mõjuhindamist ning võivad nõuda tippjuhtkonna heakskiitu, kui mõjutatud on kõrge riskiga töötlemine, puuduv lepinguline tõendusmaterjal, edastamisseoste lüngad või sertifitseerimise kohaldamisala.