Pilvipalvelujen henkilötietojen käsittelijän politiikka

Pilvipalvelujen henkilötietojen käsittelijän politiikka määrittää pakolliset tietosuojavaatimukset pilvipalveluille, joissa organisaatio toimii henkilötietojen käsittelijänä tai alikäsittelijänä. Sen soveltamisalaan kuuluvat SaaS-, PaaS- ja IaaS-palvelut, isännöidyt sovellukset, hallinnoitu pilvi, pilvituki, pilvitallennus, pilvianalytiikka ja pilvi-infrastruktuuripalvelut, jotka käsittelevät henkilötietoja asiakkaiden puolesta. Politiikan tarkoituksena on pitää pilvikäsittely yhdenmukaisena dokumentoitujen asiakassopimusten, asiakkaan ohjeiden, ylemmän tason henkilötietojen käsittelijän ohjeiden, alikäsittelijäjärjestelyjen, pilvialueiden konfiguraation, pilvipalvelujen tukipääsyn, palvelujen hallinnoinnin, varmuuskopioinnin, replikoinnin, lokituksen, seurannan, poistamisen, palauttamisen, tietoturvaloukkausten tuen, auditointituen ja asiakkaan avustamisvelvoitteiden kanssa. Politiikan keskeinen tarkoitus on todentavaan aineistoon perustuva kontrolli. Ennen asiakkaan käyttöönottoa tai olennaista palvelumuutosta tietosuojavastaavan / PIMS-päällikön tulee kirjata REG02:een ja REG08:aan jokainen pilvipalvelussa tapahtuva henkilötietojen käsittelypalvelu, käsittelyrooli, asiakkaan ohjeen lähde, henkilötietoluokat, rekisteröityjen ryhmät, palvelun tarkoitus, käsittelyn sijainti, alikäsittelijäriippuvuus, poistamisriippuvuus ja siirtomerkintä. Politiikka edellyttää myös, että pilvikäsittelijän kontrollien sovellettavuus kirjataan REG03:een, siirto- ja sijaintireititys kirjataan tarvittaessa REG09:ään, pilvipalvelujen henkilötietopoikkeamat käsitellään REG10:n kautta ja seuranta, poikkeukset, riidat, validointitulokset ja korjaavat toimenpiteet käsitellään REG12:n kautta. Tämä pitää pilvikäsittelijän velvoitteet integroituina olemassa olevaan PIMS-politiikkakokonaisuuteen eikä luo erillisiä rekistereitä sopimuksille, palveluille, tenanttien eristämiselle, pääsylle, lokeille, poistamiselle, tuelle, auditoinneille, tietoturvaloukkauksille tai alikäsittelijöille. Politiikka asettaa käytännön vaatimuksia koko pilvipalvelun elinkaarelle. Se edellyttää dokumentoituja asiakkaan ohjeita tai ylemmän tason henkilötietojen käsittelijän ohjeita ennen käsittelyn aloittamista, sellaisten ohjeiden katselmointia, jotka vaikuttavat olevan ristiriidassa velvoitteiden tai hyväksytyn palvelun soveltamisalan kanssa, sekä hyväksyntää ennen kuin asiakkaan henkilötietoja käsitellään dokumentoitujen ohjeiden ulkopuolella. Politiikka käsittelee myös pilvikonfiguraatiota ja tietoturvan todentavaa aineistoa edellyttämällä jaetun vastuun rajojen määrittämistä, tenanttien eristämisen validointia, hallittua ylläpidollista pääsyä, etuoikeutetun pääsyn ja lokien kattavuuden neljännesvuosittaista katselmointia, ympäristöjen eriyttämistä sekä varmuuskopioinnin, replikoinnin, lokien säilytyksen ja tukipääsyn sijaintien kirjaamista. Nämä vaatimukset on tarkoituksellisesti liitetty olemassa oleviin henkilötietojen tietoturvakontrolleihin sen sijaan, että ne korvaisivat laajemman henkilötietojen tietoturva- ja pääsynhallintapolitiikan. Alikäsittelijöiden ja pilvitoimitusketjun hallinnointi käsitellään keskeisinä henkilötietojen käsittelijän velvoitteina. Toimittaja- / hankintaomistajan tulee kirjata pilvipalvelujen alikäsittelijät, infrastruktuuripalveluntarjoajat, hosting-palveluntarjoajat, hallinnoidut palveluntarjoajat, tukipalveluntarjoajat ja muut olennaiset pilvipalveluriippuvuudet ennen käyttöä. Politiikka edellyttää näyttöä asiakkaan valtuutuksesta tai dokumentoidusta valtuutusperusteesta, ketjutettavista velvoitteista tietosuojan, tietoturvan, avustamisen, poikkeamien, palauttamisen, poistamisen, auditointituen ja siirtojen osalta sekä kirjauksia palvelusijainneista, etätuen sijainneista, hosting-alueista ja tietojen edelleen siirtämisen reitityksestä. Lisäksi se edellyttää, että asiakkaalle ilmoitetaan suunnitelluista pilvipalvelujen alikäsittelijämuutoksista sopimuksessa edellytetyn ilmoitusajan kuluessa ja että aktiiviset pilvipalvelujen alikäsittelijä- ja pilviriippuvuustallenteet katselmoidaan vähintään vuosittain. Politiikka kattaa myös asiakkaan avustamisen, auditointituen, tietoturvaloukkauksen rajapinnan, poistamisen ja päättämisvaiheen. Asiakkaan avustamisvelvoitteet rekisteröidyn oikeuksia koskevien pyyntöjen, poistamisen, oikaisun, rajoittamisen, pääsyn, auditoinnin, DPIA-tuen ja tietoturvaloukkausten tuen osalta tulee kirjata ennen sopimuksen tekemistä tai palvelun aktivointia. Asiakkaan pyytämä oikeuksien tuki tulee suorittaa asiakkaan kanssa sovitussa määräajassa, tietosuojan kannalta merkittävät DPIA- tai arviointiin liittyvät avustamispyynnöt tulee katselmoida kymmenen arkipäivän kuluessa, ja myöhässä olevia tai riitautettuja avustamispyyntöjä tulee seurata. Päättämisvaiheessa politiikka edellyttää todentavaa aineistoa vienti-, palautus-, siirto- tai poistamiskyvykkyydestä ennen käyttöönottoa tai olennaista palvelumuutosta, toteutusta asiakkaan kanssa sovituissa määräajoissa, tuotantojärjestelmien, varmuuskopioiden, replikoiden, lokien, väliaikaisten tiedostojen, staging-ympäristöjen ja tukikopioiden sisällyttämistä sekä poikkeamien käsittelyä, kun velvoitteita ei voida suorittaa ajoissa. Hallinnointia vahvistavat todentavan aineiston täydellisyyden neljännesvuosittaiset katselmoinnit, vuosittaiset politiikka- ja alikäsittelijäkatselmoinnit, auditointiotos, mittarit, soveltamistoimet sekä ylimmän johdon hyväksyntä olennaisille poikkeuksille ja muutoksille.