Henkilötietojen kansainvälisten siirtojen politiikka

Henkilötietojen kansainvälisten siirtojen politiikka määrittää vaatimukset henkilötietojen kansainvälisten siirtojen tunnistamiselle, hyväksymiselle, kirjaamiselle, katselmoinnille, rajoittamiselle ja keskeyttämiselle. Sitä sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toimintoihin, joissa henkilötietoja asetetaan saataville, käytetään, säilytetään, ylläpidetään, luovutetaan tai muutoin siirretään REG02:ssa tai REG09:ssä kirjatun hyväksytyn käsittelyrajan ulkopuolelle. Soveltamisala kattaa sisäiset konserniyhtiöt, ulkoiset vastaanottajat, henkilötietojen käsittelijät, alikäsittelijät, palveluntarjoajat, tukipääsyn, hosting-sijainnit, etähallinnan, tietojen edelleen siirtämisen, viranomaisen luovutuspyynnöt ja siirtoihin liittyvät palvelumuutokset. Politiikan keskeinen piirre on todentavaan aineistoon perustuva lähestymistapa. Politiikassa todetaan, että kansainväliset siirrot on tunnistettava ennen käsittelyn alkamista tai muuttumista ja että hyväksytyt siirtotallenteet on ylläpidettävä REG09:ssä. REG09 on ensisijainen siirron näyttöobjekti, ja REG02, REG08 ja REG12 tuottavat sitä tukevaa todentavaa aineistoa käsittelytoimista, toimittaja- ja käsittelijäsuhteista, poikkeuksista, poikkeamista, korjaavista toimenpiteistä ja johdon katselmoinnista. Vaadittuihin REG09-kenttiin kuuluvat siirron kohde, vastaanottaja, PIMS-rooli, siirtoperuste, sitä tukeva todentava aineisto, katselmointipäivä ja omistaja. Rakenteen tarkoituksena on auttaa organisaatiota osoittamaan vastuullinen siirtojen hallinnointi ilman päällekkäisten siirtovaikutusten arviointien tai SCC-rekisterien luomista. Politiikka määrittää hallintatoimet siirtoperusteen valinnalle, hyväksynnälle ja siirtoriskin arvioinnille. Rekisterinpitäjän siirroissa tietosuojavastaava/PIMS-päällikkö kirjaa hyväksytyn siirtoperusteen ja sitä tukevan todentavan aineiston REG09:ään ennen siirron alkamista. Tietosuojavastaava/tietosuojaneuvonantaja katselmoi siirtoperustetta koskevan todentavan aineiston ennen uusien, olennaisesti muuttuneiden tai suuremman riskin henkilötietojen kansainvälisten siirtojen hyväksyntää ja tekee siirtoriskin arvioinnin, kun se käynnistyy. Kun teknisiin suojatoimiin tukeudutaan, tietoturvavastaava kirjaa teknisen suojatoimiriippuvuuden tilan REG09:ään tai REG12:een. Jos siirron jäännösriski on korkea, ylimmän johdon on hyväksyttävä siirtotoiminnan jatkaminen REG12:ssa ennen riskin hyväksymistä. Myös henkilötietojen käsittelijöiden, alikäsittelijöiden ja tietojen edelleen siirtämisen hallinnointi käsitellään. Toimittaja-/hankintavastaavan on hankittava dokumentoitu asiakkaan valtuutus tai asiakkaan ohje REG08:ssa ja REG09:ssä ennen henkilötietojen käsittelijän toteuttamien henkilötietojen kansainvälisten siirtojen aloittamista, kirjattava alikäsittelijän valtuutus ja ketjutettavat siirtoehdot sekä estettävä henkilötietojen käsittelijän tai alikäsittelijän tietojen edelleen siirtäminen, kunnes asiakkaan valtuutus on kirjattu. Politiikka edellyttää myös, että tietojen edelleen siirtämisen reitit, vastaanottajaluokat, rajoitukset ja velvoitteet kirjataan ennen hyväksyntää. Ulkomaisten viranomaisten luovutuspyynnöt on kirjattava REG09:ään tai REG12:een ennen luovutusta, kun se on käytännössä mahdollista, tai yhden liiketoimintapäivän kuluessa, jos ennakkokirjaus ei ole käytännössä mahdollista. Tietosuojan kannalta merkittävät pyynnöt on toimitettava tietosuojaneuvonantajan katselmoitavaksi, kun se on käytännössä mahdollista. Jatkuva hallinnointi toteutetaan määritettyjen katselmointi-, mittaus-, poikkeus- ja soveltamisvaatimusten kautta. Aktiiviset siirtotallenteet katselmoidaan vähintään vuosittain ja 30 päivän kuluessa olennaisesta siirtoa koskevasta muutoksesta, ja tietosuojavastaava/PIMS-päällikkö katselmoi viivästyneet siirtojen katselmoinnit, puutteelliset tallenteet, keskeytetyt siirrot ja avoimet siirtopoikkeukset vähintään neljännesvuosittain. Mittareihin kuuluvat niiden aktiivisten REG09-tallenteiden prosenttiosuus, joissa siirtoperustetta koskeva todentava aineisto on täydellinen, viivästyneet siirtojen katselmoinnit, keskeytetyt tai lykätyt siirrot, viivästynyt henkilötietojen käsittelijää tai kolmatta osapuolta koskeva todentava aineisto sekä vastaamattomat REG02-käsittelytoimet, joissa on mahdollisia kansainvälisen siirron indikaattoreita. Poikkeukset on kirjattava REG12:een ennen niiden aktivoitumista, niille on nimettävä omistaja, päättymispäivä, korvaava kontrolli ja katselmointitiheys, ja ne on katselmoitava vähintään kuukausittain sulkemiseen saakka. Poikkeamat on kirjattava, kun havaitaan kirjaamattomia siirtoja, tukemattomia siirtoperusteita, puuttuvaa valtuutusta, viivästyneitä katselmointeja, puuttuvaa tietojen edelleen siirtämistä koskevaa todentavaa aineistoa tai luvatonta jatkamista.