Henkilötietojen keräämis-, käyttö-, luovutus- ja jakamispolitiikka

Henkilötietojen keräämis-, käyttö-, luovutus- ja jakamispolitiikka määrittää operatiiviset vaatimukset sille, miten henkilötietoja kerätään, käytetään, luovutetaan ja jaetaan PIMS:n soveltamisalassa. Sen tarkoituksena on varmistaa, että henkilötietoja käsitellään vain dokumentoituihin, hyväksyttyihin, rajattuihin ja vastuun osoittaviin tarkoituksiin. Politiikkaa sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän konteksteissa, ja se kattaa keräämisen suorien, epäsuorien, automatisoitujen, manuaalisten, sisäisten, ulkoisten ja kolmannen osapuolen kanavien kautta. Se käsittelee myös liiketoimintaprosessien, järjestelmien ja sovellusten hyväksyttyä sisäistä käyttöä, toissijaista käyttöä uusiin tai olennaisesti muuttuneisiin tarkoituksiin, ulkoista luovutusta vastaanottajille ja kolmansille osapuolille sekä toistuvia tietojen jakamista koskevia järjestelyjä että kertaluonteisia luovutustilanteita. Politiikan keskeinen osa on näyttörekisterien käyttö tietosuojapäätösten yhdistämiseksi auditoitavissa oleviin kirjauksiin. REG02:ta käytetään henkilötietojen käsittelytoimien luetteloon, hyväksyttyihin tarkoituksiin, keräämissääntöihin, käyttösääntöihin ja toissijaisen käytön käyttötarkoituksen yhteensopivuustarkistuksiin. REG08:aa käytetään henkilötietojen käsittelijää, alikäsittelijää ja tietojen jakamista koskeviin kirjauksiin, mukaan lukien vastaanottajan identiteetti, vastaanottajan rooli, luovutustarkoitus, henkilötietoryhmät, jakamisen tiheys, käsittelysijainti ja toimivallan lähde. REG09:ää käytetään, kun jakamiseen liittyy uusi maa, kansainvälinen organisaatio, etäkäytön sijainti, vastaanottajan sijainti tai tietojen edelleen siirtämisen sijainti. REG12:ta käytetään poikkeuksia, poikkeamia, auditointihavaintoja, korjaavia toimenpiteitä, toteutusta estäviä ongelmia ja politiikan katselmointitallenteita varten. Politiikka asettaa selkeät kontrollipisteet ennen käsittelyn aloittamista. Prosessien omistajien tai liiketoimintavastaavien on kirjattava keräämistarkoitukset, lähteet tai kanavat, henkilötietoryhmät, rekisteröityjen ryhmät ja vähimmäistietoelementit REG02:een ennen uuden keräämisen tai olennaisen muutoksen aloittamista. Heidän on myös dokumentoitava välttämättömyysperuste jokaiselle henkilötietojen tietoelementille ennen keräämistä. Järjestelmäomistajat tai sovellusomistajat saavat toteuttaa vain hyväksyttyjä keräyskenttiä, työnkulkukenttiä, raportteja, vientitoimintoja tai luovutustulosteita, jotka vastaavat REG02- tai REG08-hyväksyntää. Henkilötietojen käsittelijän kontekstissa asiakkaan ohjeen mukaisuus on kirjattava ennen kuin asiakkaan henkilötietoja kerätään, käytetään tai luovutetaan. Toissijaista käyttöä käsitellään hallinnoituna päätöksenä eikä olemassa olevan toiminnon epämuodollisena laajennuksena. Ennen kuin henkilötietoja käytetään tarkoitukseen, jota ei ole jo hyväksytty REG02:ssa, prosessin omistajan tai liiketoimintavastaavan on kirjattava käyttötarkoituksen yhteensopivuustarkistus, joka kattaa alkuperäisen tarkoituksen, ehdotetun tarkoituksen, oikeusperusteeseen liittyvän riippuvuuden, henkilötietoryhmät, rekisteröityjen odotukset, minimoinnin perustelut, luovutuksen tai siirron vaikutuksen sekä tarvittaessa reitityksen muihin PIMS-politiikkoihin. Tietosuojavastaavan tai PIMS-päällikön on kirjattava hyväksyntä tai hylkäys ennen toissijaisen käytön aloittamista. Kun kyse on arkaluonteisesta toistuvasta jakamisesta, haavoittuvassa asemassa olevista rekisteröidyistä, vaikutuksiltaan merkittävistä tallenteista tai olennaisesti muuttuneista odotuksista, tietosuojavastaavan tai tietosuojaneuvonantajan neuvonta on kirjattava ennen hyväksyntää. Hallinnointi, mittaaminen ja soveltaminen sisältyvät politiikkaan. Tietosuojavastaava tai PIMS-päällikkö katselmoi hyväksytyn käytön säännöt vähintään vuosittain, täsmäyttää REG02:n hyväksytyt tarkoitukset REG08:n aktiivisiin jakamiskirjauksiin vähintään vuosittain ja kirjaa tulokset REG12:een. Toimittaja- tai hankintavastaavat täsmäyttävät REG08:n aktiiviset jakamiskirjaukset aktiivisiin henkilötietojen käsittelijä-, alikäsittelijä-, vastaanottaja- ja tietojen jakamissuhteisiin vähintään neljännesvuosittain. Sisäinen tarkastus tai vaatimustenmukaisuuden katselmoijat otantatarkastavat REG02-, REG08- ja REG09-näytön vuosittain ja kirjaavat tulokset REG12:een. Hyväksymätön kerääminen, käyttö, luovutus tai jakaminen on kirjattava poikkeamana viiden arkipäivän kuluessa, ja käsittely voidaan keskeyttää yhden arkipäivän kuluessa, jos hyväksytty näyttö puuttuu.