Henkilötietojen käsittelytoimien luetteloa ja oikeusperustetta koskeva politiikka

Henkilötietojen käsittelytoimien luetteloa ja oikeusperustetta koskeva politiikka määrittää, miten organisaatio ylläpitää henkilötietojen käsittelytoimien luetteloa / ROPA:a ja dokumentoi keskeiset tiedot, joita tarvitaan osoitusvelvollisen käsittelyn osoittamiseen PIMS:n soveltamisalassa. Sitä sovelletaan kaikkiin soveltamisalaan kuuluviin henkilötietojen käsittelytoimiin, mukaan lukien käsittely, jota tehdään rekisterinpitäjänä, yhteisrekisterinpitäjänä, henkilötietojen käsittelijänä tai alikäsittelijänä. Politiikka kattaa liiketoimintaprosessien, järjestelmien, sovellusten, toimittajien, henkilötietojen käsittelijöiden, alikäsittelijöiden ja tietojen jakamisen vastaanottajien toteuttaman käsittelyn, ja sitä sovelletaan uuteen, olennaisesti muuttuneeseen ja käytöstä poistettuun käsittelyyn. Käsittelytoimien luettelotietue määritellään REG02-merkinnäksi, joka kuvaa erillisen henkilötietojen käsittelytoimen, mukaan lukien sen tarkoituksen, roolin, omistajan, henkilötietoluokat, rekisteröityjen luokat, oikeusperusteen tai asiakkaan ohjeen viitteen, järjestelmät, vastaanottajat, säilytysviitteen, siirtoviitteen, tietosuojariskin tilan ja katselmointitilan. Politiikan keskeinen tavoite on tehdä REG02:sta ajantasainen näyttöobjekti henkilötietojen käsittelytoimien luettelolle ja käsittelytoimien selosteille. Politiikka edellyttää, että prosessin omistaja tai liiketoimintavastaava luo REG02-tietueen ennen minkä tahansa uuden henkilötietojen käsittelyn aloittamista ja kirjaa vaaditut kentät ennen toiminnon alkamista. Se edellyttää myös, että organisaation PIMS-rooli luokitellaan jokaiselle toiminnolle, ja se liittää järjestelmät, sovellukset, toimittajat, henkilötietojen käsittelijät, alikäsittelijät, kolmansien osapuolten tietojen jakamisen ja yhteisrekisterinpitäjäsuhteet asiaankuuluvaan REG02-tietueeseen. Tämä luo rakenteisen käsittelytallenteen, joka voidaan tarvittaessa yhdistää tietosuojaselosteisiin, suostumukseen, DPIA:han, riskeihin, toimittajiin, siirtoihin, kontrolleihin ja auditointinäyttöön. Rekisterinpitäjän toiminnoissa politiikka edellyttää, että tietty käsittelytarkoitus dokumentoidaan ennen kuin henkilötietoja kerätään, käytetään, luovutetaan tai muuten käsitellään. Tietosuojavastaavan / PIMS-päällikön on validoitava REG02:een kirjattu oikeusperuste ennen rekisterinpitäjän käsittelyn aloittamista ja ennen kuin mikään käyttötarkoituksen muutos tulee voimaan. Politiikka käsittelee myös erityistilanteita: suostumuksen on linkityttävä REG05:een, oikeutettujen etujen on viitattava REG04:ään, erityisiin henkilötietoluokkiin kuuluvat henkilötiedot edellyttävät kirjattua edellytystä, ja rikostuomioita tai rikkomuksia koskevat tiedot edellyttävät valtuutusperustetta. Henkilötietojen käsittelijän ja alikäsittelijän konteksteissa politiikka edellyttää, että asiakkaan ohjeen viitteet, asiakkaan tarkoitus, kohde, kesto, henkilötietoluokat ja rekisteröityjen luokat kirjataan ennen käsittelyn aloittamista, ja sopimus- ja ohjenäyttöä ylläpidetään REG08:ssa. Politiikka määrittää myös, miten luettelo pidetään ajantasaisena. Olennaisia käsittelymuutoksia ovat muutokset tarkoitukseen, oikeusperusteeseen, PIMS-rooliin, henkilötietoluokkaan, rekisteröityjen luokkaan, vastaanottajaan, järjestelmään, toimittajaan, alikäsittelijään, käsittelypaikkaan, siirtoon, säilytyssääntöön, tietoturvaluokitukseen, tietosuojaselosteeseen, suostumusriippuvuuteen, DPIA-tilaan, asiakkaan ohjeeseen tai sertifioinnin soveltamisalaan. REG02 on päivitettävä 10 työpäivän kuluessa tällaisen muutoksen tunnistamisesta, ja tietosuojariskien arviointi ja DPIA-esiarviointi on käynnistettävä REG04:ssä ennen uuden tai olennaisesti muuttuneen käsittelyn jatkamista. Tietosuojavastaava / PIMS-päällikkö täsmäyttää REG02:n REG01:tä, REG03:a, REG04:ää, REG08:aa ja REG09:ää vasten neljännesvuosittain, kun taas sisäinen tarkastus / vaatimustenmukaisuuden katselmoijat otantatarkastavat täydellisyyden, oikeellisuuden ja ajantasaisuuden suunniteltujen katselmointien aikana. Hallinnointi, mittaaminen, poikkeukset ja soveltaminen sisältyvät politiikkaan. Tietosuojavastaava / PIMS-päällikkö toimittaa neljännesvuosittaiset luettelon tilaa koskevat yhteenvedot REG12:ssa, kirjaa luettelon mittarit, validoi uudet REG02-tietueet ja ylläpitää vähimmäiskenttiä ja katselmointitiheyttä koskevia sääntöjä. Ylin johto katselmoi täydellisyyden, viivästyneet katselmoinnit, merkittävät oikeusperusteisiin liittyvät ongelmat ja ratkaisemattomat poikkeamat johdon katselmoinnin aikana. Poikkeukset on pyydettävä ja arvioitava REG12:ssa, ja niiden voimassaolon päättymispäivä saa olla enintään 90 päivän päässä. Tietyt poikkeukset edellyttävät tietosuojavastaavan / tietosuojaneuvonantajan neuvoa ja ylimmän johdon hyväksyntää. Soveltaminen sisältää poikkeamien kirjaamisen, uuden käsittelyn keskeyttämisen, kun näyttö puuttuu, järjestelmän tuotantokäyttöönoton tai toimittajien käyttöönoton estämisen, kun vaadittu yhteys puuttuu, sekä korjaavien toimenpiteiden vaikuttavuuden varmentamisen.