Henkilötietojen säilytys-, poisto- ja hävityspolitiikka

Henkilötietojen säilytys-, poisto- ja hävityspolitiikka määrittää organisaation vaatimukset henkilötietojen säilytyksen, poistamisen, anonymisoinnin, tunnisteiden poistamisen, palauttamisen, siirtämisen ja hävittämisen määrittelylle, katselmoinnille, toteuttamiselle ja todentamiselle. Sen keskeinen tarkoitus on varmistaa, että henkilötietoja säilytetään vain hyväksyttyjä tarkoituksia ja ajanjaksoja varten, ne poistetaan tai muuten hävitetään, kun niitä ei enää tarvita, ja toimintaa tuetaan auditointivalmiutta osoittavalla todentavalla aineistolla. Politiikkaa sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toiminnassa, mikä kuvastaa sitä, että säilytys- ja lopputoimenpidevelvoitteet voivat perustua hyväksyttyihin käsittelytarkoituksiin, oikeusperustetta koskeviin tallenteisiin, rekisterinpitäjän ohjeisiin, sopimusvaatimuksiin, rekisteröityjen poistopyyntöjen lopputuloksiin, palvelun päättämiseen, tallennusvälineiden hävitykseen ja PIMS-seurannan havaintoihin. Politiikka on operatiivisesti suuntautunut ja edellyttää, että säilytyksen hallinnointi sisällytetään kanonisiin PIMS:n todentavan aineiston tallenteisiin sen sijaan, että sitä ylläpidettäisiin erillisessä poistorekisterissä. Rekisterinpitäjän käsittelytoimille tulee määrittää dokumentoitu säilytyssääntö REG02:ssa ennen käsittelyn aloittamista. Yhteisrekisterinpitäjien vastuut kirjataan REG02:een ja REG08:aan, kun taas henkilötietojen käsittelijöiden ja alikäsittelijöiden säilytystä, palauttamista, siirtämistä ja poistamista koskevat ohjeet ylläpidetään REG08:ssa. Hyväksyttyjen säilytyssääntöjen tulee sisältää säilytysaika, aloituksen käynnistävä tekijä, omistaja, perustelu, lopputoimenpide ja seuraava katselmointipäivä. Politiikka edellyttää myös tietosuojavastaavan tai tietosuojaneuvonantajan neuvontaa ennen sellaisten säilytyssääntöjen hyväksyntää, joihin liittyy oikeudellinen ristiriita, korkean riskin käsittely, erityisiin henkilötietoryhmiin kuuluvia henkilötietoja tai säilytys alkuperäisen käsittelytarkoituksen jälkeen. Toteutusvaatimukset kattavat henkilötietojen koko elinkaaren. Järjestelmäomistajan/sovellusomistajan tulee toteuttaa tai aikatauluttaa hyväksytty poistaminen, palauttaminen, siirtäminen, anonymisointi, tunnisteiden poistaminen tai hävittäminen sovellettavaa säilytyssääntöä varten kirjatun poistoikkunan kuluessa. Politiikka erottaa tuotantojärjestelmät, arkistot, varmuuskopiot, replikat, lokit, staging-alueet ja väliaikaiset tiedostot toisistaan ja edellyttää, että nämä säilytyspaikat tunnistetaan REG02:ssa ennen tuotantokäyttöönottoa ja vuosittaisen säilytyskatselmoinnin yhteydessä. Se edellyttää myös, että varmuuskopioiden säilytysikkunat ja palautuksen yhteydessä tehtävä poistojen käsittely dokumentoidaan, ja että vanhentuneet poisto- tai rajoitustoimet kohdistetaan uudelleen palautettuihin varmuuskopiotietoihin ennen kuin palautettu ympäristö vapautetaan liiketoimintakäyttöön. Henkilötietoja sisältävät väliaikaiset tiedostot ja staging-kopiot tulee poistaa tai hävittää dokumentoidun REG02-ajanjakson kuluessa siihen liittyvän käsittelytehtävän päättymisestä. Politiikka käsittelee myös turvallista hävitystä, anonymisointia, tunnisteiden poistamista, poikkeusten hallintaa ja seurantaa. Henkilötietoja sisältävien tai mahdollisesti sisältävien tallennusvälineiden hävitysmenetelmäluokat tulee hyväksyttää tietoturvavastaavalla REG12:ssa ennen uudelleenkäyttöä, luovutusta, tuhoamista tai ulkoista hävittämistä. Anonymisointia tai tunnisteiden poistamista voidaan käyttää säilytysriskin vähentämistoimenpiteenä tai lopputoimenpiteenä, mutta se tulee dokumentoida REG02:ssa ja hyväksyttää tietosuojavastaavalla/PIMS-päälliköllä ennen kuin tunnistettavissa olevia henkilötietoja säilytetään niiden käyttötarkoituksen tai säilytysajan jälkeen. Poikkeukset hyväksyttyihin säilytyssääntöihin tulee toimittaa ja hyväksyä REG12:ssa ennen voimaantuloa, ja niitä tulee katselmoida kuukausittain sulkemiseen asti. Mittareita, kuten säilytysmetatietojen täydellisyyttä, myöhässä olevia katselmointeja, myöhässä olevia elinkaaritoimia ja myöhässä olevaa lopputoimenpiteen todentavaa aineistoa, mitataan määritellyin väliajoin, kun taas poikkeamat, auditointihavainnot ja korjaavat toimenpiteet linkitetään REG12:een jatkuvan parantamisen tukemiseksi.