Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka

Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka määrittää, miten tietosuojavaatimukset tulee sisällyttää uusiin ja muutettuihin henkilötietojen käsittelytoimiin PIMS:n soveltamisalassa. Sitä sovelletaan projekteihin, tuotteisiin, palveluihin, järjestelmiin, sovelluksiin, integraatioihin, hankintatoimiin ja liiketoimintaprosessien muutoksiin. Politiikka on laadittu rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän konteksteihin, mukaan lukien tilanteet, joissa organisaatio suunnittelee, konfiguroi, muuttaa tai käyttää käsittelyä asiakkaan, rekisterinpitäjän tai ylemmän tason henkilötietojen käsittelijän puolesta dokumentoitujen ohjeiden mukaisesti. Sen keskeinen tarkoitus on varmistaa, että tietosuojavaatimukset tunnistetaan, toteutetaan ja todennetaan ennen henkilötietojen käsittelyn aloittamista tai olennaista muuttamista. Politiikka painottaa erityisesti käyttötarkoitusta, tarpeellisuutta, minimointia ja tietosuojaa suojaavia oletusasetuksia. Prosessien omistajien ja liiketoimintavastaavien tulee dokumentoida vähimmäismäärä henkilötietoryhmiä, rekisteröityjen ryhmiä, lähteitä ja käyttötarkoituksia REG02- ja REG04-rekistereihin ennen keräämisen tai tuonnin suunnitteluhyväksyntää. Järjestelmäomistajien ja sovellusomistajien tulee konfiguroida käsittelyn oletusasetukset dokumentoitua käyttötarkoitusta varten tarvittavaan henkilötietojen vähimmäiskeräykseen ja -käsittelyyn ja tallentaa todentava aineisto REG04-rekisteriin ennen tuotantokäyttöönottoa. Valinnaiset henkilötietokentät, valinnaiset käsittelyvalinnat, oletusarvoisesti poissa käytöstä olevat asetukset, näkymien ja raporttien altistusasetukset sekä väliaikaisten tiedostojen, välimuistien, lokien tai staging-tallenteiden käsittely käsitellään suunnitteluvaiheen tietosuojavelvoitteina eikä jälkikäteisinä operatiivisina korjauksina. Tietosuojariskien arviointi ja DPIA-esiarvioinnin yhteys sisällytetään suunnitteluprosessiin korvaamatta erillistä PII07:ssa määritettyä menetelmää. Tietosuojavastaavan / PIMS-päällikön tulee vahvistaa, että tietosuojariski ja DPIA-esiarviointi on kirjattu REG04-rekisteriin ennen uuden tai olennaisesti muutetun henkilötietojen käsittelyn suunnitteluhyväksyntää. Sisäänrakennetun tietosuojan käsittelytoimenpiteet, omistajat ja määräpäivät tulee kirjata ennen katselmoinnin sulkemista, ja toteutusta koskeva todentava aineisto tulee kerätä ennen tuotantokäyttöönottoa. Korkean riskin tai olennaisesti muuttuneen rekisterinpitäjän suorittaman käsittelyn osalta politiikka edellyttää myös toteutuksen jälkeistä sisäänrakennetun tietosuojan tarkastusta REG04-rekisterissä 30 kalenteripäivän kuluessa tuotantokäyttöönotosta. Kun suunnitteluun liittyviä asioita puuttuu, ne ovat tehottomia, myöhässä tai niitä kierretään, REG12-rekisteriin avataan korjaava toimenpide. Politiikka laajentaa sisäänrakennetun tietosuojan myös hankintaan ja kolmansien osapuolten suhteisiin. Toimittaja- ja hankintavastuullisten tulee kirjata sisäänrakennetun tietosuojan vaatimukset toimittajille, henkilötietojen käsittelijöille, alikäsittelijöille, SaaS-palveluille, alustoille tai ulkoisesti isännöidyille järjestelmille REG08-rekisteriin ennen hankintahyväksyntää. Kolmannen osapuolen käsittelemien henkilötietojen tarpeellisuus, käyttötarkoitus ja henkilötietojen vähimmäisryhmät tulee dokumentoida ennen ulkoista käsittelyä, tietojen jakamista tai hankintahyväksyntää. Toimittajan tuki oletusarvoisen tietosuojan asetuksille, minimoinnille ja asiakkaan konfiguraatiotarpeille tulee kirjata ennen käyttöönottoa, ja ratkaisemattomat toimittajan sisäänrakennetun tietosuojan puutteet eskaloidaan REG12-rekisteriin viiden arkipäivän kuluessa ja ennen sopimuksen allekirjoittamista. Hallinnointi, seuranta, soveltaminen ja ylläpito määritetään toistuvan todentavan aineiston ja katselmointisyklien kautta. Tietosuojavastaava / PIMS-päällikkö toimittaa neljännesvuosittain sisäänrakennetun tietosuojan tilayhteenvedot REG12-rekisteriin, laskee valmistumis- ja myöhässä olevien toimenpiteiden mittarit sekä varmistaa ennen sisäistä tarkastusta, että suunnittelua koskeva todentava aineisto on koottu REG02-, REG04-, REG08- ja REG12-rekistereihin. Ylin johto katselmoi vaikutuksiltaan merkittävät poikkeukset, estetyt tuotantokäyttöönottoa koskevat päätökset ja toistuvat havainnot johdon katselmoinnin yhteydessä. Soveltamista koskevat määräykset edellyttävät tuotantokäyttöönoton estämistä, jos REG04-katselmointi on keskeneräinen, käyttöönoton estämistä, jos REG08-todentava aineisto puuttuu, sekä uuden tai muutetun henkilötietojen käsittelyn keskeyttämistä, kunnes REG04-katselmointi, REG02-päivitykset ja vaaditut REG12-poikkeukset ovat valmiit.