Henkilötietojen hallintajärjestelmän politiikka

Henkilötietojen hallintajärjestelmän politiikka perustaa organisaation PIMS:n henkilötietojen käsittelylle rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän rooleissa. Sen tarkoituksena on määrittää pakolliset hallinnointivaatimukset PIMS:n perustamiselle, toteutukselle, ylläpidolle, seurannalle ja jatkuvalle parantamiselle. Politiikka on suunniteltu tukemaan henkilötietojen käsittelyn vastuullista, riskiperusteista ja todentavaan aineistoon perustuvaa hallintaa sovellettavissa olevissa PIMS-rooleissa. Sitä sovelletaan PIMS:n soveltamisalaan, organisaation toimintaympäristöön, sidosryhmiin, rajoihin, PIMS-roolin määrittämiseen, tietosuojapolitiikkaan, tietosuojatavoitteisiin, tietosuojariskien arviointiin, tietosuojariskien käsittelyyn, PIMS:n soveltuvuuslausuntoon, hallinnointiin, seurantaan, sisäiseen tarkastukseen, johdon katselmointiin, poikkeamiin, korjaaviin toimenpiteisiin ja dokumentoituun näyttöön, jota tarvitaan vaatimustenmukaisuuden ja osoitusvelvollisuuden osoittamiseen. Politiikan keskeinen piirre on määritetty osoitusvelvollisuus. Ylimmän johdon on hyväksyttävä PIMS:n soveltamisala REG01:ssä ennen alkuperäistä toteutusta ja 30 päivän kuluessa olennaisesta muutoksesta, hyväksyttävä politiikka ja PIMS-tavoitteet REG12:ssa vuosittain sekä katselmoitava suorituskyky, avoimet riskit, poikkeamat, korjaavat toimenpiteet ja parantamispäätökset johdon katselmoinnissa. Tietosuojavastaava / PIMS-päällikkö ylläpitää PIMS:n keskeisiä tallenteita, mukaan lukien toimintaympäristöön liittyvät asiat, sidosryhmät, tavoitteet, soveltuvuuslausunto, riskienkäsittelypäätökset, todentavan aineiston indeksi, mittarit, poikkeukset, korjaavat toimenpiteet ja politiikan katselmointitallenteet. Prosessien omistajat luokittelevat organisaation PIMS-roolin kullekin henkilötietojen käsittelytoimelle ennen käsittelyn aloittamista, kun taas toimittaja- / hankintavastaavat dokumentoivat yhteisrekisterinpitäjän vastuunjaon, asiakkaan käsittelyohjeet, hyväksytyt alikäsittelyjärjestelyt, toimittajahallinnan ja ulkoisesti tuotetut PIMS:n kannalta olennaiset prosessit. Politiikka kytkee PIMS-hallinnoinnin operatiiviseen kontrolliin. Tietosuojariskien arviointi on käynnistettävä ennen uuden tai olennaisesti muuttuneen henkilötietojen käsittelyn aloittamista, ja DPIA:n tarve on määritettävä ennen korkean riskin tai olennaisesti muuttuneen rekisterinpitäjän käsittelyn etenemistä. Hyväksytyt tietosuojariskien käsittelypäätökset kirjataan ennen käsittelyn toteutusta, ja järjestelmäomistajien on vahvistettava PIMS:n operatiiviset kontrollit ennen tuotantokäyttöönottoa järjestelmissä, joissa käsitellään henkilötietoja. Tietoturvavastaava vastaa sovellettavan henkilötietojen tietoturvan perustason dokumentoinnista ja tietoturvakontrollien toteutustilan ylläpidosta, mikä kytkee tietosuojan hallinnoinnin henkilötietojen tietoturvan perustasoon ja soveltuvuuslausuntoon. Tämä rakenne auttaa varmistamaan, että soveltamisala, käsittelytoimet, kontrollien soveltuvuus, toimittajajärjestelyt ja riskitallenteet pysyvät yhdenmukaisina ennen johdon katselmointia ja sertifiointiin liittyviä muutoksia. Politiikka määrittää myös auditoitavuuden ja jatkuvan parantamisen vaatimukset. Tietosuojavastaavan / PIMS-päällikön on ylläpidettävä PIMS:n todentavan aineiston indeksiä ennen jokaista sisäistä tarkastusta, säilytettävä dokumentoitu tieto todentavan aineiston säilytysvaatimusten mukaisesti, ylläpidettävä suorituskykymittareita neljännesvuosittain ja raportoitava tavoitteiden tila ennen johdon katselmointia. Vähimmäismittausjoukko sisältää ajantasaisella rooliluokituksella varustettujen soveltamisalaan kuuluvien käsittelytoimien osuuden, ajantasaisella toteutustilalla varustettujen sovellettavien kontrollien osuuden, avoimet poikkeamat ja myöhässä olevat korjaavat toimenpiteet sekä hyväksyntää odottavat tietosuojariskien arvioinnit. Sisäisen tarkastuksen / vaatimustenmukaisuuden katselmoijien on raportoitava katselmointitulokset 15 liiketoimintapäivän kuluessa, otostarkastettava todentavan aineiston täydellisyys sisäisissä tarkastuksissa, todennettava vanhentuneiden poikkeusten sulkemista koskeva näyttö ja todennettava korjaavien toimenpiteiden vaikuttavuus 30 päivän kuluessa ilmoitetusta sulkemisesta. Poikkeukset, soveltaminen ja ylläpito käsitellään muodollisina PIMS-prosesseina eikä epämuodollisina poikkeamina. Pyydetyt poikkeukset on dokumentoitava ennen poikkeamista, arvioitava tietosuojariskin kannalta ennen hyväksyntää ja katselmoitava neljännesvuosittain sulkemiseen asti. Poikkeukset, jotka ylittävät hyväksytyt tietosuojariskin kynnysarvot, edellyttävät ylimmän johdon hyväksyntää ennen toteutusta. Epäillyt poikkeamat on kirjattava viiden liiketoimintapäivän kuluessa, myöhässä olevat merkittävät korjaavat toimenpiteet on eskaloitava ylimmälle johdolle, ja ratkaisemattomat merkittävät poikkeamat on katselmoitava jokaisessa johdon katselmoinnissa. Itse politiikka katselmoidaan vuosittain ja 30 päivän kuluessa olennaisista oikeudellisista, organisatorisista, käsittelyyn liittyvistä, teknologisista tai sertifioinnin soveltamisalaa koskevista muutoksista, ja hyväksytyt muutokset viestitään REG11:ssä 30 päivän kuluessa julkaisemisesta.