Tietosuojaseloste- ja läpinäkyvyyspolitiikka

Tietosuojaseloste- ja läpinäkyvyyspolitiikka määrittää organisaation vaatimukset tietosuojaselosteiden ja informointitietojen laatimiselle, hyväksymiselle, julkaisemiselle, ylläpidolle, katselmoinnille ja todentamiselle henkilötietojen käsittelyssä PIMS:n soveltamisalalla. Sen ilmoitettu tarkoitus on varmistaa, että rekisteröidyt saavat ”selkeät, ajantasaiset, saavutettavat ja auditoitavissa olevat tietosuojaselosteet ennen vaadittua kohtaa henkilötietojen käsittelyn elinkaarella tai kyseisessä kohdassa”. Politiikkaa sovelletaan rekisterinpitäjän käsittelyyn, yhteisrekisterinpitäjän informointitietoihin sekä henkilötietojen käsittelijän tai alikäsittelijän tukeen rekisterinpitäjän tietosuojaselostevelvoitteissa, kun organisaatio toimii dokumentoitujen asiakkaan ohjeiden tai henkilötietojen käsittelijän ohjeiden mukaisesti. Politiikan omistaa tietosuojavastaava / PIMS-päällikkö, sen hyväksyy ylin johto, ja se käyttää REG02-, REG06-, REG07-, REG11- ja REG12-kokonaisuuksia näyttöobjekteina. Politiikan keskeinen ominaisuus on tietosuojaselosteiden sisällön hallinta REG07:n kautta. Politiikka määrittää REG07:n auktoritatiiviseksi näyttöobjektiksi tietosuojaselosteiden luetteloa, hyväksyntää, julkaisemista, katselmointia, kieliversioita ja versionhallinnan tallenteita varten. Rekisterinpitäjän käsittelyssä prosessien omistajien / liiketoimintavastaavien tulee luoda REG07-tietosuojaselostetallenne, joka on kytketty asiaankuuluvaan REG02:n käsittelytoimeen, ennen minkä tahansa uuden henkilötietojen keruukanavan, palvelun, lomakkeen, kampanjan, tuotteen tai ominaisuuden käyttöönottoa. Kun henkilötiedot saadaan muusta lähteestä kuin rekisteröidyltä, tallenne tulee luoda ennen ensimmäistä yhteydenottoa, ennen ensimmäistä luovutusta kolmannelle osapuolelle tai 20 työpäivän kuluessa henkilötietojen saamisesta, sen mukaan, mikä näistä tapahtuu ensin. Politiikka edellyttää myös, että tietosuojaselosteet kytketään ajantasaisiin REG02:n käsittelytarkoituksiin, oikeusperusteviittauksiin, henkilötietoryhmiin, rekisteröityjen ryhmiin, lähderyhmiin, vastaanottajaryhmiin, säilytysviittauksiin ja siirtoviittauksiin. Politiikka määrittää rakenteisen hyväksynnän ja julkaisemisen elinkaaren. Prosessien omistajat / liiketoimintavastaavat varmentavat tietosuojaselosteen sisällön paikkansapitävyyden ja täydellisyyden sekä toimittavat REG07-tallenteen tietosuojavastaavan / PIMS-päällikön hyväksyttäväksi ennen julkaisemista tai keruukanavan aktivointia. Tietosuojavastaava / PIMS-päällikkö varmistaa yhdenmukaisuuden REG02:n kanssa ja hyväksyy tai hylkää tietosuojaselosteen. Järjestelmäomistajat / sovellusomistajat voivat julkaista vain hyväksytyn REG07-tietosuojaselosteversion ennen digitaalisten keruukanavien käyttöönottoa, kun taas prosessien omistajien / liiketoimintavastaavien tulee asettaa hyväksytyt tietosuojaselosteet saataville muissa kuin digitaalisissa kanavissa ennen henkilötietojen keräämistä. Julkaisun todentava aineisto, mukaan lukien sijainti ja aikaleima tai vastaava näyttö, tulee kirjata REG07:ään kahden työpäivän kuluessa julkaisemisesta. Jos vaadittu hyväksytty tietosuojaselostetta koskeva todentava aineisto puuttuu, uutta rekisterinpitäjän keruukanavaa ei saa ottaa tuotantokäyttöön. Läpinäkyvyyden laatua käsitellään kieltä, saavutettavuutta, versioita ja muutostenhallintaa koskevilla kontrolleilla. Politiikka edellyttää kohteena olevien rekisteröityjen yleisöjen ja vaadittujen kieliversioiden tunnistamista ennen hyväksyntää. Se edellyttää selkeäkielisyyttä ja yleisölle soveltuvuutta koskevaa todentavaa aineistoa REG07:ssä, käännettyjä tai lokalisoituja versioita ennen julkaisemista sekä versiovastaavuutta pääversion ja lokalisoitujen tietosuojaselosteiden välillä 10 työpäivän kuluessa olennaisesta päivityksestä. Vanhentuneet tietosuojaselosteversiot tulee poistaa, uudelleenohjata tai merkitä viiden työpäivän kuluessa korvaavan version julkaisemisesta, ja korvatut versiot, voimaantulopäivät, hyväksyntää koskeva todentava aineisto ja julkaisun todentava aineisto tulee säilyttää REG07:ssä. Olennaiset muutokset rekisterinpitäjän identiteettiin, yhteyspisteeseen, käsittelytarkoitukseen, oikeusperusteeseen, henkilötietoryhmiin, vastaanottajaryhmiin, säilytysviittauksiin, siirtoviittauksiin, rekisteröidyn oikeuksia koskevien pyyntöjen kanaviin, valitus- tai tietosuojayhteydenottokanaviin, kielikattavuuteen, julkaisukanaviin tai käsittelykontekstiin käynnistävät tietosuojaselosteiden päivityskontrollit. Politiikka sisältää myös hallinnointia, mittaamista, poikkeuksia, soveltamista ja ylläpitoa koskevat vaatimukset. Aktiiviset REG07-tietosuojaselosteet katselmoidaan vähintään vuosittain ja 30 päivän kuluessa olennaisista lakisääteisistä, sääntelyyn liittyvistä, sopimusperusteisista tai käsittelyä koskevista muutoksista. REG07-tietosuojaselostetallenteet täsmäytetään REG02:n käsittelytarkoituksiin neljännesvuosittain, ja ratkaisemattomat ristiriidat kirjataan REG12:een. Mittareihin sisältyvät niiden aktiivisten tietosuojaselosteiden prosenttiosuus, jotka on kytketty ajantasaisiin REG02:n tarkoituksiin, määräpäivään mennessä katselmoidut tietosuojaselosteet, myöhässä olevat päivitykset, ratkaisemattomat ristiriidat, estetyt tai viivästyneet keruukanavat, ajallaan valmistuneet asiakkaan tietosuojaselosteita tukevat pyynnöt sekä tietosuojaselosteet, joilla on ajantasaiset kieli-, versio-, hyväksyntä- ja julkaisutodisteet. Poikkeukset tulee kirjata REG12:een ennen poikkeamien syntymistä, ja määritettyihin tietosuojaselosteisiin liittyviin poikkeuksiin vaaditaan tietosuojaneuvonta ja ylimmän johdon hyväksyntä. Puuttuva, virheellinen, julkaisematon, hyväksymätön tai vanhentunut tietosuojaselostetta koskeva todentava aineisto kirjataan poikkeamana, ja olennaisesti virheelliset tai harhaanjohtavat tietosuojaselosteet eskaloidaan tietosuojavastaavalle / tietosuojaneuvonantajalle ja ylimmälle johdolle kahden työpäivän kuluessa vahvistamisesta.