Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka

Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka määrittää, miten organisaatio osoittaa, dokumentoi, viestii, katselmoi ja parantaa vastuita henkilötietojen hallintajärjestelmässä. Sen soveltamisala kattaa henkilöstön, toiminnot, järjestelmät, toimittajat, henkilötietojen käsittelijät, alikäsittelijät ja yhteisrekisterinpitäjäsuhteet, jotka osallistuvat henkilötietojen käsittelyyn tai vaikuttavat siihen PIMS:n soveltamisalassa. Politiikkaa sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän konteksteissa, minkä vuoksi se on relevantti asiakirjassa kuvatuille tietosuojan toimintamalleille kokonaisuudessaan. Siinä myös selvennetään, ettei se luo uusia organisaation tehtävänimikkeitä; sen sijaan se määrittää kanoniset PIMS-roolit, jotka voidaan osoittaa olemassa olevalle henkilöstölle tai toiminnoille, kun vaaditut osoittamista, pätevyyttä, riippumattomuutta ja eturistiriitoja koskevat vaatimukset on dokumentoitu. Politiikka muodostaa jäsennetyn PIMS-roolimallin ja todentavaan aineistoon perustuvan osoitusvelvollisuuden lähestymistavan. Ylimmän johdon tulee hyväksyä kanoninen roolimalli REG01:ssä ennen ensimmäistä toteutusta ja sen jälkeen vuosittain. Privacy Lead / PIMS Manager ylläpitää nimettyjä roolien osoittamisia, vastuiden soveltamisaloja ja toimivaltatasoja REG01:ssä, mukaan lukien henkilöstö- tai organisaatiomuutosten jälkeiset päivitykset. Käsittelyn omistajuus liitetään REG02:een, jossa prosessien omistajat / liiketoimintavastaavat osoittavat vastuunalaiset omistajat kullekin henkilötietojen käsittelytoimelle ennen käsittelyn alkamista ja järjestelmäomistajat / sovellusomistajat dokumentoivat vastuunalaiset järjestelmäomistajat ennen tuotantokäyttöönottoa. Toimittajan, henkilötietojen käsittelijän, alikäsittelijän, kolmannen osapuolen tietojen jakamisen ja yhteisrekisterinpitäjäsuhteen omistajuus kirjataan REG08:ssa ennen käyttöönottoa tai sopimuksen hyväksyntää. Keskeinen osa politiikkaa on roolien yhdistämisen, eriyttämisen ja riippumattomuuden hallinta. Politiikka sallii käytännöllisen roolien yhdistämisen, myös pienissä ja keskisuurissa organisaatioissa, mutta edellyttää dokumentointia ennen yhdistelmien voimaantuloa. Roolien yhdistelmät, joihin sisältyy Privacy Lead / PIMS Manager, tietosuojavastaava / tietosuojaneuvonantaja, tietoturvavastaava, tietoturvapoikkeamiin reagoinnin koordinaattori tai sisäinen tarkastus / vaatimustenmukaisuuskatselmoija, edellyttävät ylimmän johdon hyväksyntää REG01:ssä. Sisäisen tarkastuksen / vaatimustenmukaisuuskatselmoijan tulee dokumentoida riippumattomuus katselmoitavasta PIMS-prosessista REG12:ssa ennen jokaista auditointia tai vaatimustenmukaisuuskatselmointia. Jos eriyttämisristiriitoja ei voida välttää, kompensoivat hallintakeinot tulee kirjata, ja tietosuojavastaavan / tietosuojaneuvonantajan tulee kirjata riippumattomuutta tai eturistiriitoja koskevat huolenaiheet viiden arkipäivän kuluessa tunnistamisesta. Politiikka määrittää myös osoitusvelvollisuuden rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän vastuissa. Rekisterinpitäjän käsittely edellyttää vastuun omistajuuden, tarkoituksen omistajuuden ja todentavan aineiston omistajuuden kirjaamista REG02:ssa ennen käsittelyn alkamista. Yhteisrekisterinpitäjän vastuunjako, henkilötietojen käsittelijän asiakkaan ohjeen omistajuus, alikäsittelijän valvonnan omistajuus, hyväksyntätila ja kolmannen osapuolen vastuun eskalointipolut hallitaan REG08:n kautta. Privacy Lead / PIMS Manager varmentaa rooliluokituksen tallenteet REG02:ssa ja REG08:ssa neljännesvuosittain ja 15 arkipäivän kuluessa olennaisesta muutoksesta. Politiikka edellyttää lisäksi, että tietosuojaa koskeva neuvonta, henkilötietojen tietoturvavastuun syöte, tietoturvaloukkauksen ja henkilötietopoikkeaman eskalointivastuu, ratkaisemattomat vastuukiistat ja rooleihin liittyvät eskaloinnit dokumentoidaan määriteltyihin näyttöobjekteihin. Hallinnointi, mittaaminen, poikkeukset, soveltaminen ja ylläpito on sisällytetty osoitusvelvollisuusmalliin. Ylin johto katselmoi kattavuuden, täyttämättömät roolit, rooliristiriidat, osoitusvelvollisuuden poikkeukset ja mittarit johdon katselmoinnin aikana. Privacy Lead / PIMS Manager tekee neljännesvuosittaiset osoitusvelvollisuuskatselmoinnit, seuraa täyttämättömiä ja yhdistettyjä rooleja, raportoi roolitietoisuuden suorittamisen, hallitsee poikkeuksia määritellyin voimassaolorajoin sekä kirjaa puuttuvat, virheelliset tai vanhentuneet osoittamiset poikkeamina. Prosessien omistajien / liiketoimintavastaavien tulee estää uuden tai muuttuneen henkilötietojen käsittelyn tuotantokäyttöönotto, jos vaadittu rooleja ja osoitusvelvollisuutta koskeva todentava aineisto puuttuu. Sisäinen tarkastus / vaatimustenmukaisuuskatselmoijat testaavat rooleja koskevan todentavan aineiston, raportoivat havainnot ja varmentavat korjaavien toimenpiteiden tehokkuuden. Itse politiikka tulee katselmoida vuosittain ja 30 päivän kuluessa olennaisesta muutoksesta PIMS-roolimalliin.