Tietosuojakoulutus-, tietoisuus- ja pätevyyspolitiikka

Tietosuojakoulutus-, tietoisuus- ja pätevyyspolitiikka määrittelee, miten organisaatio hallitsee tietosuojakoulutusta henkilötietojen hallintajärjestelmässään. Sen tarkoituksena on varmistaa, että henkilöt, joiden työ vaikuttaa henkilötietojen käsittelyyn, ymmärtävät vastuunsa, suorittavat koulutuksen määritellyssä aikataulussa, ylläpitävät roolinsa kannalta olennaista pätevyyttä ja tuottavat auditoitavissa olevaa todentavaa aineistoa koulutuksesta, tietoisuudesta ja eskaloinnista. Politiikkaa sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toimintaympäristöissä, joten se on merkityksellinen sekä organisaatioille, jotka käsittelevät henkilötietoja suoraan, että organisaatioille, jotka toimivat asiakkaan ohjeiden mukaisesti tai kolmannen osapuolen käsittelyjärjestelyjen kautta. Soveltamisala on tarkoituksellisesti laaja ja operatiivinen. Sitä sovelletaan henkilöstöön, urakoitsijoihin, määräaikaiseen henkilöstöön, asiaankuuluviin kolmansiin osapuoliin, henkilötietojen käsittelijöihin, alikäsittelijöihin ja muihin sidosryhmiin, joiden työ voi vaikuttaa henkilötietojen käsittelyyn, rekisteröityjen oikeuksiin, tietosuojariskiin, henkilötietoihin liittyvään tietoturvallisuuteen, henkilötietojen käsittelijän ohjeisiin, henkilötietopoikkeamiin, dokumentoituun tietoon tai vaatimustenmukaisuusnäyttöön. Politiikka kattaa tietosuojakoulutuksen kohderyhmien tunnistamisen, perehdytyskoulutuksen, vuosittaisen kertauskoulutuksen, roolipohjaisen ja tapahtumaperusteisen koulutuksen, koulutussuoritusten todentavan aineiston, suorittamatta jäämisen eskaloinnin, koulutuksen vaikuttavuuden katselmoinnin sekä henkilötietojen käsittelijän, alikäsittelijän ja kolmannen osapuolen koulutuksen varmentamisnäytön. Politiikan keskeinen osa on sen todentavan aineiston malli. Sen mukaan erillistä koulutusmatriisia, hallintanäkymää, pätevyysrekisteriä, kurinpitorekisteriä tai asiakkaiden koulutusrekisteriä ei luoda. Sen sijaan koulutustehtäväksiannot, suoritukset, muistutukset, pätevyysnäyttö ja tietoisuusnäyttö kirjataan REG11:een. Poikkeukset, eskaloinnit, poikkeamat, korjaavat toimenpiteet ja katselmointinäyttö kirjataan REG12:een. Henkilötietojen käsittelijän, alikäsittelijän ja kolmannen osapuolen koulutuksen varmentamisnäyttö kirjataan tarvittaessa REG08:aan, ja poikkeamien opit voidaan linkittää REG10:n kautta. Tämä lähestymistapa auttaa pitämään tietosuojakoulutuksen jäljitettävissä ilman rekisterien päällekkäisyyttä tai tarpeetonta hallinnollista kuormitusta. Politiikka määrittää erityiset koulutusaikataulut ja herätteet. Tietosuojatietoisuuden perustason koulutus on osoitettava 10 työpäivän kuluessa perehdytyksestä henkilöstölle, jolla on pääsy henkilötietoihin tai jolla on PIMS-vastuita, ja henkilöstön on suoritettava perehdytyksen tietosuojakoulutus ennen kuin valvomaton pääsy henkilötietoihin hyväksytään tai 30 päivän kuluessa perehdytyksestä sen mukaan, kumpi toteutuu ensin. Vuosittainen tietosuojan kertauskoulutus on osoitettava vähintään kerran 12 kuukaudessa. Kohdennettu kertauskoulutus vaaditaan 30 päivän kuluessa olennaisesta tietosuojapolitiikan muutoksesta, olennaisesta PIMS-prosessin muutoksesta, auditointihavainnosta, toistuvasta koulutuksen epäonnistumisesta tai asiaankuuluvasta henkilötietopoikkeaman opista. Roolipohjainen koulutus vaaditaan myös ennen kuin henkilöstö ottaa vastuulleen tehtäviä, jotka liittyvät oikeusperusteeseen, tietosuojaselosteisiin, suostumukseen, rekisteröityjen oikeuksiin, DPIA-arviointeihin, säilytykseen, jakamiseen, henkilötietojen kansainvälisiin siirtoihin, etuoikeutettuun pääsyyn, tietoturvahallintaan, lokitukseen, seurantaan tai poikkeamien tukemiseen. Hallinnointi ja noudattamisen seuranta sisältyvät politiikkaan määriteltyjen vastuiden, seurannan ja eskaloinnin kautta. Tietosuojavastaava/PIMS-päällikkö ylläpitää koulutussisältöä, tehtäväksiantoja, suoritusten todentavaa aineistoa, kuittauksia ja vaikuttavuusnäyttöä. Prosessien omistajat tukevat vastuullaan olevan henkilöstön suorituksia, järjestelmäomistajat varmistavat koulutuksen ennen etuoikeutetun pääsyn tai vaikutuksiltaan merkittävään henkilötietojärjestelmään pääsyn hyväksymistä, ja toimittaja-/hankintaomistajat ylläpitävät koulutusta tai vastaavaa varmentamisnäyttöä toimittajille, henkilötietojen käsittelijöille, alikäsittelijöille ja ulkoisen työvoiman jäsenille. Politiikka edellyttää neljännesvuosittaista katselmointia suorituksista, erääntyneistä koulutuksista, roolipohjaisista tehtäväksiannoista ja poikkeuksista siten, että ratkaisemattomat näyttöpuutteet raportoidaan ennen johdon katselmointia. Sisäinen tarkastus / vaatimustenmukaisuuden katselmoijat otantatarkastavat REG11- ja REG12-näyttöä hyväksytyn auditointisuunnitelman mukaisesti, mikä tukee jatkuvaa parantamista ja sertifiointivalmista osoitusvelvollisuutta.