Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallintapolitiikka

Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallintapolitiikka määrittää, miten organisaatio hallinnoi ulkoisia osapuolia, jotka käsittelevät, käyttävät, vastaanottavat, säilyttävät, siirtävät, tukevat tai muutoin käsittelevät henkilötietoja henkilötietojen hallintajärjestelmän soveltamisalassa. Sitä sovelletaan, kun organisaatio toimii rekisterinpitäjänä ja käyttää henkilötietojen käsittelijöitä, yhteisrekisterinpitäjänä ja tarvitsee rooliluokittelua, henkilötietojen käsittelijänä ja käyttää alikäsittelijöitä tai alihankkijoita sekä alikäsittelijänä ja vastaanottaa asiakkaan ohjeita. Politiikka kattaa myös kolmannen osapuolen suhteet, jotka edellyttävät tietosuojaa koskevaa huolellisuusarviointia, sopimuskontrolleja, dokumentoituja ohjeita, alikäsittelijän hyväksyntää, seurantaa, varmentamista, poikkeamarajapintaa, siirtoyhteyttä, palautusta, poistamista tai päättämisvaiheen näyttöä. Politiikan keskeinen ominaisuus on REG08-rekisterin – Henkilötietojen käsittelijöiden, alikäsittelijöiden ja tietojen jakamisen rekisterin – käyttö ensisijaisena näyttöobjektina henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojan hallinnassa. Politiikka edellyttää, että tietosuojavastaava / PIMS-päällikkö määrittää REG08-rekisterin vähimmäiskentät ja luokittelee kolmannen osapuolen tietosuojasuhteet rekisterinpitäjäksi, yhteisrekisterinpitäjäksi, henkilötietojen käsittelijäksi, alikäsittelijäksi tai muuksi kolmannen osapuolen suhteeksi ennen sopimuksen hyväksyntää tai ennen henkilötietojen käsittelyn alkamista. Se edellyttää myös, että toimittaja- tai hankintaomistaja estää käyttöönoton, uusimisen tai laajentamisen, kunnes REG08 on täytetty ja linkitetty tallenteisiin, kuten REG02, REG04, REG09 tai REG10, jos kyseiset näyttöobjektit käynnistyvät. Tämä muodostaa dokumentoidun yhteyden suhteiden hallinnoinnin, käsittelytoimien luettelon, riski- ja DPIA-tallenteiden, henkilötietojen kansainvälisen siirron näytön, poikkeamatallenteiden ja korjaavien toimenpiteiden välille. Politiikka asettaa yksityiskohtaiset vaatimukset huolellisuusarvioinnille, riskien arvioinnille ja sopimuksiin liittyville kontrolleille. Tietosuojaa koskeva huolellisuusarviointi on tehtävä ennen henkilötietoja käsittelevän tai niihin pääsyn saavan henkilötietojen käsittelijän, alikäsittelijän tai kolmannen osapuolen suhteen valintaa, uusimista tai olennaista muuttamista. Tietoturvavastaavan on katselmoitava tietoturvan varmentamisnäyttö ennen hyväksyntää, ja korkean riskin henkilötietojen käsittelijäsuhteet tai olennaiset kolmannen osapuolen tietosuojaa koskevat muutokset käynnistävät tietosuojariskien arvioinnin ja DPIA-esiarvioinnin REG04:ssä. Sopimuskontrollit ja dokumentoituihin ohjeisiin liittyvät kontrollit erotetaan rekisterinpitäjä- ja henkilötietojen käsittelijäkonteksteissa. Kun organisaatio toimii rekisterinpitäjänä, sen on kirjattava kirjallinen henkilötietojen käsittelyä koskeva sopimus tai vastaava sitova sopimus ennen kuin henkilötietojen käsittelijä käsittelee henkilötietoja. Kun organisaatio toimii henkilötietojen käsittelijänä, asiakassopimusten tai dokumentoitujen asiakkaan ohjeiden on määritettävä hyväksytyn käsittelyn soveltamisala ennen asiakkaan henkilötietojen käsittelyä. Politiikka edellyttää myös sopimuskattavuutta avustamiselle, tietoturvan varmentamiselle, PII15:n mukaiselle poikkeamarajapinnalle, PII10:n mukaiselle palautukselle tai poistamiselle, PII13:n mukaiselle siirtoyhteydelle sekä auditointi- tai varmentamisyhteistyölle. Alikäsittelijöiden ja alihankkijoiden hallinnointi käsitellään erillisillä hyväksyntää, ilmoituksia, ketjutettavia velvoitteita ja seurantaa koskevilla vaatimuksilla. Toimittaja- tai hankintaomistajan on ylläpidettävä alikäsittelijöiden ja alihankkijoiden luetteloa REG08-rekisterissä, varmistettava asiakkaan valtuutus ennen käyttöönottoa, ilmoitettava asiakkaille suunnitelluista uusista tai korvaavista alikäsittelijöistä sovellettavan sopimuksen mukaisesti ja varmistettava ketjutettavat tietosuoja-, tietoturva-, avustamis-, palautus-, poistamis-, poikkeamarajapinta- ja siirtoyhteysvelvoitteet ennen kuin alikäsittelijä käsittelee henkilötietoja. Myös rekisterinpitäjäpuolen ilmoitukset alikäsittelijämuutoksista on seurattava, ja hyväksyntä-, vastustus- tai eskalointipäätökset on kirjattava REG08-rekisteriin sopimuksen mukaisen vastustamisajan kuluessa tai 10 arkipäivän kuluessa ilmoituksen vastaanottamisesta sen mukaan, kumpi on lyhyempi. Politiikka täydentää elinkaarta jatkuvalla seurannalla, avustamispyyntöjen käsittelyllä, luovutusten kirjaamisella, poikkeamayhteyksillä, siirtoyhteyksillä, päättämisvaiheen näytöllä, poikkeuksilla, noudattamisen seurannalla ja katselmoinnilla. Korkean riskin henkilötietojen käsittelijä- ja alikäsittelijäsuhteita seurataan neljännesvuosittain, kun taas muita aktiivisia henkilötietojen käsittelijä- ja alikäsittelijäsuhteita seurataan vuosittain. Rekisteröidyn oikeuksia, DPIA-arviointeja, tietoturvanäyttöä, auditointeja tai asiakkaiden varmentamista koskevat avustamispyynnöt on koordinoitava REG08:n kautta ja linkitettävä soveltuvin osin REG06-, REG04- tai REG12-rekisteriin. Toimittajiin liittyvät tietosuojapoikkeamailmoitukset ohjataan REG10-rekisteriin PII15:n mukaisesti yhden arkipäivän kuluessa, ja palautusta, poistamista, hävittämistä tai siirtymää koskeva näyttö on hankittava 30 päivän kuluessa työsuhteen tai sopimuksen päättymisestä, voimassaolon päättymisestä, asiakkaan ohjeesta tai hyväksytystä päättämistapahtumasta, ellei lyhyempi sopimusperusteinen määräaika sovellu. Poikkeukset ovat aikarajoitettuja, edellyttävät tietosuojavaikutusten arviointia ja voivat edellyttää ylimmän johdon hyväksyntää, jos ne vaikuttavat korkean riskin käsittelyyn, puuttuvaan sopimusnäyttöön, siirtoyhteyksien puutteisiin tai sertifioinnin soveltamisalaan.