Politika međunarodnog prijenosa osobnih podataka

Politika međunarodnog prijenosa osobnih podataka uspostavlja zahtjeve za identifikaciju, odobravanje, evidentiranje, pregled, ograničavanje i obustavu međunarodnih prijenosa osobnih podataka. Primjenjuje se na aktivnosti voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade kada se osobni podaci stavljaju na raspolaganje, pristupa im se izvan odobrene granice obrade, pohranjuju se, hostiraju, otkrivaju ili na drugi način prenose izvan odobrene granice obrade evidentirane u REG02 ili REG09. Opseg uključuje interna povezana društva, vanjske primatelje, izvršitelje obrade, podizvršitelje obrade, pružatelje usluga, pristup podrške, lokacije hostinga, udaljenu administraciju, daljnje prijenose, zahtjeve tijela javne vlasti za otkrivanje podataka i promjene usluga povezane s prijenosom. Središnje obilježje politike jest pristup temeljen na dokazima. Politika propisuje da se međunarodni prijenosi moraju identificirati prije početka ili promjene obrade te da se odobreni zapisi o prijenosu moraju održavati u REG09. REG09 je primarni objekt dokaza za prijenos, dok REG02, REG08 i REG12 pružaju pripadajuće dokaze za aktivnosti obrade, odnose s dobavljačima i izvršiteljima obrade, iznimke, nesukladnosti, korektivne radnje i preispitivanje od strane uprave. Obvezna REG09 polja uključuju odredište prijenosa, primatelja, ulogu PIMS-a, mehanizam prijenosa, pripadajuće dokaze, datum pregleda i vlasnika. Ova struktura namijenjena je pomoći organizaciji da dokaže odgovorno upravljanje prijenosima bez stvaranja dupliciranih registara procjena učinka prijenosa ili standardnih ugovornih klauzula. Politika definira kontrole za odabir mehanizma prijenosa, odobrenje i pregled rizika. Za prijenose voditelja obrade, voditelj privatnosti / voditelj PIMS-a evidentira odobreni mehanizam prijenosa i pripadajuće dokaze u REG09 prije početka prijenosa. Službenik za zaštitu podataka / savjetnik za privatnost pregledava dokaze o mehanizmu prijenosa prije odobrenja novih, značajno izmijenjenih ili međunarodnih prijenosa osobnih podataka višeg rizika te dovršava pregled rizika prijenosa kada se aktivira. Kada se organizacija oslanja na tehničke zaštitne mjere, voditelj informacijske sigurnosti evidentira status ovisnosti o tehničkim zaštitnim mjerama u REG09 ili REG12. Ako je preostali rizik prijenosa visok, najviše rukovodstvo mora odobriti nastavak provedbe prijenosa u REG12 prije prihvaćanja tog rizika. Uređeno je i upravljanje izvršiteljima obrade, podizvršiteljima obrade i daljnjim prijenosima. Vlasnik dobavljača / nabave mora pribaviti dokumentirano odobrenje ili uputu klijenta u REG08 i REG09 prije pokretanja međunarodnih prijenosa osobnih podataka od strane izvršitelja obrade, evidentirati odobrenje podizvršitelja obrade i prenesene obveze za prijenos te spriječiti daljnji prijenos izvršitelja obrade ili podizvršitelja obrade dok se ne evidentira odobrenje klijenta. Politika također zahtijeva da se rute daljnjeg prijenosa, kategorije primatelja, ograničenja i obveze evidentiraju prije odobrenja. Zahtjevi stranih tijela javne vlasti za otkrivanje podataka moraju se evidentirati u REG09 ili REG12 prije otkrivanja kada je to izvedivo, odnosno u roku od jednog radnog dana kada prethodno evidentiranje nije izvedivo, a zahtjevi od značaja za privatnost moraju, kada je izvedivo, proći pregled savjetnika za privatnost. Kontinuirano upravljanje provodi se kroz definirane zahtjeve za pregled, mjerenje, iznimke i provedbu. Aktivni zapisi o prijenosu pregledavaju se najmanje jednom godišnje i u roku od 30 dana od značajne promjene prijenosa, dok voditelj privatnosti / voditelj PIMS-a najmanje tromjesečno pregledava zakašnjele preglede prijenosa, nepotpune zapise, obustavljene prijenose i otvorene iznimke prijenosa. Metrike uključuju postotak aktivnih REG09 zapisa s potpunim dokazima o mehanizmu prijenosa, zakašnjele preglede prijenosa, obustavljene ili odgođene prijenose, zakašnjele dokaze izvršitelja obrade ili treće strane te neusklađene aktivnosti obrade REG02 s mogućim pokazateljima međunarodnog prijenosa. Iznimke se moraju evidentirati u REG12 prije nego što postanu aktivne, mora im se dodijeliti vlasnik, datum isteka, kompenzacijska kontrola i učestalost pregleda te se moraju pregledavati najmanje mjesečno do zatvaranja. Nesukladnosti se moraju evidentirati kada se utvrde neevidentirani prijenosi, nepotkrijepljeni mehanizmi, nedostajuća odobrenja, zakašnjeli pregledi, nedostajući dokazi o daljnjem prijenosu ili neovlašteni nastavak.