Politika točnosti i kvalitete osobnih podataka (PII)

Politika točnosti i kvalitete osobnih podataka (PII) definira kako organizacija održava točnost, potpunost, ažurnost, primjerenost i relevantnost osobnih podataka koji se obrađuju unutar sustava upravljanja informacijama o privatnosti (PIMS). Njezina je navedena svrha osigurati da osobni podaci (PII) koje organizacija koristi ostanu točni i primjereni svrhama obrade evidentiranima u PIMS-u te da se netočni, nepotpuni, zastarjeli ili osporeni osobni podaci (PII) ispravljaju, sinkroniziraju ili eskaliraju uz kontrolirane dokaze. Politika se primjenjuje kroz kontekste voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, pri čemu se obveze voditelja obrade smatraju primarnima, a obveze izvršitelja obrade ili podizvršitelja obrade primjenjuju se kada organizacija podržava ispravak, sinkronizaciju ili upute voditelja obrade povezane s točnošću podataka. Politika je strukturirana oko praktičnih operativnih kontrola, a ne kao samostalni program kvalitete podataka. Izričito ne uspostavlja zaseban registar kvalitete podataka, funkciju upravljanja glavnim podacima, okvir kvalitete podataka za analitiku ili okvir kvalitete podataka za podatke za obuku AI-ja. Umjesto toga, zahtjeve za točnost i kvalitetu ugrađuje u postojeće zapise i radne tokove PIMS-a. REG02 se koristi za evidentiranje vlasništva nad točnošću podataka, mjerodavnog izvora, oznaka zapisa s visokim utjecajem, učestalosti pregleda točnosti, metoda provjere točnosti, povezanosti sustava i pokazatelja zastarjelih podataka. REG06 se koristi za zahtjeve za ispravak koje pokreće ispitanik i prihvaćene stavke ispravka. REG08 podržava raspodjele između zajedničkih voditelja obrade, obveze podrške ispravku prema klijentu, ovlaštene kanale za upute, dokaze o izvršitelju obrade i podizvršitelju obrade, obavijesti primateljima i nizvodne potvrde. REG12 konsolidira status praćenja, praznine, iznimke, nesukladnosti, korektivne radnje i dokaze za preispitivanje od strane uprave. Središnje obilježje politike jest pojam zapisa s visokim utjecajem. Politika ga definira kao zapis osobnih podataka (PII) koji se koristi za odobravanje, odbijanje, izmjenu ili značajan utjecaj na pristup usluzi, ugovoru, pitanju zaposlenja, financijskom ishodu, ishodu povezanom sa zdravljem, odluci o prihvatljivosti, odluci o identitetu, odluci o riziku ili drugoj odluci u kojoj bi netočni osobni podaci (PII) mogli značajno utjecati na ispitanika. Na takve se zapise primjenjuju posebne kontrole: moraju se klasificirati u REG02 prije početka obrade od strane voditelja obrade i zatim jednom godišnje, pregledavati najmanje jednom godišnje te provjeriti prije oslanjanja na njih kada su datumi pregleda prekoračeni. Vlasnici sustava moraju identificirati pokazatelje zastarjelih podataka za sistemske zapise s visokim utjecajem prije puštanja u produkcijski rad i u roku od 30 dana od značajne promjene sustava. Kada pitanja točnosti podataka s visokim utjecajem ostanu neriješena, ponavljaju se ili premaše odobrene rokove, politika zahtijeva eskalaciju u REG12 i, prema potrebi, prema najvišem rukovodstvu. Radni tok ispravka povezuje postupanje sa zahtjevima za ostvarivanje prava u području privatnosti, poslovnu validaciju i tehničku provedbu. Zahtjevi za ispravak koje pokreće ispitanik povezuju se iz REG06 s pogođenom aktivnošću obrade u REG02 u roku od pet radnih dana od dodjele. Prihvaćene stavke ispravka moraju se dodijeliti i vlasniku procesa ili vlasniku poslovanja i vlasniku sustava ili vlasniku aplikacije u roku od dva radna dana nakon ulaska u sadržajni pregled. Vlasnik procesa validira predložene ispravke prema mjerodavnom izvoru, svrsi obrade i trenutačnom zapisu REG02 u roku od 10 radnih dana, dok vlasnik sustava provodi odobrene ispravke u izvornom sustavu te evidentira dovršetak u REG06 i REG02 u roku od pet radnih dana od odobrenja ili do odobrenog krajnjeg roka. Politika također zahtijeva dokumentirano savjetovanje prije odbijanja ispravka, zatvaranja osporenog predmeta ili odluke o ispravku s visokim utjecajem te usmjerava ishode brisanja, ograničenja zadržavanja, brisanja podataka ili ishode koji se odnose samo na zbrinjavanje prema povezanom radnom toku kada sam ispravak nije potreban ishod. Sinkronizacija i nadzor također su izričito uređeni. Prije provedbe odobrenog ispravka u REG02 se moraju identificirati relevantni izvorni sustavi, povezane aplikacije, replike, sučelja i izvješća. Odobreni ispravci zatim se moraju sinkronizirati kroz identificirane sustave unutar opsega, dok se primatelji, izvršitelji obrade ili strane u dijeljenju podataka prate kroz REG08 kada su potrebna nizvodna ažuriranja. Tromjesečne metrike uključuju postotak aktivnosti obrade REG02 s visokim utjecajem koje imaju važeći pregled točnosti, otvorene i zakašnjele stavke ispravka iz REG06 te neriješene neuspjehe sinkronizacije iz REG08 i REG12. Iznimke se moraju zatražiti, procijeniti, vremenski ograničiti na najviše 90 dana te zatvoriti ili ponovno procijeniti. Politika se pregledava jednom godišnje i u roku od 30 dana od značajne pravne promjene, promjene obrade, promjene sustava ili promjene opsega certifikacije, pri čemu značajne promjene prije objave odobrava najviše rukovodstvo.