Politika prikupljanja, uporabe, otkrivanja i dijeljenja osobnih podataka (PII)

Politika prikupljanja, uporabe, otkrivanja i dijeljenja osobnih podataka (PII) definira operativne zahtjeve za način na koji se osobni podaci koji omogućuju identifikaciju osobe prikupljaju, koriste, otkrivaju i dijele unutar opsega PIMS-a. Njezina je navedena svrha osigurati da se osobnim podacima (PII) postupa samo za dokumentirane, odobrene, ograničene i odgovorne svrhe. Politika se primjenjuje u kontekstima voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade te obuhvaća prikupljanje putem izravnih, neizravnih, automatiziranih, ručnih, internih, vanjskih kanala i kanala trećih strana. Također uređuje odobrenu internu uporabu u poslovnim procesima, sustavima i aplikacijama, sekundarnu uporabu za nove ili značajno izmijenjene svrhe, vanjsko otkrivanje primateljima i trećim stranama te ponavljajuće aranžmane dijeljenja podataka i jednokratna otkrivanja. Središnje obilježje politike jest uporaba registara dokaza za povezivanje odluka o privatnosti s revizijski provjerljivim zapisima. REG02 koristi se za popis obrade osobnih podataka (PII), odobrene svrhe, pravila prikupljanja, pravila uporabe i provjere usklađenosti sa svrhom za sekundarnu uporabu. REG08 koristi se za zapise o izvršiteljima obrade, podizvršiteljima obrade i dijeljenju podataka, uključujući identitet primatelja, ulogu primatelja, svrhu otkrivanja, kategorije osobnih podataka (PII), učestalost dijeljenja, lokaciju obrade i izvor ovlaštenja. REG09 koristi se kada dijeljenje uključuje novu državu, međunarodnu organizaciju, lokaciju udaljenog pristupa, lokaciju primatelja ili lokaciju daljnjeg prijenosa. REG12 koristi se za iznimke, nesukladnosti, nalaze revizije, korektivne radnje, probleme koji blokiraju implementaciju i zapise pregleda politike. Politika postavlja jasne kontrolne točke prije početka obrade. Vlasnici procesa ili vlasnici poslovanja moraju u REG02 evidentirati svrhe prikupljanja, izvore ili kanale, kategorije osobnih podataka (PII), kategorije ispitanika i minimalne elemente podataka prije početka novog prikupljanja ili značajne promjene. Također moraju dokumentirati obrazloženje nužnosti za svaki element osobnih podataka (PII) prije prikupljanja. Vlasnici sustava ili vlasnici aplikacija smiju implementirati samo odobrena polja prikupljanja, polja radnog toka, izvješća, izvoze ili izlazne rezultate otkrivanja koji odgovaraju odobrenju u REG02 ili REG08. U kontekstima izvršitelja obrade, usklađenost s uputom klijenta mora se evidentirati prije prikupljanja, uporabe ili otkrivanja osobnih podataka (PII) klijenta. Sekundarna uporaba tretira se kao upravljana odluka, a ne kao neformalno proširenje postojeće aktivnosti. Prije uporabe osobnih podataka (PII) za svrhu koja još nije odobrena u REG02, vlasnik procesa ili vlasnik poslovanja mora evidentirati provjeru usklađenosti sa svrhom koja obuhvaća izvornu svrhu, predloženu svrhu, ovisnost o pravnoj osnovi, kategorije osobnih podataka (PII), očekivanja ispitanika, obrazloženje minimizacije, učinak otkrivanja ili prijenosa i usmjeravanje prema drugim PIMS politikama gdje je potrebno. Voditelj za privatnost ili voditelj PIMS-a mora evidentirati odobrenje ili odbijanje prije početka sekundarne uporabe. Kada su uključeni osjetljivi ponavljajući aranžmani dijeljenja, ranjivi ispitanici, zapisi s visokim utjecajem ili značajno izmijenjena očekivanja, prije odobrenja mora se evidentirati savjet službenika za zaštitu podataka ili savjetnika za privatnost. Upravljanje, mjerenje i provedba ugrađeni su u politiku. Voditelj za privatnost ili voditelj PIMS-a pregledava pravila odobrene uporabe najmanje jednom godišnje, usklađuje odobrene svrhe iz REG02 s aktivnim zapisima dijeljenja u REG08 najmanje jednom godišnje i evidentira ishode u REG12. Vlasnici dobavljača ili nabave najmanje tromjesečno usklađuju aktivne unose dijeljenja u REG08 s aktivnim odnosima s izvršiteljima obrade, podizvršiteljima obrade, primateljima i odnosima dijeljenja podataka. Interna revizija ili pregledavatelji usklađenosti godišnje uzorkuju dokaze iz REG02, REG08 i REG09 te rezultate evidentiraju u REG12. Neodobreno prikupljanje, uporaba, otkrivanje ili dijeljenje mora se evidentirati kao nesukladnost u roku od pet radnih dana, a obrada se može obustaviti u roku od jednog radnog dana kada nedostaju odobreni dokazi.