Politika upravljanja incidentima u vezi s osobnim podacima i povredama osobnih podataka

Politika upravljanja incidentima u vezi s osobnim podacima i povredama osobnih podataka definira kako organizacija identificira, prijavljuje, trijažira, procjenjuje, ograničava, priopćava, dokumentira, zatvara i poboljšava postupanje nakon incidenata u vezi s osobnim podacima i povreda osobnih podataka unutar opsega sustava upravljanja informacijama o privatnosti (PIMS). Njezina je svrha osigurati da se incidentima i povredama postupa dosljedno, pravodobno, zakonito, sigurno i uz dokaze spremne za reviziju. Politika se primjenjuje u kontekstima voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade te obuhvaća sustave, aplikacije, usluge, procese, dobavljače, izvršitelje obrade, podizvršitelje obrade i treće strane koje obrađuju, pohranjuju, prenose, podržavaju, pristupaju ili na drugi način utječu na osobne podatke unutar opsega PIMS-a. Središnje obilježje politike njezin je integrirani model dokaza. REG10 — Registar incidenata u vezi s osobnim podacima i povreda osobnih podataka primarni je objekt dokaza za upravljanje incidentima i povredama, dok prateći registri osiguravaju kontekst i sljedivost. REG01 podržava kontekst opsega, pravnih, ugovornih, sektorskih, korisničkih i izvještajnih zahtjeva. REG02 povezuje zahvaćene aktivnosti obrade, kategorije osobnih podataka, kategorije ispitanika, svrhe i sustave. REG04 podržava poveznice s rizikom za privatnost, DPIA-om i preostalim rizikom. REG08 evidentira sučelja incidenata s izvršiteljima obrade, podizvršiteljima obrade, klijentima, dobavljačima i trećim stranama. REG09 se koristi kada incidenti utječu na prekograničnu obradu, REG11 podržava dokaze o obuci i kompetencijama, a REG12 obuhvaća reviziju, nesukladnost, korektivne radnje i dokaze o poboljšanju. Ova struktura pomaže osigurati da zapisi o incidentima nisu odvojeni od šireg PIMS-a. Politika utvrđuje detaljne zahtjeve za spremnost, zaprimanje, klasifikaciju, procjenu povrede, ograničavanje, oporavak, obavješćivanje, komunikacije, zaštitu dokaza i naučene lekcije. Sumnjivi incidenti u vezi s osobnim podacima moraju se evidentirati bez odgode, pri čemu se svaki prijavljeni ili otkriveni sumnjivi incident unosi u REG10 u roku od jednog radnog dana od zaprimanja ili ranije ako se mogu pokrenuti rokovi za obavješćivanje ili izvješćivanje klijenta. Tehnička trijaža sigurnosnih događaja koji uključuju osobne podatke mora se dovršiti u roku od 24 sata od otkrivanja, a svaki unos u REG10 mora se u roku od 24 sata od zaprimanja klasificirati kao događaj koji nije povezan s osobnim podacima, sumnjivi incident u vezi s osobnim podacima, potvrđeni incident u vezi s osobnim podacima ili potvrđena povreda osobnih podataka, osim ako je dokumentiran razlog za neriješenu klasifikaciju. Za procjenu povrede politika zahtijeva identifikaciju zahvaćenih aktivnosti obrade, kategorija osobnih podataka, kategorija ispitanika, sustava, izvršitelja obrade, podizvršitelja obrade, lokacija prijenosa i rizika za privatnost prije donošenja konačnih odluka o obavješćivanju. Obveze obavješćivanja i komunikacije razdvojene su prema ulozi. Za voditelje obrade politika zahtijeva dokumentirane odluke o regulatornom obavješćivanju za svaku potvrđenu povredu osobnih podataka bez nepotrebnog odgađanja, uz zadržavanje obavijesti, obrazloženja odluke o neobavješćivanju ili obrazloženja odgode u REG10. Kada se pokrene komunikacija prema zahvaćenim ispitanicima, politika zahtijeva evidentiranje sadržaja, ciljne skupine, vremena, načina dostave i dokaza o odobrenju. Za izvršitelje obrade i podizvršitelje obrade politika zahtijeva obavješćivanje zahvaćenih voditelja obrade, klijenata, uzvodnih izvršitelja obrade ili odobrenih ugovornih kanala bez nepotrebnog odgađanja i unutar primjenjivih ugovornih rokova. Za incidente visokog utjecaja u vezi s osobnim podacima također zahtijeva procjenu pravnih, sektorskih, financijsko-sektorskih, kibernetičko-sigurnosnih, ugovornih, korisničkih i primateljskih okidača izvješćivanja gdje je primjenjivo. Upravljanje, mjerenje i poboljšanje ugrađeni su u proces. Voditelj privatnosti / voditelj PIMS-a vlasnik je procesa upravljanja incidentima i povredama te mora osigurati održavanje REG10 do zatvaranja. Koordinator odgovora na incidente upravlja zaprimanjem, trijažom, radnim tokom ograničavanja, praćenjem statusa, zatvaranjem i naučenim lekcijama. Informacijska sigurnost vodi tehničku istragu, ograničavanje, uklanjanje prijetnje, oporavak, očuvanje dokaza i analizu temeljnog uzroka kada su uključeni sustavi ili sigurnosne kontrole. Najviše rukovodstvo prima eskalacije za potvrđene incidente visokog utjecaja u vezi s osobnim podacima u roku od 24 sata od klasifikacije te tijekom preispitivanja od strane uprave pregledava incidente visokog utjecaja, prijavljive povrede, zakašnjele korektivne radnje i značajne učinke. Metrike uključuju broj incidenata, vrijeme klasifikacije i ograničavanja, pravodobnost obavješćivanja, starenje korektivnih radnji, učinkovitost odgovora trećih strana i dovršetak vježbi. Politika također zahtijeva godišnji pregled, pregled nakon incidenta za incidente visokog utjecaja ili potvrđene povrede te godišnji pregled implementacije u okviru interne revizije.