Politika upravljanja dokumentiranim informacijama i dokazima PIMS-a

Politika upravljanja dokumentiranim informacijama i dokazima PIMS-a definira obvezne zahtjeve za kontrolu cjelokupnog životnog ciklusa dokumentiranih informacija sustava upravljanja informacijama o privatnosti. Njezin opseg obuhvaća stvaranje, odobravanje, upravljanje verzijama, zaštitu, zadržavanje, dohvat, prijevod, povlačenje i dokazivanje zapisa PIMS-a. Politika se primjenjuje na politike PIMS-a, registre, dokumentirana odobrenja, zapise o dokazima, revizijske dokaze, zapise preispitivanja od strane uprave, dokaze korektivnih radnji i kontrolirane prijevode koji se koriste za dokazivanje usklađenosti PIMS-a. Napisana je za kontekste voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, zbog čega je primjenjiva na različite uloge koje organizacija može imati pri obradi osobnih podataka (PII). Središnje obilježje politike jest oslanjanje na kanonske objekte dokaza PIMS-a REG01 do REG12, umjesto uspostave zasebnog registra za upravljanje dokumentima. Politika određuje da se dokazi o kontroli dokumentiranih informacija održavaju kroz te objekte dokaza, pri čemu se REG03 i REG12 posebno koriste za primjenjivost kontrola, reviziju, nesukladnost, korektivnu radnju i dokaze o poboljšanju. Takav pristup namijenjen je sprječavanju nepotrebne administracije upravljanja dokumentima, uz očuvanje zapisa spremnih za reviziju radi certifikacije, programa dokazivanja sigurnosti prema zahtjevima klijenata i kontinuiranog poboljšanja. REG12 se opsežno koristi za indeks dokumentiranih informacija, razine pristupa, klasifikacije osjetljivosti, status odobrenja, povijest verzija, zahtjeve za dohvat, odobrenja otkrivanja, kategorije zadržavanja, status povlačenja, iznimke i praćenje korektivnih radnji. Politika uspostavlja detaljne kontrole za stvaranje, odobravanje, upravljanje verzijama i objavu. Prije objave dokumentiranih informacija PIMS-a, Voditelj privatnosti / Voditelj PIMS-a mora u REG12 dodijeliti identifikator dokumenta, vlasnika, broj verzije, status odobrenja, datum stupanja na snagu i datum pregleda. Najviše rukovodstvo mora odobriti temeljne politike PIMS-a i značajne izmjene politika prije objave, dok Voditelj privatnosti / Voditelj PIMS-a odobrava predloške dokaza ili ugrađene dijelove registra prije operativne uporabe. Politika također zahtijeva da se povijest verzija i obrazloženje promjene evidentiraju prije izdanja, a komunikacija odobrenih promjena zabilježi u REG11 u roku od 30 dana od objave. Kvaliteta i sljedivost dokaza tretiraju se kao operativni zahtjevi, a ne kao neobvezni dokumentacijski zadaci. Voditelj privatnosti / Voditelj PIMS-a mora definirati konvencije imenovanja dokaza, tromjesečno i prije vanjske revizije uskladiti reference kontrola iz REG03 sa zapisima dokaza o politikama te primijeniti odobrenu konvenciju imenovanja izvoza prije dijeljenja dokaza za certifikacijsku reviziju, programe dokazivanja sigurnosti prema zahtjevima klijenata ili regulatorni odgovor. Vlasnici procesa / vlasnici poslovanja moraju osigurati da dokazi obrade uključuju vlasnika dokaza, datum, referencu na aktivnost obrade, status odluke i status odobrenja prije nego što se na njih osloni u reviziji. Unutarnja revizija / pregledavatelji usklađenosti moraju evidentirati praznine u potpunosti, točnosti ili sljedivosti tijekom planiranih revizija ili pregleda usklađenosti. Politika također definira kontrole za pristup, zaštitu, dohvat, otkrivanje, zadržavanje, povlačenje, arhiviranje, zbrinjavanje i višejezičnu kontrolu verzija. Ograničenja pristupa repozitoriju moraju se evidentirati prije dodjele pristupa i pregledavati tromjesečno, a pristup dokazima PIMS-a koji sadržavaju osobne podatke (PII) mora biti odobren prije dodjele. Otkrivanje dokaza vanjskim revizorima, klijentima, izvršiteljima obrade, voditeljima obrade, nadzornim tijelima ili drugim vanjskim stranama zahtijeva evidentiranje odobrenja i opsega otkrivanja. Zastarjele verzije moraju se povući u definiranim rokovima, prethodne odobrene verzije politika moraju se sačuvati, a arhiviranje ili brisanje ne smije se provesti dok se ne provjere ovisnosti o obustavi brisanja zbog revizije, pravnom zadržavanju podataka, istrazi incidenta ili korektivnoj radnji. Metrike, postupanje s iznimkama, provedba i zahtjevi za godišnji pregled osiguravaju da dokumentirane informacije ostanu ažurne, dohvatljive, zaštićene i usklađene s potrebama usklađenosti PIMS-a.