Politika zaštite privatnosti u fazi projektiranja i prema zadanim postavkama

Politika zaštite privatnosti u fazi projektiranja i prema zadanim postavkama definira kako se zahtjevi privatnosti moraju ugraditi u nove i promijenjene aktivnosti obrade osobnih podataka (PII) unutar opsega PIMS-a. Primjenjuje se na projekte, proizvode, usluge, sustave, aplikacije, integracije, aktivnosti nabave i promjene poslovnih procesa. Politika je izrađena za kontekste voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, uključujući situacije u kojima organizacija projektira, konfigurira, mijenja ili provodi obradu u ime klijenta, voditelja obrade ili uzvodnog izvršitelja obrade prema dokumentiranim uputama. Njezina je temeljna svrha osigurati da se zahtjevi privatnosti utvrde, implementiraju i dokumentiraju dokazima prije početka obrade osobnih podataka (PII) ili njezine značajne promjene. Politika stavlja poseban naglasak na svrhu, nužnost, minimizaciju i zadane postavke koje štite privatnost. Vlasnici procesa i vlasnici poslovanja moraju dokumentirati minimalne kategorije osobnih podataka (PII), kategorije ispitanika, izvore i svrhe u REG02 i REG04 prije odobrenja projektiranja prikupljanja ili uvoza. Vlasnici sustava i vlasnici aplikacija moraju konfigurirati zadane postavke obrade na minimalno prikupljanje i obradu osobnih podataka (PII) potrebnih za dokumentiranu svrhu te moraju evidentirati dokaze u REG04 prije puštanja u produkcijski rad. Neobvezna polja osobnih podataka (PII), neobvezni izbori obrade, postavke isključene prema zadanim postavkama, postavke izloženosti za prikaze i izvješća te postupanje s privremenim datotekama, predmemorijama, zapisima dnevnika ili zapisima u pripremnom okruženju tretiraju se kao obveze privatnosti u fazi projektiranja, a ne kao naknadne operativne korekcije. Povezanost rizika za privatnost i provjere potrebe za DPIA-om ugrađena je u proces projektiranja bez zamjene zasebne metodologije definirane u PII07. Voditelj privatnosti / Voditelj PIMS-a mora potvrditi da su rizik za privatnost i provjera potrebe za DPIA-om evidentirani u REG04 prije odobrenja projektiranja za novu ili značajno promijenjenu obradu osobnih podataka (PII). Radnje obrade rizika u vezi s ugrađenom zaštitom privatnosti, vlasnici i krajnji rokovi moraju se evidentirati prije zatvaranja pregleda, a dokazi o implementaciji moraju se prikupiti prije puštanja u produkcijski rad. Za visokorizičnu ili značajno promijenjenu obradu u svojstvu voditelja obrade politika također zahtijeva postimplementacijsku provjeru ugrađene zaštite privatnosti u REG04 u roku od 30 kalendarskih dana nakon puštanja u produkcijski rad. Kada pitanja projektiranja nedostaju, nisu učinkovita, kasne ili se zaobilaze, u REG12 se otvara korektivna radnja. Politika također proširuje zaštitu privatnosti u fazi projektiranja na nabavu i odnose s trećim stranama. Vlasnici dobavljača i vlasnici nabave moraju evidentirati zahtjeve za zaštitu privatnosti u fazi projektiranja za dobavljače, izvršitelje obrade, podizvršitelje obrade, SaaS usluge, platforme ili sustave hostirane izvana u REG08 prije odobrenja nabave. Nužnost obrade osobnih podataka (PII) od strane treće strane, svrha i minimalne kategorije osobnih podataka (PII) moraju se dokumentirati prije vanjske obrade, dijeljenja podataka ili odobrenja nabave. Podrška dobavljača za postavke privatnosti prema zadanim postavkama, minimizaciju i potrebe konfiguracije klijenta mora se evidentirati prije uvođenja dobavljača, dok se neriješene praznine dobavljača u pogledu ugrađene zaštite privatnosti eskaliraju u REG12 u roku od pet radnih dana i prije potpisivanja ugovora. Upravljanje, praćenje, provedba i održavanje definirani su kroz ponavljajuće dokaze i cikluse pregleda. Voditelj privatnosti / Voditelj PIMS-a podnosi tromjesečne sažetke statusa ugrađene zaštite privatnosti u REG12, izračunava metrike dovršenosti i zakašnjelih radnji te prije interne revizije provjerava da dokazi o projektiranju ostaju konsolidirani u REG02, REG04, REG08 i REG12. Najviše rukovodstvo tijekom preispitivanja od strane uprave pregledava iznimke visokog utjecaja, blokirane odluke o puštanju u produkcijski rad i ponavljajuće nalaze. Odredbe o provedbi zahtijevaju sprječavanje puštanja u produkcijski rad kada pregled REG04 nije dovršen, sprječavanje uvođenja dobavljača kada dokazi u REG08 nisu dostupni te obustavu nove ili promijenjene obrade osobnih podataka (PII) dok se ne dovrše pregled REG04, ažuriranja REG02 i potrebne iznimke u REG12.