Politika procjene rizika za privatnost i DPIA-e

Politika procjene rizika za privatnost i DPIA-e definira kako organizacija identificira, procjenjuje, obrađuje, odobrava, pregledava i dokazuje rizike za privatnost unutar opsega PIMS-a. Njezina je svrha osigurati da se rizici za privatnost i obveze povezane s DPIA-om obrade prije nego što obrada osobnih podataka (PII) stvori neprihvatljiv rizik za ispitanike ili za PIMS. Politika se primjenjuje na nove i značajno izmijenjene aktivnosti obrade osobnih podataka u kontekstu voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade. Obuhvaća i sustave, aplikacije, usluge, poslovne procese, dobavljače, izvršitelje obrade, podizvršitelje obrade, međunarodne prijenose i aranžmane dijeljenja podataka koji utječu na obradu osobnih podataka. Središnja značajka politike jest operativni model temeljen na REG04. Provjera rizika za privatnost, provjera potrebe za DPIA-om, procjena rizika, planovi obrade rizika, prihvaćanje preostalog rizika, odluke o savjetovanju, odobrenja i status pregleda dokumentiraju se u REG04, uz prateće dokaze povezane s REG02, REG03, REG08, REG09, REG10, REG11 i REG12. Politika izričito izbjegava uspostavu zasebnih registara za DPIA-u, rizik ili savjetovanje izvan REG04. Time se pomaže očuvati jedinstven revizijski trag dokaza za ishode provjere, odluke o cjelovitoj DPIA-i, ocjene rizika, vlasnike obrade rizika, krajnje rokove, preostali rizik, status odobrenja i datume pregleda. Politika utvrđuje obvezne okidače za provjeru rizika za privatnost i određivanje potrebe za cjelovitom DPIA-om. Vlasnici procesa / vlasnici poslovanja moraju pokrenuti provjeru u REG04 prije početka nove ili značajno izmijenjene obrade evidentirane u REG02. Obrada koju provodi voditelj obrade i koja će vjerojatno dovesti do visokog rizika zahtijeva cjelovitu DPIA-u prije početka obrade. Politika posebno navodi aktivnosti obrade koje uključuju aktivnosti velikog opsega, sustavno praćenje, profiliranje, automatizirane odluke, posebne kategorije osobnih podataka, podatke o kaznenim osudama ili kažnjivim djelima, ranjive ispitanike, inovativnu tehnologiju i značajnu promjenu obrade kao pitanja koja se moraju uputiti voditelju privatnosti / voditelju PIMS-a prije početka obrade. Također zahtijeva ponovnu provjeru prije uporabe osobnih podataka za novu svrhu, dodavanja novog primatelja, uvođenja novog izvršitelja obrade ili podizvršitelja obrade, promjene arhitekture sustava ili početka novog međunarodnog prijenosa. Obrada rizika i eskalacija također su jasno definirane. Kada rizik za privatnost premašuje odobreni prag prihvaćanja, vlasnik procesa / vlasnik poslovanja mora evidentirati plan obrade rizika u REG04 prije nastavka obrade. Radnje povezane sa sigurnošću, dizajnom sustava, dobavljačima, ugovorima i osiguranjem dodjeljuju se odgovarajućoj ulozi i moraju se provesti prije puštanja u produkcijski rad, uvođenja dobavljača, obnove ili odobrenog krajnjeg roka. Visok preostali rizik za privatnost kod obrade koju provodi voditelj obrade zahtijeva odobrenje najvišeg rukovodstva prije početka ili nastavka obrade. Kada visok preostali rizik ostane nakon obrade rizika, voditelj privatnosti / voditelj PIMS-a evidentira odluku o prethodnom savjetovanju u REG04, a najviše rukovodstvo odobrava nastavak, obustavu, redizajn ili savjetodavne radnje prije nastavka obrade. Zahtjevi upravljanja, praćenja i provedbe osiguravaju da proces ostane aktivan nakon početnog odobrenja. Voditelj privatnosti / voditelj PIMS-a mjesečno pregledava otvorene rizike za privatnost i zakašnjele radnje obrade rizika, tromjesečno i prije preispitivanja od strane uprave izvješćuje o statusu rizika za privatnost i DPIA-a te usklađuje aktivne zapise o riziku iz REG04 sa zapisima popisa aktivnosti obrade iz REG02. Politika definira metrike za obuhvat provjere, aktivne cjelovite DPIA-e, zakašnjele preglede, visoke preostale rizike, status radnji obrade rizika, prosječno vrijeme zatvaranja, radnje dobavljača, sigurnosne radnje obrade rizika, ponovnu procjenu potaknutu incidentom i nalaze revizije. Iznimke se moraju zatražiti prije odstupanja, procijeniti s obzirom na utjecaj na privatnost, pravne zahtjeve, certifikaciju, operacije i ispitanike te im se mora dodijeliti datum isteka koji ne prelazi 90 dana. Nedostajući, netočni, nepotpuni, zakašnjeli ili neodobreni dokazi REG04 smatraju se nesukladnošću u REG12.