Politika osposobljavanja, podizanja svijesti i kompetentnosti u području privatnosti

Politika osposobljavanja, podizanja svijesti i kompetentnosti u području privatnosti definira kako organizacija upravlja osposobljavanjem o privatnosti unutar svojeg sustava za upravljanje informacijama o privatnosti (PIMS). Njezina je svrha osigurati da osobe čiji rad utječe na obradu osobnih podataka (PII) razumiju svoje odgovornosti, završavaju osposobljavanje prema definiranoj učestalosti, održavaju kompetentnost relevantnu za ulogu i stvaraju revizijski provjerljive dokaze o osposobljavanju, podizanju svijesti i eskalaciji. Politika se primjenjuje u kontekstima voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, zbog čega je relevantna za organizacije koje izravno postupaju s osobnim podacima (PII), kao i za one koje djeluju prema uputama klijenta ili kroz aranžmane obrade s trećim stranama. Opseg je namjerno širok i operativan. Primjenjuje se na osoblje, izvođače, privremeno osoblje, relevantne treće strane, izvršitelje obrade, podizvršitelje obrade i druge zainteresirane strane čiji rad može utjecati na obradu osobnih podataka (PII), prava ispitanika, rizik za privatnost, informacijsku sigurnost povezanu s osobnim podacima (PII), upute izvršitelja obrade, incidente u vezi s privatnošću, dokumentirane informacije ili dokaze usklađenosti. Politika obuhvaća utvrđivanje ciljnih skupina obuke u području privatnosti, osposobljavanje pri uvođenju u posao, godišnju obnovnu obuku, osposobljavanje temeljeno na ulogama i osposobljavanje potaknuto događajem, dokaze o završetku osposobljavanja, eskalaciju nezavršenog osposobljavanja, pregled učinkovitosti osposobljavanja te dokaze o provedbi obuke za izvršitelje obrade, podizvršitelje obrade i treće strane. Središnje obilježje politike jest njezin model dokaza. Politika navodi da se ne izrađuje zasebna matrica osposobljavanja, nadzorna ploča, registar kompetentnosti, registar stegovnih radnji ili registar osposobljavanja klijenata. Umjesto toga, dodjele osposobljavanja, završeci, podsjetnici, dokazi o kompetentnosti i dokazi o podizanju svijesti evidentiraju se u REG11. Iznimke, eskalacije, nesukladnosti, korektivne radnje i dokazi o pregledu evidentiraju se u REG12. Dokazi o provedbi obuke za izvršitelje obrade, podizvršitelje obrade i treće strane evidentiraju se u REG08 gdje je relevantno, dok se ulazni podaci iz naučenih lekcija nakon incidenta mogu povezati kroz REG10. Takav pristup pomaže održati sljedivost osposobljavanja u području privatnosti bez dupliciranja registara ili stvaranja nepotrebnog administrativnog opterećenja. Politika uspostavlja posebne učestalosti i okidače osposobljavanja. Osnovna obuka o podizanju svijesti o privatnosti mora se dodijeliti u roku od 10 radnih dana od uvođenja u posao za osoblje s pristupom osobnim podacima (PII) ili odgovornostima u PIMS-u, a osoblje mora završiti osposobljavanje o privatnosti pri uvođenju u posao prije odobrenja nenadziranog pristupa osobnim podacima (PII) ili u roku od 30 dana od uvođenja u posao, ovisno o tome što nastupi ranije. Godišnja obnovna obuka o privatnosti mora se dodijeliti najmanje jednom svakih 12 mjeseci. Ciljana obnovna obuka zahtijeva se u roku od 30 dana nakon značajne promjene politike privatnosti, značajne promjene procesa PIMS-a, nalaza revizije, ponavljajućeg neuspjeha osposobljavanja ili relevantne naučene lekcije iz incidenta u vezi s osobnim podacima (PII). Osposobljavanje temeljeno na ulogama također se zahtijeva prije nego što osoblje preuzme odgovornosti koje uključuju pravnu osnovu, obavijesti, privole, prava ispitanika, DPIA-e, zadržavanje, dijeljenje, međunarodne prijenose, pristup s povišenim ovlastima, sigurnosnu administraciju, zapisivanje događaja, praćenje ili podršku u vezi s incidentima. Upravljanje i provedba ugrađeni su u politiku kroz definirane odgovornosti, praćenje i eskalaciju. Voditelj privatnosti / voditelj PIMS-a održava sadržaj osposobljavanja, dodjele, dokaze o završetku, potvrde upoznatosti i dokaze o učinkovitosti. Vlasnici procesa podupiru završetak osposobljavanja za osoblje pod svojom odgovornošću, vlasnici sustava provjeravaju osposobljenost prije odobravanja privilegiranog pristupa ili pristupa sustavima s visokim utjecajem na osobne podatke (PII), a vlasnici dobavljača / nabave održavaju dokaze o osposobljavanju ili ekvivalentne dokaze o osiguranju za dobavljače, izvršitelje obrade, podizvršitelje obrade i članove vanjske radne snage. Politika zahtijeva tromjesečni pregled završetka osposobljavanja, zakašnjelog osposobljavanja, dodjela temeljenih na ulogama i iznimaka, uz izvješćivanje o neriješenim prazninama u dokazima prije preispitivanja od strane uprave. Pregledavatelji iz unutarnje revizije / funkcije praćenja usklađenosti uzorkuju dokaze REG11 i REG12 prema odobrenom planu revizije, čime se podupiru kontinuirano poboljšanje i odgovornost spremna za certifikaciju.