Felhőalapú PII-adatfeldolgozói szabályzat

A Felhőalapú PII-adatfeldolgozói szabályzat meghatározza a felhőszolgáltatásokra vonatkozó kötelező adatvédelmi követelményeket, amikor a szervezet PII-adatfeldolgozóként vagy al-adatfeldolgozóként jár el. Hatálya kiterjed a SaaS, PaaS, IaaS, hosztolt alkalmazásokra, menedzselt felhőre, felhőalapú támogatásra, felhőalapú tárolásra, felhőalapú analitikára és felhőinfrastruktúra-szolgáltatásokra, amelyek az ügyfelek nevében PII-t kezelnek. A szabályzat célja, hogy a felhőalapú adatkezelés összhangban maradjon a dokumentált ügyfélmegállapodásokkal, ügyfélutasításokkal, feljebb lévő adatfeldolgozói utasításokkal, al-adatfeldolgozói megállapodásokkal, felhőrégió-konfigurációval, felhőalapú támogatási hozzáféréssel, szolgáltatásadminisztrációval, biztonsági mentéssel, replikációval, naplózással, nyomon követéssel, törléssel, visszaadással, adatsértés támogatásával, audittámogatással és ügyféltámogatási kötelezettségekkel. A szabályzat központi célja a bizonyító anyagokra épülő kontroll. Az ügyfél beléptetése vagy lényeges szolgáltatásváltozás előtt az adatvédelmi vezetőnek / PIMS-vezetőnek rögzítenie kell a REG02-ben és a REG08-ban minden felhőalapú PII-kezelési szolgáltatást, adatkezelési szerepkört, ügyfélutasítás forrását, PII-kategóriát, PII-alanyi kategóriát, szolgáltatási célt, adatkezelési helyszínt, al-adatfeldolgozói függőséget, törlési függőséget és adattovábbítási jelölést. A szabályzat előírja továbbá, hogy a felhőalapú adatfeldolgozói kontrollok alkalmazhatóságát a REG03-ban kell rögzíteni, az adattovábbítási és helyszíni útvonalakat szükség szerint a REG09-ben kell nyilvántartani, a felhőalapú PII-incidenseket a REG10-en keresztül kell kezelni, a nyomon követést, kivételeket, vitákat, ellenőrzési eredményeket és helyesbítő intézkedéseket pedig a REG12-n keresztül kell kezelni. Ez biztosítja, hogy a felhőalapú adatfeldolgozói kötelezettségek integrálódjanak a meglévő PIMS-szabályzatkészletbe, és ne jöjjenek létre külön nyilvántartások szerződésekre, szolgáltatásokra, bérlői elkülönítésre, hozzáférésre, naplókra, törlésre, támogatásra, auditokra, adatsértésekre vagy al-adatfeldolgozókra. A szabályzat gyakorlati követelményeket állapít meg a felhőszolgáltatási életciklus egészére. Előírja a dokumentált ügyfél- vagy feljebb lévő adatfeldolgozói utasításokat az adatkezelés megkezdése előtt, az olyan utasítások felülvizsgálatát, amelyek ellentétesnek tűnnek a kötelezettségekkel vagy a jóváhagyott szolgáltatási hatókörrel, valamint a jóváhagyást minden olyan esetben, amikor az ügyfél PII-jét a dokumentált utasításokon kívül kezelnék. A szabályzat a felhőkonfigurációs és biztonsági bizonyító anyagokra is kitér: előírja a megosztott felelősségi határok, a bérlői elkülönítés ellenőrzése, a szabályozott adminisztrátori hozzáférés, az emelt jogosultságú hozzáférés és a naplózási lefedettség negyedéves felülvizsgálatának, a környezetek szétválasztásának, valamint a biztonsági mentési, replikációs, naplótárolási és támogatási hozzáférési helyszínek rögzítésének követelményeit. Ezek a követelmények szándékosan a meglévő PII-biztonsági kontrollokhoz kapcsolódnak, nem pedig a szélesebb PII-biztonsági és hozzáférés-szabályozási szabályzat helyébe lépnek. Az al-adatfeldolgozói és felhőalapú ellátási lánc irányítása alapvető adatfeldolgozói kötelezettségként jelenik meg. A beszállítói / beszerzési felelősnek használat előtt rögzítenie kell a felhőalapú al-adatfeldolgozókat, infrastruktúra-szolgáltatókat, tárhelyszolgáltatókat, menedzselt szolgáltatókat, támogatási szolgáltatókat és más lényeges felhőszolgáltatási függőségeket. A szabályzat előírja az ügyfélengedély vagy dokumentált engedélyezési alap bizonyító anyagát, az adatvédelemre, biztonságra, segítségnyújtásra, incidensekre, visszaadásra, törlésre, audittámogatásra és adattovábbításokra vonatkozó továbbadott követelményeket, valamint a szolgáltatási helyszínek, távoli támogatási helyszínek, tárhelyrégiók és további adattovábbítási útvonalak nyilvántartását. Előírja továbbá az ügyfelek értesítését a tervezett felhőalapú al-adatfeldolgozói változásokról a szerződésben előírt értesítési időszakon belül, valamint az aktív felhőalapú al-adatfeldolgozói és felhőfüggőségi nyilvántartások legalább éves felülvizsgálatát. A szabályzat lefedi az ügyféltámogatást, az audittámogatást, az adatsértési kapcsolódási pontot, a törlést és a kilépést is. A joggyakorlási kérelmekkel, törléssel, helyesbítéssel, korlátozással, hozzáféréssel, audittal, DPIA-támogatással és adatsértés-támogatással kapcsolatos ügyféltámogatási kötelezettségeket a szerződéskötés vagy a szolgáltatás aktiválása előtt rögzíteni kell. Az ügyfél által kért joggyakorlási támogatást az ügyféllel megállapodott határidőn belül kell teljesíteni, az adatvédelmi szempontból jelentős DPIA- vagy értékelési támogatási kérelmeket tíz munkanapon belül felül kell vizsgálni, a késedelmes vagy vitatott támogatási kérelmeket pedig nyomon kell követni. Kilépés esetén a szabályzat előírja az exportálási, visszaadási, adattovábbítási vagy törlési képesség bizonyító anyagát a beléptetés vagy lényeges szolgáltatásváltozás előtt, a teljesítést az ügyféllel megállapodott határidőkön belül, az éles rendszerek, biztonsági mentések, replikák, naplók, ideiglenes fájlok, előéles környezetek és támogatási másolatok bevonását, valamint a meg nem felelések kezelését, ha a kötelezettségek nem teljesíthetők időben. Az irányítást negyedéves bizonyítóanyag-teljességi felülvizsgálatok, éves szabályzat- és al-adatfeldolgozói felülvizsgálatok, auditmintavétel, mutatók, betartatási intézkedések, valamint a lényeges kivételek és módosítások felső vezetés általi jóváhagyása erősíti meg.