PII-megőrzési, -törlési és -megsemmisítési szabályzat

A PII-megőrzési, -törlési és -megsemmisítési szabályzat meghatározza a szervezet követelményeit a PII megőrzésének, törlésének, anonimizálásának, azonosíthatóságának megszüntetésének, visszaszolgáltatásának, továbbításának és megsemmisítésének meghatározására, felülvizsgálatára, végrehajtására és bizonyítékokkal való alátámasztására. Központi célja annak biztosítása, hogy a PII megőrzése kizárólag jóváhagyott célokból és időtartamokig történjen, a már nem szükséges PII törlésre vagy más módon megsemmisítésre kerüljön, és mindezt auditra való felkészültséget biztosító bizonyítékok támasszák alá. A szabályzat adatkezelői, közös adatkezelői, adatfeldolgozói és al-adatfeldolgozói környezetekben alkalmazandó, figyelembe véve, hogy a megőrzési és végső kezelési móddal kapcsolatos kötelezettségek jóváhagyott adatkezelési célokból, jogalap-nyilvántartásokból, adatkezelői utasításokból, szerződéses követelményekből, PII-alanyok törlési kérelmeinek eredményeiből, szolgáltatásból való kilépésből, tároló adathordozók megsemmisítéséből és PIMS monitorozási megállapításokból is eredhetnek. A szabályzat működési fókuszú, és előírja, hogy a megőrzési irányítás külön törlési nyilvántartás helyett kanonikus PIMS-bizonyítékul szolgáló feljegyzésekbe épüljön be. Az adatkezelői adatkezelési tevékenységekhez az adatkezelés megkezdése előtt dokumentált megőrzési szabályt kell hozzárendelni a REG02-ben. A közös adatkezelői felelősségeket a REG02-ben és a REG08-ban kell rögzíteni, míg az adatfeldolgozói és al-adatfeldolgozói megőrzési, visszaszolgáltatási, továbbítási és törlési utasításokat a REG08-ban kell fenntartani. A jóváhagyott megőrzési szabályoknak tartalmazniuk kell a megőrzési időszakot, a kezdő kiváltó okot, a felelőst, az indokolást, a végső kezelési módot és a következő felülvizsgálati dátumot. A szabályzat azt is előírja, hogy jogi konfliktust, magas kockázatú adatkezelést, különleges kategóriájú PII-t vagy az eredeti adatkezelési célon túli megőrzést érintő megőrzési szabályok jóváhagyása előtt ki kell kérni az adatvédelmi tisztviselő vagy adatvédelmi tanácsadó állásfoglalását. A végrehajtási követelmények a teljes PII-életciklust lefedik. A rendszergazdának / alkalmazástulajdonosnak az alkalmazandó megőrzési szabályhoz rögzített törlési időablakon belül végre kell hajtania vagy ütemeznie kell a jóváhagyott törlést, visszaszolgáltatást, továbbítást, anonimizálást, az azonosíthatóság megszüntetését vagy megsemmisítést. A szabályzat megkülönbözteti az éles rendszereket, archívumokat, biztonsági mentési példányokat, replikákat, naplókat, előéles területeket és ideiglenes fájlokat, és előírja, hogy ezeket a tárolási helyeket a REG02-ben azonosítani kell az éles indulás előtt és az éves megőrzési felülvizsgálat során. Előírja továbbá a biztonsági mentések megőrzési időablakainak és a helyreállításhoz kapcsolódó törlési kezelésnek a dokumentálását, valamint azt, hogy a lejárt törlési vagy korlátozási intézkedéseket a helyreállított biztonsági mentési adatokra ismételten alkalmazni kell, mielőtt a helyreállított környezet üzleti felhasználásra kiadásra kerül. A PII-t tartalmazó ideiglenes fájlokat és előéles példányokat a kapcsolódó adatkezelési feladat befejezését követően a dokumentált REG02 időszakon belül törölni vagy megsemmisíteni kell. A szabályzat a biztonságos megsemmisítést, az anonimizálást, az azonosíthatóság megszüntetését, a kivételkezelést és a monitorozást is szabályozza. A PII-t tartalmazó vagy potenciálisan tartalmazó tároló adathordozók megsemmisítési módszerosztályait az információbiztonsági vezetőnek a REG12-ben kell jóváhagynia az újrafelhasználás, kiadás, fizikai megsemmisítés vagy külső megsemmisítés előtt. Az anonimizálás vagy az azonosíthatóság megszüntetése alkalmazható megőrzési kockázatcsökkentő intézkedésként vagy végső kezelési módként, de azt a REG02-ben dokumentálni kell, és az adatvédelemért felelős vezetőnek / PIMS-vezetőnek jóvá kell hagynia, mielőtt az azonosítható PII-t a célján vagy megőrzési időszakán túl megőrzik. A jóváhagyott megőrzési szabályok alóli kivételeket a hatályba lépés előtt a REG12-ben kell benyújtani és jóváhagyni, majd lezárásig havonta felül kell vizsgálni. A teljes megőrzési metaadatokra, lejárt felülvizsgálatokra, lejárt életciklus-intézkedésekre és a végső kezelési módra vonatkozó bizonyítékokra vonatkozó mutatókat meghatározott időközönként mérni kell, míg a meg nem feleléseket, auditmegállapításokat és helyesbítő intézkedéseket a REG12-höz kell kapcsolni a folyamatos fejlesztés támogatása érdekében.