Politica di gestione delle informazioni documentate e delle evidenze del PIMS

La Politica di gestione delle informazioni documentate e delle evidenze del PIMS definisce requisiti obbligatori per controllare l'intero ciclo di vita delle informazioni documentate del Sistema di gestione delle informazioni sulla privacy. Il suo ambito di applicazione copre creazione, approvazione, versioning, protezione, conservazione, recupero, traduzione, ritiro ed evidenziazione delle registrazioni del PIMS. La politica si applica a politiche PIMS, registri, approvazioni documentate, registrazioni delle evidenze, evidenze dell'audit, registrazioni dei riesami della direzione, evidenze delle azioni correttive e traduzioni controllate utilizzate per dimostrare la conformità del PIMS. È redatta per i contesti di titolare del trattamento, contitolare del trattamento, responsabile del trattamento e sub-responsabile, e risulta quindi applicabile ai diversi ruoli che un'organizzazione può ricoprire nel trattamento di dati personali. Un elemento centrale della politica è l'utilizzo degli elementi di evidenza PIMS canonici da REG01 a REG12, anziché la creazione di un registro separato per il controllo documentale. La politica stabilisce che le evidenze del controllo delle informazioni documentate siano mantenute tramite tali elementi di evidenza, con REG03 e REG12 utilizzati in modo specifico per l'applicabilità dei controlli, l'audit, la non conformità, le azioni correttive e le evidenze di miglioramento. Questo approccio mira a evitare una burocrazia documentale non necessaria, preservando al tempo stesso registrazioni pronte per l'audit a supporto della certificazione, dell'assurance verso i clienti e del miglioramento continuo. REG12 è utilizzato in modo esteso per l'indice delle informazioni documentate, i livelli di accesso, le classificazioni di sensibilità, lo stato di approvazione, la cronologia delle versioni, le richieste di recupero, le approvazioni di comunicazione, le categorie di conservazione, lo stato di ritiro, le eccezioni e il tracciamento delle azioni correttive. La politica stabilisce controlli dettagliati per creazione, approvazione, versioning e pubblicazione. Prima di pubblicare informazioni documentate del PIMS, il Responsabile privacy / Responsabile del PIMS deve assegnare in REG12 un identificativo del documento, un proprietario, un numero di versione, uno stato di approvazione, una data di entrata in vigore e una data di riesame. L'alta direzione deve approvare le politiche PIMS principali e le modifiche sostanziali alle politiche prima della pubblicazione, mentre il Responsabile privacy / Responsabile del PIMS approva i modelli di evidenza o le sezioni di registro integrate prima dell'uso operativo. La politica richiede inoltre che la cronologia delle versioni e la motivazione delle modifiche siano registrate prima del rilascio e che la comunicazione delle modifiche approvate sia registrata in REG11 entro 30 giorni dalla pubblicazione. La qualità e la tracciabilità delle evidenze sono trattate come requisiti operativi, non come attività documentali facoltative. Il Responsabile privacy / Responsabile del PIMS deve definire convenzioni di denominazione delle evidenze, riconciliare trimestralmente e prima degli audit esterni i riferimenti ai controlli in REG03 rispetto alle registrazioni delle evidenze delle politiche, e applicare la convenzione approvata per la denominazione delle esportazioni prima che le evidenze siano condivise per audit di certificazione, assurance verso i clienti o risposta regolatoria. I proprietari del processo / titolari dell'attività devono garantire che le evidenze di trattamento includano il proprietario dell'evidenza, la data, il riferimento all'attività di trattamento, lo stato della decisione e lo stato di approvazione prima che siano utilizzate ai fini dell'audit. I revisori di audit interno / conformità devono registrare lacune di completezza, accuratezza o tracciabilità durante gli audit pianificati o i riesami di conformità. La politica definisce inoltre controlli per accesso, protezione, recupero, comunicazione, conservazione, ritiro, archiviazione, smaltimento e controllo delle versioni multilingue. Le restrizioni di accesso al repository devono essere registrate prima della concessione dell'accesso e riesaminate trimestralmente; l'accesso alle evidenze PIMS contenenti dati personali deve essere approvato prima di essere concesso. Le comunicazioni di evidenze ad auditor esterni, clienti, responsabili del trattamento, titolari del trattamento, autorità di controllo o altre parti esterne richiedono l'approvazione e la registrazione dell'ambito della comunicazione. Le versioni obsolete devono essere ritirate entro tempistiche definite, le precedenti versioni approvate delle politiche devono essere conservate e l'archiviazione o la cancellazione non devono avvenire finché non siano state verificate eventuali dipendenze da sospensione per audit, conservazione legale, indagine sugli incidenti o azioni correttive. Metriche, gestione delle eccezioni, applicazione della politica e requisiti di riesame annuale assicurano che le informazioni documentate restino aggiornate, recuperabili, protette e allineate alle esigenze di conformità del PIMS.