Politica di gestione della privacy dei responsabili del trattamento, dei sub-responsabili e delle terze parti

La Politica di gestione della privacy dei responsabili del trattamento, dei sub-responsabili e delle terze parti definisce come un’organizzazione governa le parti esterne che trattano, accedono, ricevono, archiviano, trasmettono, supportano o altrimenti gestiscono dati personali nell’ambito di applicazione del Sistema di gestione delle informazioni sulla privacy. Si applica quando l’organizzazione agisce come titolare del trattamento di dati personali utilizzando responsabili del trattamento, come contitolare del trattamento con necessità di classificazione dei ruoli, come responsabile del trattamento che utilizza sub-responsabili o subappaltatori, e come sub-responsabile che riceve le istruzioni del cliente. La politica copre inoltre i rapporti con terze parti che richiedono due diligence privacy, controlli contrattuali, istruzioni documentate, approvazione dei sub-responsabili, monitoraggio, assurance, interfaccia con gli incidenti, collegamento ai trasferimenti, restituzione, cancellazione o evidenze di cessazione. Una caratteristica centrale della politica è l’utilizzo di REG08 — Registro dei responsabili del trattamento, dei sub-responsabili e della condivisione dei dati — come elemento di evidenza principale per la gestione della privacy dei responsabili del trattamento, dei sub-responsabili e delle terze parti. La politica richiede al Responsabile della privacy / Responsabile del PIMS di definire i campi minimi di REG08 e di classificare i rapporti privacy con terze parti come titolare del trattamento, contitolare del trattamento, responsabile del trattamento, sub-responsabile o altro rapporto con terze parti prima dell’approvazione contrattuale o prima dell’inizio del trattamento dei dati personali. Richiede inoltre al Responsabile fornitori / approvvigionamento di bloccare l’onboarding, il rinnovo o l’estensione fino al completamento di REG08 e al collegamento con registrazioni quali REG02, REG04, REG09 o REG10 quando tali elementi di evidenza sono attivati. Ciò crea un collegamento documentato tra governance del rapporto, inventario dei trattamenti, registrazioni del rischio e DPIA, evidenze dei trasferimenti internazionali, registrazioni degli incidenti e azioni correttive. La politica stabilisce requisiti dettagliati per due diligence, valutazione del rischio e controllo contrattuale. La due diligence privacy deve essere completata prima di selezionare, rinnovare o modificare in modo sostanziale un rapporto con un responsabile del trattamento, un sub-responsabile o una terza parte che tratta o accede a dati personali. Le evidenze di assurance di sicurezza devono essere riesaminate dal Responsabile della sicurezza delle informazioni prima dell’approvazione, e i rapporti ad alto rischio con responsabili del trattamento o le modifiche sostanziali in materia di privacy relative a terze parti attivano la valutazione del rischio privacy e lo screening DPIA in REG04. I controlli su contratto e istruzioni documentate sono distinti per i contesti di titolare del trattamento e di responsabile del trattamento. Quando agisce come titolare del trattamento, l’organizzazione deve registrare un contratto scritto con il responsabile del trattamento o un accordo vincolante equivalente prima che un responsabile del trattamento tratti dati personali. Quando agisce come responsabile del trattamento, gli accordi con il cliente o le istruzioni del cliente documentate devono definire l’ambito autorizzato del trattamento prima che i dati personali del cliente siano trattati. La politica richiede inoltre copertura contrattuale per assistenza, assurance di sicurezza, interfaccia con gli incidenti tramite PII15, restituzione o cancellazione tramite PII10, collegamento ai trasferimenti tramite PII13 e cooperazione per audit o assurance. La governance dei sub-responsabili e dei subappaltatori è trattata mediante requisiti specifici di approvazione, informativa, obblighi a cascata e monitoraggio. Il Responsabile fornitori / approvvigionamento deve mantenere in REG08 un elenco di sub-responsabili e subappaltatori, verificare l’autorizzazione del cliente prima dell’incarico, notificare ai clienti i sub-responsabili nuovi o sostitutivi previsti secondo l’accordo applicabile e garantire obblighi a cascata in materia di privacy, sicurezza, assistenza, restituzione, cancellazione, interfaccia con gli incidenti e collegamento ai trasferimenti prima che qualsiasi sub-responsabile tratti dati personali. Anche le informative lato titolare relative a modifiche dei sub-responsabili devono essere tracciate, con decisioni di approvazione, opposizione o escalation registrate in REG08 entro il periodo contrattuale di opposizione o entro 10 giorni lavorativi dal ricevimento dell’informativa, se tale termine è più breve. La politica completa il ciclo di vita con monitoraggio continuativo, gestione dell’assistenza, registrazione delle comunicazioni, collegamento agli incidenti, collegamento ai trasferimenti, evidenze di cessazione, eccezioni, applicazione e riesame. I rapporti ad alto rischio con responsabili del trattamento e sub-responsabili sono monitorati trimestralmente, mentre gli altri rapporti attivi con responsabili del trattamento e sub-responsabili che trattano dati personali sono monitorati annualmente. Le richieste di assistenza relative ai diritti degli interessati, DPIA, evidenze di sicurezza, audit o assurance del cliente devono essere coordinate tramite REG08 e collegate a REG06, REG04 o REG12 ove applicabile. Le notifiche di incidenti privacy connessi ai fornitori sono indirizzate a REG10 ai sensi di PII15 entro un giorno lavorativo, e le evidenze di restituzione, cancellazione, smaltimento o transizione devono essere ottenute entro 30 giorni dalla cessazione, scadenza, istruzione del cliente o evento di uscita approvato, salvo che si applichi un termine contrattuale più breve. Le eccezioni sono limitate nel tempo, richiedono una valutazione d’impatto sulla privacy e possono richiedere l’approvazione dell’alta direzione quando incidono su un trattamento ad alto rischio, evidenze contrattuali mancanti, lacune nel collegamento ai trasferimenti o ambito di certificazione.