Tarptautinio asmens duomenų perdavimo politika

Tarptautinio asmens duomenų perdavimo politika nustato reikalavimus asmens duomenų tarptautiniams perdavimams identifikuoti, patvirtinti, registruoti, peržiūrėti, riboti ir sustabdyti. Ji taikoma duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo veikloms, kai asmens duomenys padaromi prieinami, pasiekiami iš kitos vietos, saugomi, talpinami, atskleidžiami arba kitaip perduodami už patvirtintos tvarkymo ribos, užregistruotos REG02 arba REG09. Taikymo sritis apima vidaus susijusias įmones, išorinius gavėjus, duomenų tvarkytojus, subtvarkytojus, paslaugų teikėjus, techninės pagalbos prieigą, prieglobos vietas, nuotolinį administravimą, tolesnius perdavimus, užsienio valdžios institucijų prašymus atskleisti duomenis ir su perdavimu susijusius paslaugų pakeitimus. Pagrindinis politikos elementas yra įrodymais grindžiamas požiūris. Politikoje nustatyta, kad tarptautiniai perdavimai turi būti identifikuojami prieš pradedant arba keičiant tvarkymą ir kad patvirtinti perdavimo įrašai turi būti tvarkomi REG09. REG09 yra pagrindinis perdavimo įrodymų objektas, o REG02, REG08 ir REG12 pateikia pagrindžiančius įrodymus apie tvarkymo veiklas, tiekėjų ir duomenų tvarkytojų santykius, išimtis, neatitiktis, korekcinius veiksmus ir vadovybės peržiūrą. Privalomi REG09 laukai apima perdavimo paskirties vietą, gavėją, PIMS vaidmenį, perdavimo priemonę, pagrindžiančius įrodymus, peržiūros datą ir savininką. Šia struktūra siekiama padėti organizacijai įrodyti atskaitingą perdavimo valdyseną nekuriant pasikartojančių duomenų perdavimo poveikio vertinimo arba standartinių sutarčių sąlygų (SCC) registrų. Politika apibrėžia perdavimo priemonės parinkimo, patvirtinimo ir rizikos peržiūros kontrolės priemones. Duomenų valdytojo perdavimų atveju privatumo vadovas / PIMS vadovas prieš prasidedant perdavimui REG09 užregistruoja patvirtintą perdavimo priemonę ir pagrindžiančius įrodymus. Duomenų apsaugos pareigūnas (DAP) / privatumo konsultantas peržiūri perdavimo priemonės įrodymus prieš patvirtinant naujus, iš esmės pakeistus arba didesnės rizikos tarptautinius asmens duomenų perdavimus ir, kai yra inicijavimo pagrindas, atlieka perdavimo rizikos peržiūrą. Kai remiamasi techninėmis apsaugos priemonėmis, informacijos saugumo vadovas REG09 arba REG12 užregistruoja techninių apsaugos priemonių priklausomybės būseną. Jei liekamoji perdavimo rizika yra didelė, aukščiausioji vadovybė turi REG12 patvirtinti tolesnę perdavimo operaciją prieš priimant šią riziką. Taip pat reglamentuojama duomenų tvarkytojų, subtvarkytojų ir tolesnio perdavimo valdysena. Tiekėjų / pirkimų savininkas turi gauti dokumentuotą kliento leidimą arba nurodymą REG08 ir REG09 prieš inicijuodamas duomenų tvarkytojo tarptautinius asmens duomenų perdavimus, užregistruoti subtvarkytojo autorizavimą ir toliau perduodamas perdavimo sąlygas bei neleisti duomenų tvarkytojo ar subtvarkytojo tolesnio perdavimo, kol nėra užregistruotas kliento leidimas. Politika taip pat reikalauja prieš patvirtinimą užregistruoti tolesnio perdavimo maršrutus, gavėjų kategorijas, apribojimus ir prievoles. Užsienio valdžios institucijų prašymai atskleisti duomenis, kai įmanoma, turi būti užregistruoti REG09 arba REG12 prieš atskleidimą, o kai išankstinis registravimas neįmanomas – per vieną darbo dieną; privatumo požiūriu reikšmingi prašymai, kai įmanoma, turi būti peržiūrėti privatumo konsultanto. Nuolatinė valdysena vykdoma pagal apibrėžtus peržiūros, matavimo, išimčių ir politikos laikymosi reikalavimus. Aktyvūs perdavimo įrašai peržiūrimi bent kartą per metus ir per 30 dienų nuo esminio perdavimo pakeitimo, o privatumo vadovas / PIMS vadovas bent kartą per ketvirtį peržiūri vėluojančias perdavimo peržiūras, neišsamius įrašus, sustabdytus perdavimus ir atviras perdavimo išimtis. Rodikliai apima aktyvių REG09 įrašų, turinčių išsamius perdavimo priemonės įrodymus, procentinę dalį, vėluojančias perdavimo peržiūras, sustabdytus arba atidėtus perdavimus, vėluojančius duomenų tvarkytojo arba trečiosios šalies įrodymus ir REG02 tvarkymo veiklas, nesuderintas su galimais tarptautinio perdavimo indikatoriais. Išimtys turi būti užregistruotos REG12 prieš tapdamos aktyvios, joms turi būti priskirti savininkas, galiojimo pabaigos data, kompensuojanti kontrolės priemonė ir peržiūros dažnis, o iki uždarymo jos turi būti peržiūrimos bent kartą per mėnesį. Neatitiktys turi būti registruojamos, kai nustatomi neužregistruoti perdavimai, nepagrįstos priemonės, trūkstamas autorizavimas, vėluojančios peržiūros, trūkstami tolesnio perdavimo įrodymai arba neautorizuotas tęstinumas.