Asmenį identifikuojančios informacijos (AII) saugojimo, ištrynimo ir sunaikinimo politika

Asmenį identifikuojančios informacijos (AII) saugojimo, ištrynimo ir sunaikinimo politika nustato organizacijos reikalavimus, kaip apibrėžti, peržiūrėti, vykdyti ir įrodymais pagrįsti asmenį identifikuojančios informacijos (AII) saugojimą, ištrynimą, anonimizavimą, deidentifikavimą, grąžinimą, perdavimą ir sunaikinimą. Pagrindinis jos tikslas – užtikrinti, kad asmenį identifikuojanti informacija (AII) būtų saugoma tik patvirtintais tikslais ir laikotarpiais, ištrinama arba kitaip sutvarkoma, kai jos nebereikia, ir pagrindžiama auditui tinkamais įrodymais. Politika taikoma duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstuose, atsižvelgiant į tai, kad saugojimo ir galutinio sutvarkymo prievolės gali kilti iš patvirtintų tvarkymo tikslų, teisinio pagrindo įrašų, duomenų valdytojo nurodymų, sutartinių reikalavimų, duomenų subjekto ištrynimo rezultatų, paslaugos nutraukimo, duomenų laikmenų sunaikinimo ir PIMS stebėsenos išvadų. Politika yra orientuota į veiklos vykdymą ir reikalauja, kad saugojimo valdysena būtų įtraukta į kanoninius PIMS įrodymų įrašus, o ne palaikoma atskirame ištrynimo registre. Duomenų valdytojo tvarkymo veikloms turi būti priskirta dokumentuota saugojimo taisyklė REG02 prieš pradedant tvarkymą. Bendro duomenų valdytojo atsakomybės registruojamos REG02 ir REG08, o duomenų tvarkytojo ir subtvarkytojo saugojimo, grąžinimo, perdavimo ir ištrynimo nurodymai tvarkomi REG08. Patvirtintose saugojimo taisyklėse turi būti nurodytas saugojimo laikotarpis, pradžios paleidiklis, savininkas, pagrindimas, galutinis sutvarkymas ir kitos peržiūros data. Politika taip pat reikalauja gauti duomenų apsaugos pareigūno (DAP) arba privatumo konsultanto rekomendaciją prieš tvirtinant saugojimo taisykles, susijusias su teisiniu konfliktu, didelės rizikos tvarkymu, specialių kategorijų asmenį identifikuojančia informacija (AII) arba saugojimu ilgiau nei pirminis tvarkymo tikslas. Vykdymo reikalavimai apima visą asmenį identifikuojančios informacijos (AII) gyvavimo ciklą. Sistemos savininkas / taikomosios programos savininkas privalo įvykdyti arba suplanuoti patvirtintą ištrynimą, grąžinimą, perdavimą, anonimizavimą, deidentifikavimą arba sunaikinimą per ištrynimo langą, užregistruotą taikomai saugojimo taisyklei. Politika atskiria aktyvias sistemas, archyvus, atsargines kopijas, replikas, žurnalus, parengiamąsias sritis ir laikinuosius failus, reikalaujant šias saugyklas identifikuoti REG02 prieš paleidimą gamybinėje aplinkoje ir kasmetinės saugojimo peržiūros metu. Ji taip pat reikalauja dokumentuoti atsarginių kopijų saugojimo langus ir ištrynimo tvarkymą atkūrimo metu, o pasibaigusius ištrynimo ar apribojimo veiksmus iš naujo pritaikyti iš atsarginių kopijų atkurtiems duomenims prieš atkurtą aplinką išleidžiant verslo naudojimui. Laikinieji failai ir parengiamosios kopijos, kuriose yra asmenį identifikuojanti informacija (AII), turi būti ištrinti arba sunaikinti per dokumentuotą REG02 laikotarpį po susijusios tvarkymo užduoties pabaigos. Politika taip pat reglamentuoja saugų sunaikinimą, anonimizavimą, deidentifikavimą, išimčių kontrolę ir stebėseną. Duomenų laikmenų, kuriose yra arba gali būti asmenį identifikuojanti informacija (AII), sunaikinimo būdų klasės turi būti informacijos saugumo vadovo patvirtintos REG12 prieš pakartotinį naudojimą, išleidimą, sunaikinimą ar išorinį sunaikinimą. Anonimizavimas arba deidentifikavimas gali būti naudojami kaip saugojimo rizikos mažinimo priemonė arba galutinio sutvarkymo rezultatas, tačiau turi būti dokumentuoti REG02 ir patvirtinti privatumo vadovo / PIMS vadovo prieš identifikuojamą asmenį identifikuojančią informaciją (AII) saugant ilgiau nei jos tikslas arba saugojimo laikotarpis. Patvirtintų saugojimo taisyklių išimtys turi būti pateiktos ir patvirtintos REG12 prieš joms įsigaliojant, o iki uždarymo peržiūrimos kas mėnesį. Tokie rodikliai kaip visi saugojimo metaduomenys, vėluojančios peržiūros, vėluojantys gyvavimo ciklo veiksmai ir vėluojantys galutinio sutvarkymo įrodymai matuojami nustatytais intervalais, o neatitiktys, audito išvados ir korekciniai veiksmai susiejami su REG12, siekiant palaikyti nuolatinį tobulinimą.