Privatumo pagal projektavimą ir pagal numatytuosius nustatymus politika

Privatumo pagal projektavimą ir pagal numatytuosius nustatymus politika apibrėžia, kaip privatumo reikalavimai turi būti įtvirtinami naujose ir keičiamose AII tvarkymo veiklose PIMS taikymo srityje. Ji taikoma projektams, produktams, paslaugoms, sistemoms, taikomosioms programoms, integracijoms, pirkimų veikloms ir verslo procesų pakeitimams. Politika parengta duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstams, įskaitant situacijas, kai organizacija projektuoja, konfigūruoja, keičia arba vykdo tvarkymą kliento, duomenų valdytojo arba aukštesnės grandies duomenų tvarkytojo vardu pagal dokumentuotus nurodymus. Pagrindinis jos tikslas – užtikrinti, kad privatumo reikalavimai būtų nustatyti, įgyvendinti ir pagrįsti įrodymais prieš pradedant ar iš esmės pakeičiant AII tvarkymą. Politikoje ypatingas dėmesys skiriamas tikslui, būtinumui, minimizavimui ir privatumą apsaugantiems numatytiesiems nustatymams. Procesų savininkai ir Verslo savininkai turi dokumentuoti minimalias AII kategorijas, duomenų subjektų kategorijas, šaltinius ir tikslus REG02 ir REG04 įrašuose prieš patvirtinant rinkimo arba importavimo projektą. Sistemos savininkai ir Taikomųjų programų savininkai turi sukonfigūruoti numatytuosius tvarkymo nustatymus taip, kad būtų renkamas ir tvarkomas tik minimalus AII kiekis, reikalingas dokumentuotam tikslui, ir prieš paleidimą gamybinėje aplinkoje turi įrašyti įrodymus REG04. Neprivalomi AII laukai, neprivalomi tvarkymo pasirinkimai, pagal numatytuosius nustatymus išjungti nustatymai, rodinių ir ataskaitų pasiekiamumo nustatymai, taip pat laikinųjų failų, podėlių, žurnalų arba parengiamosios aplinkos įrašų tvarkymas laikomi projektavimo etapo privatumo įpareigojimais, o ne vėlesnėmis operacinėmis korekcijomis. Privatumo rizikos ir DPIA sąsaja integruojama į projektavimo procesą nepakeičiant atskiros PII07 apibrėžtos metodikos. Privatumo vadovas / PIMS vadovas turi patvirtinti, kad privatumo rizikos vertinimas ir pirminis DPIA poreikio vertinimas yra įrašyti REG04 prieš patvirtinant naujo arba iš esmės pakeisto AII tvarkymo projektą. Privatumo projektavimo rizikos tvarkymo veiksmai, savininkai ir įvykdymo terminai turi būti įrašyti prieš uždarant peržiūrą, o įgyvendinimo įrodymai turi būti užfiksuoti prieš paleidimą gamybinėje aplinkoje. Didelės rizikos arba iš esmės pakeistam duomenų valdytojo atliekamam tvarkymui politika taip pat reikalauja REG04 įraše užfiksuoti privatumo projektavimo patikrą po įgyvendinimo per 30 kalendorinių dienų po paleidimo gamybinėje aplinkoje. Kai projektavimo klausimai yra neužfiksuoti, neveiksmingi, pradelsti arba apeinami, REG12 atidaromas korekcinis veiksmas. Politika taip pat išplečia privatumą pagal projektavimą į pirkimus ir trečiųjų šalių santykius. Tiekėjų ir pirkimų savininkai turi REG08 įrašyti privatumo pagal projektavimą reikalavimus tiekėjams, duomenų tvarkytojams, subtvarkytojams, SaaS paslaugoms, platformoms arba išorėje talpinamoms sistemoms prieš pirkimo patvirtinimą. Trečiųjų šalių vykdomo AII tvarkymo būtinumas, tikslas ir minimalios AII kategorijos turi būti dokumentuoti prieš išorinį tvarkymą, duomenų dalijimąsi arba pirkimo patvirtinimą. Tiekėjo parama privatumo pagal numatytuosius nustatymus parametrams, minimizavimui ir kliento konfigūracijos poreikiams turi būti įrašyta prieš įtraukiant tiekėjus, o neišspręstos tiekėjo privatumo projektavimo spragos eskaluojamos į REG12 per penkias darbo dienas ir prieš sutarties pasirašymą. Valdysena, stebėsena, politikos taikymas ir priežiūra apibrėžiami per pasikartojančius įrodymų ir peržiūros ciklus. Privatumo vadovas / PIMS vadovas REG12 įraše teikia ketvirtines privatumo projektavimo būsenos santraukas, skaičiuoja užbaigimo ir pradelstų veiksmų rodiklius ir prieš vidaus auditą patikrina, ar projektavimo įrodymai išlieka konsoliduoti REG02, REG04, REG08 ir REG12. Aukščiausioji vadovybė vadovybės peržiūros metu peržiūri didelio poveikio išimtis, užblokuotus sprendimus dėl paleidimo gamybinėje aplinkoje ir pasikartojančias išvadas. Politikos taikymo nuostatos reikalauja neleisti paleisti gamybinėje aplinkoje, kai REG04 peržiūra neužbaigta, neleisti įtraukti tiekėjo, kai nėra REG08 įrodymų, ir sustabdyti naują arba pakeistą AII tvarkymą, kol REG04 peržiūra, REG02 atnaujinimai ir būtinos REG12 išimtys bus užbaigti.