Privatumo rizikos vertinimo ir DPIA politika

Privatumo rizikos vertinimo ir DPIA politika apibrėžia, kaip organizacija identifikuoja, vertina, tvarko, tvirtina, peržiūri ir dokumentuoja privatumo rizikas PIMS taikymo srityje. Jos tikslas – užtikrinti, kad privatumo rizikos ir DPIA įpareigojimai būtų įvertinti prieš tai, kai AII tvarkymas sukuria nepriimtiną riziką duomenų subjektams arba PIMS. Politika taikoma naujoms ir iš esmės pakeistoms AII tvarkymo veikloms duomenų valdytojo, bendrojo duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstuose. Ji taip pat apima sistemas, taikomąsias programas, paslaugas, verslo procesus, tiekėjus, duomenų tvarkytojus, subtvarkytojus, tarptautinius perdavimus ir duomenų bendrinimo susitarimus, kurie daro poveikį AII tvarkymui. Centrinė politikos dalis yra REG04 grindžiamas veiklos modelis. Pirminis privatumo rizikos vertinimas, pirminis DPIA poreikio vertinimas, rizikos vertinimas, rizikos tvarkymo planai, liekamosios rizikos priėmimas, sprendimai dėl konsultacijos, patvirtinimai ir peržiūros būsena dokumentuojami REG04, o pagalbiniai įrodymai susiejami su REG02, REG03, REG08, REG09, REG10, REG11 ir REG12. Politika aiškiai vengia atskirų DPIA, rizikos arba konsultacijų registrų kūrimo už REG04 ribų. Tai padeda išlaikyti vieną įrodymų pėdsaką pirminio vertinimo rezultatams, išsamaus DPIA sprendimams, rizikos lygiams, rizikos tvarkymo savininkams, įvykdymo terminams, liekamajai rizikai, patvirtinimo būsenai ir peržiūros datoms. Politikoje nustatomi privalomi pirminio privatumo rizikos vertinimo ir išsamaus DPIA nustatymo paleidikliai. Procesų savininkai / verslo savininkai turi inicijuoti REG04 pirminį vertinimą prieš pradedant naują arba iš esmės pakeistą tvarkymą, įrašytą REG02. Duomenų valdytojo atliekamam tvarkymui, kuris, tikėtina, sukels didelę riziką, prieš pradedant tvarkymą reikalingas išsamus poveikio duomenų apsaugai vertinimas (DPIA). Politikoje nurodoma, kad tvarkymas, susijęs su didelio masto veikla, sistemine stebėsena, profiliavimu, automatizuotais sprendimais, specialiųjų kategorijų AII, duomenimis apie apkaltinamuosius nuosprendžius ar nusikalstamas veikas, pažeidžiamais duomenų subjektais, inovatyviomis technologijomis ir esminiu tvarkymo pakeitimu, turi būti perduotas privatumo vadovui / PIMS vadovui prieš pradedant tvarkymą. Taip pat reikalaujama pakartotinio pirminio vertinimo prieš naudojant AII naujam tikslui, pridedant naują gavėją, įtraukiant naują duomenų tvarkytoją arba subtvarkytoją, keičiant sistemos architektūrą arba pradedant naują tarptautinį perdavimą. Rizikos tvarkymas ir eskalavimas taip pat aiškiai apibrėžti. Kai privatumo rizika viršija patvirtintą priėmimo slenkstį, proceso savininkas / verslo savininkas turi REG04 įrašyti rizikos tvarkymo planą prieš tęsiant tvarkymą. Saugumo, sistemos projektavimo, tiekėjų, sutartiniai ir patikinimo veiksmai priskiriami atitinkamam vaidmeniui ir turi būti įgyvendinti prieš paleidimą gamybinėje aplinkoje, tiekėjų įtraukimą, atnaujinimą arba patvirtintą įvykdymo terminą. Didelė liekamoji privatumo rizika duomenų valdytojo atliekamo tvarkymo atveju reikalauja aukščiausiosios vadovybės patvirtinimo prieš pradedant arba tęsiant tvarkymą. Kai po rizikos tvarkymo išlieka didelė liekamoji rizika, privatumo vadovas / PIMS vadovas įrašo sprendimą dėl išankstinės konsultacijos REG04, o aukščiausioji vadovybė patvirtina tęsimą, sustabdymą, perprojektavimą arba konsultacijos veiksmus prieš tęsiant tvarkymą. Valdysenos, stebėsenos ir politikos taikymo reikalavimai užtikrina, kad procesas išliktų aktyvus po pradinio patvirtinimo. Privatumo vadovas / PIMS vadovas kas mėnesį peržiūri atviras privatumo rizikas ir vėluojančius rizikos tvarkymo veiksmus, kas ketvirtį ir prieš vadovybės peržiūrą teikia ataskaitas apie privatumo rizikų ir DPIA būseną, taip pat sulygina aktyvius REG04 rizikos įrašus su REG02 tvarkymo veiklos apskaitos įrašais. Politika apibrėžia pirminio vertinimo aprėpties, aktyvių išsamių DPIA, vėluojančių peržiūrų, didelių liekamųjų rizikų, rizikos tvarkymo veiksmų būsenos, vidutinio uždarymo laiko, tiekėjų veiksmų, saugumo rizikos tvarkymo veiksmų, incidentų inicijuoto pakartotinio vertinimo ir audito išvadų rodiklius. Išimtys turi būti prašomos prieš nukrypimą, įvertinamos pagal privatumo, teisės, sertifikavimo, operacinį ir duomenų subjektų poveikį, ir joms turi būti nustatyta galiojimo pabaigos data, neviršijanti 90 dienų. Trūkstami, netikslūs, neišsamūs, vėluojantys arba nepatvirtinti REG04 įrodymai laikomi neatitiktimi REG12.