Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika

Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika apibrėžia, kaip organizacija valdo išorės šalis, kurios tvarko, pasiekia, gauna, saugo, perduoda, palaiko ar kitaip tvarko PII privatumo informacijos valdymo sistemos taikymo srityje. Ji taikoma, kai organizacija veikia kaip PII duomenų valdytoja, pasitelkianti duomenų tvarkytojus, kaip bendra duomenų valdytoja, kuriai būtinas vaidmenų klasifikavimas, kaip duomenų tvarkytoja, pasitelkianti subtvarkytojus ar subtiekėjus, ir kaip subtvarkytoja, gaunanti kliento nurodymus. Politika taip pat apima santykius su trečiosiomis šalimis, kuriems reikalingas privatumo deramas patikrinimas, sutarčių kontrolės priemonės, dokumentuoti nurodymai, subtvarkytojų patvirtinimas, stebėsena, patikinimas, incidentų sąsaja, perdavimo sąsaja ir grąžinimo, ištrynimo arba pasitraukimo įrodymai. Pagrindinė politikos savybė yra REG08 — Duomenų tvarkytojų, subtvarkytojų ir dalijimosi duomenimis registro — naudojimas kaip pagrindinio įrodymų objekto duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymui. Politikoje reikalaujama, kad privatumo vadovas / PIMS vadovas apibrėžtų minimalius REG08 laukus ir prieš sutarties patvirtinimą arba prieš pradedant PII tvarkymą klasifikuotų privatumo santykius su trečiąja šalimi kaip duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo, subtvarkytojo arba kitus santykius su trečiąja šalimi. Joje taip pat reikalaujama, kad tiekėjo / pirkimų savininkas blokuotų tiekėjų įtraukimą, atnaujinimą ar išplėtimą, kol REG08 bus užpildytas ir susietas su tokiais įrašais kaip REG02, REG04, REG09 ar REG10, kai šie įrodymų objektai inicijuojami. Taip sukuriama dokumentuota sąsaja tarp santykių valdysenos, tvarkymo veiklos apskaitos, rizikos ir DPIA įrašų, tarptautinio perdavimo įrodymų, incidentų įrašų ir korekcinių veiksmų. Politikoje nustatomi išsamūs deramo patikrinimo, rizikos vertinimo ir sutartinės kontrolės reikalavimai. Privatumo deramas patikrinimas turi būti atliktas prieš pasirenkant, atnaujinant arba iš esmės keičiant duomenų tvarkytojo, subtvarkytojo ar trečiosios šalies santykius, kai tvarkoma arba pasiekiama PII. Prieš patvirtinimą informacijos saugumo vadovas turi peržiūrėti saugumo patikinimo įrodymus, o didelės rizikos santykiai su duomenų tvarkytoju arba esminiai privatumo santykių su trečiąja šalimi pakeitimai inicijuoja privatumo rizikos ir pirminį DPIA poreikio vertinimą REG04. Sutarties ir dokumentuotų nurodymų kontrolės priemonės atskiriamos duomenų valdytojo ir duomenų tvarkytojo kontekstuose. Veikdama kaip duomenų valdytoja, organizacija turi užregistruoti rašytinę duomenų tvarkytojo sutartį arba lygiavertį privalomą susitarimą prieš duomenų tvarkytojui tvarkant PII. Organizacijai veikiant kaip duomenų tvarkytojai, klientų sutartys arba dokumentuoti kliento nurodymai turi apibrėžti autorizuotą tvarkymo taikymo sritį prieš tvarkant kliento PII. Politikoje taip pat reikalaujama sutartyse apimti pagalbą, saugumo patikinimą, incidentų sąsają per PII15, grąžinimą arba ištrynimą per PII10, perdavimo sąsają per PII13 ir bendradarbiavimą audito ar patikinimo srityje. Subtvarkytojų ir subtiekėjų valdysena reglamentuojama konkrečiais patvirtinimo, pranešimo, toliau perduodamų prievolių ir stebėsenos reikalavimais. Tiekėjo / pirkimų savininkas turi REG08 palaikyti subtvarkytojų ir subtiekėjų sąrašą, prieš pasitelkimą patikrinti kliento leidimą, pagal taikomą susitarimą pranešti klientams apie numatomus naujus ar pakeičiančius subtvarkytojus ir užtikrinti toliau perduodamas privatumo, saugumo, pagalbos, grąžinimo, ištrynimo, incidentų sąsajos ir perdavimo sąsajos prievoles prieš bet kuriam subtvarkytojui tvarkant PII. Duomenų valdytojo pusėje subtvarkytojo pakeitimo pranešimai taip pat turi būti sekami, o patvirtinimo, prieštaravimo arba eskalavimo sprendimai turi būti įrašomi REG08 per sutartyje nustatytą prieštaravimo laikotarpį arba per 10 darbo dienų nuo pranešimo gavimo, atsižvelgiant į tai, kuris terminas trumpesnis. Politika užbaigia gyvavimo ciklą nuolatine stebėsena, pagalbos tvarkymu, atskleidimo registravimu, incidentų sąsaja, perdavimo sąsaja, pasitraukimo įrodymais, išimtimis, įgyvendinimu ir peržiūra. Didelės rizikos santykiai su duomenų tvarkytojais ir subtvarkytojais stebimi kas ketvirtį, o kiti aktyvūs PII duomenų tvarkytojų ir subtvarkytojų santykiai stebimi kasmet. Pagalbos prašymai dėl duomenų subjektų teisių, DPIA, saugumo įrodymų, auditų ar klientų patikinimo turi būti koordinuojami per REG08 ir, kai taikoma, susiejami su REG06, REG04 arba REG12. Su tiekėjais susiję privatumo incidentų pranešimai per vieną darbo dieną nukreipiami į REG10 pagal PII15, o grąžinimo, ištrynimo, sunaikinimo ar perėjimo įrodymai turi būti gauti per 30 dienų po nutraukimo, galiojimo pabaigos, kliento nurodymo ar patvirtinto pasitraukimo įvykio, nebent taikomas trumpesnis sutartinis laikotarpis. Išimtys yra terminuotos, reikalauja privatumo poveikio vertinimo ir gali reikalauti aukščiausiosios vadovybės patvirtinimo, kai paveikiamas didelės rizikos tvarkymas, trūkstami sutarties įrodymai, perdavimo sąsajos spragos arba sertifikavimo taikymo sritis.