Starptautiskas personas datu nosūtīšanas politika

Starptautiskas personas datu nosūtīšanas politika nosaka prasības personas datu starptautisku nosūtīšanu identificēšanai, apstiprināšanai, reģistrēšanai, pārskatīšanai, ierobežošanai un apturēšanai. Tā attiecas uz pārziņa, kopīga pārziņa, apstrādātāja un apakšapstrādātāja darbībām, kurās personas dati tiek padarīti pieejami, tiem piekļūst no ārpuses, tie tiek glabāti, mitināti, izpausti vai citādi nosūtīti ārpus apstiprinātās apstrādes robežas, kas reģistrēta REG02 vai REG09. Piemērošanas joma ietver iekšējos saistītos uzņēmumus, ārējos saņēmējus, apstrādātājus, apakšapstrādātājus, pakalpojumu sniedzējus, atbalsta piekļuvi, mitināšanas vietas, attālinātu administrēšanu, turpmākas nosūtīšanas, publisko iestāžu datu izpaušanas pieprasījumus un ar datu nosūtīšanu saistītas pakalpojumu izmaiņas. Politikas centrālais elements ir uz pierādījumiem balstīta pieeja. Politika nosaka, ka starptautiskas nosūtīšanas jāidentificē pirms apstrādes sākšanas vai izmaiņām un ka apstiprināti datu nosūtīšanas ieraksti jāuztur REG09. REG09 ir galvenais datu nosūtīšanas pierādījumu objekts, savukārt REG02, REG08 un REG12 nodrošina atbalsta pierādījumus apstrādes darbībām, piegādātāju un apstrādātāju attiecībām, izņēmumiem, neatbilstībām, korektīvajām darbībām un vadības pārskatīšanai. Nepieciešamie REG09 lauki ietver datu nosūtīšanas galamērķi, saņēmēju, PIMS lomu, datu nosūtīšanas mehānismu, pamatojošos pierādījumus, pārskatīšanas datumu un īpašnieku. Šī struktūra palīdz organizācijai pierādīt pārskatatbildīgu datu nosūtīšanas pārvaldību, neveidojot dublējošus datu nosūtīšanas ietekmes izvērtēšanas vai SCC reģistrus. Politika nosaka kontroles pasākumus datu nosūtīšanas mehānisma izvēlei, apstiprināšanai un riska pārskatīšanai. Pārziņa datu nosūtīšanām privātuma vadītājs / PIMS vadītājs pirms datu nosūtīšanas sākšanas REG09 reģistrē apstiprināto datu nosūtīšanas mehānismu un pamatojošos pierādījumus. Datu aizsardzības speciālists / privātuma konsultants pirms jaunu, būtiski mainītu vai augstāka riska starptautisku personas datu nosūtīšanu apstiprināšanas pārskata datu nosūtīšanas mehānisma pierādījumus un, ja ir ierosinoši faktori, veic datu nosūtīšanas riska pārskatīšanu. Ja tiek izmantoti tehniskie aizsardzības pasākumi, informācijas drošības vadītājs REG09 vai REG12 reģistrē tehnisko aizsardzības pasākumu atkarības statusu. Ja atlikušais datu nosūtīšanas risks ir augsts, Augstākajai vadībai pirms šāda riska pieņemšanas REG12 jāapstiprina datu nosūtīšanas turpināšana. Tiek regulēta arī apstrādātāju, apakšapstrādātāju un turpmākas nosūtīšanas pārvaldība. Piegādātāju / iepirkuma īpašniekam pirms apstrādātāja starptautisku personas datu nosūtīšanu uzsākšanas jāiegūst dokumentēta klienta autorizācija vai klienta norādījums REG08 un REG09, jāreģistrē apakšapstrādātāja autorizācija un tālāk nododamie datu nosūtīšanas nosacījumi un jānovērš apstrādātāja vai apakšapstrādātāja turpmāka nosūtīšana, kamēr nav reģistrēta klienta autorizācija. Politika arī prasa pirms apstiprināšanas reģistrēt turpmākas nosūtīšanas maršrutus, saņēmēju kategorijas, ierobežojumus un pienākumus. Ārvalstu publisko iestāžu datu izpaušanas pieprasījumi, ja tas praktiski iespējams, pirms izpaušanas jāreģistrē REG09 vai REG12, vai vienas darbdienas laikā, ja iepriekšēja reģistrēšana nav praktiski iespējama; privātumam nozīmīgi pieprasījumi, ja tas praktiski iespējams, jāizskata privātuma konsultantam. Pastāvīgā pārvaldība tiek nodrošināta ar noteiktām pārskatīšanas, mērīšanas, izņēmumu un politikas piemērošanas prasībām. Aktīvie datu nosūtīšanas ieraksti tiek pārskatīti vismaz reizi gadā un 30 dienu laikā pēc būtiskas izmaiņas datu nosūtīšanā, savukārt privātuma vadītājs / PIMS vadītājs vismaz reizi ceturksnī pārskata nokavētas datu nosūtīšanas pārskatīšanas, nepilnīgus ierakstus, apturētas datu nosūtīšanas un atvērtus datu nosūtīšanas izņēmumus. Metrikas ietver aktīvo REG09 ierakstu īpatsvaru ar pilnīgiem datu nosūtīšanas mehānisma pierādījumiem, nokavētas datu nosūtīšanas pārskatīšanas, apturētas vai atliktas datu nosūtīšanas, nokavētus apstrādātāju vai trešo pušu pierādījumus un nesaskaņotas REG02 apstrādes darbības ar iespējamiem starptautiskas nosūtīšanas indikatoriem. Izņēmumi pirms stāšanās spēkā jāreģistrē REG12, tiem jāpiešķir īpašnieks, beigu datums, kompensējošais kontroles pasākums un pārskatīšanas biežums, un tie jāpārskata vismaz reizi mēnesī līdz slēgšanai. Neatbilstības jāreģistrē, ja tiek identificētas nereģistrētas datu nosūtīšanas, nepamatoti mehānismi, trūkstoša autorizācija, nokavētas pārskatīšanas, trūkstoši turpmākas nosūtīšanas pierādījumi vai nesankcionēta turpināšana.