Privātuma risku izvērtēšanas un datu aizsardzības ietekmes novērtējuma (DPIA) politika

Privātuma risku izvērtēšanas un DPIA politika nosaka, kā organizācija identificē, novērtē, apstrādā, apstiprina, pārskata un pierāda privātuma riskus PIMS darbības jomā. Tās mērķis ir nodrošināt, ka privātuma riski un DPIA pienākumi tiek risināti pirms personas datu apstrāde rada nepieņemamu risku datu subjektiem vai PIMS. Politika attiecas uz jaunām un būtiski mainītām personas datu apstrādes darbībām pārziņa, kopīga pārziņa, apstrādātāja un apakšapstrādātāja kontekstos. Tā aptver arī sistēmas, lietojumprogrammas, pakalpojumus, biznesa procesus, piegādātājus, apstrādātājus, apakšapstrādātājus, starptautiskas nosūtīšanas un datu koplietošanas kārtību, kas ietekmē personas datu apstrādi. Politikas centrālais elements ir uz REG04 balstīts darbības modelis. Privātuma riska sākotnējā izvērtēšana, DPIA sākotnējā izvērtēšana, risku izvērtēšana, riska apstrādes plāni, atlikušā riska pieņemšana, konsultāciju lēmumi, apstiprinājumi un pārskatīšanas statuss tiek dokumentēti REG04, sasaistot atbalsta pierādījumus ar REG02, REG03, REG08, REG09, REG10, REG11 un REG12. Politika nepārprotami izvairās no atsevišķu DPIA, risku vai konsultāciju reģistru izveides ārpus REG04. Tas palīdz saglabāt vienotu pierādījumu pēdu sākotnējās izvērtēšanas rezultātiem, pilna DPIA lēmumiem, riska vērtējumiem, riska apstrādes īpašniekiem, noteiktajiem termiņiem, atlikušajam riskam, apstiprinājuma statusam un pārskatīšanas datumiem. Politika nosaka obligātus trigerus privātuma riska sākotnējai izvērtēšanai un pilna DPIA noteikšanai. Procesu īpašniekiem / uzņēmuma īpašniekiem jāuzsāk REG04 sākotnējā izvērtēšana pirms tiek sākta jauna vai būtiski mainīta apstrāde, kas reģistrēta REG02. Pārziņa apstrādei, kas, visticamāk, radīs augstu risku, pirms apstrādes sākšanas nepieciešams pilns DPIA. Politika nosaka, ka apstrāde, kas ietver liela mēroga darbību, sistemātisku uzraudzību, profilēšanu, automatizētus lēmumus, īpašu kategoriju personas datus, datus par sodāmību vai pārkāpumiem, ievainojamus datu subjektus, inovatīvu tehnoloģiju un būtiskas izmaiņas apstrādē, pirms apstrādes sākšanas jānodod Privātuma vadītājam / PIMS vadītājam. Tā prasa arī atkārtotu sākotnējo izvērtēšanu pirms personas datu izmantošanas jaunam nolūkam, jauna saņēmēja pievienošanas, jauna apstrādātāja vai apakšapstrādātāja ieviešanas, sistēmas arhitektūras maiņas vai jaunas starptautiskas nosūtīšanas uzsākšanas. Riska apstrāde un eskalācija arī ir skaidri noteiktas. Ja privātuma risks pārsniedz apstiprināto pieņemšanas slieksni, Procesa īpašniekam / uzņēmuma īpašniekam pirms apstrādes turpināšanas jāreģistrē riska apstrādes plāns REG04. Drošības, sistēmas dizaina, piegādātāju, līgumiskās un apliecinājuma darbības tiek piešķirtas attiecīgajai lomai, un tās jāievieš pirms nodošanas ražošanas vidē, ievadīšanas, atjaunošanas vai apstiprinātā noteiktā termiņa. Augsts atlikušais privātuma risks pārziņa apstrādei prasa Augstākās vadības apstiprinājumu pirms apstrādes sākšanas vai turpināšanas. Ja pēc riska apstrādes saglabājas augsts atlikušais risks, Privātuma vadītājs / PIMS vadītājs reģistrē iepriekšējas konsultācijas lēmumu REG04, un Augstākā vadība apstiprina turpināšanu, apturēšanu, pārprojektēšanu vai konsultāciju darbības pirms apstrādes turpināšanas. Pārvaldības, uzraudzības un politikas ievērošanas prasības nodrošina, ka process paliek aktīvs arī pēc sākotnējā apstiprinājuma. Privātuma vadītājs / PIMS vadītājs katru mēnesi pārskata atvērtos privātuma riskus un kavētās riska apstrādes darbības, reizi ceturksnī un pirms vadības pārskatīšanas ziņo par privātuma riska un DPIA statusu, kā arī salīdzina aktīvos REG04 riska ierakstus ar REG02 apstrādes uzskaites ierakstiem. Politika nosaka metriku sākotnējās izvērtēšanas pārklājumam, aktīvajiem pilnajiem DPIA, kavētajām pārskatīšanām, augstiem atlikušajiem riskiem, riska apstrādes darbību statusam, vidējam slēgšanas laikam, piegādātāju darbībām, drošības riska apstrādes darbībām, incidentu ierosinātai atkārtotai izvērtēšanai un audita konstatējumiem. Izņēmumi jāpieprasa pirms atkāpes, jāizvērtē pēc ietekmes uz privātumu, juridiskajiem aspektiem, sertifikāciju, darbību un datu subjektiem, un tiem jānosaka beigu datums, kas nepārsniedz 90 dienas. Trūkstoši, neprecīzi, nepilnīgi, kavēti vai neapstiprināti REG04 pierādījumi tiek uzskatīti par neatbilstību REG12.