Apstrādātāju, apakšapstrādātāju un trešo pušu privātuma pārvaldības politika

Apstrādātāju, apakšapstrādātāju un trešo pušu privātuma pārvaldības politika nosaka, kā organizācija pārvalda ārējās puses, kas privātuma informācijas pārvaldības sistēmas darbības jomā apstrādā, piekļūst, saņem, glabā, pārsūta, atbalsta vai citādi apstrādā PII. Tā piemērojama, kad organizācija darbojas kā PII pārzinis, izmantojot apstrādātājus, kā kopīgs pārzinis, kam nepieciešama lomu klasifikācija, kā apstrādātājs, kas izmanto apakšapstrādātājus vai apakšuzņēmējus, un kā apakšapstrādātājs, kas saņem klienta norādījumus. Politika aptver arī trešo pušu attiecības, kurām nepieciešama privātuma sākotnējā izpēte, līguma kontroles pasākumi, dokumentēti norādījumi, apakšapstrādātāja apstiprināšana, uzraudzība, apliecinājums, incidentu saskarne, datu nosūtīšanas sasaiste, atdošanas, dzēšanas vai izstāšanās pierādījumi. Politikas pamatelements ir paļaušanās uz REG08 — Apstrādātāju, apakšapstrādātāju un datu koplietošanas reģistru — kā primāro pierādījumu objektu apstrādātāju, apakšapstrādātāju un trešo pušu privātuma pārvaldībai. Politika prasa privātuma vadītājam / PIMS vadītājam noteikt minimālos REG08 laukus un klasificēt ar privātumu saistītas attiecības ar trešo pusi kā pārzinis, kopīgs pārzinis, apstrādātājs, apakšapstrādātājs vai citas trešās puses attiecības pirms līguma apstiprināšanas vai pirms PII apstrādes sākšanas. Tā arī prasa piegādātāju / iepirkuma īpašniekam bloķēt ievadīšanu, atjaunošanu vai paplašināšanu, līdz REG08 ir pabeigts un sasaistīts ar tādiem ierakstiem kā REG02, REG04, REG09 vai REG10, ja attiecīgie pierādījumu objekti ir ierosināti. Tas izveido dokumentētu sasaisti starp attiecību pārvaldību, apstrādes uzskaiti, riska un DPIA ierakstiem, starptautiskās datu nosūtīšanas pierādījumiem, incidentu ierakstiem un korektīvajām darbībām. Politika nosaka detalizētas prasības sākotnējai izpētei, risku izvērtēšanai un līgumiskai kontrolei. Privātuma sākotnējā izpēte jāveic pirms tādu attiecību ar apstrādātāju, apakšapstrādātāju vai trešo pusi izvēles, atjaunošanas vai būtiskas maiņas, kurās tiek apstrādāta PII vai tai piekļūts. Informācijas drošības vadītājam pirms apstiprināšanas jāpārskata drošības apliecinājuma pierādījumi, un augsta riska attiecības ar apstrādātāju vai būtiskas izmaiņas ar privātumu saistītās attiecībās ar trešo pusi ierosina privātuma riska un DPIA sākotnējo izvērtēšanu REG04. Līguma un dokumentēto norādījumu kontroles pasākumi ir nodalīti pārziņa un apstrādātāja kontekstiem. Darbojoties kā pārzinim, organizācijai pirms apstrādātājs apstrādā PII jāreģistrē rakstisks apstrādātāja līgums vai līdzvērtīga saistoša vienošanās. Darbojoties kā apstrādātājam, klientu vienošanās vai dokumentēti klienta norādījumi nosaka autorizēto apstrādes tvērumu pirms klienta PII apstrādes. Politika arī prasa līgumā ietvert palīdzību, drošības apliecinājumu, incidentu saskarni caur PII15, atdošanu vai dzēšanu caur PII10, datu nosūtīšanas sasaisti caur PII13 un audita vai apliecinājuma sadarbību. Apakšapstrādātāju un apakšuzņēmēju pārvaldība tiek risināta ar īpašām apstiprināšanas, paziņošanas, tālāk nododamo pienākumu un uzraudzības prasībām. Piegādātāju / iepirkuma īpašniekam REG08 jāuztur apakšapstrādātāju un apakšuzņēmēju saraksts, pirms piesaistes jāpārbauda klienta atļauja, jāinformē klienti par paredzētiem jauniem vai aizstājējiem apakšapstrādātājiem saskaņā ar piemērojamo vienošanos un jānodrošina tālāk nododamie privātuma, drošības, palīdzības, atdošanas, dzēšanas, incidentu saskarnes un datu nosūtīšanas sasaistes pienākumi, pirms jebkurš apakšapstrādātājs apstrādā PII. Jāizseko arī pārziņa puses paziņojumi par apakšapstrādātāju maiņu, REG08 reģistrējot apstiprināšanas, iebilduma vai eskalācijas lēmumus līgumā noteiktajā iebildumu termiņā vai 10 darbdienu laikā pēc paziņojuma saņemšanas, atkarībā no tā, kurš termiņš ir īsāks. Politika noslēdz dzīves ciklu ar nepārtrauktu uzraudzību, palīdzības pieprasījumu apstrādi, izpaušanas reģistrēšanu, incidentu sasaisti, datu nosūtīšanas sasaisti, izstāšanās pierādījumiem, izņēmumiem, politikas ievērošanu un pārskatīšanu. Augsta riska attiecības ar apstrādātājiem un apakšapstrādātājiem tiek uzraudzītas reizi ceturksnī, savukārt pārējās aktīvās PII apstrādātāju un apakšapstrādātāju attiecības tiek uzraudzītas reizi gadā. Palīdzības pieprasījumi par datu subjekta tiesībām, DPIA, drošības pierādījumiem, auditiem vai klientu apliecinājumu jākoordinē caur REG08 un, kur piemērojams, jāsasaista ar REG06, REG04 vai REG12. Ar piegādātājiem saistīti privātuma incidentu paziņojumi vienas darbdienas laikā tiek virzīti uz REG10 saskaņā ar PII15, un atdošanas, dzēšanas, likvidēšanas vai pārejas pierādījumi jāiegūst 30 dienu laikā pēc izbeigšanas, termiņa beigām, klienta norādījuma vai apstiprināta izstāšanās notikuma, ja vien nav piemērojams īsāks līgumiskais termiņš. Izņēmumi ir laikā ierobežoti, tiem nepieciešama privātuma ietekmes izvērtēšana, un tiem var būt nepieciešams augstākās vadības apstiprinājums, ja tie ietekmē augsta riska apstrādi, trūkstošus līguma pierādījumus, datu nosūtīšanas sasaistes trūkumus vai sertifikācijas darbības jomu.