Beleid inzake verzameling, gebruik, verstrekking en deling van persoonlijk identificeerbare informatie (PII)

Het Beleid inzake verzameling, gebruik, verstrekking en deling van persoonlijk identificeerbare informatie (PII) definieert operationele eisen voor de wijze waarop persoonlijk identificeerbare informatie (PII) binnen het PIMS-toepassingsgebied wordt verzameld, gebruikt, verstrekt en gedeeld. Het verklaarde doel is te waarborgen dat persoonlijk identificeerbare informatie (PII) uitsluitend wordt behandeld voor gedocumenteerde, goedgekeurde, beperkte en verantwoordbare doeleinden. Het beleid is van toepassing in contexten van verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke, verwerker en subverwerker, en omvat verzameling via directe, indirecte, geautomatiseerde, handmatige, interne, externe en derde-partijkanalen. Het behandelt ook goedgekeurd intern gebruik door bedrijfsprocessen, systemen en toepassingen, verdere verwerking voor nieuwe of wezenlijk gewijzigde doeleinden, externe verstrekking aan ontvangers en derde partijen, en zowel terugkerende regelingen voor gegevensdeling als eenmalige verstrekkingen. Een centraal kenmerk van het beleid is het gebruik van bewijsregisters om privacybesluiten te verbinden met auditeerbare registraties. REG02 wordt gebruikt voor de verwerkingsinventaris van persoonlijk identificeerbare informatie (PII), goedgekeurde doeleinden, verzamelregels, gebruiksregels en verenigbaarheidstoetsen voor verdere verwerking. REG08 wordt gebruikt voor registraties van verwerkers, subverwerkers en gegevensdeling, inclusief identiteit van de ontvanger, rol van de ontvanger, doel van de verstrekking, categorieën van persoonlijk identificeerbare informatie (PII), frequentie van deling, verwerkingslocatie en gezaghebbende bron. REG09 wordt gebruikt wanneer deling een nieuw land, een internationale organisatie, een locatie voor toegang op afstand, een ontvangerslocatie of een locatie voor verdere doorgifte omvat. REG12 wordt gebruikt voor uitzonderingen, non-conformiteiten, auditbevindingen, corrigerende maatregelen, blokkerende implementatiekwesties en registraties van beleidsbeoordelingen. Het beleid stelt duidelijke beheerspunten vast voordat de verwerking begint. Proceseigenaren of bedrijfseigenaren moeten de verwerkingsdoelen, bronnen of kanalen, categorieën van persoonlijk identificeerbare informatie (PII), categorieën betrokkenen en minimale gegevenselementen in REG02 registreren voordat nieuwe verzameling of een wezenlijke wijziging begint. Zij moeten ook voor elk gegevenselement van persoonlijk identificeerbare informatie (PII) vóór verzameling een onderbouwing van noodzakelijkheid documenteren. Systeemeigenaren of applicatie-eigenaren mogen uitsluitend goedgekeurde verzamelvelden, workflowvelden, rapporten, exporten of verstrekkingsuitvoer implementeren die overeenkomen met REG02- of REG08-goedkeuring. In verwerkerscontexten moet afstemming op klantinstructie worden geregistreerd voordat persoonlijk identificeerbare informatie (PII) van klanten wordt verzameld, gebruikt of verstrekt. Verdere verwerking wordt behandeld als een bestuurd besluit en niet als een informele uitbreiding van een bestaande activiteit. Voordat persoonlijk identificeerbare informatie (PII) wordt gebruikt voor een doel dat nog niet in REG02 is goedgekeurd, moet de proceseigenaar of bedrijfseigenaar een verenigbaarheidstoets registreren die het oorspronkelijke doel, het voorgestelde doel, afhankelijkheid van de rechtsgrondslag, categorieën van persoonlijk identificeerbare informatie (PII), verwachtingen van betrokkenen, onderbouwing van minimalisatie, impact van verstrekking of doorgifte en routing naar andere PIMS-beleidslijnen waar nodig omvat. De Privacy Lead of PIMS Manager moet een goedkeuring of afwijzing registreren voordat de verdere verwerking begint. Wanneer gevoelige terugkerende deling, kwetsbare betrokkenen, records met hoge impact of wezenlijk gewijzigde verwachtingen betrokken zijn, moet advies van de Functionaris voor gegevensbescherming (FG) of adviseur inzake gegevensbescherming worden geregistreerd vóór goedkeuring. Governance, meting en handhaving zijn in het beleid ingebouwd. De Privacy Lead of PIMS Manager beoordeelt regels voor goedgekeurd gebruik ten minste jaarlijks, stemt de in REG02 goedgekeurde doeleinden ten minste jaarlijks af met actieve registraties voor deling in REG08 en registreert uitkomsten in REG12. Leveranciers- of inkoopeigenaren stemmen actieve REG08-registraties voor deling ten minste elk kwartaal af met actieve relaties met verwerkers, subverwerkers, ontvangers en gegevensdeling. Interne audit of nalevingsbeoordelaars nemen jaarlijks steekproeven van REG02-, REG08- en REG09-bewijsmateriaal en registreren resultaten in REG12. Niet-goedgekeurde verzameling, gebruik, verstrekking of deling moet binnen vijf werkdagen als non-conformiteit worden geregistreerd, en verwerking kan binnen één werkdag worden opgeschort wanneer goedgekeurd bewijsmateriaal ontbreekt.