Polityka zbierania, wykorzystywania, ujawniania i udostępniania PII

Polityka zbierania, wykorzystywania, ujawniania i udostępniania PII definiuje wymagania operacyjne dotyczące sposobu zbierania, wykorzystywania, ujawniania i udostępniania informacji umożliwiających identyfikację osoby w zakresie PIMS. Jej wskazanym celem jest zapewnienie, aby PII były przetwarzane wyłącznie dla udokumentowanych, zatwierdzonych, ograniczonych i rozliczalnych celów. Polityka ma zastosowanie w kontekstach administratora, współadministratora, podmiotu przetwarzającego i podwykonawcy przetwarzania oraz obejmuje zbieranie za pośrednictwem kanałów bezpośrednich, pośrednich, zautomatyzowanych, ręcznych, wewnętrznych, zewnętrznych i stron trzecich. Obejmuje również zatwierdzone wewnętrzne wykorzystywanie przez procesy biznesowe, systemy i aplikacje, wtórne wykorzystywanie do nowych lub istotnie zmienionych celów, ujawnienie zewnętrzne odbiorcom i stronom trzecim, a także zarówno cykliczne uzgodnienia dotyczące udostępniania danych, jak i jednorazowe ujawnienia. Centralnym elementem polityki jest wykorzystanie rejestrów dowodowych do powiązania decyzji dotyczących prywatności z zapisami możliwymi do prześledzenia audytowo. REG02 służy do inwentarza przetwarzania PII, zatwierdzonych celów, zasad zbierania, zasad wykorzystywania oraz ocen zgodności celów dla wtórnego wykorzystywania. REG08 służy do zapisów dotyczących podmiotu przetwarzającego, podwykonawcy przetwarzania i udostępniania danych, w tym tożsamości odbiorcy, roli odbiorcy, celu ujawnienia, kategorii PII, częstotliwości udostępniania, lokalizacji przetwarzania i źródła upoważnienia. REG09 jest stosowany, gdy udostępnianie obejmuje nowy kraj, organizację międzynarodową, lokalizację dostępu zdalnego, lokalizację odbiorcy lub lokalizację dalszego transferu. REG12 służy do wyjątków, niezgodności, ustaleń z audytu, działań korygujących, kwestii blokujących wdrożenie oraz zapisów przeglądu polityki. Polityka ustanawia jasne punkty kontrolne przed rozpoczęciem przetwarzania. Właściciele procesów lub właściciele biznesowi muszą zapisać cele zbierania, źródła lub kanały, kategorie PII, kategorie osób, których dane dotyczą, oraz minimalne elementy danych w REG02 przed rozpoczęciem nowego zbierania lub istotnej zmiany. Muszą również udokumentować uzasadnienie konieczności dla każdego elementu danych PII przed zebraniem. Właściciele systemów lub właściciele aplikacji mogą wdrażać wyłącznie zatwierdzone pola zbierania, pola przepływu pracy, raporty, eksporty lub wyniki ujawnienia zgodne z zatwierdzeniem w REG02 lub REG08. W kontekstach podmiotu przetwarzającego zgodność z poleceniem klienta musi zostać zapisana przed zebraniem, wykorzystaniem lub ujawnieniem PII klienta. Wtórne wykorzystywanie jest traktowane jako decyzja objęta nadzorem, a nie jako nieformalna kontynuacja istniejącej czynności. Zanim PII zostaną wykorzystane do celu, który nie został jeszcze zatwierdzony w REG02, właściciel procesu lub właściciel biznesowy musi zapisać ocenę zgodności celów obejmującą pierwotny cel, proponowany cel, zależność od podstawy prawnej, kategorie PII, oczekiwania osób, których dane dotyczą, uzasadnienie minimalizacji, wpływ ujawnienia lub transferu oraz kierowanie do innych polityk PIMS, gdy jest to potrzebne. Osoba odpowiedzialna za prywatność lub menedżer PIMS musi zapisać zatwierdzenie albo odrzucenie przed rozpoczęciem wtórnego wykorzystywania. Gdy w grę wchodzi cykliczne udostępnianie szczególnych kategorii danych osobowych, wrażliwe osoby, których dane dotyczą, rekordy o istotnym wpływie lub istotnie zmienione oczekiwania, przed zatwierdzeniem należy zapisać poradę inspektora ochrony danych lub doradcy ds. prywatności. Ład zarządczy, pomiar i stosowanie polityki są wbudowane w jej wymagania. Osoba odpowiedzialna za prywatność lub menedżer PIMS przegląda zatwierdzone zasady wykorzystywania co najmniej raz w roku, uzgadnia zatwierdzone cele REG02 z aktywnymi zapisami udostępniania REG08 co najmniej raz w roku oraz zapisuje wyniki w REG12. Właściciele dostawców lub zakupów uzgadniają aktywne wpisy udostępniania REG08 z aktywnymi relacjami z podmiotami przetwarzającymi, podwykonawcami przetwarzania, odbiorcami oraz relacjami dotyczącymi udostępniania danych co najmniej raz na kwartał. Audyt wewnętrzny lub przeglądający ds. zgodności pobiera próbki dowodów REG02, REG08 i REG09 raz w roku oraz zapisuje wyniki w REG12. Niezatwierdzone zbieranie, wykorzystywanie, ujawnianie lub udostępnianie musi zostać zapisane jako niezgodność w ciągu pięciu dni roboczych, a przetwarzanie może zostać zawieszone w ciągu jednego dnia roboczego, jeżeli brak jest zatwierdzonych dowodów.