Politica privind colectarea, utilizarea, divulgarea și partajarea PII

Politica privind colectarea, utilizarea, divulgarea și partajarea PII definește cerințele operaționale pentru modul în care informațiile de identificare personală sunt colectate, utilizate, divulgate și partajate în domeniul de aplicare al PIMS. Scopul declarat este de a asigura că PII sunt gestionate numai pentru scopuri documentate, aprobate, limitate și asumate responsabil. Politica se aplică în contexte de operator, operator asociat, persoană împuternicită și persoană subîmputernicită și acoperă colectarea prin canale directe, indirecte, automatizate, manuale, interne, externe și ale terților. Aceasta abordează, de asemenea, utilizarea internă aprobată de către procese de afaceri, sisteme și aplicații, utilizarea secundară pentru scopuri noi sau modificate semnificativ, divulgarea externă către destinatari și terți, precum și relațiile recurente de partajare a datelor și divulgările punctuale. O caracteristică centrală a politicii este utilizarea registrelor de dovezi pentru a corela deciziile privind confidențialitatea cu înregistrări care pot fi auditate. REG02 este utilizat pentru inventarul prelucrărilor PII, scopurile aprobate, regulile de colectare, regulile de utilizare și verificările compatibilității pentru utilizare secundară. REG08 este utilizat pentru înregistrările privind persoanele împuternicite, persoanele subîmputernicite și partajarea datelor, inclusiv identitatea destinatarului, rolul destinatarului, scopul divulgării, categoriile de PII, frecvența partajării, locația prelucrării și sursa autorității. REG09 este utilizat atunci când partajarea implică o țară nouă, o organizație internațională, o locație de acces la distanță, o locație a destinatarului sau o locație de transfer ulterior. REG12 este utilizat pentru excepții, neconformități, constatări de audit, acțiuni corective, probleme care blochează implementarea și înregistrări ale revizuirii politicii. Politica stabilește puncte de control clare înainte de începerea prelucrării. Proprietarii de proces sau proprietarii activității trebuie să înregistreze în REG02 scopurile colectării, sursele sau canalele, categoriile de PII, categoriile de persoane vizate și elementele minime de date înainte de începerea unei colectări noi sau a unei modificări semnificative. Aceștia trebuie, de asemenea, să documenteze o justificare a necesității pentru fiecare element de date PII înainte de colectare. Proprietarii de sistem sau proprietarii de aplicații pot implementa numai câmpuri de colectare, câmpuri de flux de lucru, rapoarte, exporturi sau rezultate de divulgare aprobate, care corespund aprobării REG02 sau REG08. În contexte de persoană împuternicită, alinierea la instrucțiunea clientului trebuie înregistrată înainte ca PII ale clientului să fie colectate, utilizate sau divulgate. Utilizarea secundară este tratată ca o decizie guvernată, nu ca o extindere informală a unei activități existente. Înainte ca PII să fie utilizate pentru un scop care nu este deja aprobat în REG02, Proprietarul de proces sau proprietarul activității trebuie să înregistreze o verificare a compatibilității care acoperă scopul inițial, scopul propus, dependența de temeiul juridic, categoriile de PII, așteptările persoanelor vizate, raționamentul de minimizare, impactul divulgării sau al transferului și rutarea către alte politici PIMS, acolo unde este necesar. Responsabilul pentru confidențialitate sau Managerul PIMS trebuie să înregistreze o aprobare sau o respingere înainte de începerea utilizării secundare. Atunci când sunt implicate partajări recurente sensibile, persoane vizate vulnerabile, înregistrări cu impact ridicat sau așteptări modificate semnificativ, opinia Responsabilului cu protecția datelor sau a consilierului pentru confidențialitate trebuie înregistrată înainte de aprobare. Guvernanța, măsurarea și aplicarea sunt integrate în politică. Responsabilul pentru confidențialitate sau Managerul PIMS revizuiește regulile de utilizare aprobată cel puțin anual, reconciliază scopurile aprobate din REG02 cu înregistrările active de partajare din REG08 cel puțin anual și înregistrează rezultatele în REG12. Responsabilii pentru furnizori sau achiziții reconciliază cel puțin trimestrial intrările active de partajare din REG08 cu relațiile active cu persoane împuternicite, persoane subîmputernicite, destinatari și relațiile de partajare a datelor. Auditorii interni sau revizorii de conformitate eșantionează anual dovezile REG02, REG08 și REG09 și înregistrează rezultatele în REG12. Colectarea, utilizarea, divulgarea sau partajarea neaprobată trebuie înregistrată ca neconformitate în termen de cinci zile lucrătoare, iar prelucrarea poate fi suspendată în termen de o zi lucrătoare atunci când lipsesc dovezile aprobate.