Politica de management al confidențialității pentru persoane împuternicite, persoane subîmputernicite și terți

Politica de management al confidențialității pentru persoane împuternicite, persoane subîmputernicite și terți definește modul în care o organizație guvernează părțile externe care prelucrează, accesează, primesc, stochează, transmit, susțin sau gestionează în alt mod PII în domeniul de aplicare al Sistemului de management al informațiilor privind confidențialitatea. Se aplică atunci când organizația acționează ca operator de date care utilizează persoane împuternicite, ca operator asociat care necesită clasificarea rolurilor, ca persoană împuternicită care utilizează persoane subîmputernicite sau subcontractanți și ca persoană subîmputernicită care primește instrucțiuni ale clientului. Politica acoperă, de asemenea, relațiile cu terții care necesită verificare prealabilă privind confidențialitatea, controale contractuale, instrucțiuni documentate, aprobare a persoanelor subîmputernicite, monitorizare, asigurare, interfață pentru incidente, corelare cu transferurile, returnare, ștergere sau dovezi de ieșire. O caracteristică centrală a politicii este utilizarea REG08 — Registrul persoanelor împuternicite, al persoanelor subîmputernicite și al partajării datelor — ca obiect principal de dovezi pentru managementul confidențialității privind persoanele împuternicite, persoanele subîmputernicite și terții. Politica impune Responsabilului pentru confidențialitate / Managerului PIMS să definească câmpurile minime REG08 și să clasifice relațiile de confidențialitate cu terții ca operator de date, operator asociat, persoană împuternicită, persoană subîmputernicită sau altă relație cu terți înainte de aprobarea contractului sau înainte ca prelucrarea PII să înceapă. De asemenea, impune proprietarului pentru furnizori / achiziții să blocheze integrarea, reînnoirea sau extinderea până când REG08 este completat și corelat cu înregistrări precum REG02, REG04, REG09 sau REG10, atunci când aceste obiecte de dovezi sunt declanșate. Acest lucru creează o corelare documentată între guvernanța relațiilor, inventarul prelucrărilor, înregistrările privind riscurile și DPIA, dovezile transferurilor internaționale, înregistrările incidentelor și acțiunile corective. Politica stabilește cerințe detaliate pentru verificarea prealabilă, evaluarea riscurilor și controlul contractual. Verificarea prealabilă privind confidențialitatea trebuie finalizată înainte de selectarea, reînnoirea sau modificarea semnificativă a unei relații cu o persoană împuternicită, o persoană subîmputernicită sau un terț care prelucrează ori accesează PII. Dovezile de asigurare a securității trebuie revizuite de Responsabilul pentru securitatea informației înainte de aprobare, iar relațiile cu persoane împuternicite cu risc ridicat sau modificările semnificative privind confidențialitatea la nivelul terților declanșează evaluarea riscurilor privind confidențialitatea și evaluarea preliminară DPIA în REG04. Controalele privind contractele și instrucțiunile documentate sunt separate pentru contextele de operator de date și persoană împuternicită. Atunci când acționează ca operator de date, organizația trebuie să înregistreze un contract scris cu persoana împuternicită sau un acord obligatoriu echivalent înainte ca o persoană împuternicită să gestioneze PII. Atunci când acționează ca persoană împuternicită, acordurile cu clienții sau instrucțiunile documentate ale clientului trebuie să definească domeniul autorizat al prelucrării înainte ca PII ale clientului să fie prelucrate. Politica impune, de asemenea, acoperire contractuală pentru asistență, asigurarea securității, interfața pentru incidente prin PII15, returnare sau ștergere prin PII10, corelarea cu transferurile prin PII13 și cooperarea pentru audit sau asigurare. Guvernanța persoanelor subîmputernicite și a subcontractanților este abordată prin cerințe specifice de aprobare, notificare, obligații transmise în lanț și monitorizare. Proprietarul pentru furnizori / achiziții trebuie să mențină o listă a persoanelor subîmputernicite și a subcontractanților în REG08, să verifice autorizarea clientului înainte de angajare, să notifice clienții cu privire la persoanele subîmputernicite noi sau de înlocuire intenționate conform acordului aplicabil și să asigure transmiterea în lanț a obligațiilor privind confidențialitatea, securitatea, asistența, returnarea, ștergerea, interfața pentru incidente și corelarea cu transferurile înainte ca orice persoană subîmputernicită să prelucreze PII. Notificările privind modificarea persoanelor subîmputernicite din perspectiva operatorului trebuie, de asemenea, urmărite, iar deciziile de aprobare, obiecție sau escaladare trebuie înregistrate în REG08 în perioada contractuală de obiecție sau în termen de 10 zile lucrătoare de la primirea notificării, oricare dintre acestea este mai scurtă. Politica completează ciclul de viață prin monitorizare continuă, gestionarea asistenței, înregistrarea divulgărilor, corelarea cu incidentele, corelarea cu transferurile, dovezi de ieșire, excepții, aplicare și revizuire. Relațiile cu persoane împuternicite și persoane subîmputernicite cu risc ridicat sunt monitorizate trimestrial, iar celelalte relații active cu persoane împuternicite și persoane subîmputernicite care prelucrează PII sunt monitorizate anual. Cererile de asistență pentru drepturile persoanelor vizate, DPIA, dovezi de securitate, audituri sau asigurare solicitată de clienți trebuie coordonate prin REG08 și corelate cu REG06, REG04 sau REG12, după caz. Notificările privind incidentele de confidențialitate asociate furnizorilor sunt direcționate către REG10 în temeiul PII15 în termen de o zi lucrătoare, iar dovezile privind returnarea, ștergerea, eliminarea sau tranziția trebuie obținute în termen de 30 de zile de la încetare, expirare, instrucțiunea clientului sau evenimentul de ieșire aprobat, cu excepția cazului în care se aplică un termen contractual mai scurt. Excepțiile sunt limitate în timp, necesită evaluarea impactului asupra confidențialității și pot necesita aprobarea Conducerii de vârf atunci când sunt afectate prelucrări cu risc ridicat, dovezi contractuale lipsă, lacune de corelare cu transferurile sau domeniul de aplicare al certificării.