Politika zbiranja, uporabe, razkritja in deljenja osebno določljivih podatkov

Politika zbiranja, uporabe, razkritja in deljenja osebno določljivih podatkov opredeljuje operativne zahteve za to, kako se osebno določljivi podatki zbirajo, uporabljajo, razkrivajo in delijo v obsegu PIMS. Njen navedeni namen je zagotoviti, da se osebno določljivi podatki obravnavajo samo za dokumentirane, odobrene, omejene in odgovorno upravljane namene. Politika se uporablja v kontekstih upravljavca, skupnega upravljavca, obdelovalca in podobdelovalca ter zajema zbiranje prek neposrednih, posrednih, avtomatiziranih, ročnih, notranjih, zunanjih kanalov in kanalov tretjih oseb. Obravnava tudi odobreno notranjo uporabo v poslovnih procesih, sistemih in aplikacijah, sekundarno uporabo za nove ali bistveno spremenjene namene, zunanje razkritje prejemnikom in tretjim osebam ter ponavljajoče se ureditve deljenja podatkov in enkratna razkritja. Osrednja značilnost politike je uporaba evidenc dokazil, s katerimi se odločitve o zasebnosti povežejo s preverljivimi zapisi. REG02 se uporablja za popis dejavnosti obdelave osebno določljivih podatkov, odobrene namene, pravila zbiranja, pravila uporabe in preverjanja združljivosti sekundarne uporabe. REG08 se uporablja za zapise o obdelovalcih, podobdelovalcih in deljenju podatkov, vključno z identiteto prejemnika, vlogo prejemnika, namenom razkritja, kategorijami osebno določljivih podatkov, pogostostjo deljenja, lokacijo obdelave in avtoritativnim virom. REG09 se uporablja, kadar deljenje vključuje novo državo, mednarodno organizacijo, lokacijo oddaljenega dostopa, lokacijo prejemnika ali lokacijo nadaljnjega prenosa. REG12 se uporablja za izjeme, neskladnosti, ugotovitve presoje, korektivne ukrepe, vprašanja, ki blokirajo implementacijo, in zapise o pregledu politike. Politika določa jasne kontrolne točke pred začetkom obdelave. Lastniki procesov ali lastniki podjetja morajo v REG02 evidentirati namene zbiranja, vire ali kanale, kategorije osebno določljivih podatkov, kategorije posameznikov, na katere se nanašajo osebno določljivi podatki, in minimalne podatkovne elemente, preden se začne novo zbiranje ali bistvena sprememba. Prav tako morajo pred zbiranjem dokumentirati utemeljitev nujnosti za vsak podatkovni element osebno določljivih podatkov. Lastniki sistemov ali lastniki aplikacij smejo implementirati samo odobrena polja zbiranja, polja delovnih tokov, poročila, izvoze ali izhode razkritja, ki ustrezajo odobritvi REG02 ali REG08. V kontekstih obdelovalca mora biti skladnost z navodili naročnika evidentirana, preden se osebno določljivi podatki naročnika zbirajo, uporabljajo ali razkrivajo. Sekundarna uporaba se obravnava kot upravljana odločitev in ne kot neformalna razširitev obstoječe dejavnosti. Preden se osebno določljivi podatki uporabijo za namen, ki še ni odobren v REG02, mora lastnik procesa ali lastnik podjetja evidentirati preverjanje združljivosti, ki zajema prvotni namen, predlagani namen, odvisnost od pravne podlage, kategorije osebno določljivih podatkov, pričakovanja posameznikov, na katere se nanašajo osebno določljivi podatki, utemeljitev minimizacije, vpliv razkritja ali prenosa ter usmerjanje na druge politike PIMS, kadar je potrebno. Vodja zasebnosti ali vodja PIMS mora evidentirati odobritev ali zavrnitev, preden se sekundarna uporaba začne. Kadar so vključeni občutljivo ponavljajoče se deljenje, ranljivi posamezniki, na katere se nanašajo osebno določljivi podatki, zapisi z velikim vplivom ali bistveno spremenjena pričakovanja, mora biti pred odobritvijo evidentiran nasvet pooblaščene osebe za varstvo podatkov ali svetovalca za zasebnost. Upravljanje, merjenje in uveljavljanje so vgrajeni v politiko. Vodja zasebnosti ali vodja PIMS najmanj enkrat letno pregleda pravila odobrene uporabe, najmanj enkrat letno uskladi odobrene namene v REG02 z aktivnimi zapisi deljenja v REG08 in rezultate evidentira v REG12. Lastniki dobaviteljev ali nabave najmanj četrtletno uskladijo aktivne vnose deljenja v REG08 z aktivnimi razmerji z obdelovalci, podobdelovalci in prejemniki ter razmerji pri deljenju podatkov. Notranja revizija ali pregledovalci skladnosti letno vzorčijo dokazila REG02, REG08 in REG09 ter rezultate evidentirajo v REG12. Neodobreno zbiranje, uporaba, razkritje ali deljenje mora biti evidentirano kot neskladnost v petih delovnih dneh, obdelava pa se lahko začasno ustavi v enem delovnem dnevu, kadar odobrena dokazila niso na voljo.