Policy för personuppgiftsbiträden i molntjänster

Policy för personuppgiftsbiträden i molntjänster definierar obligatoriska integritetskrav för molntjänster där organisationen agerar som personuppgiftsbiträde eller underbiträde. Omfattningen inkluderar SaaS, PaaS, IaaS, driftade applikationer, hanterade molntjänster, molnsupport, molnlagring, molnanalys och molninfrastrukturtjänster som behandlar personuppgifter för kunders räkning. Policyn är utformad för att hålla behandling i molntjänster anpassad till dokumenterade kundavtal, kundinstruktioner, instruktioner från föregående personuppgiftsbiträde, upplägg för underbiträden, konfiguration av molnregioner, åtkomst till molnsupport, tjänsteadministration, säkerhetskopiering, replikering, loggning, övervakning, radering, återlämning, stöd vid personuppgiftsincidenter, revisionsstöd och skyldigheter att bistå kunder. Ett centralt syfte med policyn är underlagsstyrd kontroll. Före kundintroduktion eller väsentlig tjänsteförändring ska Integritetsansvarig / PIMS-ansvarig registrera varje tjänst för behandling av personuppgifter i molntjänster, behandlingsroll, källa till kundinstruktion, kategorier av personuppgifter, kategorier av registrerade, tjänstens ändamål, behandlingsplats, beroende av underbiträde, raderingsberoende och överföringsmarkering i REG02 och REG08. Policyn kräver även att kontrolltillämplighet för personuppgiftsbiträden i molntjänster registreras i REG03, att routning för överföringar och platser dokumenteras i REG09 där relevant, att personuppgiftsincidenter i molntjänster hanteras genom REG10 samt att övervakning, undantag, tvister, valideringsresultat och korrigerande åtgärder hanteras genom REG12. Detta håller skyldigheter för personuppgiftsbiträden i molntjänster integrerade med den befintliga PIMS-policyuppsättningen och undviker separata register för avtal, tjänster, tenantisolering, åtkomst, loggar, radering, support, revisioner, personuppgiftsincidenter eller underbiträden. Policyn anger praktiska krav över molntjänstens livscykel. Den kräver dokumenterade kundinstruktioner eller instruktioner från föregående personuppgiftsbiträde innan behandling påbörjas, granskning av instruktioner som verkar oförenliga med skyldigheter eller godkänd tjänsteomfattning samt godkännande innan kundens personuppgifter behandlas utanför dokumenterade instruktioner. Den behandlar även molnkonfiguration och säkerhetsunderlag genom krav på gränser för delat ansvar, validering av tenantisolering, styrd administrativ åtkomst, kvartalsvis granskning av privilegierad åtkomst och loggtäckning, separering av miljöer samt registrerade platser för säkerhetskopiering, replikering, logglagring och supportåtkomst. Dessa krav är avsiktligt kopplade till befintliga säkerhetskontroller för personuppgifter i stället för att ersätta den bredare policyn för säkerhet och åtkomstkontroll av personuppgifter. Styrning av underbiträden och molnbaserad leveranskedja behandlas som centrala skyldigheter för personuppgiftsbiträden. Leverantörs-/upphandlingsansvarig ska registrera underbiträden i molntjänster, infrastrukturleverantörer, driftleverantörer, hanterade tjänsteleverantörer, supportleverantörer och andra väsentliga beroenden av molntjänster före användning. Policyn kräver underlag för kundgodkännande eller dokumenterad godkännandegrund, vidareförda skyldigheter för integritet, säkerhet, bistånd, incidenter, återlämning, radering, revisionsstöd och överföringar samt uppgifter om tjänsteplatser, platser för fjärrsupport, driftregioner och routning för vidareöverföring. Den kräver även kundunderrättelse om avsedda ändringar av underbiträden i molntjänster inom den avtalsenligt föreskrivna underrättelseperioden och minst årlig granskning av aktiva poster för underbiträden i molntjänster och molnberoenden. Policyn omfattar även kundbistånd, revisionsstöd, gränssnitt mot personuppgiftsincidenter, radering och avslut. Skyldigheter att bistå kunder avseende rättighetsbegäranden, radering, rättelse, begränsning, åtkomst, revision, DPIA-stöd och stöd vid personuppgiftsincidenter ska registreras före avtal ingås eller tjänsten aktiveras. Kundbegärt stöd för rättighetsbegäranden ska slutföras inom den tidsram som avtalats med kunden, integritetsbetydande begäranden om DPIA- eller bedömningsstöd ska granskas inom tio arbetsdagar, och försenade eller omtvistade biståndsbegäranden ska följas upp. Vid avslut kräver policyn underlag för export-, återlämnings-, överförings- eller raderingsförmåga före introduktion eller väsentlig tjänsteförändring, slutförande inom kundavtalade tidsramar, inkludering av produktionssatta system, säkerhetskopior, repliker, loggar, temporära filer, stagingmiljöer och supportkopior samt hantering av avvikelse när skyldigheter inte kan slutföras i tid. Styrningen förstärks genom kvartalsvisa granskningar av underlagens fullständighet, årliga policy- och underbiträdesgranskningar, revisionsurval, mätetal, åtgärder för tillämpning och godkännande från högsta ledningen för väsentliga undantag och revideringar.