Policy för internationell överföring av personuppgifter

Policyn för internationell överföring av personuppgifter fastställer krav för att identifiera, godkänna, registrera, granska, begränsa och avbryta internationella överföringar av personuppgifter. Den gäller för aktiviteter där organisationen agerar som personuppgiftsansvarig, gemensamt personuppgiftsansvarig, personuppgiftsbiträde eller underbiträde, och där personuppgifter görs tillgängliga för, nås från, lagras i, driftas i, lämnas ut till eller på annat sätt överförs utanför den godkända behandlingsgräns som registrerats i REG02 eller REG09. Omfattningen inkluderar interna koncernbolag, externa mottagare, personuppgiftsbiträden, underbiträden, tjänsteleverantörer, supportåtkomst, driftplatser, fjärradministration, vidareöverföringar, begäranden från offentlig myndighet om utlämnande och överföringsrelaterade tjänsteförändringar. En central del av policyn är dess underlagsstyrda ansats. Policyn anger att internationella överföringar ska identifieras innan behandling påbörjas eller ändras och att godkända överföringsposter ska upprätthållas i REG09. REG09 är det primära underlagsobjektet för överföringar, medan REG02, REG08 och REG12 tillhandahåller stödjande underlag för behandlingsaktiviteter, leverantörs- och personuppgiftsbiträdesrelationer, undantag, avvikelser, korrigerande åtgärder och ledningens genomgång. Obligatoriska REG09-fält omfattar överföringsdestination, mottagare, PIMS-roll, överföringsmekanism, stödjande underlag, granskningsdatum och ägare. Denna struktur är avsedd att hjälpa organisationen att visa ansvarsskyldig överföringsstyrning utan att skapa dubbla register för konsekvensbedömningar av överföringar eller standardavtalsklausuler (SCC). Policyn definierar kontroller för val, godkännande och riskgranskning av överföringsmekanism. För överföringar där organisationen är personuppgiftsansvarig registrerar dataskyddsansvarig/PIMS-ansvarig den godkända överföringsmekanismen och stödjande underlag i REG09 innan överföringen påbörjas. Dataskyddsombudet/integritetsrådgivaren granskar underlaget för överföringsmekanismen före godkännande av nya, väsentligt ändrade eller högre riskklassade internationella överföringar av personuppgifter och genomför granskning av överföringsrisker när detta utlöses. När tekniska skyddsåtgärder åberopas registrerar ansvarig för informationssäkerhet beroendestatus för tekniska skyddsåtgärder i REG09 eller REG12. Om kvarstående överföringsrisk är hög ska högsta ledningen godkänna fortsatt överföringsverksamhet i REG12 innan risken accepteras. Styrning av personuppgiftsbiträden, underbiträden och vidareöverföringar behandlas också. Ägaren för leverantör/upphandling ska inhämta dokumenterat kundgodkännande eller kundinstruktion i REG08 och REG09 innan internationella överföringar av personuppgifter som personuppgiftsbiträde initieras, registrera godkännande av underbiträde och vidareförda överföringsvillkor samt förhindra vidareöverföring från personuppgiftsbiträde eller underbiträde tills kundgodkännande har registrerats. Policyn kräver även att vidareöverföringsvägar, mottagarkategorier, begränsningar och skyldigheter registreras före godkännande. Begäranden från utländska offentliga myndigheter om utlämnande ska registreras i REG09 eller REG12 före utlämnande där det är praktiskt möjligt, eller inom en arbetsdag där förhandsregistrering inte är praktiskt möjlig, och integritetsmässigt betydande begäranden ska granskas av en integritetsrådgivare där det är praktiskt möjligt. Löpande styrning hanteras genom definierade krav på granskning, mätning, undantag och tillämpning. Aktiva överföringsposter granskas minst årligen och inom 30 dagar efter en väsentlig överföringsändring, medan dataskyddsansvarig/PIMS-ansvarig granskar försenade överföringsgranskningar, ofullständiga poster, avbrutna överföringar och öppna överföringsundantag minst kvartalsvis. Mätetalen omfattar andelen aktiva REG09-poster med fullständigt underlag för överföringsmekanism, försenade överföringsgranskningar, avbrutna eller uppskjutna överföringar, försenat underlag från personuppgiftsbiträden eller tredje part samt omatchade REG02-behandlingsaktiviteter med potentiella indikatorer på internationell överföring. Undantag ska registreras i REG12 innan de blir aktiva, tilldelas en ägare, ett utgångsdatum, en kompenserande kontroll och en granskningsfrekvens samt granskas minst månadsvis tills de stängs. Avvikelser ska registreras när oregistrerade överföringar, överföringsmekanismer utan stöd, saknat godkännande, försenade granskningar, saknat underlag för vidareöverföring eller obehörig fortsättning identifieras.