Engagement de la direction (5.1)
La direction doit s’assurer que les objectifs de protection de la vie privée sont compatibles avec la stratégie, que le système dispose de ressources et qu’il est intégré aux processus métier, et non rangé dans un classeur de conformité.
Politique de protection de la vie privée (5.2)
Il s’agit de la politique interne du système, et non des mentions légales du site web. Elle comprend l’engagement de satisfaire aux exigences applicables en matière de vie privée et d’améliorer le système, et sert de cadre à la fixation des objectifs.
Rôles et autorités (5.3)
Il faut désigner qui répond de la conformité du système à la norme et du compte rendu à la direction. S’il existe un délégué à la protection des données, son rôle et son indépendance doivent s’accorder avec cette attribution, sans le confondre avec le propriétaire du système.
Ce que demande habituellement l’auditeur
- Politique de protection de la vie privée approuvée, communiquée et disponible
- Matrice des responsabilités du PIMS
- Désignation du délégué à la protection des données, le cas échéant
- Preuve des ressources attribuées au système
Comment traiter le leadership dans Kimobox
- 1Publiez la politique de protection de la vie privée comme document maîtrisé, avec accusé de lecture.
- 2Attribuez un responsable à chaque traitement et à chaque risque directement dans le système.
- 3Préparez la revue de direction avec les violations et les demandes de la période déjà chargées.
L’accusé de lecture prouve que la politique est parvenue à ceux qui traitent les données.