Compétences et sensibilisation (7.2 et 7.3)
La formation vise les postes qui manipulent des données : le service client qui reçoit les demandes d’exercice des droits, les ressources humaines, l’informatique. Il faut conserver la preuve des compétences et vérifier que la sensibilisation se traduit dans les comportements.
Communication (7.4)
L’organisme décide de ce qu’il communique sur la protection de la vie privée, à qui et quand, y compris les échanges avec les autorités de contrôle et les clients. Une violation de données n’est pas le moment d’improviser qui prend la parole.
Informations documentées (7.5)
Politiques, procédures et enregistrements doivent être identifiés, revus, protégés et disponibles. Les enregistrements du système contiennent souvent eux-mêmes des données personnelles et nécessitent leurs propres règles d’accès et de conservation.
Ce que demande habituellement l’auditeur
- Plan de formation à la protection de la vie privée par poste
- Enregistrements de présence et d’évaluation de la formation
- Plan de communication, y compris la relation avec les autorités
- Maîtrise des versions et des accès de la documentation du PIMS
Comment traiter le support dans Kimobox
- 1Attribuez la formation à la protection de la vie privée depuis la matrice de formation par poste.
- 2Gérez politiques et procédures comme documents maîtrisés avec leur approbateur.
- 3Limitez par profil qui peut consulter les enregistrements contenant des données personnelles.
Le journal d’audit conserve qui a consulté ou modifié chaque document du système.