Richtlinie für Datenschutz und Vertraulichkeit
Geltungsbereich
Diese Richtlinie gilt für die personenbezogenen Daten, die RODMENA LIMITED als Verantwortlicher für das eigene Geschäft und als Auftragsverarbeiter für seine Kunden verarbeitet. Wir halten UK GDPR und den Data Protection Act 2018 ein. Wenn wir Gesundheits- und Pflegedaten verarbeiten, wenden wir zusätzlich die Caldicott Principles an.
So schützen wir personenbezogene Daten
- Wir erheben nur die personenbezogenen Daten, die eine Aufgabe erfordert.
- Zugriff erhalten nur Personen, deren Arbeit ihn erfordert, und wir überprüfen diesen Zugriff, wenn sich eine Rolle oder eine Beauftragung ändert.
- Personenbezogene Daten werden bei der Übertragung verschlüsselt. Laptops, Telefone und andere tragbare Geräte nutzen eine vollständige Festplattenverschlüsselung.
- Wir speichern personenbezogene Daten so lange, wie es der Zweck erfordert, für den wir sie erhoben haben, und löschen sie danach sicher.
- Unsere Datenschutzerklärung erklärt, was wir mit den Daten der Betroffenen tun.
Neue Projekte und Änderungen
Bevor ein Projekt, ein System oder eine Änderung mit personenbezogenen Daten beginnt, führen wir eine Vorprüfung durch. Zeigt sie ein voraussichtlich hohes Risiko für Betroffene, führen wir vor Beginn der Verarbeitung eine Datenschutz-Folgenabschätzung (DPIA) nach den Leitlinien des ICO durch. Der Director genehmigt jede DPIA und bewahrt sie auf.
Rechte der betroffenen Personen
Betroffene können ihre Rechte per E-Mail an gdpr@rodmena.co.uk ausüben, und wir antworten innerhalb eines Monats. Löschanträge können auch an rtbf@rodmena.co.uk gerichtet werden.
Gesundheits- und Pflegedaten
Wenn wir Daten des NHS oder der Sozialpflege verarbeiten, wenden wir das National Data Opt-out nach Weisung des Verantwortlichen an. Wir füllen jedes Jahr das NHS Data Security and Protection Toolkit aus, und das Trust Center zeigt unsere aktuelle Bewertung.
Datenschutzverletzungen
Wer eine Datenschutzverletzung oder einen Beinahe-Vorfall vermutet, informiert sofort den Director und schreibt an security@rodmena.co.uk. Der Director dämmt den Vorfall ein, sichert die Protokolle und dokumentiert, was geschehen ist, welche Daten und wie viele Personen betroffen waren und was unternommen wurde. Jede Datenschutzverletzung und jeder Beinahe-Vorfall wird dokumentiert, unabhängig davon, ob eine Meldepflicht besteht.
Als Verantwortlicher melden wir dem ICO innerhalb von 72 Stunden, nachdem uns eine Verletzung bekannt geworden ist, die voraussichtlich ein Risiko für Personen darstellt, und wir benachrichtigen die Betroffenen unverzüglich, wenn für sie ein hohes Risiko besteht. Als Auftragsverarbeiter informieren wir den Verantwortlichen unverzüglich.
Vertraulichkeit
Alle, die für RODMENA arbeiten, behandeln personenbezogene Daten und Kundeninformationen vertraulich, während ihrer Tätigkeit für uns und nach dem Ende ihrer Beauftragung.
Geräte
- Arbeitsgeräte nutzen eine vollständige Festplattenverschlüsselung und sperren den Bildschirm automatisch.
- Ein privates Telefon oder ein privater Computer darf für die Arbeit für RODMENA nur genutzt werden, wenn das Gerät eine Bildschirmsperre, aktuelle Updates und eine vollständige Festplattenverschlüsselung hat und die Unternehmenskonten darauf Multi-Faktor-Authentifizierung verwenden. Unternehmensdaten bleiben in den Apps des Unternehmens und werden nicht in den eigenen Speicher des Geräts kopiert. Der Director kann das Gerät jederzeit von den Unternehmenskonten abmelden.
- Ein verlorenes oder gestohlenes Gerät wird sofort dem Director gemeldet. Der Director meldet es von den Unternehmenskonten ab, ändert alle Passwörter und Schlüssel, die darauf gespeichert waren, und entscheidet, ob der Verlust eine meldepflichtige Datenschutzverletzung ist.
- Bevor ein Gerät das Unternehmen verlässt, wird sein Speicher sicher gelöscht oder sein Verschlüsselungsschlüssel vernichtet. Der Director trägt das Gerät, das Datum und die Methode in das Inventarverzeichnis ein.
- Arbeit für das Unternehmen wird nicht über öffentliches oder offenes WLAN erledigt, es sei denn, der Datenverkehr ist geschützt, zum Beispiel über den eigenen Hotspot eines Telefons.
Verantwortlichkeiten und Überprüfung
Der Director ist Inhaber dieser Richtlinie und im Unternehmen für Datensicherheit und Datenschutz verantwortlich. Die Richtlinie wird mindestens einmal jährlich und nach jeder Datenschutzverletzung überprüft.
Siehe auch: Informationssicherheitsrichtlinie · Datenschutzerklärung · Trust Center.