ISO/IEC29151標準披露分包的PII處置

目標

確保PII處理者向PII控制者披露任何分包商的使用情況。

PII處理者使用分包商處理PII，應(yīng)事先向PII控制者披露。

應(yīng)在PII處理者與PII控制者之間的合同中約定使用分包商處理PII的規(guī)則。

合同中應(yīng)規(guī)定分包商只能在獲得PII控制人的事先授權(quán)的情況下進行外包。

PII處理者應(yīng)及時通知PII控制者有關(guān)此方面的任何預(yù)期變更，以便PII控制者有能力反對此類變更或終止同意。

披露的信息應(yīng)包括：使用分包的情況和相關(guān)分包商的名稱，但不包括任何特定的業(yè)務(wù)細節(jié)。

披露的信息還應(yīng)包括分包商可能處理數(shù)據(jù)的國家和分包商有義務(wù)達到或超過PII處理者義務(wù)的方式。

在評估分包商信息的公開披露所增加安全風(fēng)險沒有超出可接受的范圍內(nèi),應(yīng)根據(jù)保密協(xié)議或應(yīng)PII控制者的要求進行披露。應(yīng)使PII控制者知道分包商信息是可用的。