Politika správy souhlasu a preferencí

Politika správy souhlasu a preferencí definuje povinné požadavky pro určení, kdy je souhlas vyžadován, pro vyžadování souhlasu, zachycení důkazů o souhlasu, správu preferencí, zpracování odvolání souhlasu, vedení záznamů o souhlasu a přezkum mechanismů souhlasu. Vztahuje se na zpracování PII, kde je souhlas zvolen nebo vyžadován jako právní základ, kde je vyžadován výslovný souhlas, kde jsou zachycovány preference souhlasu nebo kde organizace spravuje záznamy o souhlasu jménem správce. Politika pokrývá kontexty správce, společného správce, zpracovatele a dílčího zpracovatele a současně jasně stanoví, že povinnosti zpracovatele a dílčího zpracovatele se použijí pouze tam, kde jsou záznamy o souhlasu, stavy preferencí nebo pokyny k odvolání souhlasu spravovány podle dokumentovaných pokynů správce nebo pokynů zákazníka. Ústřední zásadou této politiky je, že souhlas není výchozím právním základem pro zpracování PII. Než se nová nebo významně změněná činnost zpracování začne opírat o souhlas, vlastník procesu nebo vlastník společnosti musí v REG02 zaznamenat, zda je souhlas vyžadován nebo zvolen, a vedoucí ochrany soukromí nebo manažer PIMS musí v REG02 a REG05 ověřit, že souhlas nebyl zvolen jako výchozí možnost. Pokud zpracování zahrnuje zvláštní kategorie PII, služby určené dětem, vysoce rizikové zpracování nebo nerovnováhu mezi organizací a subjektem PII, pověřenec pro ochranu osobních údajů nebo poradce pro ochranu soukromí musí před spuštěním přezkoumat základ souhlasu v REG04. U činností společného správce musí být odpovědnost za získání, zaznamenání, obnovení a respektování souhlasu dokumentována před zahájením zpracování. Politika stanoví podrobné provozní požadavky na žádost o souhlas a jeho zachycení. Žádosti o souhlas musí být specifické pro účel a před předložením subjektu PII propojené s příslušnou verzí oznámení o ochraně osobních údajů v REG07. Systémy musí vyžadovat potvrzující úkon tam, kde je vyžadován výslovný souhlas nebo opt-in souhlas, a musí zabránit tomu, aby zpracování založené na souhlasu pokračovalo, pokud REG05 neuvádí aktivní stav souhlasu pro příslušný účel. REG05 musí zachycovat referenci subjektu PII, účel, kategorii PII, znění nebo verzi souhlasu, verzi oznámení o ochraně osobních údajů, kanál zachycení, časové razítko, metodu, stav a použitelnou dobu platnosti. Pokud se uplatní souhlas určený dětem nebo výslovný souhlas, spouštějí se další požadavky na logiku, označení a přezkum. Správa preferencí a odvolání souhlasu je rovněž řízena prostřednictvím REG05 a případně REG08. Mechanismus odvolání souhlasu nebo změny preferencí musí být dostupný nejpozději v okamžiku, kdy je souhlas vyžadován. Odvolání souhlasu a změny preferencí musí být zaznamenány do pěti pracovních dnů od přijetí nebo v kratší lhůtě stanovené pro danou činnost zpracování. Dotčené systémy, stavy potlačení nebo příznaky preferencí musí být aktualizovány předtím, než bude pokračovat další zpracování pro účel, u něhož byl souhlas odvolán nebo který byl omezen. Zpracovatelé musí předat nebo provést pokyny zákazníka ve lhůtě stanovené zákazníkem a u dílčích zpracovatelů musí být prostřednictvím REG08 ověřen soulad se smluvními nebo instruovanými lhůtami. Politika se také zabývá řízením změn, ochranou záznamů, správou a řízením, implementací, metrikami, výjimkami, prosazováním požadavků a údržbou. Souhlas musí být znovu posouzen před pokračováním zpracování, pokud se významně změní účel, kategorie PII, totožnost správce, znění oznámení, uchovávání, kategorie příjemců nebo metoda zpracování. Znění souhlasu, konfigurace mechanismu, odkazy na oznámení a schémata záznamů o souhlasu musí být verzovány. Záznamy REG05 musí být chráněny proti neoprávněné změně a musí být udržovány důkazy auditní stopy. Metriky zahrnují čtvrtletní kontroly propojení mezi REG05, REG02 a REG07, měsíční měření dokončení odvolání souhlasu tam, kde je aktivní zpracování založené na souhlasu, a auditní vykazování v REG12. Výjimky musí být schváleny před implementací a neshody zahrnující chybějící, neplatné, nepropojené nebo nespolehlivé důkazy o souhlasu musí být zaznamenány do pěti pracovních dnů.