Politik for børns databeskyttelse

Politikken for børns databeskyttelse definerer obligatoriske databeskyttelseskrav for behandling af PII, der involverer børn, børnerettede tjenester, tjenester, der sandsynligvis tilgås af børn, og andre behandlingsaktiviteter, hvor PII om børn kræver udvidede sikkerhedsforanstaltninger. Den gælder på tværs af kontekster med dataansvarlige, fælles dataansvarlige, databehandlere og underdatabehandlere, herunder websites, applikationer, spil, uddannelsestjenester, onlineplatforme, forbundne tjenester, kundeportaler, læringsmiljøer, fællesskaber og supportkanaler. Politikken er udformet med henblik på at sikre, at PII om børn identificeres, styres, minimeres, forklares, beskyttes og dokumenteres gennem sikkerhedsforanstaltninger, der er passende for børnerettet og børnetilgængelig behandling. Et centralt element i politikken er dens anvendelse af eksisterende PIMS-bevisobjekter frem for særskilte børnespecifikke registre. Politikken kræver, at børnerettet status, sandsynlighed for adgang fra børn, formål, PII-kategorier, kategorier af registrerede, modtagere og opbevaringsreferencer registreres i REG02. Screening af databeskyttelsesrisici og DPIA-beslutninger dirigeres gennem REG04. Samtykke, godkendelse fra forældremyndighedsindehaver, rute for tilbagetrækning af samtykke og referencer til samtykkekvittering registreres i REG05, hvor det er relevant. Rettighedsanmodninger, der involverer børn, håndteres gennem REG06, børnevenlige versioner af privatlivsmeddelelser gennem REG07, begrænsninger for databehandlere og datadeling gennem REG08, hændelsesdokumentation gennem REG10 og registreringer af revision, korrigerende handlinger og forbedringer gennem REG12. Politikken fastsætter detaljerede operationelle krav til børnevenlig gennemsigtighed, samtykke, forældreansvar, dataminimering, opbevaring, udøvelse af rettigheder, databeskyttelse gennem design og styring af videregivelse. Før PII om børn indsamles, skal processejere eller virksomhedsejere bekræfte, at hver PII-kategori er nødvendig for det dokumenterede formål, og definere de minimumsdata til aldersvurdering, der er nødvendige. Børnerettede tjenester skal anvende databeskyttende standardindstillinger for frivillig indsamling, synlighed, deling, personalisering og kommunikation. Når PII om børn omfatter særlige kategorier af personoplysninger, meget følsomme oplysninger, lokaliseringsdata, biometriske oplysninger, adfærdsdata, kommunikationsdata, uddannelsesoplysninger, helbredsoplysninger eller sikkerhedsrelaterede oplysninger, kræves gennemgang af en databeskyttelsesrådgiver (DPO) eller rådgiver inden for databeskyttelse, og gennemgangen registreres i REG04. Politikken behandler også scenarier med højere risiko såsom profilering, adfærdsanalyse, personalisering med væsentlige virkninger, automatiserede afgørelser, anbefalingsfunktioner, mistanke om misbrug, skadelig videregivelse, uautoriseret adgang, udnyttelse, risiko relateret til grooming og andre sikkerhedsrelaterede PII-risici, der involverer børn. Disse forhold dirigeres gennem databeskyttelsesgennemgang, håndtering af hændelser eller processer for korrigerende handlinger ved hjælp af REG04, REG10 og REG12, hvor det er relevant. For leverandører, databehandlere, underdatabehandlere og modtagere af datadeling skal den leverandør-/indkøbsansvarlige bekræfte dokumenterede børnerelaterede begrænsninger, instrukser, fortrolighed, forventninger til returnering eller sletning og bistandsforpligtelser i REG08, før behandling af PII om børn godkendes. Styring og tilsyn defineres gennem kvartalsvise dokumentationsgennemgange, kontroller af lanceringsberedskab, årlige revisioner, undtagelseshåndtering, håndhævelse og årlig gennemgang af politikken. Den ansvarlige for databeskyttelse/PIMS-ansvarlige koordinerer dokumentationens fuldstændighed og eskalering på tværs af de relevante registreringer, mens øverste ledelse godkender kontroltilgangen for børns databeskyttelse og gennemgår systemiske afvigelser. Politikken understøtter revisionsklar ansvarlighed ved at kræve overvågningsmetrikker for børnerettede behandlingsaktiviteter, DPIA-screeninger, åbne forhold vedrørende privatlivsmeddelelser eller samtykke, forhold vedrørende databehandlere og deling, tilbagevendende afvigelser og effektiviteten af korrigerende handlinger, alt registreret i REG12 med kildedokumentation fra de relevante registre.