Πολιτική Ιδιωτικότητας Παιδιών

Η Πολιτική Ιδιωτικότητας Παιδιών ορίζει υποχρεωτικές απαιτήσεις ιδιωτικότητας για επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορά παιδιά, υπηρεσίες που απευθύνονται σε παιδιά, υπηρεσίες στις οποίες είναι πιθανό να έχουν πρόσβαση παιδιά και άλλες δραστηριότητες επεξεργασίας όπου τα δεδομένα προσωπικού χαρακτήρα παιδιών απαιτούν ενισχυμένες δικλίδες ασφαλείας. Εφαρμόζεται σε πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, συμπεριλαμβανομένων ιστότοπων, εφαρμογών, παιχνιδιών, εκπαιδευτικών υπηρεσιών, διαδικτυακών πλατφορμών, συνδεδεμένων υπηρεσιών, πυλών πελατών, περιβαλλόντων μάθησης, κοινοτήτων και καναλιών υποστήριξης. Η πολιτική έχει σχεδιαστεί ώστε να διασφαλίζει ότι τα δεδομένα προσωπικού χαρακτήρα παιδιών αναγνωρίζονται, διέπονται, ελαχιστοποιούνται, εξηγούνται, προστατεύονται και τεκμηριώνονται μέσω δικλίδων ασφαλείας κατάλληλων για επεξεργασία που απευθύνεται σε παιδιά και είναι προσβάσιμη σε παιδιά. Κεντρικό χαρακτηριστικό της πολιτικής είναι η χρήση υφιστάμενων αντικειμένων τεκμηρίων του PIMS αντί ξεχωριστών μητρώων ειδικά για παιδιά. Η πολιτική απαιτεί την καταγραφή στο REG02 της κατάστασης ως υπηρεσίας που απευθύνεται σε παιδιά, της πιθανότητας πρόσβασης από παιδιά, των σκοπών, των κατηγοριών δεδομένων προσωπικού χαρακτήρα, των κατηγοριών υποκειμένων των δεδομένων προσωπικού χαρακτήρα, των αποδεκτών και των παραπομπών διατήρησης. Ο έλεγχος κινδύνου ιδιωτικότητας και οι αποφάσεις DPIA δρομολογούνται μέσω του REG04. Η συγκατάθεση, η έγκριση από το πρόσωπο που έχει τη γονική μέριμνα, η δρομολόγηση ανάκλησης και οι παραπομπές αποδείξεων συγκατάθεσης καταγράφονται στο REG05, όπου εφαρμόζεται. Τα αιτήματα άσκησης δικαιωμάτων που αφορούν παιδιά διαχειρίζονται μέσω του REG06, οι εκδόσεις ειδοποίησης φιλικής προς τα παιδιά μέσω του REG07, οι περιορισμοί για εκτελούντες την επεξεργασία και κοινοχρησία δεδομένων μέσω του REG08, τα τεκμήρια περιστατικών μέσω του REG10, και τα αρχεία ελέγχου, διορθωτικών ενεργειών και βελτίωσης μέσω του REG12. Η πολιτική παρέχει λεπτομερείς επιχειρησιακές απαιτήσεις για διαφάνεια φιλική προς τα παιδιά, συγκατάθεση, γονική ευθύνη, ελαχιστοποίηση, διατήρηση, συμμετοχή στην άσκηση δικαιωμάτων, προστασία της ιδιωτικότητας ήδη από τον σχεδιασμό και έλεγχο κοινολόγησης. Πριν από τη συλλογή δεδομένων προσωπικού χαρακτήρα παιδιών, οι Ιδιοκτήτες Διεργασιών ή οι Ιδιοκτήτες της επιχείρησης πρέπει να επιβεβαιώνουν ότι κάθε κατηγορία δεδομένων προσωπικού χαρακτήρα είναι αναγκαία για τον τεκμηριωμένο σκοπό και να ορίζουν τα ελάχιστα δεδομένα αξιολόγησης ηλικίας που απαιτούνται. Οι υπηρεσίες που απευθύνονται σε παιδιά πρέπει να εφαρμόζουν προεπιλεγμένες ρυθμίσεις που προστατεύουν την ιδιωτικότητα για προαιρετική συλλογή, ορατότητα, κοινοχρησία, εξατομίκευση και επικοινωνίες. Όταν τα δεδομένα προσωπικού χαρακτήρα παιδιών περιλαμβάνουν ειδικές κατηγορίες, ιδιαίτερα ευαίσθητες πληροφορίες, πληροφορίες τοποθεσίας, βιομετρικές, συμπεριφορικές, επικοινωνιακές, εκπαιδευτικές, υγείας ή σχετικές με την ασφάλεια, απαιτείται ανασκόπηση από τον Υπεύθυνο Προστασίας Δεδομένων ή τον Σύμβουλο Ιδιωτικότητας και καταγραφή στο REG04. Η πολιτική αντιμετωπίζει επίσης σενάρια υψηλότερου κινδύνου, όπως κατάρτιση προφίλ, ανάλυση συμπεριφοράς, εξατομίκευση με σημαντικές επιπτώσεις, αυτοματοποιημένες αποφάσεις, λειτουργίες συστάσεων, εικαζόμενη κακή χρήση, επιβλαβή κοινολόγηση, μη εξουσιοδοτημένη πρόσβαση, εκμετάλλευση, κίνδυνο σχετιζόμενο με προσέγγιση παιδιών για κακόβουλο σκοπό και άλλους κινδύνους δεδομένων προσωπικού χαρακτήρα που σχετίζονται με την ασφάλεια παιδιών. Τα ζητήματα αυτά δρομολογούνται μέσω διαδικασιών ανασκόπησης ιδιωτικότητας, χειρισμού περιστατικών ή διορθωτικών ενεργειών, χρησιμοποιώντας τα REG04, REG10 και REG12, όπως εφαρμόζεται. Για προμηθευτές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας και αποδέκτες κοινοχρησίας δεδομένων, ο Υπεύθυνος Προμηθευτών / Προμηθειών πρέπει να επιβεβαιώνει στο REG08 τεκμηριωμένους περιορισμούς που σχετίζονται με παιδιά, εντολές, εμπιστευτικότητα, προσδοκίες επιστροφής ή διαγραφής και υποχρεώσεις συνδρομής, πριν εγκριθεί η επεξεργασία δεδομένων προσωπικού χαρακτήρα παιδιών. Η διακυβέρνηση και η εποπτεία ορίζονται μέσω τριμηνιαίων ανασκοπήσεων τεκμηρίων, ελέγχων ετοιμότητας θέσης σε λειτουργία, ετήσιων ελέγχων, διαχείρισης εξαιρέσεων, εφαρμογής και ετήσιας ανασκόπησης πολιτικής. Ο Επικεφαλής Ιδιωτικότητας / Υπεύθυνος PIMS συντονίζει την πληρότητα των τεκμηρίων και την κλιμάκωση στα σχετικά αρχεία, ενώ η Ανώτατη Διοίκηση εγκρίνει την προσέγγιση ελέγχων ιδιωτικότητας παιδιών και ανασκοπεί συστημικές μη συμμορφώσεις. Η πολιτική υποστηρίζει λογοδοσία με ετοιμότητα για έλεγχο απαιτώντας μετρικές παρακολούθησης για δραστηριότητες επεξεργασίας που απευθύνονται σε παιδιά, ελέγχους αναγκαιότητας DPIA, ανοικτά ζητήματα ειδοποίησης ή συγκατάθεσης, ζητήματα εκτελούντων την επεξεργασία και κοινοχρησίας, επαναλαμβανόμενες μη συμμορφώσεις και αποτελεσματικότητα διορθωτικών ενεργειών, όλα καταγεγραμμένα στο REG12 με τεκμήρια προέλευσης από τα εφαρμοστέα μητρώα.