Πολιτική Διαχείρισης Συγκατάθεσης και Προτιμήσεων

Η Πολιτική Διαχείρισης Συγκατάθεσης και Προτιμήσεων ορίζει υποχρεωτικές απαιτήσεις για τον καθορισμό του πότε απαιτείται συγκατάθεση, την αίτηση συγκατάθεσης, τη λήψη τεκμηρίων συγκατάθεσης, τη διαχείριση προτιμήσεων, την επεξεργασία ανακλήσεων, τη διατήρηση αρχείων συγκατάθεσης και την ανασκόπηση μηχανισμών συγκατάθεσης. Εφαρμόζεται στην επεξεργασία δεδομένων προσωπικού χαρακτήρα όταν η συγκατάθεση επιλέγεται ή απαιτείται ως νομική βάση, όταν απαιτείται ρητή συγκατάθεση, όταν συλλέγονται προτιμήσεις συγκατάθεσης ή όταν ο οργανισμός διαχειρίζεται αρχεία συγκατάθεσης για λογαριασμό υπευθύνου επεξεργασίας. Η πολιτική καλύπτει πλαίσια υπευθύνου επεξεργασίας, από κοινού υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας, διευκρινίζοντας παράλληλα ότι οι υποχρεώσεις εκτελούντος την επεξεργασία και υπεργολάβου επεξεργασίας εφαρμόζονται μόνο όταν τα αρχεία συγκατάθεσης, οι καταστάσεις προτιμήσεων ή οι οδηγίες ανάκλησης διαχειρίζονται βάσει τεκμηριωμένων εντολών υπευθύνου επεξεργασίας ή εντολών πελάτη. Κεντρική αρχή της πολιτικής είναι ότι η συγκατάθεση δεν αποτελεί την προεπιλεγμένη νομική βάση για την επεξεργασία δεδομένων προσωπικού χαρακτήρα. Προτού μια νέα ή ουσιωδώς τροποποιημένη δραστηριότητα επεξεργασίας βασιστεί στη συγκατάθεση, ο Ιδιοκτήτης Διεργασίας ή ο Ιδιοκτήτης της Επιχείρησης πρέπει να καταγράφει στο REG02 αν η συγκατάθεση απαιτείται ή επιλέγεται, και ο Επικεφαλής Ιδιωτικότητας ή ο Υπεύθυνος PIMS πρέπει να επαληθεύει στο REG02 και στο REG05 ότι η συγκατάθεση δεν έχει επιλεγεί ως προεπιλογή. Όταν η επεξεργασία περιλαμβάνει ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα, υπηρεσίες που απευθύνονται σε παιδιά, επεξεργασία υψηλού κινδύνου ή ανισορροπία μεταξύ του οργανισμού και του υποκειμένου των δεδομένων προσωπικού χαρακτήρα, ο Υπεύθυνος Προστασίας Δεδομένων ή ο Σύμβουλος Ιδιωτικότητας πρέπει να ανασκοπεί τη βάση συγκατάθεσης στο REG04 πριν από τη θέση σε λειτουργία. Για δραστηριότητες από κοινού υπευθύνου επεξεργασίας, η ευθύνη για τη λήψη, καταγραφή, ανανέωση και τήρηση της συγκατάθεσης πρέπει να τεκμηριώνεται πριν από την έναρξη της επεξεργασίας. Η πολιτική θέτει λεπτομερείς επιχειρησιακές απαιτήσεις για την αίτηση και τη λήψη συγκατάθεσης. Τα αιτήματα συγκατάθεσης πρέπει να είναι ειδικά ως προς τον σκοπό και να συνδέονται με την εφαρμοστέα έκδοση ειδοποίησης ιδιωτικότητας του REG07 πριν παρουσιαστούν στο υποκείμενο των δεδομένων προσωπικού χαρακτήρα. Τα συστήματα πρέπει να απαιτούν θετική ενέργεια όταν απαιτείται ρητή συγκατάθεση ή συγκατάθεση opt-in και πρέπει να αποτρέπουν τη συνέχιση επεξεργασίας που βασίζεται σε συγκατάθεση, εκτός εάν το REG05 εμφανίζει ενεργή κατάσταση συγκατάθεσης για τον σχετικό σκοπό. Το REG05 πρέπει να καταγράφει την αναφορά του υποκειμένου των δεδομένων προσωπικού χαρακτήρα, τον σκοπό, την κατηγορία δεδομένων προσωπικού χαρακτήρα, τη διατύπωση ή την έκδοση συγκατάθεσης, την έκδοση ειδοποίησης ιδιωτικότητας, τον δίαυλο λήψης, τη χρονοσήμανση, τη μέθοδο, την κατάσταση και την εφαρμοστέα περίοδο ισχύος. Όταν εφαρμόζεται συγκατάθεση σε υπηρεσίες που απευθύνονται σε παιδιά ή ρητή συγκατάθεση, ενεργοποιούνται πρόσθετες απαιτήσεις λογικής, σήμανσης και ανασκόπησης. Η διαχείριση προτιμήσεων και ανακλήσεων διέπεται επίσης μέσω του REG05 και, όπου εφαρμόζεται, του REG08. Ένας μηχανισμός ανάκλησης ή αλλαγής προτιμήσεων πρέπει να είναι διαθέσιμος το αργότερο στο σημείο όπου ζητείται η συγκατάθεση. Οι ανακλήσεις και οι αλλαγές προτιμήσεων πρέπει να καταγράφονται εντός πέντε εργάσιμων ημερών από την παραλαβή τους ή εντός συντομότερου χρονικού πλαισίου που έχει οριστεί για τη δραστηριότητα επεξεργασίας. Τα επηρεαζόμενα συστήματα, οι καταστάσεις καταστολής ή οι σημαίες προτιμήσεων πρέπει να επικαιροποιούνται πριν συνεχιστεί περαιτέρω επεξεργασία για τον ανακληθέντα ή περιορισμένο σκοπό. Οι εκτελούντες την επεξεργασία πρέπει να διαβιβάζουν ή να υλοποιούν εντολές πελάτη εντός του χρονικού πλαισίου που έχει ορίσει ο πελάτης, και οι υπεργολάβοι επεξεργασίας πρέπει να επαληθεύονται μέσω του REG08 έναντι συμβατικών ή δοθέντων χρονικών πλαισίων. Η πολιτική καλύπτει επίσης τον έλεγχο αλλαγών, την προστασία αρχείων, τη διακυβέρνηση, την εφαρμογή, τις μετρικές, τις εξαιρέσεις, την εφαρμογή της πολιτικής και τη συντήρηση. Η συγκατάθεση πρέπει να επαναξιολογείται πριν συνεχιστεί η επεξεργασία όταν μεταβάλλονται ουσιωδώς ο σκοπός, οι κατηγορίες δεδομένων προσωπικού χαρακτήρα, η ταυτότητα του υπευθύνου επεξεργασίας, η διατύπωση ειδοποίησης, η διατήρηση, η κατηγορία αποδεκτών ή η μέθοδος επεξεργασίας. Η διατύπωση συγκατάθεσης, η διαμόρφωση μηχανισμού, οι αναφορές ειδοποιήσεων και τα σχήματα αρχείων συγκατάθεσης πρέπει να ελέγχονται ως προς την έκδοση. Τα αρχεία REG05 πρέπει να προστατεύονται από μη εξουσιοδοτημένη μεταβολή, και πρέπει να διατηρούνται τεκμήρια διαδρομής ελέγχου. Οι μετρικές περιλαμβάνουν τριμηνιαίους ελέγχους σύνδεσης μεταξύ REG05, REG02 και REG07, μηνιαία μέτρηση ολοκλήρωσης ανακλήσεων όπου είναι ενεργή επεξεργασία βάσει συγκατάθεσης, και αναφορά ελέγχου στο REG12. Οι εξαιρέσεις πρέπει να εγκρίνονται πριν από την υλοποίηση, και οι μη συμμορφώσεις που αφορούν ελλιπή, άκυρα, μη συνδεδεμένα ή μη αξιόπιστα τεκμήρια συγκατάθεσης πρέπει να καταγράφονται εντός πέντε εργάσιμων ημερών.