Política de Gestión del Consentimiento y Preferencias

La Política de Gestión del Consentimiento y Preferencias define requisitos obligatorios para determinar cuándo se requiere el consentimiento, solicitarlo, capturar evidencias de consentimiento, gestionar preferencias, tramitar retiradas, mantener registros de consentimiento y revisar mecanismos de consentimiento. Se aplica al tratamiento de datos personales cuando el consentimiento se selecciona o se exige como base jurídica, cuando se requiere consentimiento explícito, cuando se capturan preferencias de consentimiento o cuando la organización gestiona registros de consentimiento en nombre de un responsable del tratamiento. La política cubre contextos de responsable del tratamiento, corresponsable del tratamiento, encargado del tratamiento y subencargado del tratamiento, y deja claro que las obligaciones del encargado del tratamiento y del subencargado del tratamiento solo se aplican cuando los registros de consentimiento, los estados de preferencias o las instrucciones de retirada se gestionan conforme a instrucciones documentadas del responsable del tratamiento o del cliente. Un principio central de la política es que el consentimiento no es la base jurídica por defecto para el tratamiento de datos personales. Antes de que una actividad de tratamiento nueva o modificada sustancialmente se base en el consentimiento, el Propietario del Proceso o el propietario de la empresa debe registrar en REG02 si el consentimiento es requerido o seleccionado, y el Responsable de Privacidad o el Responsable del PIMS debe verificar en REG02 y REG05 que el consentimiento no se ha seleccionado por defecto. Cuando el tratamiento implique categorías especiales de datos personales, servicios dirigidos a menores, tratamiento de alto riesgo o un desequilibrio entre la organización y el interesado, el Delegado de Protección de Datos (DPO) o el Asesor de Privacidad debe revisar la base del consentimiento en REG04 antes del lanzamiento. Para las actividades de corresponsable del tratamiento, la responsabilidad de obtener, registrar, actualizar y respetar el consentimiento debe documentarse antes de que comience el tratamiento. La política establece requisitos operativos detallados para la solicitud y captura del consentimiento. Las solicitudes de consentimiento deben ser específicas para cada finalidad y estar vinculadas a la versión aplicable del aviso de privacidad de REG07 antes de su presentación al interesado. Los sistemas deben exigir una acción afirmativa cuando se requiera consentimiento explícito o aceptación expresa y deben impedir que prosiga el tratamiento basado en el consentimiento salvo que REG05 muestre un estado del consentimiento activo para la finalidad pertinente. REG05 debe capturar la referencia del interesado, la finalidad, la categoría de datos personales, la redacción o versión del consentimiento, la versión del aviso de privacidad, el canal de captura, la marca temporal, el método, el estado y el período de validez aplicable. Cuando se aplique el consentimiento dirigido a menores o el consentimiento explícito, se activan requisitos adicionales de lógica, marcado y revisión. La gestión de preferencias y retiradas también se rige a través de REG05 y, cuando proceda, de REG08. Debe estar disponible un mecanismo de retirada o cambio de preferencias a más tardar en el momento en que se solicite el consentimiento. Las retiradas y los cambios de preferencias deben registrarse en un plazo de cinco días hábiles desde su recepción o dentro de un plazo más breve definido para la actividad de tratamiento. Los sistemas afectados, los estados de exclusión o los indicadores de preferencias deben actualizarse antes de que continúe cualquier tratamiento posterior para una finalidad retirada o restringida. Los encargados del tratamiento deben remitir o aplicar las instrucciones del cliente dentro del plazo definido por el cliente, y los subencargados del tratamiento deben verificarse mediante REG08 frente a los plazos contractuales o instruidos. La política también aborda el control de cambios, la protección de registros, la gobernanza, la implementación, las métricas, las excepciones, la aplicación y el mantenimiento. El consentimiento debe reevaluarse antes de que continúe el tratamiento cuando cambien sustancialmente la finalidad, las categorías de datos personales, la identidad del responsable del tratamiento, la redacción del aviso, la conservación, la categoría de destinatarios o el método de tratamiento. La redacción del consentimiento, la configuración del mecanismo, las referencias del aviso y los esquemas de registros de consentimiento deben estar sujetos a control de versiones. Los registros de REG05 deben protegerse frente a alteraciones no autorizadas y deben mantenerse evidencias de la pista de auditoría. Las métricas incluyen comprobaciones trimestrales de vinculación entre REG05, REG02 y REG07; medición mensual de la finalización de retiradas cuando el tratamiento basado en el consentimiento está activo; e informes de auditoría en REG12. Las excepciones deben aprobarse antes de la implementación, y las no conformidades que impliquen evidencias de consentimiento ausentes, inválidas, no vinculadas o no fiables deben registrarse en un plazo de cinco días hábiles.