Nõusoleku ja eelistuste haldamise poliitika

Nõusoleku ja eelistuste haldamise poliitika määratleb kohustuslikud nõuded selle kindlaksmääramiseks, millal nõusolek on nõutav, nõusoleku taotlemiseks, nõusoleku tõendusmaterjali kogumiseks, eelistuste haldamiseks, nõusoleku tagasivõtmise töötlemiseks, nõusolekukirjete säilitamiseks ja nõusolekumehhanismide läbivaatamiseks. Seda kohaldatakse isikut tuvastava teabe töötlemisele, kui nõusolek on valitud või nõutav õigusliku alusena, kui nõutav on sõnaselge nõusolek, kui kogutakse nõusolekuga seotud eelistusi või kui organisatsioon haldab nõusolekukirjeid vastutava töötleja nimel. Poliitika hõlmab vastutava töötleja, kaasvastutava töötleja, volitatud töötleja ja alltöötleja kontekste, täpsustades, et volitatud töötleja ja alltöötleja kohustused kehtivad ainult juhul, kui nõusolekukirjeid, eelistuste olekuid või nõusoleku tagasivõtmise juhiseid hallatakse dokumenteeritud vastutava töötleja või kliendi juhiste alusel. Poliitika keskne põhimõte on, et nõusolek ei ole isikut tuvastava teabe töötlemise vaikimisi õiguslik alus. Enne kui uus või oluliselt muudetud töötlemistoiming tugineb nõusolekule, peab protsessiomanik või ettevõtte omanik registreerima REG02-s, kas nõusolek on nõutav või valitud, ning andmekaitsejuht või PIMS-i juht peab REG02-s ja REG05-s kontrollima, et nõusolekut ei ole valitud vaikimisi. Kui töötlemine hõlmab isikut tuvastava teabe eriliike, lastele suunatud teenuseid, kõrge riskiga töötlemist või tasakaalustamatust organisatsiooni ja isikuandmesubjekti vahel, peab andmekaitseametnik või andmekaitsenõustaja enne kasutuselevõttu REG04-s nõusoleku aluse läbi vaatama. Kaasvastutava töötleja tegevuste puhul tuleb vastutus nõusoleku hankimise, registreerimise, värskendamise ja järgimise eest dokumenteerida enne töötlemise algust. Poliitika sätestab üksikasjalikud operatiivsed nõuded nõusoleku taotlemisele ja kogumisele. Nõusolekutaotlused peavad olema eesmärgipõhised ja seotud kohaldatava REG07 privaatsusteate versiooniga enne nende esitamist isikuandmesubjektile. Süsteemid peavad nõudma kinnitavat tegevust, kui nõutav on sõnaselge nõusolek või opt-in-nõusolek, ning peavad takistama nõusolekule tugineva töötlemise jätkumist, kui REG05 ei näita asjaomase eesmärgi jaoks aktiivset nõusoleku staatust. REG05 peab hõlmama isikuandmesubjekti viidet, eesmärki, isikut tuvastava teabe kategooriat, nõusoleku sõnastust või versiooni, privaatsusteate versiooni, kogumiskanalit, ajatemplit, meetodit, staatust ja kohaldatavat kehtivusperioodi. Kui kohaldub lastele suunatud nõusolek või sõnaselge nõusolek, käivituvad täiendavad loogika-, märgistamis- ja läbivaatamisnõuded. Eelistuste ja nõusoleku tagasivõtmise haldamist reguleeritakse samuti REG05 ja vajaduse korral REG08 kaudu. Nõusoleku tagasivõtmise või eelistuste muutmise mehhanism peab olema kättesaadav hiljemalt hetkel, mil nõusolekut taotletakse. Nõusoleku tagasivõtmised ja eelistuste muudatused tuleb registreerida viie tööpäeva jooksul alates kättesaamisest või töötlemistoimingu jaoks määratletud lühema tähtaja jooksul. Mõjutatud süsteeme, blokeerimisolekuid või eelistuste tähiseid tuleb ajakohastada enne edasise töötlemise jätkamist tagasivõetud või piiratud eesmärgil. Volitatud töötlejad peavad kliendi juhised edastama või rakendama kliendi määratletud tähtaja jooksul ning alltöötlejaid tuleb REG08 kaudu kontrollida lepinguliste või juhistes määratud tähtaegade suhtes. Poliitika käsitleb ka muudatuste ohjet, kirjete kaitset, juhtimist, rakendamist, mõõdikuid, erandeid, rakendamist ja hooldust. Nõusolek tuleb enne töötlemise jätkamist uuesti hinnata, kui eesmärk, isikut tuvastava teabe kategooriad, vastutava töötleja identiteet, privaatsusteate sõnastus, säilitamine, vastuvõtja kategooria või töötlemismeetod oluliselt muutub. Nõusoleku sõnastus, mehhanismi konfiguratsioon, privaatsusteate viited ja nõusolekukirjete skeemid peavad olema versioonitud. REG05 kirjeid tuleb kaitsta loata muutmise eest ning auditijälje tõendusmaterjal tuleb säilitada. Mõõdikud hõlmavad REG05, REG02 ja REG07 vaheliste seoste kvartaalset kontrolli, igakuist nõusoleku tagasivõtmise lõpetamise mõõtmist juhul, kui nõusolekupõhine töötlemine on aktiivne, ning auditiaruandlust REG12-s. Erandid tuleb heaks kiita enne rakendamist ning puuduvast, kehtetust, sidumata või ebausaldusväärsest nõusoleku tõendusmaterjalist tulenevad mittevastavused tuleb registreerida viie tööpäeva jooksul.