Lasten tietosuojapolitiikka

Lasten tietosuojapolitiikka määrittää pakolliset tietosuojavaatimukset henkilötietojen käsittelylle, joka koskee lapsia, lapsille suunnattuja palveluja, palveluja, joihin lapset todennäköisesti pääsevät, sekä muita käsittelytoimia, joissa lasten henkilötiedot edellyttävät tehostettuja suojatoimia. Sitä sovelletaan rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän konteksteissa, mukaan lukien verkkosivustot, sovellukset, pelit, koulutuspalvelut, verkkoalustat, verkkoon liitetyt palvelut, asiakasportaalit, oppimisympäristöt, yhteisöt ja tukikanavat. Politiikan tarkoituksena on varmistaa, että lasten henkilötiedot tunnistetaan, hallinnoidaan, minimoidaan, selitetään, suojataan ja osoitetaan todentavalla aineistolla käyttämällä lapsille suunnattuun ja lasten käytettävissä olevaan käsittelyyn soveltuvia suojatoimia. Politiikan keskeinen piirre on tukeutuminen olemassa oleviin PIMS-näyttöobjekteihin erillisten lapsikohtaisten rekisterien sijaan. Politiikka edellyttää, että lapsille suunnattu tila, lasten pääsyn todennäköisyys, tarkoitukset, henkilötietoluokat, rekisteröityjen ryhmät, vastaanottajat ja säilytysviitteet kirjataan REG02:een. Tietosuojariskien esiarviointi ja DPIA-päätökset ohjataan REG04:n kautta. Suostumus, vanhempainvastuunkantajan valtuutus, suostumuksen peruuttamisreititys ja suostumuksen vastaanottokuittausten viitteet kirjataan soveltuvin osin REG05:een. Lapsia koskevat rekisteröidyn oikeuksia koskevat pyynnöt hallitaan REG06:n kautta, lapsiystävälliset tietosuojaselosteversiot REG07:n kautta, henkilötietojen käsittelijöitä ja tietojen jakamista koskevat rajoitukset REG08:n kautta, poikkeamia koskeva todentava aineisto REG10:n kautta sekä auditointi-, korjaavien toimenpiteiden ja parantamisen tallenteet REG12:n kautta. Politiikka sisältää yksityiskohtaiset operatiiviset vaatimukset lapsiystävälliselle läpinäkyvyydelle, suostumukselle, vanhempainvastuulle, minimoinnille, säilytykselle, oikeuksien käyttämiseen osallistumiselle, sisäänrakennetulle tietosuojalle ja luovutusten hallinnalle. Ennen lasten henkilötietojen keräämistä prosessien omistajien tai liiketoimintavastaavien on vahvistettava, että kukin henkilötietoluokka on tarpeellinen dokumentoitua tarkoitusta varten, ja määritettävä vähimmäismäärä iän arvioinnin tietoja. Lapsille suunnatuissa palveluissa on sovellettava tietosuojaa suojaavia oletusasetuksia valinnaiseen keräämiseen, näkyvyyteen, jakamiseen, personointiin ja viestintään. Kun lasten henkilötiedot sisältävät erityisiin henkilötietoryhmiin kuuluvia, erittäin arkaluonteisia, sijainti-, biometrisiä, käyttäytymiseen liittyviä, viestintää koskevia, koulutukseen, terveyteen tai turvallisuuteen liittyviä tietoja, vaaditaan tietosuojavastaavan tai tietosuojaneuvonantajan katselmointi, joka kirjataan REG04:ään. Politiikka käsittelee myös korkeamman riskin tilanteita, kuten profilointia, käyttäytymisanalyysiä, merkittäviä vaikutuksia aiheuttavaa personointia, automaattisia päätöksiä, suosittelutoimintoja, epäiltyä väärinkäyttöä, haitallista luovutusta, luvatonta pääsyä, hyväksikäyttöä, grooming-toimintaan liittyvää riskiä ja muita lapsiin liittyviä henkilötietojen turvallisuusriskejä. Nämä asiat ohjataan tietosuojakatselmointiin, poikkeamien käsittelyyn tai korjaavien toimenpiteiden prosesseihin käyttäen soveltuvin osin REG04:ää, REG10:tä ja REG12:ta. Toimittajien, henkilötietojen käsittelijöiden, alikäsittelijöiden ja tietojen jakamisen vastaanottajien osalta toimittaja- tai hankintavastaavan on vahvistettava REG08:ssa dokumentoidut lapsiin liittyvät rajoitukset, ohjeet, luottamuksellisuus, palautus- tai poistamisodotukset ja avustamisvelvoitteet ennen kuin lasten henkilötietojen käsittely hyväksytään. Hallinnointi ja valvonta määritetään neljännesvuosittaisilla todentavan aineiston katselmoinneilla, käyttöönoton valmiustarkastuksilla, vuosittaisilla auditoinneilla, poikkeusten käsittelyllä, soveltamisella ja politiikan vuosittaisella katselmoinnilla. Tietosuojavastaava/PIMS-päällikkö koordinoi todentavan aineiston täydellisyyttä ja eskalointia asiaankuuluvissa tallenteissa, kun taas ylin johto hyväksyy lasten tietosuojakontrollien lähestymistavan ja katselmoi järjestelmätason poikkeamat. Politiikka tukee auditointivalmiutta ja osoitusvelvollisuutta edellyttämällä seurantamittareita lapsille suunnatuista käsittelytoimista, DPIA-esiarvioinneista, avoimista tietosuojaseloste- tai suostumusasioista, henkilötietojen käsittelijöihin ja jakamiseen liittyvistä asioista, toistuvista poikkeamista ja korjaavien toimenpiteiden vaikuttavuudesta. Kaikki kirjataan REG12:een, ja lähdeaineisto saadaan sovellettavista rekistereistä.