Suostumuksen ja valinta-asetusten hallintapolitiikka

Suostumuksen ja valinta-asetusten hallintapolitiikka määrittää pakolliset vaatimukset sen määrittämiseen, milloin suostumusta edellytetään, suostumuksen pyytämiseen, suostumusnäytön keräämiseen, valinta-asetusten hallintaan, suostumuksen peruuttamisten käsittelyyn, suostumustallenteiden ylläpitoon ja suostumusmekanismien katselmointiin. Sitä sovelletaan henkilötietojen käsittelyyn, jossa suostumus valitaan tai sitä edellytetään oikeusperusteena, jossa nimenomaista suostumusta edellytetään, jossa suostumukseen liittyviä valinta-asetuksia kerätään tai jossa organisaatio hallinnoi suostumustallenteita rekisterinpitäjän puolesta. Politiikka kattaa rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toimintaympäristöt ja selventää samalla, että henkilötietojen käsittelijän ja alikäsittelijän velvoitteita sovelletaan vain, kun suostumustallenteita, valinta-asetusten tiloja tai suostumuksen peruuttamisohjeita hallinnoidaan dokumentoitujen rekisterinpitäjän tai asiakkaan ohjeiden perusteella. Politiikan keskeinen periaate on, ettei suostumus ole henkilötietojen käsittelyn oletusarvoinen oikeusperuste. Ennen kuin uusi tai olennaisesti muuttunut käsittelytoimi perustuu suostumukseen, prosessin omistajan tai liiketoimintavastaavan tulee kirjata REG02:een, edellytetäänkö tai valitaanko suostumus. Tietosuojavastaavan tai PIMS-päällikön tulee varmistaa REG02:ssa ja REG05:ssä, ettei suostumusta ole valittu oletusarvoisesti. Kun käsittely sisältää erityisiä henkilötietoryhmiä, lapsille suunnattuja palveluja, korkean riskin käsittelyä tai epätasapainon organisaation ja rekisteröidyn välillä, tietosuojavastaavan tai tietosuojaneuvonantajan tulee katselmoida suostumusperuste REG04:ssä ennen käyttöönottoa. Yhteisrekisterinpitäjien toiminnassa vastuu suostumuksen hankkimisesta, kirjaamisesta, päivittämisestä ja noudattamisesta tulee dokumentoida ennen käsittelyn aloittamista. Politiikka asettaa yksityiskohtaiset operatiiviset vaatimukset suostumuksen pyytämiselle ja keräämiselle. Suostumuspyyntöjen tulee olla tarkoituskohtaisia, ja ne tulee liittää sovellettavaan REG07:n tietosuojaselosteen versioon ennen niiden esittämistä rekisteröidylle. Järjestelmien tulee edellyttää aktiivista toimenpidettä, kun nimenomaista tai opt-in-suostumusta vaaditaan, ja niiden tulee estää suostumukseen perustuvan käsittelyn eteneminen, ellei REG05 osoita aktiivista suostumustilaa kyseiseen tarkoitukseen. REG05:n tulee tallentaa rekisteröidyn viite, tarkoitus, henkilötietoluokka, suostumuksen sanamuoto tai versio, tietosuojaselosteen versio, keräyskanava, aikaleima, menetelmä, tila ja sovellettava voimassaoloaika. Kun kyse on lapsille suunnatusta suostumuksesta tai nimenomaisesta suostumuksesta, sovelletaan lisälogiikkaa, merkintöjä ja katselmointivaatimuksia. Valinta-asetusten ja suostumuksen peruuttamisen hallintaa ohjataan myös REG05:n ja soveltuvin osin REG08:n kautta. Suostumuksen peruuttamista tai valinta-asetuksen muuttamista koskevan mekanismin tulee olla käytettävissä viimeistään siinä vaiheessa, kun suostumusta pyydetään. Suostumuksen peruuttamiset ja valinta-asetusten muutokset tulee kirjata viiden työpäivän kuluessa vastaanottamisesta tai käsittelytoimelle määritellyssä lyhyemmässä määräajassa. Vaikutuksen kohteena olevat järjestelmät, estolistaustilat tai valinta-asetusten merkinnät tulee päivittää ennen kuin jatkokäsittelyä jatketaan peruutetun tai rajoitetun tarkoituksen osalta. Henkilötietojen käsittelijöiden tulee välittää tai toteuttaa asiakkaan ohjeet asiakkaan määrittämässä määräajassa, ja alikäsittelijät tulee varmentaa REG08:n kautta sopimusperusteisia tai ohjeistettuja määräaikoja vasten. Politiikka käsittelee myös muutoksenhallintaa, tallenteiden suojausta, hallinnointia, toteutusta, mittareita, poikkeuksia, soveltamista ja ylläpitoa. Suostumus tulee arvioida uudelleen ennen käsittelyn jatkamista, jos tarkoitus, henkilötietoluokat, rekisterinpitäjän identiteetti, tietosuojaselosteen sanamuoto, säilytys, vastaanottajaluokka tai käsittelymenetelmä muuttuu olennaisesti. Suostumuksen sanamuoto, mekanismin konfiguraatio, tietosuojaselosteen viittaukset ja suostumustallenteiden skeemat tulee versioida. REG05-tallenteet tulee suojata luvattomalta muuttamiselta, ja auditointijäljen näyttö tulee ylläpitää. Mittareihin kuuluvat REG05:n, REG02:n ja REG07:n välisten linkitysten neljännesvuosittaiset tarkastukset, kuukausittainen suostumuksen peruuttamisten valmistumisen mittaaminen, kun suostumukseen perustuva käsittely on aktiivista, sekä auditointiraportointi REG12:ssa. Poikkeukset tulee hyväksyä ennen toteutusta, ja puuttuvaan, virheelliseen, linkittämättömään tai epäluotettavaan suostumusnäyttöön liittyvät poikkeamat tulee kirjata viiden työpäivän kuluessa.