Politika upravljanja privolama i preferencijama

Politika upravljanja privolama i preferencijama definira obvezne zahtjeve za utvrđivanje kada je privola potrebna, traženje privole, prikupljanje dokaza o privoli, upravljanje preferencijama, obradu povlačenja, održavanje zapisa o privoli i pregled mehanizama privole. Primjenjuje se na obradu osobnih podataka (PII) kada je privola odabrana ili potrebna kao pravna osnova, kada je potrebna izričita privola, kada se prikupljaju preferencije privole ili kada organizacija upravlja zapisima o privoli u ime voditelja obrade. Politika obuhvaća kontekste voditelja obrade, zajedničkog voditelja obrade, izvršitelja obrade i podizvršitelja obrade, uz jasno određenje da se obveze izvršitelja obrade i podizvršitelja obrade primjenjuju samo kada se zapisima o privoli, stanjima preferencija ili uputama za povlačenje upravlja prema dokumentiranim uputama voditelja obrade ili uputama klijenta. Središnje načelo politike jest da privola nije zadana pravna osnova za obradu osobnih podataka (PII). Prije nego što se nova ili značajno izmijenjena aktivnost obrade oslanja na privolu, vlasnik procesa ili vlasnik poslovanja mora u REG02 evidentirati je li privola potrebna ili odabrana, a voditelj privatnosti ili voditelj PIMS-a mora u REG02 i REG05 provjeriti da privola nije odabrana prema zadanim postavkama. Kada obrada uključuje posebne kategorije osobnih podataka, usluge namijenjene djeci, obradu visokog rizika ili neravnotežu između organizacije i ispitanika, službenik za zaštitu podataka ili savjetnik za privatnost mora pregledati osnovu privole u REG04 prije pokretanja. Za aktivnosti zajedničkog voditelja obrade odgovornost za dobivanje, evidentiranje, obnavljanje i poštivanje privole mora biti dokumentirana prije početka obrade. Politika određuje detaljne operativne zahtjeve za zahtjev i prikupljanje privole. Zahtjevi za privolu moraju biti specifični za svrhu i povezani s primjenjivom verzijom obavijesti o privatnosti REG07 prije predstavljanja ispitaniku. Sustavi moraju zahtijevati potvrdnu radnju kada je potrebna izričita privola ili opt-in privola te moraju spriječiti nastavak obrade koja se oslanja na privolu ako REG05 ne prikazuje aktivan status privole za relevantnu svrhu. REG05 mora obuhvatiti referencu na ispitanika, svrhu, kategoriju osobnih podataka (PII), formulaciju ili verziju privole, verziju obavijesti o privatnosti, kanal prikupljanja, vremensku oznaku, metodu, status i primjenjivo razdoblje valjanosti. Kada se primjenjuje privola za usluge namijenjene djeci ili izričita privola, aktiviraju se dodatni zahtjevi za logiku, označavanje i pregled. Upravljanje preferencijama i povlačenjem također se uređuje putem REG05 i, gdje je primjenjivo, REG08. Mehanizam za povlačenje ili promjenu preferencija mora biti dostupan najkasnije u trenutku kada se privola traži. Povlačenja i promjene preferencija moraju se evidentirati u roku od pet radnih dana od primitka ili u kraćem roku definiranom za aktivnost obrade. Zahvaćeni sustavi, stanja suzbijanja ili oznake preferencija moraju se ažurirati prije nastavka daljnje obrade za povučenu ili ograničenu svrhu. Izvršitelji obrade moraju proslijediti ili provesti upute klijenta u roku koji je definirao klijent, a podizvršitelji obrade moraju se provjeriti putem REG08 u odnosu na ugovorne ili naložene rokove. Politika se također bavi kontrolom promjena, zaštitom zapisa, upravljanjem, implementacijom, metrikama, iznimkama, provedbom i održavanjem. Privola se mora ponovno procijeniti prije nastavka obrade kada se svrha, kategorije osobnih podataka (PII), identitet voditelja obrade, formulacija obavijesti, zadržavanje, kategorije primatelja ili metoda obrade značajno promijene. Formulacija privole, konfiguracija mehanizma, reference na obavijesti i sheme zapisa o privoli moraju biti verzionirani. Zapisi REG05 moraju biti zaštićeni od neovlaštene izmjene, a dokazi revizijskog traga moraju se održavati. Metrike uključuju tromjesečne provjere povezanosti između REG05, REG02 i REG07; mjesečno mjerenje dovršetka povlačenja kada je aktivna obrada temeljena na privoli; te revizijsko izvješćivanje u REG12. Iznimke moraju biti odobrene prije implementacije, a nesukladnosti koje uključuju nedostajuće, nevaljane, nepovezane ili nepouzdane dokaze o privoli moraju se evidentirati u roku od pet radnih dana.