Gyermekek adatvédelmi szabályzata

A Gyermekek adatvédelmi szabályzata kötelező adatvédelmi követelményeket határoz meg a gyermekeket érintő PII-adatkezelésre, a gyermekeknek szóló szolgáltatásokra, a gyermekek által valószínűsíthetően igénybe vett szolgáltatásokra, valamint más olyan adatkezelési tevékenységekre, amelyekben a gyermekekre vonatkozó PII megerősített védelmi intézkedéseket igényel. A szabályzat az adatkezelői, közös adatkezelői, adatfeldolgozói és al-adatfeldolgozói környezetekre egyaránt alkalmazandó, ideértve a weboldalakat, alkalmazásokat, játékokat, oktatási szolgáltatásokat, online platformokat, kapcsolt szolgáltatásokat, ügyfélportálokat, tanulási környezeteket, közösségeket és támogatási csatornákat. A szabályzat célja annak biztosítása, hogy a gyermekekre vonatkozó PII azonosítása, irányítása, minimalizálása, magyarázata, védelme és bizonyítása a gyermekeknek szóló és a gyermekek számára hozzáférhető adatkezeléshez igazodó védelmi intézkedésekkel történjen. A szabályzat központi eleme, hogy külön gyermekspecifikus nyilvántartások helyett a meglévő PIMS bizonyítékobjektumokra támaszkodik. A szabályzat előírja, hogy a gyermekeknek szóló státuszt, a gyermekek általi hozzáférés valószínűségét, a célokat, a PII-kategóriákat, a PII-alanyi kategóriákat, a címzetteket és a megőrzési hivatkozásokat a REG02-ben kell rögzíteni. Az adatvédelmi kockázati előszűrést és a DPIA-döntéseket a REG04-en keresztül kell kezelni. A hozzájárulást, a szülői hozzájárulást, a visszavonási útvonalat és a hozzájárulási igazolás hivatkozásait – ahol alkalmazandó – a REG05-ben kell rögzíteni. A gyermekeket érintő joggyakorlási kérelmeket a REG06-on keresztül kell kezelni, a gyermekbarát adatvédelmi tájékoztató verzióit a REG07-ben, az adatfeldolgozói és adatmegosztási korlátozásokat a REG08-ban, az incidensek bizonyító anyagait a REG10-ben, az audit-, helyesbítő intézkedési és fejlesztési bejegyzéseket pedig a REG12-ben. A szabályzat részletes működési követelményeket határoz meg a gyermekbarát átláthatóságra, a hozzájárulásra, a szülői felelősségre, az adattakarékosságra, a megőrzésre, a joggyakorlásban való részvételre, a beépített adatvédelemre és az adatközlés szabályozására. A gyermekekre vonatkozó PII gyűjtése előtt a folyamatgazdáknak vagy üzlettulajdonosoknak meg kell erősíteniük, hogy minden PII-kategória szükséges a dokumentált célhoz, és meg kell határozniuk az életkor megállapításához szükséges minimális adatokat. A gyermekeknek szóló szolgáltatásoknak adatvédelmet erősítő alapértelmezett beállításokat kell alkalmazniuk az opcionális gyűjtés, láthatóság, megosztás, személyre szabás és kommunikáció tekintetében. Ha a gyermekekre vonatkozó PII különleges kategóriájú, kiemelten érzékeny, helyadatokra, biometrikus azonosításra, viselkedésre, kommunikációra, oktatásra, egészségre vagy biztonságra vonatkozó információkat érint, az adatvédelmi tisztviselő vagy adatvédelmi tanácsadó felülvizsgálata szükséges, és azt a REG04-ben kell rögzíteni. A szabályzat kezeli a magasabb kockázatú forgatókönyveket is, például a profilalkotást, a viselkedéselemzést, a jelentős hatású személyre szabást, az automatizált döntéseket, az ajánlórendszeri funkciókat, a feltételezett visszaélést, a káros adatközlést, a jogosulatlan hozzáférést, a kizsákmányolást, a groominghoz kapcsolódó kockázatot és a gyermekeket érintő egyéb, biztonsággal kapcsolatos PII-kockázatokat. Ezeket az ügyeket – az alkalmazandó helyzettől függően – adatvédelmi felülvizsgálati, incidenskezelési vagy helyesbítő intézkedési folyamatokon keresztül kell kezelni a REG04, REG10 és REG12 használatával. A beszállítók, adatfeldolgozók, al-adatfeldolgozók és adatmegosztási címzettek esetében a beszállítói / beszerzési felelősnek a gyermekekre vonatkozó PII-adatkezelés engedélyezése előtt meg kell erősítenie a dokumentált gyermekekkel kapcsolatos korlátozásokat, utasításokat, titoktartást, visszaszolgáltatási vagy törlési elvárásokat és segítségnyújtási kötelezettségeket a REG08-ban. Az irányítás és a felügyelet negyedéves bizonyíték-felülvizsgálatok, indítás előtti felkészültségi ellenőrzések, éves auditok, kivételkezelés, betartatás és éves szabályzat-felülvizsgálat útján kerül meghatározásra. Az adatvédelmi vezető / PIMS-vezető koordinálja a bizonyító anyagok teljességét és az eszkalációt a releváns nyilvántartások között, míg a felső vezetés jóváhagyja a gyermekek adatvédelmére vonatkozó kontrollmegközelítést és felülvizsgálja a rendszerszintű meg nem feleléseket. A szabályzat támogatja az auditra való felkészültséget és az elszámoltathatóságot azáltal, hogy a gyermekeknek szóló adatkezelési tevékenységek, a DPIA-előszűrések, a nyitott tájékoztatási vagy hozzájárulási ügyek, az adatfeldolgozói és megosztási problémák, az ismétlődő meg nem felelések és a helyesbítő intézkedések hatékonysága tekintetében mérőszámok nyomon követését írja elő, amelyeket a REG12-ben kell rögzíteni az alkalmazandó nyilvántartásokból származó forrásbizonyítékokkal.