Hozzájárulás- és preferenciakezelési szabályzat

A Hozzájárulás- és preferenciakezelési szabályzat kötelező követelményeket határoz meg annak meghatározására, hogy mikor szükséges hozzájárulás, hogyan kell hozzájárulást kérni, hozzájárulási bizonyítékokat rögzíteni, preferenciákat kezelni, visszavonásokat feldolgozni, hozzájárulási nyilvántartásokat fenntartani és a hozzájárulási mechanizmusokat felülvizsgálni. A szabályzat azokra a PII-adatkezelésekre alkalmazandó, ahol a hozzájárulás jogalapként kerül kiválasztásra vagy előírásra, ahol kifejezett hozzájárulás szükséges, ahol hozzájárulási preferenciákat rögzítenek, vagy ahol a szervezet egy adatkezelő nevében kezel hozzájárulási nyilvántartásokat. A szabályzat lefedi az adatkezelői, közös adatkezelői, adatfeldolgozói és al-adatfeldolgozói kontextusokat, ugyanakkor egyértelművé teszi, hogy az adatfeldolgozói és al-adatfeldolgozói kötelezettségek csak akkor alkalmazandók, ha a hozzájárulási nyilvántartásokat, preferenciaállapotokat vagy visszavonási utasításokat dokumentált adatkezelői vagy ügyfélutasítások alapján kezelik. A szabályzat központi elve, hogy a hozzájárulás nem alapértelmezett jogalap a PII-adatkezeléshez. Mielőtt egy új vagy lényegesen módosított adatkezelési tevékenység hozzájárulásra támaszkodik, a folyamatgazdának vagy üzlettulajdonosnak a REG02-ben rögzítenie kell, hogy a hozzájárulás szükséges-e vagy kiválasztásra került-e, az adatvédelemért felelős vezetőnek vagy a PIMS-vezetőnek pedig a REG02-ben és a REG05-ben ellenőriznie kell, hogy a hozzájárulás nem alapértelmezés szerint került kiválasztásra. Ha az adatkezelés különleges PII-kategóriákat, gyermekeknek szóló szolgáltatásokat, magas kockázatú adatkezelést vagy a szervezet és a PII-alany közötti egyensúlyhiányt érint, az adatvédelmi tisztviselőnek vagy az adatvédelmi tanácsadónak az indulás előtt felül kell vizsgálnia a hozzájárulási jogalapot a REG04-ben. Közös adatkezelői tevékenységek esetén a hozzájárulás megszerzéséért, rögzítéséért, frissítéséért és tiszteletben tartásáért fennálló felelősséget az adatkezelés megkezdése előtt dokumentálni kell. A szabályzat részletes működési követelményeket állapít meg a hozzájáruláskérésre és -rögzítésre. A hozzájáruláskéréseknek célhoz kötöttnek kell lenniük, és a PII-alanynak történő bemutatás előtt kapcsolódniuk kell az alkalmazandó REG07 adatvédelmi tájékoztató verziójához. A rendszereknek tevőleges cselekményt kell megkövetelniük, ha kifejezett hozzájárulás vagy opt-in hozzájárulás szükséges, és meg kell akadályozniuk a hozzájáruláson alapuló adatkezelés folytatását, kivéve, ha a REG05 aktív hozzájárulási státuszt mutat az érintett célra. A REG05-nek rögzítenie kell a PII-alany hivatkozását, a célt, a PII-kategóriát, a hozzájárulási szöveget vagy verziót, az adatvédelmi tájékoztató verzióját, a rögzítési csatornát, az időbélyeget, a módszert, a státuszt és az alkalmazandó érvényességi időt. Gyermekeknek szóló hozzájárulás vagy kifejezett hozzájárulás esetén további logikai, jelölési és felülvizsgálati követelmények lépnek életbe. A preferencia- és visszavonáskezelés szintén a REG05-ön, illetve adott esetben a REG08-on keresztül szabályozott. A visszavonási vagy preferenciamódosítási mechanizmusnak legkésőbb a hozzájáruláskérés időpontjában rendelkezésre kell állnia. A visszavonásokat és preferenciamódosításokat a beérkezéstől számított öt munkanapon belül, vagy az adatkezelési tevékenységre meghatározott rövidebb határidőn belül rögzíteni kell. Az érintett rendszereket, marketingtiltólista-kezelési állapotokat vagy preferenciajelölőket frissíteni kell, mielőtt a további adatkezelés folytatódna egy visszavont vagy korlátozott cél tekintetében. Az adatfeldolgozóknak az ügyfélutasításokat az ügyfél által meghatározott határidőn belül továbbítaniuk vagy végrehajtaniuk kell, az al-adatfeldolgozókat pedig a REG08-on keresztül ellenőrizni kell a szerződéses vagy utasítás szerinti határidők alapján. A szabályzat kiterjed a változáskezelésre, a nyilvántartások védelmére, az irányításra, a végrehajtásra, a mutatókra, a kivételekre, a betartatásra és a karbantartásra is. A hozzájárulást újra kell értékelni, mielőtt az adatkezelés folytatódna, ha a cél, a PII-kategóriák, az adatkezelő személyazonossága, a tájékoztató szövegezése, a megőrzés, a címzetti kategória vagy az adatkezelés módszere lényegesen megváltozik. A hozzájárulási szövegezést, a mechanizmus konfigurációját, a tájékoztató-hivatkozásokat és a hozzájárulási nyilvántartási sémákat verziózni kell. A REG05 bejegyzéseit védeni kell a jogosulatlan módosítással szemben, és auditnyom-bizonyítékot kell fenntartani. A mutatók közé tartoznak a REG05, REG02 és REG07 közötti negyedéves kapcsolódás-ellenőrzés; a havi visszavonásteljesítési mérés, ahol hozzájáruláson alapuló adatkezelés aktív; valamint a REG12 szerinti auditjelentés. A kivételeket a végrehajtás előtt jóvá kell hagyni, és a hiányzó, érvénytelen, nem kapcsolt vagy megbízhatatlan hozzájárulási bizonyítékokat érintő meg nem feleléseket öt munkanapon belül rögzíteni kell.