Politica di gestione del consenso e delle preferenze

La Politica di gestione del consenso e delle preferenze definisce requisiti obbligatori per determinare quando il consenso è richiesto, richiedere il consenso, acquisire le evidenze del consenso, gestire le preferenze, trattare le revoche, mantenere le registrazioni del consenso e riesaminare i meccanismi di consenso. Si applica al trattamento di dati personali quando il consenso è selezionato o richiesto come base giuridica, quando è richiesto il consenso esplicito, quando vengono acquisite preferenze di consenso o quando l’organizzazione gestisce le registrazioni del consenso per conto di un titolare del trattamento. La politica copre i contesti di titolare del trattamento, contitolare del trattamento, responsabile del trattamento e sub-responsabile, chiarendo che gli obblighi del responsabile del trattamento e del sub-responsabile si applicano solo quando le registrazioni del consenso, gli stati delle preferenze o le istruzioni di revoca sono gestiti in base a istruzioni documentate del titolare del trattamento o del cliente. Un principio centrale della politica è che il consenso non è la base giuridica predefinita per il trattamento di dati personali. Prima che una nuova attività di trattamento, o un’attività modificata in modo sostanziale, si basi sul consenso, il Proprietario del processo o il titolare dell’attività deve registrare in REG02 se il consenso è richiesto o selezionato; il Responsabile privacy o il Responsabile del PIMS deve verificare in REG02 e REG05 che il consenso non sia stato selezionato per impostazione predefinita. Quando il trattamento riguarda categorie particolari di dati personali, servizi rivolti a minori, trattamento ad alto rischio o uno squilibrio tra l’organizzazione e l’interessato, il Responsabile della protezione dei dati o il consulente in materia di protezione dei dati deve riesaminare la base del consenso in REG04 prima dell’avvio. Per le attività in contitolarità del trattamento, la responsabilità di ottenere, registrare, rinnovare e rispettare il consenso deve essere documentata prima dell’inizio del trattamento. La politica stabilisce requisiti operativi dettagliati per la richiesta e l’acquisizione del consenso. Le richieste di consenso devono essere specifiche per finalità e collegate alla versione dell’informativa privacy REG07 applicabile prima della presentazione all’interessato. I sistemi devono richiedere un’azione affermativa quando è necessario il consenso esplicito o opt-in e devono impedire che il trattamento basato sul consenso proceda, salvo che REG05 indichi uno stato del consenso attivo per la finalità pertinente. REG05 deve acquisire il riferimento dell’interessato, la finalità, la categoria di dati personali, il testo o la versione del consenso, la versione dell’informativa privacy, il canale di acquisizione, la marcatura temporale, il metodo, lo stato e il periodo di validità applicabile. Quando si applica il consenso relativo a servizi rivolti a minori o il consenso esplicito, si attivano ulteriori requisiti di logica, marcatura e riesame. Anche la gestione delle preferenze e delle revoche è disciplinata tramite REG05 e, ove applicabile, REG08. Un meccanismo di revoca o di modifica delle preferenze deve essere disponibile non oltre il momento in cui viene richiesto il consenso. Le revoche e le modifiche delle preferenze devono essere registrate entro cinque giorni lavorativi dalla ricezione o entro una tempistica più breve definita per l’attività di trattamento. I sistemi interessati, gli stati di soppressione o i flag delle preferenze devono essere aggiornati prima che prosegua qualsiasi ulteriore trattamento per una finalità revocata o limitata. I responsabili del trattamento devono inoltrare o attuare le istruzioni del cliente entro la tempistica definita dal cliente, e i sub-responsabili devono essere verificati tramite REG08 rispetto alle tempistiche contrattuali o impartite. La politica disciplina inoltre controllo delle modifiche, protezione delle registrazioni, governance, attuazione, metriche, eccezioni, applicazione e manutenzione. Il consenso deve essere rivalutato prima che il trattamento prosegua quando cambiano in modo sostanziale la finalità, le categorie di dati personali, l’identità del titolare del trattamento, il testo dell’informativa, la conservazione, la categoria dei destinatari o il metodo di trattamento. Il testo del consenso, la configurazione del meccanismo, i riferimenti all’informativa e gli schemi delle registrazioni del consenso devono essere sottoposti a controllo di versione. Le registrazioni REG05 devono essere protette da alterazioni non autorizzate e devono essere mantenute evidenze della traccia di audit. Le metriche includono controlli trimestrali di collegamento tra REG05, REG02 e REG07; misurazione mensile del completamento delle revoche quando è attivo un trattamento basato sul consenso; e reportistica di audit in REG12. Le eccezioni devono essere approvate prima dell’attuazione e le non conformità relative a evidenze del consenso mancanti, non valide, non collegate o non affidabili devono essere registrate entro cinque giorni lavorativi.