Sutikimų ir nuostatų valdymo politika

Sutikimų ir nuostatų valdymo politika apibrėžia privalomus reikalavimus, kaip nustatyti, kada reikalingas sutikimas, prašyti sutikimo, fiksuoti sutikimo įrodymus, valdyti nuostatas, tvarkyti atšaukimus, prižiūrėti sutikimo įrašus ir peržiūrėti sutikimo mechanizmus. Ji taikoma PII tvarkymui, kai sutikimas pasirenkamas arba reikalingas kaip teisinis pagrindas, kai reikalingas aiškus sutikimas, kai fiksuojamos sutikimo nuostatos arba kai organizacija tvarko sutikimo įrašus duomenų valdytojo vardu. Politika apima duomenų valdytojo, bendro duomenų valdytojo, duomenų tvarkytojo ir subtvarkytojo kontekstus, kartu aiškiai nustatydama, kad duomenų tvarkytojo ir subtvarkytojo prievolės taikomos tik tada, kai sutikimo įrašai, nuostatų būsenos arba atšaukimo nurodymai tvarkomi pagal dokumentuotus duomenų valdytojo arba kliento nurodymus. Pagrindinis politikos principas yra tai, kad sutikimas nėra numatytasis PII tvarkymo teisinis pagrindas. Prieš naujai arba iš esmės pakeistai tvarkymo veiklai pradedant remtis sutikimu, procesų savininkas arba verslo savininkas turi REG02 įrašyti, ar sutikimas yra reikalingas arba pasirinktas, o privatumo vadovas arba PIMS vadovas turi REG02 ir REG05 patikrinti, ar sutikimas nebuvo pasirinktas pagal numatytuosius nustatymus. Kai tvarkymas apima specialių kategorijų PII, vaikams skirtas paslaugas, didelės rizikos tvarkymą arba organizacijos ir duomenų subjekto galios disbalansą, duomenų apsaugos pareigūnas (DAP) arba duomenų apsaugos konsultantas prieš paleidimą turi peržiūrėti sutikimo pagrindą REG04. Bendro duomenų valdytojo veiklos atveju atsakomybė už sutikimo gavimą, registravimą, atnaujinimą ir paisymą turi būti dokumentuota prieš pradedant tvarkymą. Politikoje nustatomi išsamūs operaciniai reikalavimai dėl sutikimo prašymo ir fiksavimo. Sutikimo prašymai turi būti susieti su konkrečiu tikslu ir su taikoma REG07 privatumo pranešimo versija prieš juos pateikiant duomenų subjektui. Sistemos turi reikalauti patvirtinamojo veiksmo, kai reikalingas aiškus sutikimas arba opt-in sutikimas, ir turi neleisti tęsti tvarkymo, grindžiamo sutikimu, jeigu REG05 nerodo aktyvios atitinkamo tikslo sutikimo būsenos. REG05 turi fiksuoti duomenų subjekto nuorodą, tikslą, PII kategoriją, sutikimo formuluotę arba versiją, privatumo pranešimo versiją, fiksavimo kanalą, laiko žymą, metodą, būseną ir taikomą galiojimo laikotarpį. Kai taikomas vaikams skirtas sutikimas arba aiškus sutikimas, aktyvuojami papildomi logikos, žymėjimo ir peržiūros reikalavimai. Nuostatų ir atšaukimų valdymas taip pat reglamentuojamas per REG05 ir, kai taikoma, per REG08. Atšaukimo arba nuostatų pakeitimo mechanizmas turi būti prieinamas ne vėliau kaip tuo metu, kai prašoma sutikimo. Atšaukimai ir nuostatų pakeitimai turi būti įrašomi per penkias darbo dienas nuo gavimo arba per trumpesnį terminą, nustatytą konkrečiai tvarkymo veiklai. Paveiktos sistemos, slopinimo būsenos arba nuostatų žymos turi būti atnaujintos prieš tęsiant tolesnį tvarkymą atšauktu arba apribotu tikslu. Duomenų tvarkytojai turi perduoti arba įgyvendinti kliento nurodymus per kliento nustatytą terminą, o subtvarkytojai turi būti patikrinti per REG08 pagal sutartinius arba nurodytus terminus. Politikoje taip pat aptariama pakeitimų kontrolė, įrašų apsauga, valdysena, įgyvendinimas, rodikliai, išimtys, taikymas ir priežiūra. Sutikimas turi būti pakartotinai įvertintas prieš tęsiant tvarkymą, kai iš esmės keičiasi tikslas, PII kategorijos, duomenų valdytojo tapatybė, pranešimo formuluotė, saugojimas, gavėjų kategorija arba tvarkymo metodas. Sutikimo formuluotės, mechanizmo konfigūracija, pranešimų nuorodos ir sutikimo įrašų schemos turi būti valdomos pagal versijas. REG05 įrašai turi būti apsaugoti nuo neteisėto pakeitimo, o audito pėdsako įrodymai turi būti palaikomi. Rodikliai apima ketvirtines sąsajų patikras tarp REG05, REG02 ir REG07; mėnesinį atšaukimų užbaigimo matavimą, kai vykdomas sutikimu grindžiamas tvarkymas; ir audito ataskaitų teikimą REG12. Išimtys turi būti patvirtintos prieš įgyvendinimą, o neatitiktys, susijusios su trūkstamais, negaliojančiais, nesusietais arba nepatikimais sutikimo įrodymais, turi būti įrašomos per penkias darbo dienas.