Piekrišanas un preferenču pārvaldības politika

Piekrišanas un preferenču pārvaldības politika nosaka obligātās prasības, lai noteiktu, kad piekrišana ir nepieciešama, pieprasītu piekrišanu, fiksētu piekrišanas pierādījumus, pārvaldītu preferences, apstrādātu atsaukšanas, uzturētu piekrišanas ierakstus un pārskatītu piekrišanas mehānismus. Tā attiecas uz personas datu apstrādi, ja piekrišana tiek izvēlēta vai prasīta kā tiesiskais pamats, ja nepieciešama nepārprotama piekrišana, ja tiek fiksētas piekrišanas preferences vai ja organizācija pārvalda piekrišanas ierakstus pārziņa vārdā. Politika aptver pārziņa, kopīga pārziņa, apstrādātāja un apakšapstrādātāja kontekstu, vienlaikus skaidri nosakot, ka apstrādātāja un apakšapstrādātāja pienākumi ir piemērojami tikai tad, ja piekrišanas ieraksti, preferenču stāvokļi vai atsaukšanas norādījumi tiek pārvaldīti saskaņā ar dokumentētiem pārziņa vai klienta norādījumiem. Politikas pamatprincips ir tas, ka piekrišana nav noklusējuma tiesiskais pamats personas datu apstrādei. Pirms jauna vai būtiski mainīta apstrādes darbība balstās uz piekrišanu, procesa īpašniekam vai uzņēmuma īpašniekam REG02 jāreģistrē, vai piekrišana ir nepieciešama vai izvēlēta, un privātuma vadītājam vai PIMS vadītājam REG02 un REG05 jāpārbauda, vai piekrišana nav izvēlēta pēc noklusējuma. Ja apstrāde ietver īpašu kategoriju personas datus, bērniem paredzētus pakalpojumus, augsta riska apstrādi vai nelīdzsvarotību starp organizāciju un datu subjektu, datu aizsardzības speciālistam vai privātuma konsultantam pirms ieviešanas jāpārskata piekrišanas pamats REG04. Kopīga pārziņa darbībām atbildība par piekrišanas iegūšanu, reģistrēšanu, atjaunošanu un ievērošanu jādokumentē pirms apstrādes sākšanas. Politika nosaka detalizētas darbības prasības piekrišanas pieprasīšanai un fiksēšanai. Piekrišanas pieprasījumiem jābūt ar konkrētu nolūku un pirms to uzrādīšanas datu subjektam jāsasaista ar piemērojamo REG07 privātuma paziņojuma versiju. Sistēmām jāpieprasa apstiprinoša darbība, ja nepieciešama nepārprotama piekrišana vai opt-in piekrišana, un jānovērš uz piekrišanu balstītas apstrādes turpināšana, ja REG05 neuzrāda aktīvu piekrišanas statusu attiecīgajam nolūkam. REG05 jāfiksē datu subjekta atsauce, nolūks, personu identificējošas informācijas (PII) kategorija, piekrišanas formulējums vai versija, privātuma paziņojuma versija, fiksēšanas kanāls, laikspiedogs, metode, statuss un piemērojamais derīguma termiņš. Ja ir piemērojama bērniem paredzēta piekrišana vai nepārprotama piekrišana, tiek ierosinātas papildu loģikas, marķēšanas un pārskatīšanas prasības. Preferenču un atsaukšanas pārvaldība arī tiek veikta, izmantojot REG05 un, ja piemērojams, REG08. Atsaukšanas vai preferenču izmaiņu mehānismam jābūt pieejamam ne vēlāk kā brīdī, kad tiek pieprasīta piekrišana. Atsaukšanas un preferenču izmaiņas jāreģistrē piecu darbdienu laikā pēc saņemšanas vai īsākā termiņā, kas noteikts attiecīgajai apstrādes darbībai. Ietekmētās sistēmas, apspiešanas stāvokļi vai preferenču karodziņi jāatjaunina pirms turpmākas apstrādes turpināšanas attiecībā uz atsaukto vai ierobežoto nolūku. Apstrādātājiem jānosūta tālāk vai jāīsteno klienta norādījumi klienta noteiktajā termiņā, un apakšapstrādātāji jāpārbauda REG08, salīdzinot ar līgumiskajiem vai norādītajiem termiņiem. Politika attiecas arī uz izmaiņu kontroli, ierakstu aizsardzību, pārvaldību, ieviešanu, metriku, izņēmumiem, politikas piemērošanu un uzturēšanu. Piekrišana atkārtoti jāizvērtē pirms apstrādes turpināšanas, ja būtiski mainās nolūks, personu identificējošas informācijas (PII) kategorijas, pārziņa identitāte, paziņojuma formulējums, glabāšana, saņēmēju kategorija vai apstrādes metode. Piekrišanas formulējumam, mehānisma konfigurācijai, paziņojuma atsaucēm un piekrišanas ierakstu shēmām jābūt versijotām. REG05 ieraksti jāaizsargā pret nesankcionētu izmainīšanu, un jāuztur audita pēdas pierādījumi. Metrika ietver ceturkšņa sasaites pārbaudes starp REG05, REG02 un REG07; ikmēneša atsaukšanas izpildes mērījumus, ja uz piekrišanu balstīta apstrāde ir aktīva; un audita ziņošanu REG12. Izņēmumi jāapstiprina pirms ieviešanas, un neatbilstības, kas ietver trūkstošus, nederīgus, nesaistītus vai neuzticamus piekrišanas pierādījumus, jāreģistrē piecu darbdienu laikā.