Beleid inzake privacy van kinderen

Het Beleid inzake privacy van kinderen definieert verplichte privacyvereisten voor verwerking van persoonsgegevens waarbij kinderen betrokken zijn, diensten die gericht zijn op kinderen, diensten waartoe kinderen waarschijnlijk toegang hebben en andere verwerkingsactiviteiten waarbij persoonsgegevens van kinderen versterkte waarborgen vereisen. Het is van toepassing in contexten van verwerkingsverantwoordelijken, gezamenlijke verwerkingsverantwoordelijken, verwerkers en subverwerkers, waaronder websites, toepassingen, games, educatieve diensten, online platforms, verbonden diensten, klantportalen, leeromgevingen, communities en ondersteuningskanalen. Het beleid is ontworpen om te waarborgen dat persoonsgegevens van kinderen worden geïdentificeerd, beheerst, geminimaliseerd, toegelicht, beschermd en onderbouwd met bewijsmateriaal via waarborgen die passend zijn voor verwerking die gericht is op kinderen en verwerking die toegankelijk is voor kinderen. Een centraal kenmerk van het beleid is het gebruik van bestaande PIMS-bewijsobjecten in plaats van afzonderlijke kindspecifieke registers. Het beleid vereist dat de status als gericht op kinderen, de waarschijnlijkheid van toegang door kinderen, doeleinden, categorieën persoonsgegevens, categorieën betrokkenen, ontvangers en verwijzingen naar bewaartermijnen worden vastgelegd in REG02. Privacyrisicoscreening en DPIA-besluiten worden via REG04 gerouteerd. Toestemming, ouderlijke toestemming, routing van intrekking en verwijzingen naar toestemmingsbewijzen worden, waar van toepassing, vastgelegd in REG05. Verzoeken tot uitoefening van rechten waarbij kinderen betrokken zijn, worden beheerd via REG06, versies van kindvriendelijke privacyverklaringen via REG07, beperkingen voor verwerkers en gegevensdeling via REG08, incidentbewijsmateriaal via REG10, en registraties van audit, corrigerende maatregelen en verbetering via REG12. Het beleid bevat gedetailleerde operationele vereisten voor kindvriendelijke transparantie, toestemming, ouderlijke verantwoordelijkheid, minimalisatie, bewaring, deelname aan rechten, privacy by design en beheersing van verstrekking. Voordat persoonsgegevens van kinderen worden verzameld, moeten proceseigenaren of bedrijfseigenaren bevestigen dat elke categorie persoonsgegevens noodzakelijk is voor het gedocumenteerde doel en moeten zij de minimale gegevens voor leeftijdsbeoordeling definiëren die nodig zijn. Diensten die gericht zijn op kinderen moeten privacybeschermende privacy-by-default-instellingen toepassen voor optionele verzameling, zichtbaarheid, delen, personalisatie en communicatie. Wanneer persoonsgegevens van kinderen bijzondere categorieën, zeer gevoelige informatie, locatiegegevens, biometrische, gedrags-, communicatie-, onderwijs-, gezondheids- of veiligheidsgerelateerde informatie omvatten, is beoordeling door de functionaris voor gegevensbescherming (FG) of privacyadviseur vereist en wordt deze vastgelegd in REG04. Het beleid behandelt ook scenario's met een hoger risico, zoals profilering, gedragsanalyse, personalisatie met significante gevolgen, geautomatiseerde besluiten, aanbevelingsfuncties, vermoeden van misbruik, schadelijke verstrekking, ongeautoriseerde toegang, uitbuiting, aan grooming gerelateerd risico en andere veiligheidsgerelateerde privacyrisico's waarbij kinderen betrokken zijn. Deze onderwerpen worden, waar van toepassing, gerouteerd via privacybeoordeling, incidentenafhandeling of processen voor corrigerende maatregelen met gebruik van REG04, REG10 en REG12. Voor leveranciers, verwerkers, subverwerkers en ontvangers bij gegevensdeling moet de leveranciers-/inkoopeigenaar in REG08 bevestigen dat kindgerelateerde beperkingen, instructies, vertrouwelijkheid, verwachtingen voor teruggaaf of verwijdering en verplichtingen tot ondersteuning zijn gedocumenteerd voordat verwerking van persoonsgegevens van kinderen wordt geautoriseerd. Governance en toezicht worden gedefinieerd via kwartaalbeoordelingen van bewijsmateriaal, gereedheidscontroles voorafgaand aan lancering, jaarlijkse audits, afhandeling van uitzonderingen, handhaving en jaarlijkse beleidsbeoordeling. De Privacy Lead / PIMS Manager coördineert de volledigheid van bewijsmateriaal en escalatie over de relevante registraties, terwijl topmanagement de aanpak voor beheersmaatregelen inzake privacy van kinderen goedkeurt en systemische non-conformiteiten beoordeelt. Het beleid ondersteunt verantwoordingsplicht die gereed is voor audits door monitoringmetrieken te vereisen voor verwerkingsactiviteiten die gericht zijn op kinderen, DPIA-screenings, openstaande kwesties met privacyverklaringen of toestemming, kwesties met verwerkers en delen, terugkerende non-conformiteiten en de doeltreffendheid van corrigerende maatregelen; al deze gegevens worden vastgelegd in REG12 met bronbewijsmateriaal uit de toepasselijke registers.