Beleid inzake toestemmings- en voorkeurenbeheer

Het Beleid inzake toestemmings- en voorkeurenbeheer definieert verplichte vereisten voor het bepalen wanneer toestemming vereist is, het vragen van toestemming, het vastleggen van bewijs van toestemming, het beheren van voorkeuren, het verwerken van intrekkingen, het onderhouden van toestemmingsregistraties en het beoordelen van toestemmingsmechanismen. Het is van toepassing op PII-verwerking waarbij toestemming als rechtsgrondslag wordt geselecteerd of vereist, waarbij uitdrukkelijke toestemming vereist is, waarbij toestemmingsvoorkeuren worden vastgelegd, of waarbij de organisatie toestemmingsregistraties beheert namens een verwerkingsverantwoordelijke. Het beleid omvat contexten van verwerkingsverantwoordelijke, gezamenlijke verwerkingsverantwoordelijke, verwerker en subverwerker, en maakt tegelijk duidelijk dat verplichtingen van verwerkers en subverwerkers alleen gelden wanneer toestemmingsregistraties, voorkeursstatussen of instructies tot intrekking worden beheerd op grond van gedocumenteerde instructies van de verwerkingsverantwoordelijke of klantinstructies. Een centraal uitgangspunt van het beleid is dat toestemming niet de standaard rechtsgrondslag voor PII-verwerking is. Voordat een nieuwe of wezenlijk gewijzigde verwerkingsactiviteit op toestemming steunt, moet de proceseigenaar of bedrijfseigenaar in REG02 registreren of toestemming vereist of geselecteerd is, en moet de privacyverantwoordelijke of PIMS-manager in REG02 en REG05 verifiëren dat toestemming niet standaard is geselecteerd. Wanneer verwerking betrekking heeft op bijzondere categorieën PII, diensten die gericht zijn op kinderen, risicovolle verwerking of een onevenwichtige verhouding tussen de organisatie en de betrokkene, moet de functionaris voor gegevensbescherming (FG) of adviseur inzake gegevensbescherming de toestemmingsgrondslag vóór de livegang in REG04 beoordelen. Voor activiteiten van gezamenlijke verwerkingsverantwoordelijken moet de verantwoordelijkheid voor het verkrijgen, registreren, vernieuwen en respecteren van toestemming worden gedocumenteerd voordat de verwerking begint. Het beleid stelt gedetailleerde operationele vereisten voor het vragen en vastleggen van toestemming. Toestemmingsverzoeken moeten doelspecifiek zijn en vóór presentatie aan een betrokkene worden gekoppeld aan de toepasselijke REG07-versie van de privacyverklaring. Systemen moeten een bevestigende handeling vereisen wanneer uitdrukkelijke of opt-in-toestemming vereist is en moeten voorkomen dat verwerking die op toestemming steunt doorgaat, tenzij REG05 een actieve toestemmingsstatus voor het relevante doel toont. REG05 moet de referentie van de betrokkene, het doel, de PII-categorie, de toestemmingsformulering of -versie, de versie van de privacyverklaring, het vastleggingskanaal, het tijdstempel, de methode, de status en de toepasselijke geldigheidsperiode vastleggen. Wanneer toestemming voor diensten die gericht zijn op kinderen of uitdrukkelijke toestemming van toepassing is, worden aanvullende logica, markering en beoordelingsvereisten geactiveerd. Voorkeurenbeheer en beheer van intrekking worden eveneens geregeld via REG05 en, waar van toepassing, REG08. Een mechanisme voor intrekking of voorkeurswijziging moet uiterlijk beschikbaar zijn op het moment waarop toestemming wordt gevraagd. Intrekkingen en voorkeurswijzigingen moeten binnen vijf werkdagen na ontvangst of binnen een kortere termijn die voor de verwerkingsactiviteit is gedefinieerd, worden geregistreerd. Getroffen systemen, onderdrukkingsstatussen of voorkeursvlaggen moeten worden bijgewerkt voordat verdere verwerking voor een ingetrokken of beperkt doel wordt voortgezet. Verwerkers moeten klantinstructies binnen de door de klant gedefinieerde termijn doorsturen of uitvoeren, en subverwerkers moeten via REG08 worden geverifieerd aan de hand van contractuele of geïnstrueerde termijnen. Het beleid behandelt ook wijzigingsbeheer, bescherming van registraties, governance, implementatie, metrieken, uitzonderingen, handhaving en onderhoud. Toestemming moet opnieuw worden beoordeeld voordat de verwerking wordt voortgezet wanneer het doel, de PII-categorieën, de identiteit van de verwerkingsverantwoordelijke, de formulering van de privacyverklaring, de bewaring, de categorie ontvangers of de verwerkingsmethode wezenlijk wijzigt. Toestemmingsformuleringen, configuraties van mechanismen, verwijzingen naar privacyverklaringen en schema's voor toestemmingsregistraties moeten onder versiebeheer worden geplaatst. REG05-registraties moeten worden beschermd tegen ongeautoriseerde wijziging en audittrail-bewijsmateriaal moet worden onderhouden. Metrieken omvatten driemaandelijkse koppelingscontroles tussen REG05, REG02 en REG07; maandelijkse meting van de voltooiing van intrekkingen waar verwerking op basis van toestemming actief is; en auditrapportage in REG12. Uitzonderingen moeten vóór implementatie worden goedgekeurd, en non-conformiteiten met ontbrekend, ongeldig, niet-gekoppeld of onbetrouwbaar bewijs van toestemming moeten binnen vijf werkdagen worden geregistreerd.