Polityka prywatności dzieci

Polityka prywatności dzieci definiuje obowiązkowe wymagania dotyczące prywatności dla przetwarzania PII dotyczącego dzieci, usług skierowanych do dzieci, usług, do których dzieci prawdopodobnie uzyskają dostęp, oraz innych czynności przetwarzania, w których PII dzieci wymaga wzmocnionych zabezpieczeń. Ma zastosowanie w kontekstach administratora, współadministratora, podmiotu przetwarzającego i podwykonawcy przetwarzania, w tym do stron internetowych, aplikacji, gier, usług edukacyjnych, platform internetowych, usług połączonych, portali klientów, środowisk nauczania, społeczności i kanałów wsparcia. Polityka ma zapewnić, aby PII dzieci było identyfikowane, objęte ładem zarządczym, minimalizowane, wyjaśniane, chronione i udokumentowane dowodowo przez zabezpieczenia odpowiednie dla przetwarzania skierowanego do dzieci i dostępnego dla dzieci. Centralnym elementem polityki jest wykorzystanie istniejących obiektów dowodowych PIMS zamiast odrębnych rejestrów specyficznych dla dzieci. Polityka wymaga, aby status usługi skierowanej do dzieci, prawdopodobieństwo dostępu dzieci, cele, kategorie PII, kategorie osób, których dane dotyczą, odbiorcy oraz odniesienia do retencji były ujmowane w REG02. Ocena ryzyka dla prywatności oraz decyzje dotyczące DPIA są kierowane przez REG04. Zgoda, zgoda lub aprobata osoby sprawującej władzę rodzicielską, ścieżka wycofania zgody oraz odniesienia do potwierdzenia udzielenia zgody są rejestrowane w REG05, jeżeli mają zastosowanie. Wnioski o realizację praw dotyczące dzieci są obsługiwane przez REG06, wersje klauzul informacyjnych przyjaznych dziecku przez REG07, ograniczenia dotyczące podmiotów przetwarzających i udostępniania danych przez REG08, dowody incydentów przez REG10, a zapisy audytu, działań korygujących i doskonalenia przez REG12. Polityka określa szczegółowe wymagania operacyjne dotyczące przejrzystości przyjaznej dziecku, zgody, odpowiedzialności rodzicielskiej, minimalizacji, retencji, udziału w realizacji praw, privacy by design oraz kontroli ujawniania. Przed gromadzeniem PII dzieci właściciele procesów lub właściciele biznesowi muszą potwierdzić, że każda kategoria PII jest niezbędna dla udokumentowanego celu, oraz muszą określić minimalny zakres danych potrzebnych do oceny wieku. Usługi skierowane do dzieci muszą stosować domyślne ustawienia chroniące prywatność dla opcjonalnego gromadzenia, widoczności, udostępniania, personalizacji i komunikacji. Gdy PII dzieci obejmuje szczególne kategorie danych, informacje o bardzo wysokiej wrażliwości, lokalizacji, dane biometryczne, behawioralne, komunikacyjne, edukacyjne, zdrowotne lub związane z bezpieczeństwem, wymagany jest przegląd Inspektora Ochrony Danych (IOD) lub doradcy ds. prywatności i jego odnotowanie w REG04. Polityka obejmuje również scenariusze podwyższonego ryzyka, takie jak profilowanie, analiza behawioralna, personalizacja o znaczących skutkach, zautomatyzowane decyzje, funkcje rekomendacyjne, podejrzenie niewłaściwego użycia, szkodliwe ujawnienie, nieuprawniony dostęp, wykorzystywanie, ryzyko związane z groomingiem oraz inne ryzyka PII dotyczące bezpieczeństwa dzieci. Sprawy te są kierowane przez procesy przeglądu prywatności, obsługi incydentów lub działań korygujących z użyciem odpowiednio REG04, REG10 i REG12. W odniesieniu do dostawców, podmiotów przetwarzających, podwykonawców przetwarzania oraz odbiorców udostępnianych danych właściciel ds. dostawców / zakupów musi potwierdzić w REG08 udokumentowane ograniczenia związane z dziećmi, polecenia, poufność, oczekiwania dotyczące zwrotu lub usunięcia oraz obowiązki wsparcia przed autoryzacją przetwarzania PII dzieci. Ład zarządczy i nadzór są określone przez kwartalne przeglądy dowodów, kontrole gotowości do uruchomienia, coroczne audyty, obsługę wyjątków, egzekwowanie postanowień polityki oraz coroczny przegląd polityki. Osoba odpowiedzialna za prywatność / Menedżer PIMS koordynuje kompletność dowodów i eskalację w odpowiednich zapisach, natomiast najwyższe kierownictwo zatwierdza podejście do kontroli prywatności dzieci i przegląda systemowe niezgodności. Polityka wspiera rozliczalność gotową do audytu, wymagając metryk monitorowania dla czynności przetwarzania skierowanych do dzieci, ocen potrzeby przeprowadzenia DPIA, otwartych kwestii dotyczących klauzul informacyjnych lub zgód, kwestii związanych z podmiotami przetwarzającymi i udostępnianiem, powtarzających się niezgodności oraz skuteczności działań korygujących, rejestrowanych w REG12 z dowodami źródłowymi z właściwych rejestrów.