Política de Gestão de Consentimento e Preferências

A Política de Gestão de Consentimento e Preferências define requisitos obrigatórios para determinar quando o consentimento é necessário, solicitar consentimento, recolher evidência de consentimento, gerir preferências, processar retiradas do consentimento, manter registos de consentimento e rever mecanismos de consentimento. Aplica-se ao tratamento de informações pessoais identificáveis (PII) quando o consentimento é selecionado ou exigido como fundamento de licitude, quando é exigido consentimento explícito, quando são recolhidas preferências de consentimento ou quando a organização gere registos de consentimento em nome de um responsável pelo tratamento. A política abrange contextos de responsável pelo tratamento, responsável conjunto pelo tratamento, subcontratante e subcontratante subsequente, deixando claro que as obrigações de subcontratantes e subcontratantes subsequentes se aplicam apenas quando registos de consentimento, estados de preferência ou instruções de retirada do consentimento são geridos ao abrigo de instruções documentadas do responsável pelo tratamento ou do cliente. Um princípio central da política é que o consentimento não é o fundamento de licitude por defeito para o tratamento de informações pessoais identificáveis (PII). Antes de uma atividade de tratamento nova ou materialmente alterada se basear no consentimento, o proprietário de processos ou proprietário do negócio deve registar no REG02 se o consentimento é exigido ou selecionado, e o Líder de Privacidade ou Gestor do PIMS deve verificar no REG02 e no REG05 que o consentimento não foi selecionado por defeito. Quando o tratamento envolve categorias especiais de PII, serviços orientados para crianças, tratamento de alto risco ou um desequilíbrio entre a organização e o titular dos dados, o Encarregado da Proteção de Dados ou assessor de proteção de dados deve rever a base de consentimento no REG04 antes do lançamento. Para atividades de responsável conjunto pelo tratamento, a responsabilidade por obter, registar, atualizar e respeitar o consentimento deve ser documentada antes do início do tratamento. A política estabelece requisitos operacionais detalhados para o pedido e a recolha de consentimento. Os pedidos de consentimento devem ser específicos por finalidade e ligados à versão aplicável do aviso de privacidade do REG07 antes da apresentação ao titular dos dados. Os sistemas devem exigir uma ação afirmativa quando for exigido consentimento explícito ou opt-in e devem impedir que o tratamento baseado no consentimento prossiga, salvo se o REG05 demonstrar um estado de consentimento ativo para a finalidade relevante. O REG05 deve recolher a referência do titular dos dados, a finalidade, a categoria de PII, a redação ou versão do consentimento, a versão do aviso de privacidade, o canal de recolha, a marcação temporal, o método, o estado e o período de validade aplicável. Quando se aplique consentimento orientado para crianças ou consentimento explícito, são desencadeados requisitos adicionais de lógica, marcação e revisão. A gestão de preferências e da retirada do consentimento também é regida através do REG05 e, quando aplicável, do REG08. Um mecanismo de retirada do consentimento ou de alteração de preferências deve estar disponível, no máximo, no momento em que o consentimento é solicitado. As retiradas do consentimento e alterações de preferências devem ser registadas no prazo de cinco dias úteis após a receção ou dentro de um prazo mais curto definido para a atividade de tratamento. Os sistemas afetados, estados de supressão ou indicadores de preferência devem ser atualizados antes de prosseguir qualquer tratamento adicional para uma finalidade retirada ou restringida. Os subcontratantes devem encaminhar ou implementar as instruções do cliente dentro do prazo definido pelo cliente, e os subcontratantes subsequentes devem ser verificados através do REG08 face aos prazos contratuais ou instruídos. A política também aborda controlo de alterações, proteção dos registos, governação, implementação, métricas, exceções, aplicação e manutenção. O consentimento deve ser reavaliado antes de o tratamento prosseguir quando a finalidade, as categorias de PII, a identidade do responsável pelo tratamento, a redação do aviso, a retenção, a categoria de destinatários ou o método de tratamento se alterem materialmente. A redação do consentimento, a configuração do mecanismo, as referências do aviso e os schemas dos registos de consentimento devem ser sujeitos a controlo de versões. Os registos do REG05 devem ser protegidos contra alteração não autorizada, e deve ser mantida evidência de rasto de auditoria. As métricas incluem verificações trimestrais de ligação entre REG05, REG02 e REG07; medição mensal da conclusão de retiradas do consentimento quando o tratamento baseado no consentimento está ativo; e reporte de auditoria no REG12. As exceções devem ser aprovadas antes da implementação, e as não conformidades que envolvam evidência de consentimento em falta, inválida, não ligada ou não fiável devem ser registadas no prazo de cinco dias úteis.