Politica de gestionare a consimțământului și preferințelor

Politica de gestionare a consimțământului și preferințelor definește cerințe obligatorii pentru stabilirea situațiilor în care consimțământul este necesar, solicitarea consimțământului, captarea dovezilor privind consimțământul, gestionarea preferințelor, prelucrarea retragerilor, menținerea înregistrărilor privind consimțământul și revizuirea mecanismelor de consimțământ. Se aplică prelucrării PII atunci când consimțământul este selectat sau cerut ca temei juridic, atunci când este necesar consimțământ explicit, atunci când sunt captate preferințe privind consimțământul sau atunci când organizația gestionează înregistrări privind consimțământul în numele unui operator de date. Politica acoperă contexte de operator de date, operator asociat, persoană împuternicită și persoană subîmputernicită, precizând totodată că obligațiile persoanei împuternicite și ale persoanei subîmputernicite se aplică numai atunci când înregistrările privind consimțământul, stările preferințelor sau instrucțiunile de retragere sunt gestionate potrivit instrucțiunilor documentate ale operatorului sau ale clientului. Un principiu central al politicii este că consimțământul nu reprezintă temeiul juridic implicit pentru prelucrarea PII. Înainte ca o activitate de prelucrare nouă sau modificată semnificativ să se bazeze pe consimțământ, proprietarul de proces sau proprietarul afacerii trebuie să înregistreze în REG02 dacă consimțământul este necesar sau selectat, iar responsabilul cu confidențialitatea sau managerul PIMS trebuie să verifice în REG02 și REG05 că consimțământul nu a fost selectat în mod implicit. Atunci când prelucrarea implică PII din categorii speciale, servicii destinate copiilor, prelucrare cu risc ridicat sau un dezechilibru între organizație și persoana vizată, Responsabilul cu protecția datelor sau consilierul pentru confidențialitate trebuie să revizuiască temeiul consimțământului în REG04 înainte de lansare. Pentru activitățile desfășurate de operatori asociați, responsabilitatea pentru obținerea, înregistrarea, reîmprospătarea și respectarea consimțământului trebuie documentată înainte de începerea prelucrării. Politica stabilește cerințe operaționale detaliate pentru solicitarea și captarea consimțământului. Solicitările de consimțământ trebuie să fie specifice scopului și corelate cu versiunea aplicabilă a notei de informare privind confidențialitatea din REG07 înainte de prezentarea către o persoană vizată. Sistemele trebuie să impună o acțiune afirmativă atunci când este necesar consimțământ explicit sau consimțământ de tip opt-in și trebuie să împiedice continuarea prelucrării bazate pe consimțământ dacă REG05 nu indică o stare activă a consimțământului pentru scopul relevant. REG05 trebuie să capteze referința persoanei vizate, scopul, categoria PII, formularea sau versiunea consimțământului, versiunea notei de informare privind confidențialitatea, canalul de captare, marcajul temporal, metoda, starea și perioada de valabilitate aplicabilă. Atunci când se aplică consimțământul pentru servicii destinate copiilor sau consimțământ explicit, sunt declanșate cerințe suplimentare de logică, marcare și revizuire. Gestionarea preferințelor și a retragerii este guvernată, de asemenea, prin REG05 și, după caz, prin REG08. Un mecanism de retragere sau de modificare a preferințelor trebuie să fie disponibil cel târziu la momentul la care este solicitat consimțământul. Retragerile și modificările preferințelor trebuie înregistrate în termen de cinci zile lucrătoare de la primire sau într-un termen mai scurt definit pentru activitatea de prelucrare. Sistemele afectate, stările de suprimare sau indicatorii de preferință trebuie actualizați înainte ca prelucrarea ulterioară să continue pentru un scop retras sau restricționat. Persoanele împuternicite trebuie să transmită sau să implementeze instrucțiunea clientului în termenul definit de client, iar persoanele subîmputernicite trebuie verificate prin REG08 față de termenele contractuale sau instruite. Politica tratează, de asemenea, controlul schimbărilor, protecția înregistrărilor, guvernanța, implementarea, metricile, excepțiile, aplicarea și mentenanța. Consimțământul trebuie reevaluat înainte ca prelucrarea să continue atunci când scopul, categoriile PII, identitatea operatorului, formularea notei de informare, retenția, categoria destinatarilor sau metoda de prelucrare se modifică semnificativ. Formularea consimțământului, configurarea mecanismului, referințele la notele de informare și schemele înregistrărilor privind consimțământul trebuie să fie supuse versionării. Înregistrările REG05 trebuie protejate împotriva alterării neautorizate, iar dovezile de pistă de audit trebuie menținute. Metricile includ verificări trimestriale ale corelării dintre REG05, REG02 și REG07; măsurarea lunară a finalizării retragerilor acolo unde prelucrarea bazată pe consimțământ este activă; și raportarea auditului în REG12. Excepțiile trebuie aprobate înainte de implementare, iar neconformitățile care implică dovezi privind consimțământul lipsă, nevalide, necorelate sau nesigure trebuie înregistrate în termen de cinci zile lucrătoare.