Politika správy súhlasov a preferencií

Politika správy súhlasov a preferencií definuje povinné požiadavky na určovanie, kedy sa vyžaduje súhlas, na vyžiadanie súhlasu, zachytenie dôkazov o súhlase, správu preferencií, spracovanie odvolaní súhlasu, vedenie záznamov o súhlase a preskúmavanie mechanizmov súhlasu. Uplatňuje sa na spracúvanie PII, pri ktorom je súhlas zvolený alebo vyžadovaný ako právny základ, kde sa vyžaduje výslovný súhlas, kde sa zachytávajú preferencie súhlasu alebo kde organizácia spravuje záznamy o súhlase v mene prevádzkovateľa. Politika pokrýva kontexty prevádzkovateľa, spoločného prevádzkovateľa, sprostredkovateľa a ďalšieho sprostredkovateľa, pričom objasňuje, že povinnosti sprostredkovateľa a ďalšieho sprostredkovateľa sa uplatňujú iba vtedy, keď sa záznamy o súhlase, stavy preferencií alebo pokyny na odvolanie spravujú podľa zdokumentovaných pokynov prevádzkovateľa alebo zákazníka. Ústrednou zásadou politiky je, že súhlas nie je predvoleným právnym základom spracúvania PII. Predtým, ako sa nová alebo podstatne zmenená činnosť spracúvania začne opierať o súhlas, vlastník procesu alebo vlastník organizácie musí v REG02 zaznamenať, či sa súhlas vyžaduje alebo bol zvolený, a vedúci ochrany súkromia alebo manažér PIMS musí v REG02 a REG05 overiť, že súhlas nebol zvolený predvolene. Ak spracúvanie zahŕňa osobitné kategórie PII, služby určené deťom, vysokorizikové spracúvanie alebo nerovnováhu medzi organizáciou a dotknutou osobou, zodpovedná osoba pre ochranu osobných údajov (DPO) alebo poradca pre ochranu údajov musí pred spustením preskúmať základ súhlasu v REG04. Pri činnostiach spoločného prevádzkovateľa musí byť pred začatím spracúvania zdokumentovaná zodpovednosť za získanie, zaznamenanie, obnovenie a rešpektovanie súhlasu. Politika stanovuje podrobné prevádzkové požiadavky na vyžiadanie a zachytenie súhlasu. Žiadosti o súhlas musia byť špecifické pre účel a pred predložením dotknutej osobe musia byť prepojené s príslušnou verziou oznámenia o ochrane údajov v REG07. Systémy musia vyžadovať potvrdzujúci úkon tam, kde sa vyžaduje výslovný súhlas alebo aktívny súhlas, a musia zabrániť pokračovaniu spracúvania opierajúceho sa o súhlas, pokiaľ REG05 nepreukazuje aktívny stav súhlasu pre príslušný účel. REG05 musí zachytávať referenciu dotknutej osoby, účel, kategóriu PII, znenie alebo verziu súhlasu, verziu oznámenia o ochrane údajov, kanál zachytenia, časovú pečiatku, metódu, stav a príslušné obdobie platnosti. Ak sa uplatňuje súhlas pri službách určených deťom alebo výslovný súhlas, spúšťajú sa dodatočné požiadavky na logiku, označenie a preskúmanie. Správa preferencií a odvolania súhlasu sa tiež riadia prostredníctvom REG05 a podľa potreby REG08. Mechanizmus odvolania súhlasu alebo zmeny preferencií musí byť dostupný najneskôr v čase, keď sa súhlas vyžaduje. Odvolania súhlasu a zmeny preferencií sa musia zaznamenať do piatich pracovných dní od prijatia alebo v kratšej lehote určenej pre činnosť spracúvania. Dotknuté systémy, stavy vylúčenia z kontaktovania alebo príznaky preferencií sa musia aktualizovať pred tým, ako bude pokračovať ďalšie spracúvanie na odvolaný alebo obmedzený účel. Sprostredkovatelia musia postúpiť alebo vykonať pokyny zákazníka v zákazníkom určenej lehote a ďalší sprostredkovatelia musia byť overení prostredníctvom REG08 voči zmluvným alebo nariadeným lehotám. Politika sa zaoberá aj riadením zmien, ochranou záznamov, správou, implementáciou, metrikami, výnimkami, uplatňovaním a údržbou. Súhlas sa musí opätovne posúdiť pred pokračovaním spracúvania, ak sa podstatne zmení účel, kategórie PII, identita prevádzkovateľa, znenie oznámenia, uchovávanie, kategória príjemcu alebo metóda spracúvania. Znenie súhlasu, konfigurácia mechanizmu, odkazy na oznámenia a schémy záznamov o súhlase musia byť verziované. Záznamy REG05 musia byť chránené pred neoprávnenou zmenou a musia sa uchovávať dôkazy auditnej stopy. Metriky zahŕňajú štvrťročné kontroly prepojenia medzi REG05, REG02 a REG07, mesačné meranie dokončenia odvolaní tam, kde je aktívne spracúvanie založené na súhlase, a auditné vykazovanie v REG12. Výnimky musia byť schválené pred implementáciou a nezhody zahŕňajúce chýbajúce, neplatné, neprepojené alebo nespoľahlivé dôkazy o súhlase sa musia zaznamenať do piatich pracovných dní.