Politika zasebnosti otrok

Politika zasebnosti otrok določa obvezne zahteve glede zasebnosti za obdelavo osebno določljivih podatkov, ki vključuje otroke, child-facing storitve, storitve, do katerih bodo otroci verjetno dostopali, in druge dejavnosti obdelave, pri katerih osebno določljivi podatki otrok zahtevajo okrepljene zaščitne ukrepe. Uporablja se v kontekstih upravljavca, skupnega upravljavca, obdelovalca in podobdelovalca, vključno s spletnimi mesti, aplikacijami, igrami, izobraževalnimi storitvami, spletnimi platformami, povezanimi storitvami, portali za stranke, učnimi okolji, skupnostmi in podpornimi kanali. Politika je zasnovana tako, da zagotavlja, da so osebno določljivi podatki otrok identificirani, upravljani, minimizirani, pojasnjeni, zaščiteni in dokazani z zaščitnimi ukrepi, primernimi za child-facing in child-accessible obdelavo. Osrednja značilnost politike je uporaba obstoječih dokaznih objektov PIMS namesto ločenih registrov, specifičnih za otroke. Politika zahteva, da se child-facing status, verjetnost dostopa otrok, nameni, kategorije osebno določljivih podatkov, kategorije posameznikov, na katere se nanašajo osebno določljivi podatki, prejemniki in sklici na hrambo zajamejo v REG02. Preverjanje tveganj za zasebnost in odločitve o DPIA se usmerjajo prek REG04. Privolitev, odobritev nosilca starševske odgovornosti, usmerjanje umika in sklici na potrdilo o privolitvi se, kjer je primerno, evidentirajo v REG05. Zahteve za uveljavljanje pravic, ki vključujejo otroke, se upravljajo prek REG06, različice otrokom razumljivih obvestil prek REG07, omejitve za obdelovalce in deljenje podatkov prek REG08, dokazila o incidentih prek REG10 ter zapisi o presoji, korektivnih ukrepih in izboljšavah prek REG12. Politika določa podrobne operativne zahteve za otrokom razumljivo preglednost, privolitev, starševsko odgovornost, minimizacijo, hrambo, sodelovanje pri uveljavljanju pravic, varstvo zasebnosti že pri načrtovanju in nadzor razkritij. Pred zbiranjem osebno določljivih podatkov otrok morajo lastniki procesov ali poslovni lastniki potrditi, da je vsaka kategorija osebno določljivih podatkov potrebna za dokumentirani namen, in določiti minimalne podatke za ocenjevanje starosti, ki so potrebni. Child-facing storitve morajo uporabljati privzete zasebnostno zaščitne nastavitve za neobvezno zbiranje, vidnost, deljenje, personalizacijo in komunikacije. Kadar osebno določljivi podatki otrok vključujejo posebne kategorije, zelo občutljive, lokacijske, biometrične, vedenjske, komunikacijske, izobraževalne, zdravstvene ali z varnostjo povezane informacije, je zahtevan pregled pooblaščene osebe za varstvo podatkov ali svetovalca za zasebnost, ki se evidentira v REG04. Politika obravnava tudi scenarije z višjim tveganjem, kot so oblikovanje profilov, vedenjska analiza, personalizacija s pomembnimi učinki, avtomatizirane odločitve, funkcije priporočilnih sistemov, domnevna neprimerna uporaba, škodljivo razkritje, nepooblaščen dostop, izkoriščanje, tveganje, povezano z navezovanjem stikov z namenom zlorabe, in druga z varnostjo povezana tveganja za osebno določljive podatke, ki vključujejo otroke. Te zadeve se, kot je primerno, usmerjajo prek pregleda zasebnosti, obravnavanja incidentov ali procesov korektivnih ukrepov z uporabo REG04, REG10 in REG12. Za dobavitelje, obdelovalce, podobdelovalce in prejemnike deljenja podatkov mora lastnik dobavitelja / nabave pred odobritvijo obdelave osebno določljivih podatkov otrok v REG08 potrditi dokumentirane omejitve, povezane z otroki, navodila, zaupnost, pričakovanja glede vračila ali izbrisa in obveznosti pomoči. Upravljanje in nadzor sta opredeljena s četrtletnimi pregledi dokazil, preverjanji pripravljenosti na uvedbo, letnimi presojami, obravnavo izjem, uveljavljanjem in letnim pregledom politike. Vodja zasebnosti / vodja PIMS usklajuje popolnost dokazil in eskalacijo v ustreznih zapisih, najvišje vodstvo pa odobri pristop k kontrolam zasebnosti otrok in pregleduje sistemske neskladnosti. Politika podpira odgovornost, primerno za revizijo, tako da zahteva kazalnike spremljanja za child-facing dejavnosti obdelave, preverjanja potrebe po DPIA, odprta vprašanja glede obvestil ali privolitve, vprašanja obdelovalcev in deljenja podatkov, ponavljajoče se neskladnosti in učinkovitost korektivnega ukrepa, vse evidentirano v REG12 z izvornimi dokazili iz ustreznih registrov.