Policy för barns integritet

Policy för barns integritet definierar obligatoriska integritetskrav för behandling av personuppgifter som rör barn, tjänster riktade till barn, tjänster som sannolikt kan nås av barn och andra behandlingsaktiviteter där personuppgifter om barn kräver förstärkta skyddsåtgärder. Den gäller i kontexter där organisationen är personuppgiftsansvarig, gemensamt personuppgiftsansvarig, personuppgiftsbiträde eller underbiträde, inklusive webbplatser, applikationer, spel, utbildningstjänster, onlineplattformar, uppkopplade tjänster, kundportaler, lärmiljöer, communities och supportkanaler. Policyn är utformad för att säkerställa att personuppgifter om barn identifieras, styrs, minimeras, förklaras, skyddas och kan styrkas genom skyddsåtgärder som är lämpliga för behandling som är riktad till barn eller som barn kan få åtkomst till. En central del av policyn är att den använder befintliga PIMS-underlagsobjekt i stället för separata barnspecifika register. Policyn kräver att status som riktad till barn, sannolikhet att barn kan få åtkomst, ändamål, kategorier av personuppgifter, kategorier av registrerade, mottagare och bevarandereferenser dokumenteras i REG02. Screening av integritetsrisker och DPIA-beslut styrs genom REG04. Samtycke, godkännande av vårdnadshavare, väg för återkallelse och referenser till samtyckeskvitto registreras i REG05 när det är tillämpligt. Rättighetsbegäranden som rör barn hanteras genom REG06, versioner av barnanpassade integritetsmeddelanden genom REG07, begränsningar för personuppgiftsbiträden och datadelning genom REG08, incidentunderlag genom REG10 samt revisions-, korrigerande åtgärds- och förbättringsposter genom REG12. Policyn anger detaljerade operativa krav för barnanpassad transparens, samtycke, vårdnadshavares ansvar, minimering, bevarande, deltagande i rättighetsprocesser, integritetsskydd genom design och kontroll av utlämnande. Innan personuppgifter om barn samlas in ska processägare eller verksamhetsägare bekräfta att varje kategori av personuppgifter är nödvändig för det dokumenterade ändamålet och definiera de minsta uppgifterna för åldersbedömning som behövs. Tjänster riktade till barn ska använda integritetsskyddande standardinställningar för frivillig insamling, synlighet, delning, personalisering och kommunikation. När personuppgifter om barn omfattar särskilda kategorier, mycket känslig information, platsdata, biometriska uppgifter, beteendedata, kommunikation, utbildningsdata, hälsouppgifter eller säkerhetsrelaterad information krävs granskning av dataskyddsombud eller integritetsrådgivare, och granskningen ska registreras i REG04. Policyn behandlar även scenarier med högre risk, såsom profilering, beteendeanalys, personalisering med betydande effekter, automatiserade beslut, rekommendationsfunktioner, misstänkt missbruk, skadligt röjande, obehörig åtkomst, exploatering, groomingrelaterad risk och andra säkerhetsrelaterade integritetsrisker som rör barn. Dessa frågor styrs genom processer för integritetsgranskning, incidenthantering eller korrigerande åtgärder med användning av REG04, REG10 och REG12 när det är tillämpligt. För leverantörer, personuppgiftsbiträden, underbiträden och mottagare vid datadelning ska leverantörs-/upphandlingsägaren bekräfta dokumenterade barnrelaterade begränsningar, instruktioner, sekretess, förväntningar på återlämnande eller radering samt skyldigheter att bistå i REG08 innan behandling av personuppgifter om barn godkänns. Styrning och tillsyn definieras genom kvartalsvisa granskningar av underlag, beredskapskontroller inför lansering, årliga revisioner, undantagshantering, efterlevnad och tillämpning samt årlig policygranskning. Integritetsansvarig / PIMS-ansvarig samordnar underlagens fullständighet och eskalering i relevanta poster, medan högsta ledningen godkänner kontrollansatsen för barns integritet och granskar systematiska avvikelser. Policyn stödjer ansvarsskyldighet med beredskap för revision genom att kräva övervakningsmätetal för behandlingsaktiviteter riktade till barn, DPIA-screeningar, öppna frågor om integritetsmeddelanden eller samtycke, frågor om personuppgiftsbiträden och delning, återkommande avvikelser och korrigerande åtgärders effektivitet, allt registrerat i REG12 med källunderlag från tillämpliga register.