Policy för integritet vid marknadsföring och cookies

Policyn för integritet vid marknadsföring och cookies definierar obligatoriska integritetskrav för marknadsföring, cookies, spårningstekniker, analys, annonsteknik, målgruppssegmentering, direktmarknadsföring, preferenshantering, spärr, tredjepartstaggar, kampanjgranskning och tillhörande behandling av personuppgifter. Dess angivna syfte är att säkerställa att dessa aktiviteter styrs genom tydliga ändamålsposter, transparenta meddelanden, lämpliga kontroller för samtycke eller preferens, hantering av spärr och återkallelse, tredjepartstillsyn samt underlag med beredskap för revision. Policyn gäller i sammanhang där organisationen agerar som personuppgiftsansvarig, gemensamt personuppgiftsansvarig, personuppgiftsbiträde och underbiträde, där skyldigheter för personuppgiftsansvarig gäller när organisationen fastställer ändamål och medel för marknadsföring och skyldigheter för personuppgiftsbiträde gäller när personuppgifter för marknadsföring, analys, spårning eller kampanjer hanteras enligt dokumenterade kundinstruktioner eller instruktioner från ett uppströms personuppgiftsbiträde. Ett centralt krav är att ändamål för marknadsföring och spårning ska registreras innan behandlingen påbörjas. För aktiviteter där organisationen agerar som personuppgiftsansvarig ska processägaren eller verksamhetsägaren registrera varje marknadsföringskampanj, kanal, behandlingsändamål, kategori av personuppgifter, målgruppskälla, koppling till rättslig grund, kategori av spårningsteknik, leverantörs- eller taggberoende, koppling till integritetsmeddelande, beroende av samtycke eller preferens, bevarandekoppling och överföringsmarkering i REG02 innan kampanjen eller spårningsaktiviteten påbörjas. Dataskyddsansvarig/PIMS-ansvarig ska bekräfta aktuell koppling till REG07-meddelande och REG05-samtycke eller preferens före kampanjlansering. När gemensam marknadsföring, delad målgrupp, samprofilerad kampanj eller delad spårningsaktivitet förekommer ska ansvarsfördelning för gemensamt personuppgiftsansvar registreras i REG08 före lansering. Policyn anger detaljerade operativa krav för samtycke, preferenser, cookies och spårningskontroller. Den kräver att organisationen identifierar om samtycke, preferens, invändning, avtalsinstruktion eller annan godkänd grund krävs för varje marknadsföringskanal och att beslutet registreras i REG02 och REG05 före insamling eller kampanjanvändning. Icke-nödvändiga cookies, taggar, pixlar, SDK:er och liknande spårningstekniker ska förbli inaktiva tills erforderligt samtycke eller preferensstatus finns tillgängligt i REG05. Signaler för samtycke eller preferens får inte skrivas över, kringgås eller ignoreras vid ändringar av webbplats, applikation, kampanj eller tagghanterare, och valideringsunderlag ska registreras före release. Underlag för samtycke, preferens, återkallelse, spärr och version ska registreras i REG05 inom en arbetsdag efter inhämtning, ändring eller återkallelse. Transparens och tredjepartsstyrning är också centrala teman. Dataskyddsansvarig/PIMS-ansvarig ska skapa eller uppdatera posten för integritetsmeddelande för marknadsföring eller cookieinformation i REG07 innan en ny marknadsföringskanal, spårningsteknik, analyskonfiguration eller väsentlig kampanjändring lanseras. Meddelandets innehåll ska stämma överens med REG02:s marknadsföringsändamål, kategorier av personuppgifter, mottagarkategorier, leverantörskategorier, kategorier av spårningstekniker, preferensval och överföringsmarkeringar före publicering. Marknadsföringsleverantörer, analysleverantörer, annonseringsplattformar, taggar, pixlar, SDK:er och partner för datadelning ska registreras i REG08 före produktionsanvändning, med klassificering som personuppgiftsbiträde, gemensamt personuppgiftsansvarig eller självständigt personuppgiftsansvarig bekräftad före introduktion eller förnyelse. Internationella leverantörer, taggar, analysleverantörer, annonseringsplattformar, målgruppsöverföringar eller överföringar genom datadelning ska dirigeras till REG09 före produktionsstart där det är tillämpligt. Policyn fastställer även krav för kampanjgranskning, spärr, opt-out-vägar, tillämpning och kontinuerlig tillsyn. Målgruppskälla, segmenteringskriterier, kategorier av personuppgifter, spärrundantag, preferensbegränsningar och koppling till meddelande ska verifieras före kampanjlansering, och personer med status för återkallelse, invändning, kontaktförbud eller spärr ska uteslutas före aktivering. Invändningar mot marknadsföring, opt-out, begäranden om återkallelse, misslyckade avprenumerationer och klagomål om direktmarknadsföring ska dirigeras till REG06 inom två arbetsdagar, och spärr- eller preferensstatus ska uppdateras inom en arbetsdag efter validering. Styrningskontroller omfattar kvartalsvis granskning av status för integritetskontroller för marknadsföring i REG12, årlig granskning av aktiva marknadsföringsleverantörer i REG08, kvartalsvisa mätetal för saknade kopplingar till samtycke eller meddelande, undantag för spårare och samtyckesstatus, försenade efterlevnadsåtgärder samt revisionsiakttagelser eller korrigerande åtgärder registrerade i REG12.