Kiedy ma zastosowanie zgodność danych dzieci i co zrobić dalej

Zgodność danych dzieci ma zastosowanie, gdy produkt SaaS, proces wsparcia, dostawca, funkcja AI, analityka lub wykorzystanie przez klienta zbiera albo używa danych osobowych dotyczących dzieci. Praktyczna odpowiedź polega na ustaleniu, gdzie takie dane mogą wejść do firmy, czy dzieci są użytkownikami docelowymi, prawdopodobnymi lub obecnymi w danych klienta, oraz na przełożeniu decyzji na właścicieli, kontrole i dowody.

GDPR przyznaje dzieciom szczególną ochronę. Artykuł 8 dodaje warunki, gdy zgoda jest podstawą dla usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku. Ogólny próg to 16 lat, ale państwa członkowskie mogą obniżyć go do 13. Poniżej właściwego wieku zgoda musi być udzielona lub autoryzowana przez osobę sprawującą władzę rodzicielską.

Szybka reguła

Temat jest w zakresie, gdy dzieci są użytkownikami docelowymi, prawdopodobnymi, osobami w danych klienta albo mogą realistycznie pojawić się w procesie.

Dotyczy to edukacji, zdrowia, rodziny, społeczności, gier, komunikacji, zgłoszeń wsparcia, uploadów, nagrań, pól tekstowych, zdarzeń analitycznych, promptów AI i integracji. Model B2B nie usuwa analizy.

Co zrobić dalej

Najpierw przygotuj inwentaryzację punktów wejścia, kategorii danych, celów, podstawy prawnej, sygnału wieku, dostawców, retencji, dostępu i lokalizacji dowodów. Następnie zdecyduj, jak obsługiwany jest wiek. Czasem bezpieczniejsze ustawienia dla wszystkich są lepsze niż inwazyjna weryfikacja wieku.

Sprawdź podstawę prawną i zgodę. Zgoda nie zawsze jest właściwa. Jeśli jest używana, muszą działać informacja, zakres, wycofanie, autoryzacja rodzicielska i dowody.

Częste błędy

Błędy to zakładanie, że B2B wyklucza dzieci, sprowadzanie wieku do jednego pytania, pomijanie danych nieustrukturyzowanych i używanie zgody bez procesu wycofania. Dowody powinny pokazać zakres, zmienione kontrole i właścicieli.

FAQ

Kiedy dotyczy to SaaS?

Gdy dzieci są użytkownikami docelowymi lub prawdopodobnymi, występują w danych klienta albo mogą pojawić się w procesach produktu, wsparcia, analityki, AI lub dostawców.

Co dokumentować najpierw?

Inwentaryzację, podejście do wieku, podstawę prawną, zgodę lub autoryzację rodzicielską, decyzję DPIA, ustawienia prywatności, dostawców, retencję i właściciela dowodów.

Źródła

Artykuł opiera się na GDPR, wytycznych EDPB dotyczących zgody oraz wskazówkach ICO o Children's Code.