Hoe om voldoening aan GDPR Artikel 24 te demonstreer

ISO 27701 Klousule 5.2.1 (Verstaan ​​die organisasie en die konteks daarvan) en EU GDPR Artikel 24 (3)

Voordat hulle probeer om privaatheidbeskerming aan te spreek en 'n PII te implementeer, moet organisasies eers 'n begrip kry van hul verpligtinge as 'n enkelvoudige of gesamentlike PII-beheerder en/of verwerker.

Dit sluit in:

• hersiening van enige heersende privaatheidswette, regulasies of 'geregtelike besluite';
• met inagneming van die organisasie se unieke stel vereistes met betrekking tot die soort produkte en diens wat hulle verkoop, en maatskappyspesifieke bestuursdokumente, -beleide en -prosedures;
• administratiewe faktore;
• derdeparty-ooreenkomste of dienskontrakte.

ISO 27701 Klousule 6.15.1.3 (Beskerming van Rekords) en EU GDPR Artikel 24 (2)

Rekordbestuur sluit vier sleutelareas in:

1. Egtheid;
2. Betroubaarheid;
3. Integriteit;
4. Bruikbaarheid.

Organisasies moet:

• publiseer riglyne wat handel oor:
• stoor;
• hantering (ketting van bewaring);
• wegdoening;
• voorkoming van manipulasie.
• skets hoe lank elke rekordtipe behou moet word;
• enige wette wat met rekordhouding handel, nakom;
• voldoen aan klante se verwagtinge in hoe organisasies hul rekords moet hanteer;
• vernietig rekords sodra dit nie meer benodig word nie;
• klassifiseer rekords op grond van hul sekuriteitsrisiko, bv.
• Rekeningkunde;
• besigheidstransaksies;
• personeelrekords;
• wettig is.
• verseker dat hulle in staat is om rekords binne 'n aanvaarbare tydperk te herwin, indien gevra om dit te doen deur 'n derde party of wetstoepassingsagentskap;
• voldoen altyd aan die vervaardiger se riglyne wanneer rekords op elektroniese mediabronne gestoor of hanteer word.

ISO 27701 Klousule 6.2.1.1 (Beleide vir Inligtingsekuriteit) en EU GDPR Artikel 24 (2)

ISO bepleit 'n dubbelfrontbenadering tot organisatoriese privaatheidbeskerming wat die volgende insluit:

• 'n algemene privaatheidsbeskermingsbeleid;
• onderwerpspesifieke privaatheidsbeskermingsbeleide.

Beide tipes beleid kan óf in een dokument gekombineer word, óf uitgeskei word soos die organisasie goeddink.

Beleide moet aan alle relevante personeellede (en eksterne personeel, indien nodig) versprei word om deurlopende nakoming van interne en eksterne privaatheidsbeskermingsvereistes te verseker.

Enigeen wat 'n polis ontvang, moet gevra word om, verkieslik skriftelik, te bevestig dat hulle albei verstaan ​​wat van hulle gevra word, en bereid is om daaraan te voldoen.

Beleide moet hersien word wanneer veranderinge aangebring word aan:

• besigheidstrategie;
• operasionele praktyke/tegniese omgewings;
• enige wette (insluitend GDPR), regulatoriese bepalings of algemene PII-verwante riglyne waaraan die organisasie 'n verantwoordelikheid het om na te kom;
• privaatheidsbeskermingsrisikovlakke en die heersende/geprojekteerde bedreigingslandskap.

Algemene beleid

Senior bestuur moet 'n topvlak-privaatheidsbeskermingsbeleid (saam met ander onderwerpspesifieke beleide) daarstel wat die prosesse en praktiese stappe wat geneem sal word om PII te beskerm, duidelik uiteensit.

Organisatoriese privaatheidsbeskermingsbeleide moet inligting bevat van, en relevant bly vir:

1. die algehele besigheidstrategie;
2. enige heersende regulatoriese, wetlike of kontraktuele vereistes;
3. enige duidelike en huidige privaatheidsbeskermingsrisiko's.

Privaatheidsbeskermingsbeleide moet die organisasie se:

• operasionele definisie van privaatheidbeskerming;
• gestelde privaatheidsbeskermingsdoelwitte;
• breër stel bestuursbeginsels met betrekking tot die beskerming van PII;
• verbintenis tot die bereiking van hul PII-verwante doelwitte, en die verbetering daarvan op 'n deurlopende basis;
• benadering tot die delegeer van verantwoordelikheid vir die hele of 'n deel van die privaatheidsbeskermingsbeleid na die relevante roltipes;
• benadering tot die hantering van uitsonderings op die beleid;
• planne vir Senior Bestuur om veranderinge te hersien en goed te keur.

ISO 27701 Klousule 7.2.8 (Rekords met betrekking tot die verwerking van PII) en EU GDPR Artikel 24 (1)

Rekords (andersins bekend as 'voorraadlyste') moet 'n gedelegeerde eienaar hê, en kan die volgende insluit:

1. operasioneel – die spesifieke tipe PII-verwerking wat onderneem word;
2. regverdigings – waarom die PII verwerk word;
3. kategories – lyste van PII-ontvangers, insluitend internasionale organisasies;
4. sekuriteit – 'n oorsig van hoe PII beskerm word;
5. privaatheid – dit wil sê 'n privaatheidsimpakbeoordelingsverslag.

Indeks van gekoppelde EU GDPR-artikels en ISO 27701-klousules

Hoe ISMS.online help

ISMS.online bied jou 'n volledige GDPR-oplossing.

Ons bied 'n omgewing wat vooraf vir jou gebou is om jou benadering tot die beskerming van jou Europese en Britse kliëntedata te beskryf en te demonstreer wat naatloos by jou bestuurstelsel inpas.

Die ISMS.online platform het ingeboude leiding by elke stap gekombineer met ons 'Aanneem, pas aan, voeg by' implementeringsbenadering sodat die moeite wat nodig is om jou benadering tot GDPR te demonstreer, aansienlik verminder word.

Het jy 30 minute? Vind meer uit deur bespreek 'n demo.