Hoe om voldoening aan GDPR Artikel 38 te demonstreer

Sleutelvereistes van GDPR Artikel 38: Wat besighede moet weet

Na aanleiding van artikel 37 wat handel oor die aanstelling van 'n DPO, BBP Artikel 38 skets die omvang van hul pligte, hul posisie by die organisasie, en sekere spesifieke take en pligte.

GDPR Artikel 38 Regstekst

EU GDPR weergawe

Pos van die Databeskermingsbeampte

1. Die kontroleerder en die verwerker sal verseker dat die databeskermingsbeampte behoorlik en betyds betrokke is by alle kwessies wat verband hou met die beskerming van persoonlike data.
2. Die kontroleerder en verwerker sal die databeskermingsbeampte ondersteun in die uitvoering van die take waarna in Artikel 39 verwys word deur hulpbronne te verskaf wat nodig is om daardie take en toegang tot persoonlike data en verwerkingsbedrywighede uit te voer, en om sy of haar kundige kennis te handhaaf.
3. Die kontroleerder en verwerker sal verseker dat die databeskermingsbeampte geen instruksies oor die uitoefening van daardie take ontvang nie. Hy of sy sal nie deur die kontroleerder of die verwerker ontslaan of gepenaliseer word vir die uitvoering van sy take nie. Die databeskermingsbeampte moet direk aan die hoogste bestuursvlak van die kontroleerder of die verwerker verslag doen.
4. Datasubjekte kan die databeskermingsbeampte kontak met betrekking tot alle kwessies wat verband hou met die verwerking van hul persoonlike data en met die uitoefening van hul regte ingevolge hierdie Regulasie.
5. Die databeskermingsbeampte sal gebonde wees aan geheimhouding of vertroulikheid met betrekking tot die uitvoering van sy of haar take, in ooreenstemming met die wet van die Unie of Lidstaat.
6. Die databeskermingsbeampte kan ander take en pligte vervul. Die kontroleerder of verwerker sal verseker dat enige sodanige take en pligte nie 'n botsing van belange tot gevolg het nie.

Britse GDPR-weergawe

Pos van die Databeskermingsbeampte

1. Die kontroleerder en die verwerker sal verseker dat die databeskermingsbeampte behoorlik en betyds betrokke is by alle kwessies wat verband hou met die beskerming van persoonlike data.
2. Die kontroleerder en verwerker sal die databeskermingsbeampte ondersteun in die uitvoering van die take waarna in Artikel 39 verwys word deur hulpbronne te verskaf wat nodig is om daardie take en toegang tot persoonlike data en verwerkingsbedrywighede uit te voer, en om sy of haar kundige kennis te handhaaf.
3. Die kontroleerder en verwerker sal verseker dat die databeskermingsbeampte geen instruksies oor die uitoefening van daardie take ontvang nie. Hy of sy sal nie deur die kontroleerder of die verwerker ontslaan of gepenaliseer word vir die uitvoering van sy take nie. Die databeskermingsbeampte moet direk aan die hoogste bestuursvlak van die kontroleerder of die verwerker verslag doen.
4. Datasubjekte kan die databeskermingsbeampte kontak met betrekking tot alle kwessies wat verband hou met die verwerking van hul persoonlike data en met die uitoefening van hul regte ingevolge hierdie Regulasie.
5. Die databeskermingsbeampte sal gebonde wees aan geheimhouding of vertroulikheid rakende die uitvoering van sy of haar take, in ooreenstemming met nasionale wetgewing.
6. Die databeskermingsbeampte kan ander take en pligte vervul. Die kontroleerder of verwerker sal verseker dat enige sodanige take en pligte nie 'n botsing van belange tot gevolg het nie.

Tegniese Kommentaar

GDPR Artikel 38 handel oor drie hoofareas van operasie wat betrekking het op die omvang van 'n Databeskermingsbeampte se pligte binne die organisasie:

1. Die spesifieke rol van die DPO binne die organisasie, en hoe hulle betrokke is by die beskerming van 'n individu se data.
2. Die belangrikheid van instandhouding onpartydigheid en vertroulikheid, wanneer hulle hul pligte uitvoer, vry van onbehoorlike ondersoek of inmenging deur organisatoriese bestuur.
3. Die behoefte om enige te vermy botsende belange, indien die DPO enige ander rol binne die organisasie vervul, hetsy gekoppel of nie gekoppel aan hul verpligtinge as 'n DPO nie.

ISO 27701 Klousule 6.3.1.1 (Inligtingsekerheidsrolle en -verantwoordelikhede) en EU GDPR Artikel 38

In hierdie afdeling praat ons oor GDPR Artikels 38 (1), 38 (2), 38 (3), 38 (4), 38 (5), 38 (6)

Organisasies moet rolle en verantwoordelikhede definieer wat spesifiek is vir individuele funksies wat binne hul privaatheidsbeskermingsbeleid vervat is – beide hul algemene beleid en onderwerpspesifieke beleide.

Individue met spesifieke verantwoordelikhede moet vaardig genoeg wees om privaatheidverwante take uit te voer, en moet voortdurende ondersteuning gebied word wat 'n aanvaarbare vlak van bevoegdheid handhaaf.

Verantwoordelikheidsareas moet die volgende insluit:

• Die beskerming van PII en enige privaatheidsverwante bates.
• Voer privaatheidsbeskermingsprosedures uit.
• PII-verwante risikobestuursaktiwiteite, insluitend regstellende aksies.
• Enigeen wat die organisasie se inligting en data gebruik, insluitend die gebruik van IKT-bates.
• Individue met verantwoordelikheid op die hoogste vlak vir privaatheidsbeskerming wat take aan ander delegeer.

ISO erken dat elke organisasie uniek is in die manier waarop hulle inligting verwerk. Bogenoemde verantwoordelikheidsareas moet vergesel word van terrein- en fasiliteitspesifieke riglyne wat werklike wêreldfaktore in ag neem wat 'n organisasie se PII-verwerkingsoperasie raak.

Al die bogenoemde verantwoordelikhede en sekuriteitsareas moet duidelik gedokumenteer word en aan alle relevante personeellede beskikbaar gestel word.

Organisasies moet 'n individu nomineer wat kliënte (en eksterne owerhede) as 'n toegewyde kontakpunt vir alle PII-verwante aangeleenthede kan gebruik (sien ISO 27701 Klousule 7.3.2).

Daarbenewens moet organisasies verantwoordelikheid delegeer aan een of meer individue vir die bou van 'n organisatoriese privaatheidbestuursprogram wat die nakoming van gelokaliseerde en nasionale PII-wette en regulasies versterk.

Ondersteun ISO 27701-klousules

• ISO 27701 7.3.2

ISO 27701 Klousule 6.10.2.4 (Vertroulikheid of Nie-openbaarmakingsooreenkomste) en EU GDPR Artikel 38 (5)

By die opstel, implementering en instandhouding van NDA's, moet organisasies:

• Bied 'n definisie vir die inligting wat beskerm moet word.
• Skets die verwagte duur van die ooreenkoms duidelik.
• Noem duidelik enige vereiste aksies sodra 'n ooreenkoms beëindig is.
• Enige verantwoordelikhede wat deur bevestigde ondertekenaars ooreengekom word.
• Eienaarskap van inligting (insluitend IP en handelsgeheime).
• Hoe ondertekenaars toegelaat word om die inligting te gebruik.
• Beskryf die organisasie se reg om vertroulike inligting te monitor duidelik.
• Enige reperkussies wat sal ontstaan ​​as gevolg van nie-nakoming.
• Hersien gereeld hul vertroulikheidsbehoeftes en pas enige toekomstige ooreenkomste dienooreenkomstig aan.

Vertroulikheidswette verskil van jurisdiksie tot jurisdiksie, en organisasies moet hul eie wetlike en regulatoriese verpligtinge oorweeg wanneer hulle NDA's en vertroulikheidsooreenkomste opstel (sien ISO 27002 kontroles 5.31, 5.32, 5.33 en 5.34).

Ondersteun ISO 27002-kontroles

• ISO 27002 5.31
• ISO 27002 5.32
• ISO 27002 5.33
• ISO 27002 5.34

Indeks van gekoppelde EU GDPR-artikels, ISO 27701-klousules en ISO 27002-kontroles

Hoe ISMS.online Help

GDPR voldoening aan ISMS.online

Ons 'Neem aan, pas aan, voeg by'-implementeringsbenadering op die ISMS.aanlyn-platform maak dit maklik om jou GDPR-nakomingsbenadering te demonstreer. Daarbenewens sal jy baat by kragtige tydbesparende kenmerke.

In die geval van die ergste wat gebeur, sal jy voorbereid wees. Deur elke voorval te dokumenteer en daaruit te leer, maak ons ​​dit vir jou maklik om jou oortredingswerkvloei te beplan en te kommunikeer.

Vind meer uit deur bespreek 'n demo.