Wat is die PII-beheerderkontroles in ISO 27701:2025?
Tabel A.1 van ISO 27701:2025 Bylae A definieer 31 beheermaatreëls wat van toepassing is op enige organisasie wat as 'n PII-beheerder optree. 'n PII-beheerder is 'n organisasie wat die doeleindes en middele vir die verwerking van persoonlik identifiseerbare inligting bepaal.
Hierdie beheermaatreëls word in vier doelwitte gegroepeer:
- Voorwaardes vir versameling en verwerking (A.1.2) — 8 beheermaatreëls wat wettige basis, toestemming, privaatheidsimpakbepaling, kontrakte en rekords dek
- Verpligtinge teenoor PII-hoofde (A.1.3) — 10 kontroles wat deursigtigheid, data-onderwerpregte, outomatiese besluite en versoekhantering dek
- Privaatheid deur ontwerp en privaatheid deur verstek (A.1.4) — 9 beheermaatreëls wat data-minimalisering, -bewaring, -verwydering en -oordrag dek
- PII-deling, -oordrag en -openbaarmaking (A.1.5) — 4 beheermaatreëls wat grensoorskrydende oordragte en openbaarmakingsrekords dek
Elke beheermaatreël het ooreenstemmende implementeringsriglyne in Aanhangsel B (afdeling B.1). Byvoorbeeld, riglyne vir beheermaatreëls A.1.2.2 Identifiseer en dokumenteer doel word gevind by B.1.2.2.
Voorwaardes vir versameling en verwerking (A.1.2)
Doelwit: Om aan te toon dat verwerking wettig is, met 'n wettige basis volgens toepaslike jurisdiksies, en met duidelik gedefinieerde en wettige doeleindes.
| Beheer | Titel | Opsomming |
|---|---|---|
| A.1.2.2 Identifiseer en dokumenteer doel | Identifiseer en dokumenteer doel | Identifiseer en dokumenteer die spesifieke doeleindes waarvoor PII verwerk sal word |
| A.1.2.3 Identifiseer wettige basis | Identifiseer die wettige basis | Bepaal, dokumenteer en demonstreer voldoening aan die relevante wetlike basis |
| A.1.2.4 Bepaal Toestemming | Bepaal wanneer en hoe toestemming verkry moet word | Dokumenteer 'n proses om aan te toon of, wanneer en hoe toestemming verkry is |
| A.1.2.5 Verkry en teken toestemming aan | Verkry en teken toestemming aan | Verkry en teken toestemming van PII-hoofde aan volgens gedokumenteerde prosesse |
| A.1.2.6 Impakassessering vir privaatheid | Impakbepaling van privaatheid | Beoordeel die behoefte aan en implementeer privaatheidsimpakstudies vir nuwe of veranderde verwerking |
| A.1.2.7 Kontrakte met PII-verwerkers | Kontrakte met PII-verwerkers | Verseker dat skriftelike kontrakte met PII-verwerkers toepaslike inligting aanspreek Aanhangsel A beheer |
| A.1.2.8 Gesamentlike PII-beheerder | Gesamentlike PII-beheerder | Bepaal rolle en verantwoordelikhede met enige gesamentlike PII-beheerder |
| A.1.2.9 Rekords van Verwerking van PII | Rekords verwant aan die verwerking van PII | Bepaal en onderhou rekords veilig ter ondersteuning van PII-verwerkingsverpligtinge |
Begin jou gratis toets
Wil jy verken?
Sluit vandag aan vir jou gratis proeftydperk en kry al die voldoeningskenmerke wat ISMS.online kan bied, in die hand
Verpligtinge teenoor PII-hoofde (A.1.3)
Doelwit: Om te verseker dat PII-prinsipale van toepaslike inligting oor die verwerking van hul PII voorsien word en om aan enige ander toepaslike verpligtinge te voldoen.
| Beheer | Titel | Opsomming |
|---|---|---|
| A.1.3.2 Verpligtinge teenoor PII-hoofde | Bepaling en nakoming van verpligtinge teenoor PII-prinsipale | Bepaal en dokumenteer wetlike, regulatoriese en besigheidsverpligtinge teenoor PII-hoofde |
| A.1.3.3 Inligting vir PII-hoofde | Bepaling van inligting vir PII-hoofde | Bepaal en dokumenteer watter inligting aan PII-hoofde verskaf moet word en wanneer |
| A.1.3.4 Verskaffing van inligting | Verskaffing van inligting aan PII-hoofde | Verskaf duidelike, toeganklike inligting wat die beheerder identifiseer en die verwerking beskryf |
| A.1.3.5 Wysig of Trek Toestemming In | Voorsiening van 'n meganisme om toestemming te wysig of terug te trek | Voorsien 'n meganisme vir PII-hoofde om toestemming te wysig of terug te trek |
| A.1.3.6 Beswaar teen PII-verwerking | Verskaf 'n meganisme om beswaar te maak teen PII-verwerking | Voorsien 'n meganisme vir PII-hoofde om beswaar te maak teen verwerking |
| A.1.3.7 Toegang, Regstelling of Uitwissing | Toegang, regstelling of uitwissing | Implementeer beleide en meganismes om toegangs-, regstellings- of uitwissingsverpligtinge na te kom |
| A.1.3.8 Stel derde partye in kennis | PII-beheerders se verpligtinge om derde partye in te lig | Stel derde partye in kennis van wysigings, terugtrekkings of besware teen gedeelde persoonlike inligting |
| A.1.3.9 Verskaffing van 'n afskrif van die persoonlike inligting | Verskaf afskrif van verwerkte PII | Verskaf 'n afskrif van die verwerkte PII wanneer die PII-prinsipaal dit versoek |
| A.1.3.10 Hantering van Versoeke | Hantering van versoeke | Definieer en dokumenteer beleide vir die hantering van wettige versoeke van PII-hoofde |
| A.1.3.11 Geoutomatiseerde besluitneming | Outomatiese besluitneming | Identifiseer verpligtinge uit besluite gebaseer uitsluitlik op outomatiese verwerking van PII |
Privaatheid deur ontwerp en privaatheid deur verstek (A.1.4)
Doelwit: Om te verseker dat prosesse en stelsels so ontwerp is dat die insameling en verwerking van persoonlike inligting beperk word tot wat nodig is vir die geïdentifiseerde doel.
| Beheer | Titel | Opsomming |
|---|---|---|
| A.1.4.2 Limietversameling | Beperk versameling | Beperk die insameling van persoonlike inligting tot die minimum wat relevant, proporsioneel en noodsaaklik is |
| A.1.4.3 Beperk Verwerking | Beperk verwerking | Beperk verwerking tot wat voldoende, relevant en noodsaaklik is vir geïdentifiseerde doeleindes |
| A.1.4.4 Akkuraatheid en Kwaliteit | Akkuraatheid en kwaliteit | Verseker dat PII akkuraat, volledig en op datum is dwarsdeur sy lewensiklus |
| A.1.4.5 Minimalisering van persoonlike inligting | PII-minimaliseringsdoelwitte | Definieer en dokumenteer data-minimaliseringsdoelwitte en -meganismes |
| A.1.4.6 De-identifikasie en Verwydering | PII-de-identifikasie en -verwydering | Verwyder persoonlike inligting of maak dit onidentifiseerbaar wanneer dit nie meer nodig is nie |
| A.1.4.7 Tydelike lêers | Tydelike lêers | Verwyder tydelike lêers van PII-verwerking binne 'n gedokumenteerde tydperk |
| A.1.4.8 Behoud | Retensie | Moenie PII langer as nodig vir verwerkingsdoeleindes behou nie |
| A.1.4.9 Beskikking | beskikking | Het gedokumenteerde beleide, prosedures en meganismes vir die verwydering van PII |
| A.1.4.10 PII-oordragkontroles | PII-oordragkontroles | Onderwerp PII wat oor netwerke na toepaslike beheermaatreëls gestuur word |
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
PII-deling, -oordrag en -openbaarmaking (A.1.5)
Doelwit: Om te bepaal of, en te dokumenteer wanneer, PII gedeel, oorgedra of openbaar gemaak word in ooreenstemming met toepaslike verpligtinge.
| Beheer | Titel | Opsomming |
|---|---|---|
| A.1.5.2 Basis vir PII-oordrag | Identifiseer die basis vir die oordrag van persoonlike inligting tussen jurisdiksies | Identifiseer en dokumenteer die basis vir internasionale PII-oordragte |
| A.1.5.3 Lande vir PII-oordrag | Lande en internasionale organisasies vir PII-oordrag | Spesifiseer en dokumenteer die lande en organisasies waarheen PII oorgedra kan word |
| A.1.5.4 Rekords van PII-oordrag | Rekords van oordrag van PII | Teken PII-oordragte na of van derde partye aan en verseker samewerking |
| A.1.5.5 Rekords van PII-bekendmakings | Rekords van PII-openbaarmakings aan derde partye | Rekordbekendmakings, insluitend wat bekend gemaak is, aan wie en wanneer |
Hoe hou hierdie beheermaatreëls verband met GDPR?
Die PII-beheerder se beheermaatreëls word breedvoerig toegeken aan BBP vereistes. Belangrike verbindings sluit in:
- A.1.2 (Versameling en verwerking) kaarte na GDPR Artikels 5–6 (beginsels en wettige basis), Artikel 7 (toestemming), Artikels 8–9 (kinders en spesiale kategorieë)
- A.1.3 (Verpligtinge teenoor PII-hoofde) kaarte na GDPR Artikels 12–22 (data-onderwerpregte, insluitend toegang, regstelling, uitwissing, oordraagbaarheid en outomatiese besluite)
- A.1.4 (Privaatheid deur ontwerp) stem ooreen met GDPR Artikel 25 (databeskerming deur ontwerp en by verstek) en Artikel 5(1)(c–e) (minimalisering, akkuraatheid, bergingsbeperking)
- A.1.5 (Oordragte) kaarte na GDPR Artikels 44–49 (internasionale oordragte, toereikendheid, waarborge, BCR's)
Hoekom kies ISMS.aanlyn vir PII-beheerder-nakoming?
ISMS.aanlyn help jou om elke Tabel A.1-kontrole te implementeer en te bewys:
- Voorafgeboude beheerraamwerk — Al 31 beheerderkontroles gekarteer en gereed vir u toepaslikheidsverklaring
- Toestemmingsbestuur — Dokumenttoestemmingsprosesse, rekords en onttrekkingsmeganismes
- PIA-werkvloei — Voer privaatheidsimpakbeoordelings uit en hou dit dop met behulp van sjabloonvorms
- Opsporing van versoeke vir data-onderwerpe — Meld en bestuur toegangs-, regstellings- en uitwissingsversoeke met SLA-opsporing
- Oordragrekords — Hou 'n register van internasionale oordragte met wettige basisdokumentasie by
- Verwerkerkontrakbestuur — Spoor kontrakte, omsigtigheidsondersoek en nakomingsverpligtinge vir elke verwerker op
Vrae & Antwoorde
Is al 31 kontroles van toepassing op elke PII-beheerder?
Nie noodwendig nie. Jy moet alle toepaslike beheermaatreëls in jou verklaring van toepaslikheid insluit, maar beheermaatreëls kan uitgesluit word waar jou risikobepaling bepaal dat hulle nie nodig is nie of waar hulle nie deur toepaslike wetgewing vereis word nie. Enige uitsluiting moet geregverdig word.
Wat is die verskil tussen Tabel A.1 en Tabel A.3?
Tabel A.1 bevat kontroles spesifiek vir PII-beheerders (bv. toestemming, data-onderwerpregte, privaatheidsimpakbeoordelings). Tabel A.3 bevat inligtingsekuriteitskontroles wat op beide beheerders en verwerkers van toepassing is (bv. toegangsbeheer, logging, kriptografie). As 'n PII-beheerder is beide tabelle op jou van toepassing.
Waar vind ek die implementeringsriglyne vir hierdie beheermaatreëls?
Aanhangsel B, afdeling B.1, verskaf implementeringsriglyne vir elke Tabel A.1-kontrole. Die nommering stem direk ooreen: riglyne vir A.1.2.2 Identifiseer en dokumenteer doel is by B.1.2.2, riglyne vir A.1.3.7 Toegang, Regstelling of Uitwissing is by B.1.3.7, ensovoorts.
Dokumenteer jou beheerder se keuses in 'n Verklaring van toepaslikheid om jou rasionaal aan ouditeure te demonstreer.
DPO's kan 'n gefokusde oorsig van hul beheerderverpligtinge in ons vind. gids vir DPO's.
sien ons gids vir vereistes vir ouditbewyse vir wat ouditeure oor hierdie beheermaatreëls verwag.
