Wat vereis beheer A.1.2.2?
Die organisasie moet die spesifieke doeleindes waarvoor die PII verwerk sal word, identifiseer en dokumenteer.
Hierdie beheer sit binne die Voorwaardes vir versameling en verwerking doelwit (A.1.2), wat daarop gemik is om aan te toon dat verwerking wettig is, met 'n regsbasis volgens toepaslike jurisdiksies, en met duidelik gedefinieerde en wettige doeleindes.
Wat sê die implementeringsriglyne?
Aanhangsel B (afdeling B.1.2.2) verskaf die volgende riglyne:
- Die organisasie moet verseker dat PII-hoofde die doel verstaan waarvoor hul PII verwerk word.
- Dit is die organisasie se verantwoordelikheid om dit duidelik te dokumenteer en aan PII-hoofde te kommunikeer.
- Sonder 'n duidelike doelstelling kan toestemming en keuse nie voldoende gegee word nie
- Dokumentasie van doeleindes moet voldoende duidelik en gedetailleerd wees om die inligting wat aan PII-hoofde verskaf word, te ondersteun (sien A.1.3.3 Inligting vir PII-hoofde)
- Doeldokumentasie moet inligting insluit wat nodig is om toestemming te verkry (sien A.1.2.4 Bepaal Toestemming) en gedokumenteerde inligting oor beleide en prosedures (sien A.1.2.9 Rekords van Verwerking van PII)
- Sien ook A.1.2.5: Verkry en teken toestemming aan vir verwante vereistes
- Sien ook A.1.3.5: Wysig of Trek Toestemming In vir verwante vereistes
Die riglyne wys ook daarop dat die taksonomie en definisies in ISO/IEC 19944-1 nuttig kan wees om verwerkingsdoeleindes in wolkrekenaarkontekste te beskryf.
Hoe pas dit by die GDPR?
Beheer A.1.2.2 karteer na BBP Artikel 5(1)(b) (beginsel van doelbeperking) en Artikel 32(4) (versekering van persone wat slegs op instruksies onder gesagsproses optree). Die BBP vereis dat persoonlike data vir gespesifiseerde, eksplisiete en wettige doeleindes ingesamel word, en nie verder verwerk word op 'n wyse wat onversoenbaar is met daardie doeleindes nie.
Hoe hou dit verband met ISO 29100-privaatheidsbeginsels?
Hierdie beheer ondersteun twee ISO 29100-privaatheidsbeginsels:
- Toestemming en keuse — Duidelike doeldokumentasie maak betekenisvolle toestemming moontlik
- Doellegitimiteit en spesifikasie — Spreek direk die vereiste vir gespesifiseerde, wettige doeleindes aan
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.1.2.2 beoordeel word, sal ouditeure tipies kyk na:
- Verwerkingsdoelregister — 'n Gedokumenteerde lys van alle PII-verwerkingsaktiwiteite met hul verklaarde doeleindes
- Privaatheidskennisgewings — Bewyse dat doeleindes in duidelike, toeganklike taal aan PII-hoofde gekommunikeer word
- Rekords van verwerkingsaktiwiteite — Gedokumenteerde rekords wat die doeleindes vir elke kategorie PII wat verwerk word, toon
- Veranderings bestuur — Bewyse dat nuwe verwerkingsdoeleindes geassesseer en gedokumenteer word voordat verwerking begin
- Belyning met toestemmingsrekords — Dat die doeleindes wat in toestemmingsvorms gedokumenteer is, ooreenstem met die werklike verwerking wat uitgevoer word
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.1.2.3 Identifiseer die wettige basis | Sodra die doeleindes gedefinieer is, moet die wettige basis vir elkeen geïdentifiseer word. |
| A.1.2.4 Bepaal toestemming | Toestemmingsprosesse hang af van duidelik gedokumenteerde doeleindes |
| A.1.2.9 Rekords van Verwerking van PII | Doeldokumentasie word in die verwerkingsrekords ingevoer |
| A.1.3.3 Inligting vir PII-hoofde | Doeleindes moet aan PII-hoofde gekommunikeer word |
| A.1.3.4 Verskaffing van inligting | Duidelike, toeganklike doelbeskrywings in privaatheidskennisgewings |
| A.1.4.3 Beperk verwerking | Verwerking moet beperk word tot wat nodig is vir die gedokumenteerde doeleindes |
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe was hierdie vereiste deel van Klousule 7.2.1 (identifiseer en dokumenteer doel). Die beheerinhoud is wesenlik dieselfde in 2025, maar dit is nou in Tabel A.1 met 'n duideliker skeiding tussen die beheerverklaring (A.1.2.2) en implementeringsriglyne (B.1.2.2). Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Hoekom kies ISMS.aanlyn vir die bestuur van verwerkingsdoeleindes?
ISMS.aanlyn bied praktiese gereedskap vir die dokumentering en bestuur van verwerkingsdoeleindes:
- Verwerkingsaktiwiteitregister — Dokumenteer elke verwerkingsaktiwiteit met die verklaarde doel, kategorieë van persoonlike inligting en regsgrondslag
- Bestuur van privaatheidskennisgewings — Handhaaf weergawe-beheerde privaatheidskennisgewings gekoppel aan verwerkingsdoeleindes
- Veranderingopsporing — Teken aan wanneer doeleindes bygevoeg, verander of teruggetrek word met volledige ouditspoor
- Kruisverwysing — Koppel doeleindes aan toestemmingsrekords, privaatheidsimpakstudies en versoeke vir data-onderwerpe
- Ouditbewyse — Uitvoerdoeldokumentasie as deel van u voldoeningsbewyspakket
Vrae & Antwoorde
Hoe gedetailleerd moet doeldokumentasie wees?
Duidelik en gedetailleerd genoeg sodat dit gebruik kan word as deel van die inligting wat aan PII-prinsipale verskaf word en as die basis vir die verkryging van toestemming. Vae doeleindes soos "besigheidsbedrywighede" of "verbetering van dienste" sal waarskynlik nie aan die standaard voldoen nie. Elke doel moet die spesifieke uitkoms van die verwerking beskryf.
Wat gebeur as die doeleindes verander na insameling?
Enige nuwe doel moet gedokumenteer en beoordeel word vir versoenbaarheid met die oorspronklike doel. Indien die nuwe doel nie versoenbaar is nie, is bykomende toestemming of 'n aparte wettige basis tipies vereis. Die verandering moet weerspieël word in opgedateerde privaatheidskennisgewings en verwerkingsrekords.
Geld dit ook vir PII-verwerkers?
A.1.2.2 is 'n PII-beheerderbeheer. PII-verwerkers het 'n verwante maar verskillende verpligting onder A.2.2.3 Organisasiedoelwitte (Organisasie se doeleindes), wat vereis dat hulle slegs PII verwerk vir die doeleindes wat in die kliënt se instruksies gedokumenteer is.
Dokumenteer hoe hierdie beheer op u organisasie van toepassing is in u Verklaring van toepaslikheid.
sien ons gids vir vereistes vir ouditbewyse vir wat ouditeure verwag wanneer hulle hierdie beheermaatreël beoordeel.
