Wat vereis beheer A.1.3.5?
Die organisasie moet 'n meganisme verskaf vir PII-prinsipale om hul toestemming te wysig of in te trek.
Hierdie beheer sit binne die Verpligtinge teenoor PII-hoofde doelwit (A.1.3). Dit vul die toestemmingsinsamelingskontroles in A.1.2 aan deur te verseker dat toestemming nie 'n eenrigtingstraat is nie. Indien u organisasie op toestemming staatmaak as 'n wettige basis vir verwerking (sien A.1.2.4 Bepaal Toestemming en A.1.2.5 Verkry en teken toestemming aan), moet jy dit ook maklik maak vir individue om van plan te verander.
Wat sê die implementeringsriglyne?
Aanhangsel B (afdeling B.1.3.5) verskaf leiding oor hoe 'n effektiewe toestemmingonttrekkingsmeganisme moet lyk:
- Gelyke gemak — Die terugtrekking van toestemming behoort so maklik te wees soos om toestemming te gee. Indien toestemming met 'n enkele klik gegee is, behoort terugtrekking nie 'n telefoonoproep of skriftelike brief te vereis nie.
- Duidelike kommunikasie — Die meganisme vir terugtrekking moet duidelik aan PII-hoofde gekommunikeer word wanneer toestemming verkry word en te eniger tyd daarna.
- Geen terugwerkende effek nie — Terugtrekking beïnvloed nie die wettigheid van verwerking wat voor die terugtrekking uitgevoer is nie. Dit moet aan PII-hoofde meegedeel word.
- Gevolge — Voor onttrekking moet PII-hoofde ingelig word oor enige gevolge (byvoorbeeld, verlies van toegang tot 'n diens). Die gevolge moet nie straf wees nie.
- verandering — Benewens volle terugtrekking, oorweeg dit om PII-hoofde toe te laat om die omvang van hul toestemming te wysig (byvoorbeeld, om uit bemarking te kies terwyl toestemming vir dienslewering behoue bly)
- Sien ook A.1.2.2: Identifiseer en dokumenteer doel vir verwante vereistes
Hoe pas dit by die GDPR?
Beheer A.1.3.5 karteer na verskeie BBP bepalings:
- Artikel 7 (3) — Die datasubjek het die reg om toestemming te eniger tyd in te trek. Dit moet net so maklik wees om in te trek as om toestemming te gee. Die datasubjek moet van hierdie reg in kennis gestel word voordat toestemming gegee word.
- Artikel 13 (2) (c) — Die reg om toestemming te onttrek moet ingesluit word in die inligting wat by die versameling verskaf word
- Artikel 14(2)(d) — Die reg om toestemming te onttrek moet ingesluit word in die inligting wat vir indirekte insameling verskaf word
- Artikel 18(1)(ad) — Reg op beperking van verwerking, wat van toepassing kan wees wanneer toestemming teruggetrek word, maar ander gronde mag bestaan
Die BBPse beginsel van "so maklik om te onttrek as om te gee" is streng geïnterpreteer deur toesighoudende owerhede. Organisasies wat aanlyn toestemmingsmeganismes gebruik, moet ewe eenvoudige aanlyn onttrekkingsopsies bied.
Hoe hou dit verband met ISO 29100-privaatheidsbeginsels?
Hierdie beheer ondersteun die Toestemming en keuse beginsel van ISO 29100. Betekenisvolle toestemming vereis dat individue beheer oor hul keuses behou na die aanvanklike besluit. Die vermoë om toestemming te eniger tyd te wysig of terug te trek, is fundamenteel vir hierdie beginsel, wat verseker dat toestemming 'n egte uitdrukking van die individu se wense bly.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.1.3.5 beoordeel word, sal ouditeure tipies kyk na:
- Onttrekkingsmeganismes — Gedokumenteerde en toeganklike meganismes (aanlyn voorkeursentrums, uitschrijfskakels, vorms) wat PII-hoofde kan gebruik om toestemming te onttrek
- Gelyke gemaksassessering — Bewyse dat die onttrekkingsproses in poging vergelykbaar is met die toestemmingsverleningsproses
- Kommunikasie rekords — Bewyse dat PII-hoofde ingelig word oor die onttrekkingsmeganisme ten tyde van toestemming en in deurlopende kommunikasie
- Gevolgdokumentasie — Duidelike dokumentasie van wat gebeur wanneer toestemming teruggetrek word, en bewys dat dit aan PII-hoofde gekommunikeer word
- Staking van verwerking — Bewyse dat verwerking werklik stop (of gewysig word) wanneer toestemming teruggetrek word, binne gedokumenteerde tydsraamwerke.
- Toestemming rekords — Opgedateerde rekords wat die terugtrekking toon, gekoppel aan die oorspronklike toestemmingsrekord (sien A.1.2.5 Verkry en teken toestemming aan)
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.1.2.4 Bepaal toestemming | Definieer hoe toestemming verkry word; A.1.3.5 verseker dat dit ongedaan gemaak kan word |
| A.1.2.5 Verkry en teken toestemming aan | Toestemmingsrekords moet opgedateer word om terugtrekkings te weerspieël |
| A.1.3.3 Bepaling van inligting vir PII-hoofde | Die reg om toestemming te onttrek moet ingesluit word in die inligting wat verskaf word |
| A.1.3.4 Verskaffing van inligting aan PII-hoofde | Besonderhede van die onttrekkingsmeganisme moet duidelik gekommunikeer word |
| A.1.3.6 Beswaar teen PII-verwerking | Verwante maar onderskeidende: beswaar geld ongeag die wettige basis, terugtrekking geld slegs vir toestemming |
| A.1.4.6 PII-de-identifikasie en -verwydering | Toestemmingsterugtrekking kan verwyderingsverpligtinge veroorsaak |
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe was hierdie vereiste deel van Klousule 7.3.4 (Verskaffing van meganisme om toestemming te wysig of terug te trek). Die 2025-uitgawe behou dieselfde kernvereiste onder A.1.3.5, met die leiding in B.1.3.5. Die klem op "gelyke gemak" en die vereiste om gevolge voor terugtrekking te kommunikeer, bly die sleutelbeginsels. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Hoekom kies ISMS.aanlyn vir die bestuur van toestemmingonttrekking?
ISMS.aanlyn verskaf die infrastruktuur om die volle toestemmingslewensiklus te bestuur, insluitend wysiging en terugtrekking:
- Toestemmingsvoorkeursentrum — Gee PII-hoofde 'n selfbedieningsportaal om hul toestemming te eniger tyd te besigtig, te wysig of terug te trek, wat aan die "gelyke gemak"-vereiste voldoen.
- Geoutomatiseerde verwerkingsopdaterings — Wanneer toestemming teruggetrek word, aktiveer werkvloeie om die betrokke verwerking te staak en stel die betrokke spanne in kennis
- Gekoppelde toestemmingsrekords — Onttrekkingsgebeurtenisse word outomaties gekoppel aan die oorspronklike toestemmingsrekord, wat 'n volledige ouditspoor van insameling tot onttrekking skep.
- Gevolgkommunikasie-sjablone — Voorafgeboude sjablone om PII-hoofde in te lig oor die gevolge van onttrekking, wat konsekwente boodskappe verseker
- Voldoeningskontroleskerm — Monitor toestemmingsgesondheid regdeur u organisasie, met sigbaarheid in onttrekkingsyfers, tydlyne vir die staking van verwerking en uitstaande aksies
Vrae & Antwoorde
Wat beteken "so maklik om te onttrek as om te gee" in die praktyk?
Indien toestemming via 'n merkblokkie op 'n webvorm ingewin is, behoort onttrekking beskikbaar te wees deur 'n soortgelyke eenvoudige aanlyn meganisme, soos 'n voorkeursentrum of 'n uitschrijfskakel. Om 'n telefoonoproep, skriftelike brief of besoek aan 'n fisiese plek te vereis wanneer toestemming aanlyn gegee is, sal nie aan die standaard voldoen nie. Die onttrekkingspad behoort dieselfde of minder stappe as die toestemmingspad te vereis.
Beteken die terugtrekking van toestemming dat alle persoonlike inligting verwyder moet word?
Nie noodwendig nie. Toestemmingonttrekking beteken dat u die verwerking wat op toestemming gebaseer was, moet staak. U mag egter ander wettige basisse hê vir die behoud van die data (soos wettige verpligtinge of wettige belange vir ander doeleindes). U moet bepaal of enige ander wettige basis van toepassing is voordat u die data verwyder. Waar geen ander basis bestaan nie, moet verwydering of anonimisering volgens u bewaringsbeleid volg.
Hoe vinnig moet verwerking stop na die terugtrekking van toestemming?
Die standaard spesifiseer nie 'n presiese tydsraamwerk nie, maar die verwagting is dat verwerking sonder onnodige vertraging staak. In die praktyk moet organisasies hul teikenresponstyd dokumenteer en verseker dat dit redelik is. Vir outomatiese verwerking (soos bemarkings-e-posse) moet staking amper onmiddellik plaasvind. Vir meer komplekse verwerking wat verskeie stelsels betrek, is 'n kort gedokumenteerde tydsraamwerk (soos 48 uur) tipies aanvaarbaar, mits die vertraging geregverdig is.
ons gids vir vereistes vir ouditbewyse besonderhede gee oor die dokumentasie wat ouditeure verwag vir die beheermaatreëls vir data-onderwerpe se regte.
DPO's wat hierdie verpligtinge bestuur, moet ons gids vir DPO's vir 'n volledige oorsig.
