Wat vereis beheer A.1.3.6?
Die organisasie moet 'n meganisme verskaf vir PII-prinsipale om beswaar te maak teen die verwerking van hul PII.
Hierdie beheer sit binne die Verpligtinge teenoor PII-hoofde doelwit (A.1.3). Die reg om beswaar te maak is onderskeibaar van die terugtrekking van toestemming (gedek in A.1.3.5 Wysig of Trek Toestemming In). Toestemmingsterugtrekking is slegs van toepassing waar toestemming die wettige basis is. Die reg om beswaar te maak, is breër van toepassing, insluitend waar verwerking gebaseer is op wettige belange of die uitvoering van 'n taak in die openbare belang.
Wat sê die implementeringsriglyne?
Aanhangsel B (afdeling B.1.3.6) verskaf leiding oor die implementering van 'n effektiewe beswaarmeganisme:
- Proaktiewe kennisgewing — Die reg om beswaar te maak moet onder die aandag van die PII-prinsipaal gebring word tydens die eerste kommunikasie, nie begrawe word in algemene privaatheidsinligting nie.
- Duidelike aanbieding — Die reg moet duidelik en apart van ander inligting aangebied word, sodat dit nie oor die hoof gesien word nie
- Direkte bemarking — Waar die beswaar betrekking het op direkte bemarking, moet dit altyd sonder uitsondering gerespekteer word. Daar is geen balanseringstoets vir direkte bemarkingsbesware nie.
- Ander verwerking — Vir besware teen verwerking gebaseer op wettige belange of openbare belang, mag die organisasie slegs voortgaan met verwerking indien dit dwingende wettige gronde kan aantoon wat die belange van die PII-prinsipaal oorskry.
- Evalueringsproses — Organisasies moet 'n gedokumenteerde proses hê vir die beoordeling van besware, insluitend wie die besluit neem en watter faktore in ag geneem word.
- Sien ook A.1.3.3: Bepaling van inligting vir PII-hoofde vir verwante vereistes
- Sien ook A.1.3.7: Toegang, Regstelling of Uitwissing vir verwante vereistes
Hoe pas dit by die GDPR?
Beheer A.1.3.6 karteer breedvoerig na BBP Artikel 21:
- Artikel 21 (1) — Reg om beswaar te maak teen verwerking gebaseer op openbare belang of wettige belange, insluitend profilering gebaseer op daardie gronde
- Artikel 21 (2) — Reg om beswaar te maak teen verwerking vir direkte bemarkingsdoeleindes
- Artikel 21 (3) — Verpligting om verwerking te staak by beswaar teen direkte bemarking
- Artikel 21 (4) — Die reg om beswaar te maak moet uitdruklik onder die aandag gebring en duidelik en afsonderlik aangebied word
- Artikel 21 (5) — In die konteks van inligtingsamelewingsdienste kan beswaar deur outomatiese middele uitgeoefen word
- Artikel 21 (6) — Reg om beswaar te maak teen verwerking vir wetenskaplike, historiese navorsing of statistiese doeleindes
- Artikel 13(2)(b) en 14(2)(c) — Die reg om beswaar te maak moet as deel van deursigtigheidsinligting gekommunikeer word
Hoe hou dit verband met ISO 29100-privaatheidsbeginsels?
Hierdie beheer ondersteun die Toestemming en keuse beginsel van ISO 29100. Terwyl die reg om beswaar te maak verder strek as toestemming in die streng regssin, gaan dit fundamenteel daaroor om te verseker dat PII-hoofde betekenisvolle keuse behou oor hoe hul data gebruik word. Die beginsel erken dat individue deurlopende agentskap moet hê, nie net op die punt van aanvanklike insameling nie.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.1.3.6 beoordeel word, sal ouditeure tipies kyk na:
- Beswaarmeganisme — 'n Gedokumenteerde, toeganklike meganisme vir PII-hoofde om besware in te dien (aanlyn vorm, e-posadres of inprogram-opsie)
- Proaktiewe kommunikasie — Bewyse dat die reg om beswaar te maak tydens die eerste kommunikasie gekommunikeer word, duidelik en afsonderlik aangebied
- Direkte bemarkingsprosedures — Spesifieke prosedures vir die hantering van besware teen direkte bemarking, met bewys van onmiddellike nakoming
- Assesseringsraamwerk — ’n Gedokumenteerde proses vir die evaluering van besware teen verwerking gebaseer op wettige belange, insluitend die balanseringstoetskriteria
- Besluitrekords — Rekords van beswaarbesluite, insluitend die redenasie waar 'n beswaar nie gehandhaaf is nie
- personeelopleiding — Bewyse dat personeel wat besware hanteer, die verskillende reëls vir direkte bemarking teenoor ander verwerking verstaan
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.1.3.5 Wysig of trek toestemming in | Verwante maar onderskeidende: toestemmingsintrekking is van toepassing op toestemmingsgebaseerde verwerking; beswaar is van toepassing op wettige belange en openbare belang |
| A.1.3.4 Verskaffing van inligting aan PII-hoofde | Die reg om beswaar te maak moet prominent gekommunikeer word as deel van die inligting wat verskaf word. |
| A.1.3.10 Hantering van versoeke | Besware is 'n kategorie van PII-hoofversoeke wat volgens gedokumenteerde prosedures hanteer moet word. |
| A.1.2.3 Identifiseer die wettige basis | Die wettige basis bepaal of die beswaar 'n absolute reg (direkte bemarking) of 'n balanseringstoets veroorsaak |
| A.1.3.8 Verpligtinge om derde partye in te lig | Indien 'n beswaar gehandhaaf word, moet derde partye wat die PII ontvang het, in kennis gestel word |
| A.1.3.2 Verpligtinge teenoor PII-hoofde | Die reg om beswaar te maak is een van die verpligtinge wat geïdentifiseer en gedokumenteer moet word |
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe was hierdie vereiste deel van Klousule 7.3.5 (Verskaffing van meganisme om beswaar te maak teen PII-verwerking). Die 2025-uitgawe behou die kernvereiste onder A.1.3.6 met leiding in B.1.3.6. Die klem op die duidelike en afsonderlike aanbieding van die reg van ander inligting, en die absolute aard van direkte bemarkingsbesware, bly die bepalende kenmerke van hierdie beheer. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Hoekom kies ISMS.aanlyn vir die bestuur van verwerkingsbesware?
ISMS.aanlyn gee jou die gereedskap om besware teen verwerking sistematies en voldoenend te hanteer:
- Beswaarinnameportaal — Voorsien PII-hoofde van 'n toegewyde, maklik-vindbare meganisme vir die indien van besware, apart van algemene navrae
- Outomatiese roetering — Besware teen direkte bemarking word gemerk vir onmiddellike optrede, terwyl besware teen wettige belange na die toepaslike besluitnemer gestuur word.
- Balanserende toetsraamwerk — Gestruktureerde sjablone vir die uitvoering en dokumentasie van die wettige belange-afwegingstoets wanneer besware teen nie-bemarking beoordeel word
- Besluitouditspoor — Teken elke beswaar, die assesseringsproses en die uitkoms aan, met tydstempels en verantwoordelike partye vir volledige aanspreeklikheid
- Derdeparty-kennisgewingsnellers — Wanneer 'n beswaar gehandhaaf word, merk outomaties die noodsaaklikheid om derde partye in kennis te stel wat die PII ontvang het, met 'n skakel na jou A.1.3.8 Stel derde partye in kennis prosedures
Vrae & Antwoorde
Wat is die verskil tussen beswaar maak en toestemming terugtrek?
Toestemmingonttrekking (A.1.3.5 Wysig of Trek Toestemming In) geld slegs waar toestemming die wettige basis vir verwerking is. Die reg om beswaar te maak (A.1.3.6) is van toepassing waar verwerking gebaseer is op wettige belange of openbare belang. Vir direkte bemarking is die reg om beswaar te maak absoluut ongeag die wettige basis. In die praktyk benodig organisasies beide meganismes: 'n toestemmingonttrekkingsproses vir toestemmingsgebaseerde verwerking en 'n beswaarproses vir ander wettige basisse.
Kan jy ooit 'n beswaar weier?
Vir direkte bemarking, nee. 'n Beswaar teen direkte bemarkingsverwerking moet altyd sonder uitsondering gerespekteer word. Vir verwerking gebaseer op wettige belange of openbare belang, kan u voortgaan met verwerking indien u dwingende wettige gronde kan aantoon wat die belange, regte en vryhede van die PII-prinsipaal oortref, of indien die verwerking nodig is vir die vestiging, uitoefening of verdediging van regseise. Die bewyslas rus op die organisasie, en die besluit moet gedokumenteer word.
Hoe moet die reg om beswaar te maak “afsonderlik” gekommunikeer word?
Die leiding en BBP Artikel 21(4) vereis dat die reg om beswaar te maak eksplisiet onder die aandag van die PII-prinsipaal gebring word en duidelik en afsonderlik van enige ander inligting aangebied word. In die praktyk beteken dit dat dit nie te midde van 'n lang privaatheidskennisgewing begrawe moet word nie. Dit moet sy eie opskrif, sy eie afdeling of sy eie kommunikasie hê. By die eerste kontakpunt moet dit direk vermeld word eerder as om deur 'n skakel na algemene terme verwys te word.
ons gids vir vereistes vir ouditbewyse besonderhede gee oor die dokumentasie wat ouditeure verwag vir die beheermaatreëls vir data-onderwerpe se regte.
DPO's wat hierdie verpligtinge bestuur, moet ons gids vir DPO's vir 'n volledige oorsig.
