Wat vereis beheer A.1.5.2?
Die organisasie moet die relevante basis vir die oordrag van persoonlike inligting tussen jurisdiksies identifiseer en dokumenteer.
Hierdie beheer sit binne die PII-oordrag doelwit (A.1.5), wat verseker dat organisasies robuuste meganismes het vir die bestuur van die grensoverschrijdende beweging van persoonlike data. Dit is een van die finale beheerder-spesifieke beheermaatreëls in Aanhangsel A en onderlê elke ander oordragbeheer in die groep.
ons gids vir grensoverschrijdende data-oordragte verskaf omvattende leiding oor die implementering van oordragbeskermingsmaatreëls kragtens ISO 27701:2025.
Wat sê die implementeringsriglyne?
Aanhangsel B (afdeling B.1.5.2) verskaf die volgende riglyne:
- Identifiseer die wetlike meganismes wat beskikbaar is vir internasionale oordragte, soos toereikendheidsbesluite, standaard kontraktuele klousules, bindende korporatiewe reëls, eksplisiete toestemming of statutêre afwykings.
- Dokumenteer die spesifieke basis wat gebruik word vir elke oordrag van persoonlike inligting tussen jurisdiksies
- Hersien die gedokumenteerde basis wanneer wetlike raamwerke verander, byvoorbeeld wanneer 'n toereikendheidsbesluit herroep word of nuwe wetgewing in werking tree.
- Waar verskeie meganismes beskikbaar is, kies en regverdig die mees geskikte een gebaseer op die aard, volume en sensitiwiteit van die PII wat oorgedra word.
Die riglyne maak dit duidelik dat dit waarskynlik nie voldoende sal wees om bloot op een algemene meganisme staat te maak nie. Elke oordragvloei moet op sy eie meriete beoordeel word, en die gekose basis moet verdedigbaar wees vir beide reguleerders en ouditeure.
Hoe pas dit by die GDPR?
Beheer A.1.5.2 karteer na 'n aansienlike blok van GDPR-bepalings:
- Artikel 44 — Algemene beginsel vir internasionale oordragte (oordragte slegs met toepaslike waarborge)
- Artikel 45(1–9) — Oordragte op grond van 'n toereikendheidsbesluit
- Artikel 46(1–5) — Oordragte onderhewig aan toepaslike waarborge (SCC's, BCR's, gedragskodes)
- Artikel 47(1–3) — Bindende korporatiewe reëls
- Artikel 48 — Oordragte wat nie deur die Unie-wetgewing gemagtig is nie
- Artikel 49(1–6) — Afwykings vir spesifieke situasies (uitdruklike toestemming, kontraknoodsaaklikheid, openbare belang)
- Artikel 30(1)(e) — Rekords van verwerking moet oordragte na derde lande insluit
- Artikel 15 (2) — Reg van toegang sluit inligting oor internasionale oordragte en waarborge in
Die omvang van hierdie kartering weerspieël hoe sentrale oordragmeganismes is om BBP nakoming. Organisasies wat onder beide raamwerke werk, sal vind dat die voldoening aan A.1.5.2 'n groot bydrae lewer tot die nakoming van Hoofstuk V van die AVG.
Hoe hou dit verband met ISO 29100-privaatheidsbeginsels?
Hierdie beheer ondersteun twee ISO 29100 privaatheidsbeginsels:
- Aanspreeklikheid — Die dokumentasie van die regsbasis vir elke oordrag demonstreer aanspreeklikheid vir grensoverschrijdende datavloei
- Beperking van gebruik, bewaring en openbaarmaking — Oordragbasis-dokumentasie verseker dat persoonlike inligting slegs oor grense heen bekend gemaak word waar daar 'n geregverdigde en gedokumenteerde rede daarvoor is
Begin jou gratis toets
Wil jy verken?
Sluit vandag aan vir jou gratis proeftydperk en kry al die voldoeningskenmerke wat ISMS.online kan bied, in die hand
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.1.5.2 beoordeel word, sal ouditeure tipies kyk na:
- Oordragmeganisme register — 'n Gedokumenteerde lys van alle grensoverschrijdende PII-oordragte met die wetlike meganisme wat vir elkeen geïdentifiseer is
- Rekords van behoorlike sorgvuldigheid — Bewyse dat die organisasie die toereikendheid van beskerming in die ontvangende jurisdiksie beoordeel het
- Uitgevoerde oordragooreenkomste — Kopieë van standaard kontraktuele klousules, bindende regulasies (BCR's) of ekwivalente instrumente
- Hersien rekords — Bewyse van periodieke hersienings, veral na veranderinge aan wetlike raamwerke (bv. toereikendheidsbesluite wat teruggetrek word)
- Oordrag-impakbeoordelings — Waar nodig, gedokumenteerde assesserings van die risiko's wat met spesifieke oordragte verband hou
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.1.5.3 Lande en internasionale organisasies vir PII-oordrag | Spesifiseer waar PII oorgedra kan word; die basis wat in A.1.5.2 geïdentifiseer is, bepaal watter bestemmings toelaatbaar is |
| A.1.5.4 Rekords van oordrag van persoonlike inligting | Teken elke werklike oordrag aan, voortbouend op die basis wat hier gedokumenteer is |
| A.1.5.5 Rekords van PII-openbaarmakings aan derde partye | Breër openbaarmakingsrekords wat grensoverschrijdende oordragte insluit |
| A.1.2.9 Rekords van Verwerking van PII | Oordragbasis word in die algehele rekords van verwerkingsaktiwiteite ingevoer |
| A.1.3.3 Inligting vir PII-hoofde Bepaling van inligting vir PII-hoofde | PII-hoofde het die reg om die oordragbasis en waarborge in plek te ken |
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe is hierdie vereiste gedek onder Klousule 7.5.1 (identifiseer basis vir PII-oordrag tussen jurisdiksies). Die 2025-beheer is wesenlik dieselfde, maar die herstrukturering Aanhangsel A/B-formaat bied 'n skoner skeiding tussen die beheerverklaring en implementeringsriglyne. Die riglyne plaas nou bykomende klem op die hersiening van oordragmeganismes wanneer wetlike raamwerke verander, wat die onstuimigheid in internasionale oordragreg sedert 2019 weerspieël. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Hoekom kies ISMS.aanlyn vir die bestuur van internasionale PII-oordragte?
ISMS.aanlyn bied praktiese gereedskap vir die dokumentasie en bestuur van grensoorskrydende oordragmeganismes:
- Oordragmeganisme register — Karteer elke grensoverschrijdende datavloei met sy regsbasis, ontvangende land en waarborge in 'n gesentraliseerde register
- Outomatiese hersieningsherinneringe — Stel hersieningsdatums vir oordragmeganismes vas en ontvang waarskuwings wanneer wetlike raamwerke verander of hersienings verskuldig is
- Dokumentbestuur — Stoor getekende standaardkontrakteringsooreenkomste (SCC's), bindende regulasies (BCR's) en oordrag-impakstudies saam met die relevante oordragrekord
- Oudit-gereed bewyspakkette — Eksporteer oordragdokumentasie met volledige weergawegeskiedenis vir sertifiseringsoudits
- Kruisverwysing — Koppel oordragrekords aan verwerkingsaktiwiteite, privaatheidsimpakbeoordelings en versoeke vir data-onderwerpregte
- Regulatoriese kartering — Sien hoe jou oordragkontroles langs mekaar ooreenstem met GDPR, ISO 27701 en ander raamwerke
Vrae & Antwoorde
Wat tel as 'n oordrag tussen jurisdiksies?
Enige beweging of openbaarmaking van persoonlike inligting (PII) van een regsjurisdiksie na 'n ander. Dit sluit in die stuur van data na 'n wolkverskaffer wie se bedieners in 'n ander land is, die deel van persoonlike inligting met 'n groepmaatskappy in 'n ander jurisdiksie, of die toestaan van afstandtoegang vanaf 'n ander land. Selfs al word data nie fisies beweeg nie, kan afstandtoegang vanaf 'n ander jurisdiksie 'n oordrag onder sommige privaatheidswette uitmaak.
Hoe gereeld moet oordragmeganismes hersien word?
Met beplande tussenposes (gewoonlik jaarliks) en wanneer daar 'n beduidende verandering in die regslandskap is. Voorbeelde van snellers sluit in 'n hofuitspraak wat 'n oordragmeganisme ongeldig maak, 'n nuwe toereikendheidsbesluit wat uitgereik of herroep word, of veranderinge aan die databeskermingswetgewing in die ontvangende jurisdiksie. Die organisasie moet ook hersien wanneer die aard of volume van oorgedraagde persoonlike inligting wesenlik verander.
Kan toestemming as die enigste basis vir internasionale oordragte gebruik word?
Toestemming is een van die erkende oordragmeganismes, maar onder die AVG word dit as 'n afwyking vir spesifieke situasies (Artikel 49) eerder as 'n primêre meganisme beskou. Dit moet eksplisiet, ingelig en vrylik gegee word. Reguleerders verwag oor die algemeen dat organisasies op meer robuuste meganismes soos toereikendheidsbesluite of standaardkontrakterings (SCC's) vir deurlopende, sistematiese oordragte sal staatmaak, en toestemming vir af en toe of nie-herhalende oordragte sal reserveer.
sien ons gids vir vereistes vir ouditbewyse vir die spesifieke oordragdokumentasie wat ouditeure verwag.
