Wat vereis beheer A.2.5.5?
Die organisasie moet die kliënt in kennis stel van enige wetlik bindende versoeke vir die openbaarmaking van persoonlike inligting.
Hierdie beheer sit binne die PII-verwerkerkontroles aanhangsel (A.2) en spreek 'n belangrike deursigtigheidsverpligting aan. Wanneer 'n verwerker 'n wetlik bindende versoek vir PII-openbaarmaking ontvang (byvoorbeeld van 'n wetstoepassingsagentskap, hof of regulerende owerheid), moet die beheerder in kennis gestel word. Dit stel die beheerder in staat om die impak op hul data te verstaan, regsadvies in te win indien nodig en hul eie verpligtinge teenoor data-onderwerpe na te kom.
Wat sê die implementeringsriglyne van Aanhangsel B?
Aanhangsel B (afdeling B.2.5.5) verskaf die volgende riglyne:
- Aard van versoeke — Die organisasie kan wetlik bindende versoeke vir openbaarmaking ontvang, byvoorbeeld van regsowerhede
- Kennisgewingprosedure — Die kliënt moet binne die ooreengekome tydsraamwerke in kennis gestel word en volgens 'n ooreengekome prosedure, wat in die kontrak gedefinieer kan word.
- Kennisgewingverbod — Sommige wetlik bindende versoeke sluit 'n verbod op kennisgewing in, byvoorbeeld kragtens strafregbepalings wat ontwerp is om ondersoekvertroulikheid te bewaar
- Sien ook A.2.5.3: Lande en internasionale organisasies vir PII-oordrag vir verwante vereistes
- Sien ook A.2.5.7: Openbaarmaking van subkontrakteurs wat gebruik word om persoonlike inligting te verwerk vir verwante vereistes
Die riglyne erken die spanning tussen die verwerker se verpligting om die kliënt in kennis te stel en situasies waar kennisgewing wettiglik verbied word. Waar 'n hofbevel of wetstoepassingsversoek 'n nie-openbaarmakingsbepaling insluit (soms 'n spreekverbod genoem), is die verwerker moontlik nie in staat om die kliënt in kennis te stel sonder om die wet te oortree nie. In sulke gevalle moet die verwerker die wetlike verbod nakom en die kliënt in kennis stel sodra die verbod opgehef word.
Hoe pas dit by die GDPR?
Beheer A.2.5.5 karteer na die volgende BBP Artikel:
- Artikel 28 (3) (a) — Die verwerker verwerk die persoonlike data slegs op gedokumenteerde instruksies van die beheerder, tensy dit vereis word deur die Unie- of lidstaatwetgewing waaraan die verwerker onderworpe is; in so 'n geval moet die verwerker die beheerder van daardie wetlike vereiste in kennis stel voor verwerking, tensy daardie wet sodanige inligting op belangrike gronde van openbare belang verbied.
BBP Artikel 28(3)(a) vereis dat verwerkers beheerders inlig wanneer hulle wetlik verplig is om persoonlike data te verwerk (insluitend openbaar te maak). Die uitsondering is waar die wet self kennisgewing op grond van openbare belang verbied. Dit weerspieël die Aanhangsel B-riglyne oor kennisgewingverbod in strafregkontekste.
Wat het verander van ISO 27701:2019?
Vir 'n stap-vir-stap benadering, sien die Oorgang van 2019 na 2025.
In die 2019-uitgawe is hierdie vereiste binne die breër klousulestruktuur aangespreek. Die 2025-uitgawe verskaf A.2.5.5 as 'n alleenstaande beheermaatreël met implementeringsriglyne in B.2.5.5 wat eksplisiet kennisgewingstydraamwerke, kontraktuele prosedures en die uitdaging van kennisgewingverbod onder strafreg aanspreek. Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Watter bewyse verwag ouditeure?
Wanneer voldoening aan A.2.5.5 beoordeel word, sal ouditeure tipies kyk na:
- Kennisgewingprosedure — 'n Gedokumenteerde prosedure vir die kennisgewing van kliënte wanneer wetlik bindende openbaarmakingsversoeke ontvang word, insluitend die kennisgewingstydraamwerk en kommunikasiekanaal.
- Versoek register — 'n Register van wetlik bindende openbaarmakingsversoeke wat ontvang is, wat die versoekende owerheid, datum ontvang, omvang van die versoek, kennisgewingsdatum en enige kennisgewingsverbod opneem.
- Kennisgewings van klante — Rekords van kennisgewings wat aan kliënte gestuur is, insluitend die datum waarop dit gestuur is en die inligting wat verskaf is
- Kontraktuele bepalings — Kontrakklousules wat die kennisgewingsprosedure, tydsraamwerke en die kliënt se voorkeurkommunikasiekanaal vir openbaarmakingskennisgewings spesifiseer
- Verbodhantering — Gedokumenteerde prosedures vir die hantering van situasies waar kennisgewing wettiglik verbied word, insluitend hoe die verbod opgespoor word en hoe die kliënt in kennis gestel word sodra die verbod opgehef word
Wat is die verwante kontroles?
| Beheer | Verhoudings |
|---|---|
| A.2.5.6 Wetlik bindende PII-openbaarmakings | Beheer hoe die verwerker die openbaarmaking self na kennisgewing hanteer |
| A.2.5.4 Rekords van PII-openbaarmakings | Alle openbaarmakings wat voortspruit uit wetlik bindende versoeke moet aangeteken word |
| A.2.2.2 Kliëntooreenkoms | Die kontrak moet die kennisgewingsprosedure en tydsraamwerke definieer |
| A.2.2.6 Kliëntverpligtinge | Kennisgewing van openbaarmakingsversoeke help kliënte om nakoming te demonstreer |
| A.2.5.2 Basis vir PII-oordrag | Wetlik verpligte openbaarmakings kan grensoverschrijdende oordragte behels |
Op wie is hierdie beheer van toepassing?
A.2.5.5 is uitsluitlik van toepassing op PII-verwerkersWanneer 'n verwerker 'n wetlik bindende versoek om openbaarmaking ontvang, het die beheerder 'n direkte belang om daarvan te weet. Die beheerder moet moontlik die datasubjekte inlig, regsadvies inwin, die versoek betwis of hul eie rekords opdateer. Sonder kennisgewing van die verwerker is die beheerder onbewus daarvan dat hul data geëis is en kan nie gepaste stappe doen nie.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
Hoekom kies ISMS.aanlyn vir die bestuur van openbaarmakingsversoeke?
ISMS.aanlyn bied praktiese gereedskap vir die bestuur van wetlik bindende openbaarmakingsversoeke:
- Versoek dophou — Registreer en volg wetlik bindende openbaarmakingsversoeke met gestruktureerde velde vir versoekende gesag, omvang, datum ontvang en kennisgewingstatus
- Kennisgewingwerkvloei — Aktiveer outomatiese kliëntkennisgewingswerkvloeie wanneer 'n openbaarmakingsversoek ontvang word, met konfigureerbare tydsraamwerke en kommunikasiekanale
- Verbodsbestuur — Merk versoeke met kennisgewingverbod, stel hersieningsdatums vir wanneer die verbod verval en aktiveer outomaties vertraagde kennisgewings
- Ouditspoor — Handhaaf 'n volledige ouditspoor van elke openbaarmakingsversoek, kennisgewing en reaksie, gereed vir regulatoriese of kliënthersiening
- Kontrakkoppeling — Koppel kennisgewingsprosedures vir openbaarmaking aan die relevante kliëntkontrakbepalings, wat konsekwente nakoming verseker
Vrae & Antwoorde
Wat kwalifiseer as 'n wetlik bindende openbaarmakingsversoek?
'n Wetlik bindende versoek om openbaarmaking is een waaraan die verwerker wetlik verplig is om te voldoen. Dit sluit in hofbevele, dagvaardings, lasbriewe, regulatoriese ondersoekversoeke en statutêre openbaarmakingsverpligtinge. Informele versoeke van owerhede (waar nakoming vrywillig is) word afsonderlik aangespreek onder A.2.5.6 Regsbindende BekendmakingsDie belangrikste onderskeid is of die verwerker 'n wetlike verpligting het om openbaar te maak, nie of die versoek van 'n regeringsliggaam afkomstig is nie.
Wat as die verwerker verbied word om die kliënt in kennis te stel?
Sommige wetlik bindende versoeke sluit 'n nie-openbaarmakingsbepaling in wat die verwerker verbied om enigiemand van die versoek in kennis te stel. Dit is algemeen in kriminele ondersoeke waar kennisgewing die ondersoek kan benadeel. In sulke gevalle moet die verwerker die verbod nakom. Die verwerker moet egter die verbod opspoor, hersien of dit opgehef of verval het en die kliënt so gou as wat wettiglik toegelaat word, in kennis stel. Die verwerker se prosedures moet dokumenteer hoe hierdie situasies hanteer word.
Hoe vinnig moet kliënte in kennis gestel word?
Die standaard spesifiseer nie 'n kennisgewingstydperk nie, en bepaal dat kliënte binne die "ooreengekome tydsraamwerke" volgens die kontrak in kennis gestel moet word. In die praktyk moet kennisgewing vinnig genoeg wees sodat die kliënt kan optree voordat die openbaarmaking plaasvind, indien moontlik. Baie kontrakte vereis kennisgewing binne 24 tot 72 uur na ontvangs van die versoek. Die spesifieke tydsraamwerk moet die dringendheid van die versoek, die kliënt se behoefte om te reageer en enige wetlike sperdatums balanseer.
ons gids vir vereistes vir ouditbewyse dek die openbaarmakingsdokumentasie wat ouditeure vereis.
sien ons verskaffer evalueringsgids vir hoe kliënte verwerker se openbaarmakingspraktyke beoordeel.
