Wat vereis Klausule 7?
Klausule 7 verseker dat u Privaatheidsinligtingbestuurstelsel (PIMS) die ondersteunende infrastruktuur het wat dit nodig het om effektief te funksioneer. Terwyl Klousule 5 bepaal die rigting van bo af, klousule 7 maak seker dat die praktiese fondamente in plek is: mense, vaardighede, bewustheid, kommunikasiekanale en dokumentasie.
7.1 Hulpbronne
Die organisasie moet die hulpbronne bepaal en verskaf wat nodig is vir die vestiging, implementering, instandhouding en voortdurende verbetering van die PIMS. Hulpbronne sluit in:
- Mense — Voldoende personeel met toepaslike tyd toegeken aan privaatheidsbestuursaktiwiteite
- Begroting — Finansiële hulpbronne vir gereedskap, opleiding, konsultasie en sertifisering
- Tegnologie — Stelsels en gereedskap om privaatheidsbedrywighede, monitering en rapportering te ondersteun
- Infrastruktuur — Fisiese en logiese omgewings benodig vir veilige PII-verwerking
7.2 Bevoegdheid
Die organisasie moet:
- Bepaal die nodige bevoegdheid van persone wat werk onder sy beheer doen wat privaatheidsprestasie beïnvloed
- Verseker dat hierdie persone bevoeg is op grond van toepaslike opleiding, opleiding of ondervinding.
- Waar van toepassing, neem stappe om die nodige bevoegdheid te verkry en evalueer die doeltreffendheid van daardie aksies
- Bewaar toepaslike gedokumenteerde inligting as bewys van bevoegdheid
Bevoegdheidsvereistes moet nie net toegewyde privaatheidspersoneel dek nie, maar ook enigiemand wie se werk PII-verwerking beïnvloed, insluitend ontwikkelaars, kliëntediensspanne, HR- en bemarkingspersoneel.
7.3 Bewustheid
Persone wat werk onder die organisasie se beheer doen, moet bewus wees van:
- Die privaatheidsbeleid
- Hul bydrae tot die doeltreffendheid van die PIMS, insluitend die voordele van verbeterde privaatheidsprestasie
- Die implikasies van nie-nakoming van die PIMS-vereistes
Bewustheid gaan verder as formele opleiding. Dit beteken om te verseker dat almal verstaan waarom privaatheid saak maak, wat hul rol is in die beskerming van persoonlike inligting en wat gebeur wanneer dinge verkeerd loop.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
7.4 Kommunikasie
Die organisasie moet die behoefte aan interne en eksterne kommunikasie relevant tot die PIMS bepaal, insluitend:
- Wat om te kommunikeer
- Wanneer om te kommunikeer
- Met wie om te kommunikeer
- Hoe om te kommunikeer
Dit dek kommunikasie met PII-hoofde (datasubjekte), reguleerders, kliënte, personeel en ander belangstellende partye. Doeltreffende kommunikasiebeplanning verseker dat privaatheidsinligting die regte mense op die regte tyd bereik.
7.5 Gedokumenteerde inligting
7.5.1 Algemeen
Die PIMS moet gedokumenteerde inligting insluit wat deur die standaard vereis word, asook gedokumenteerde inligting wat die organisasie as nodig ag vir die doeltreffendheid van die PIMS. Die omvang van die dokumentasie kan wissel na gelang van die organisasie se grootte, aktiwiteite, prosesse en personeelbevoegdheid.
7.5.2 Skep en opdatering
Wanneer gedokumenteerde inligting geskep en opgedateer word, moet die organisasie toepaslike verseker:
- Identifikasie en beskrywing (titel, datum, outeur, verwysingsnommer)
- Formaat (taal, sagtewareweergawe, grafika) en media (papier, elektronies)
- Hersiening en goedkeuring vir geskiktheid en toereikendheid
7.5.3 Beheer van gedokumenteerde inligting
Gedokumenteerde inligting wat deur die PIMS vereis word, moet beheer word om te verseker dat dit:
- Beskikbaar en geskik vir gebruik, waar en wanneer dit nodig is
- Voldoende beskerm (teen verlies aan vertroulikheid, onbehoorlike gebruik of verlies aan integriteit)
Beheeraktiwiteite sluit in verspreiding, toegang, herwinning, gebruik, berging, bewaring, beheer van veranderinge, behoud en beskikking. Dit is veral belangrik vir privaatheidsdokumentasie, wat self sensitiewe inligting oor verwerkingsaktiwiteite kan bevat.
Hoe hou dit verband met GDPR?
- Artikel 39 (1) (b) — DPO-take sluit in die monitering van bewustmaking en opleiding van personeel, in lyn met 7.2 en 7.3
- Artikel 30 — Rekords van verwerkingsaktiwiteitevereistes stem ooreen met die gedokumenteerde inligtingbeheermaatreëls in 7.5
- Artikel 5 (2) — Aanspreeklikheidsbeginsel vereis die vermoë om nakoming te demonstreer, ondersteun deur omvattende dokumentasie
- Artikel 32 (4) — Verseker dat persone wat onder gesag optree, oor toepaslike bevoegdheid en bewustheid beskik
Vir die volledige GDPR-kartering, sien die GDPR-nakomingsgids.
Wat het verander van ISO 27701:2019?
- Selfstandige vereistes — In 2019 het Klausule 5.5 ISO 27001 Klausule 7 aangevul. Nou is die ondersteuningsvereistes volledig en selfstandig.
- Privaatheidspesifieke bevoegdheid — Die bevoegdheidsvereistes verwys nou eksplisiet na privaatheidsprestasie eerder as inligtingsekuriteit
- Duideliker dokumentasie-omvang — Die gedokumenteerde inligtingsvereistes is nou spesifiek op die PIMS gemik eerder as om 'n ISMS uit te brei
Vir 'n breër oorsig, sien wat is nuut in ISO 27701:2025.
Sien die Aanhangsel F korrespondensietabel vir die volledige kartering.
Bestuur al u nakoming, alles op een plek
ISMS.online ondersteun meer as 100 standaarde en regulasies, wat jou 'n enkele platform bied vir al jou voldoeningsbehoeftes.
Watter bewyse verwag ouditeure?
- Hulpbrontoewysingsrekords — Begrotingsgoedkeurings, personeelplanne en gereedskapverkrygingsbesluite
- Opleiding rekords — Bewyse van privaatheidsverwante opleiding, sertifisering en voortgesette professionele ontwikkeling
- Bevoegdheidsassesserings — Rekords wat toon hoe bevoegdheid vir privaatheidsrelevante rolle geëvalueer is
- Bewustmakingsprogram — Bewyse van bewustheidsaktiwiteite (inlywing, opknappingsopleiding, kommunikasieveldtogte)
- Kommunikasieplan — ’n Gedokumenteerde plan wat interne en eksterne privaatheidskommunikasie dek
- Dokumentbeheerprosedures — Bewyse dat gedokumenteerde inligting behoorlik geïdentifiseer, goedgekeur, beheer en beskerm word
- Dokumentregister — 'n Lys van alle PIMS-gedokumenteerde inligting met weergawebeheer- en hersieningsdatums
Die bewustheids- en bevoegdheidsvereistes hou verband met A.3.17 Bewustheid en Opleiding in die gedeelde sekuriteitskontroles.
Vermy algemene dokumentasie-slaggate deur die mees algemene implementeringsfoute.
Verwante klousules
| klousule | Verhoudings |
|---|---|
| Klousule 5: Leierskap | Topbestuur moet verseker dat hulpbronne beskikbaar is (5.1) en dat die beleid gekommunikeer word |
| Klousule 6: Beplanning | Risikobehandelingsplanne en -doelwitte moet volgens 7.5-vereistes gedokumenteer word |
| Klousule 8: Werking | Operasionele prosesse is afhanklik van gedokumenteerde prosedures en bekwame personeel |
| Klousule 9: Prestasie-evaluering | Resultate van interne oudit en bestuursoorsig moet as gedokumenteerde inligting behou word. |
Sien ook Klousule 4 (Konteks) vir konteks en Klousule 10 (Verbetering) vir voortdurende verbetering.
Hoekom kies ISMS.aanlyn vir voldoening aan Klousule 7?
ISMS.aanlyn bied omvattende ondersteuningsinstrumente vir u PIMS:
- Dokumentbestuur — Volledige weergawebeheer, goedkeuringswerkvloei, toegangsbeheer en ouditroetes vir alle PIMS-dokumentasie
- Opleidingsopsporer — Teken opleidingsaktiwiteite, sertifisering en bevoegdheidsassesserings aan met outomatiese herinneringe vir opknappingsopleiding
- Bewusmakingsveldtogte — Skep, versprei en spoor privaatheidsbewustheidsmateriaal op met voltooiingsopsporing
- Kommunikasie log — Teken interne en eksterne kommunikasie op met tydstempels en bewysskakels
- Sjabloonbiblioteek — Voorafgeboude sjablone vir beleide, prosedures, rekords en vorms in lyn met ISO 27701:2025
Vrae & Antwoorde
Watter privaatheidsopleiding benodig personeel?
Opleidingsvereistes hang af van die rol. Alle personeel moet algemene privaatheidsbewustheidsopleiding ontvang wat die privaatheidsbeleid, hul verantwoordelikhede en hoe om voorvalle aan te meld, dek. Personeel in privaatheidspesifieke rolle (DPO, privaatheidsontleders, voorvalrespondente) benodig dieper tegniese en regulatoriese opleiding. Ontwikkelaars en IT-personeel benodig opleiding oor privaatheid deur ontwerpbeginsels. Opleiding moet gedokumenteer en gereeld opgedateer word.
Hoeveel dokumentasie benodig 'n PIMS?
Die standaard vereis spesifieke gedokumenteerde inligting (privaatheidsbeleid, risikobepalings, SoA, ouditresultate, bestuursoorsiguitsette) plus enige bykomende dokumentasie wat u nodig ag. Die omvang wissel na gelang van die organisasie se grootte en kompleksiteit. Fokus op dokumentasie wat waarde toevoeg en effektiewe privaatheidsbestuur ondersteun, eerder as om dokumente bloot vir voldoeningsdoeleindes te skep.
Kan elektroniese dokumentbestuur papierrekords vervang?
Ja. Die standaard skryf geen spesifieke formaat of media vir gedokumenteerde inligting voor nie. Elektroniese stelsels word tipies verkies aangesien hulle beter weergawebeheer, toegangsbestuur, soekvermoëns en ouditroetes bied. Watter stelsel jy ook al gebruik, dit moet voldoen aan die beheervereistes in 7.5.3, insluitend beskikbaarheid, beskerming, toegangsbeheer en behoudbestuur.
Vir spesifieke leiding oor wat ouditeure verwag, sien ons vereistes vir ouditbewyse lei.
Indien u eksterne ondersteuning benodig, lees ons gids oor hoe om 'n ISO 27701:2025 konsultant te kies.
