Forstå GDPR-artikkel 35: Viktigheten av databeskyttelseskonsekvensvurderinger (DPIAer)
GDPR Artikkel 35 pålegger organisasjoner å utføre en Data Protection Impact Assessment (DPIA) når deres handlinger som databehandler har potensial til å påvirke rettighetene og frihetene til enkeltpersoner, som gitt av deres nasjonale myndigheter.
GDPR artikkel 35 juridisk tekst
EU GDPR-versjon
Konsekvensvurdering av databeskyttelse
- Der en type behandling, særlig ved bruk av ny teknologi, og under hensyntagen til behandlingens art, omfang, kontekst og formål, sannsynligvis vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige før behandlingen, gjennomføre en vurdering av virkningen av de planlagte behandlingsoperasjonene på beskyttelsen av personopplysninger. En enkelt vurdering kan ta for seg et sett med lignende behandlingsoperasjoner som utgjør tilsvarende høy risiko.
- Den behandlingsansvarlige skal søke råd fra personvernombudet, der det er utpekt, når han gjennomfører en konsekvensvurdering for databeskyttelse.
- En konsekvensvurdering for databeskyttelse nevnt i nr. 1 skal spesielt kreves i tilfelle:
- (a) en systematisk og omfattende vurdering av personaspekter knyttet til fysiske personer som er basert på automatisert behandling, herunder profilering, og som er basert på beslutninger som gir rettsvirkninger for den fysiske personen eller på lignende måte påvirker den fysiske personen i vesentlig grad.
- (b) behandling i stor skala av spesielle kategorier av opplysninger nevnt i artikkel 9 nr. 1, eller av personopplysninger knyttet til straffedommer og lovbrudd nevnt i artikkel 10; eller
- (c) en systematisk overvåking av et offentlig tilgjengelig område i stor skala.
- Kommissæren skal opprette og offentliggjøre en liste over hva slags behandlingsoperasjoner som er underlagt kravet om en konsekvensvurdering for databeskyttelse i henhold til nr. 1. Tilsynsmyndigheten skal formidle disse listene til styret nevnt i artikkel 68.
- Kommissæren kan også opprette og offentliggjøre en liste over hva slags behandlingsoperasjoner som det ikke kreves konsekvensvurdering av databeskyttelse for. Tilsynsmyndigheten skal formidle disse listene til styret.
- Vurderingen skal inneholde minst:
- (a) en systematisk beskrivelse av de planlagte behandlingsoperasjonene og formålene med behandlingen, inkludert, der det er aktuelt, den legitime interessen som den behandlingsansvarlige forfølger.
- (b) en vurdering av nødvendigheten og forholdsmessigheten av behandlingsoperasjonene i forhold til formålene.
- (c) en vurdering av risikoen for rettighetene og frihetene til registrerte personer nevnt i nr. 1; og
- d) tiltakene som er planlagt for å håndtere risikoene, herunder beskyttelsestiltak, sikkerhetstiltak og mekanismer for å sikre beskyttelse av personopplysninger og for å demonstrere samsvar med denne forordning under hensyntagen til rettigheter og legitime interesser til registrerte og andre berørte personer.
- Overholdelse av godkjente atferdskoder nevnt i artikkel 40 av de relevante behandlingsansvarlige eller databehandlere skal tas i behørig hensyn ved vurdering av virkningen av behandlingsoperasjonene utført av slike behandlingsansvarlige eller databehandlere, særlig med henblikk på en konsekvensvurdering for databeskyttelse.
- Der det er hensiktsmessig, skal den behandlingsansvarlige innhente synspunkter fra registrerte eller deres representanter om den tiltenkte behandlingen, uten at det berører beskyttelsen av kommersielle eller offentlige interesser eller sikkerheten ved behandlingsoperasjoner.
- Når det gjelder behandling i henhold til bokstav c) eller e) i artikkel 6 nr. 1, gjelder ikke punktene 1 til 7 i denne artikkel dersom det allerede er utført en konsekvensvurdering for databeskyttelse for behandlingen som en del av en generell konsekvensanalyse som kreves av nasjonal lovgivning, med mindre nasjonal lovgivning bestemmer noe annet.
- Der det er nødvendig, skal den behandlingsansvarlige foreta en gjennomgang for å vurdere om behandlingen utføres i samsvar med konsekvensutredningen for personvern, i det minste når det er en endring i risikoen som behandlingsoperasjoner representerer.
UK GDPR-versjon
Storbritannias GDPR ligner stort sett på EUs GDPR-utdrag, uten merkbare forskjeller.
Teknisk kommentar
Når de vurderer planlegging og implementering av en DPIA, må organisasjoner vurdere 11 nøkkelområder:
- Enten obligatorisk DPIA bør utføres.
- Involvering av en personvernombud.
- Sannsynligheten for betydelig risiko for individets rettigheter og friheter.
- DPA-spesifikasjoner.
- Konsistensmekanismer.
- Minimumskravene til enhver DPIA som skal utføres.
- Eventuelle relevante etiske retningslinjer.
- Eventuelle gjeldende nasjonale unntak.
- En gjennomgang av behandlingsoperasjonen, når DPIA er fullført.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
ISO 27701 klausul 5.2.2 (Forstå behovene og forventningene til interesserte parter) og EU GDPR artikkel 35 (9)
PII og personvern har potensial til å påvirke et stort antall ansatte, brukere, kunder, både internt og eksternt.
Organisasjoner må få en solid forståelse av behovene til berørt personell og hva ISO anser som "interesserte parter".
Organisasjonens behov for å etablere og dokumentere:
- alle "interesserte parter" som er relevante for det bredere temaet personvern.
- hva de unike kravene er til nevnte individer innenfor rammen av en PIMS.
Organisasjoner bør også ta hensyn til eventuelle juridiske, regulatoriske eller kontraktsmessige forpliktelser, sammen med praktiske og operasjonelle krav.
Når du implementerer en PIMS, må organisasjoner kartlegge en liste over interesserte parter som enten er berørt av en PIMS, eller som har en rolle å spille i behandlingen av PII.
Når det gjelder PII, kan en interessert part være en av følgende (men ikke begrenset til):
- En ansatt.
- En kunde.
- Regulerende, rettslige eller tilsynsmyndigheter.
- Andre PII-kontrollere og prosessorer.
Det er viktig å merke seg at PII-krav – relatert til en PIMS – ofte kommer fra et bredt spekter av kilder, inkludert:
- Interne prosesser og mål.
- Offentlige og/eller regulerende organer.
- Kontraktsforpliktelser med tredjepartsorganisasjoner.
Det kan ofte være vanskelig for styrende og regulatoriske organisasjoner å bekrefte overholdelse av publiserte personvernstandarder fra en organisasjons side, i rollen som PII-behandler og kontroller.
Som sådan må organisasjoner forvente at slike organer krever uavhengige gjennomganger av ethvert relevant styringssystem, for å tilfredsstille deres egne revisjonskrav.
ISO 27701 klausul 7.2.5 (Personvernkonsekvensvurdering) og EU GDPR artikkel 35
I denne delen snakker vi om GDPR artikkel 35 (1), 35 (10), 35 (11), 35 (2), 35 (3)(a), 35 (3)(b), 35 (3)(c). ), 35 (4), 35 (5), 35 (7) (a), 35 (7) (b), 35 (7) (c), 35 (7) (d), 35 (8) og 35 (9)
Personvernkonsekvensvurderinger lar organisasjoner måle eventuelle informasjonssikkerhetsimplikasjoner når de behandler et nytt sett med PII, eller endrer måten eksisterende data behandles på.
PII-behandling er en risikotung forretningsfunksjon som må vurderes grundig for å sikre integriteten, autentisiteten og lovligheten til dataene som behandles.
Avhengig av jurisdiksjonen, vil noen organisasjoner måtte følge en kategorisk liste over scenarier der det kreves en konsekvensvurdering for personvern, for eksempel:
- Automatisert beslutningstaking.
- Behandling på bedriftsnivå av spesielle PII-kategorier.
- Overvåking av store offentlige områder.
Organisasjoner må fastslå hva som utgjør en tilstrekkelig konsekvensanalyse, inkludert (men ikke begrenset til):
- Hva slags PII blir lagret.
- Hvor den blir lagret.
- Hvor den kan flyttes til.
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
ISO 27701 klausul 8.2.1 (kundeavtale) og EU GDPR artikkel 35 (1)
Kontrakter bør inneholde:
- Konseptet "privacy by design" (se ISO 27701 klausuler 7.4 og 8.4).
- Hvordan organisasjonen har til hensikt å oppnå sikkerhet ved behandling.
- Hvordan brudd skal rapporteres, inkludert kunde, oppdragsgivere og tilsynsmyndigheter.
- Hvordan personvernkonsekvensvurderinger skal håndteres.
- Bekreftelse av organisasjonens intensjon om å yte bistand til PII-beskyttelsesmyndigheter.
Støtter ISO 27701 klausuler
- ISO 27701
- ISO 27701
Indeks over tilknyttede EU GDPR-artikler og ISO 27701-klausuler
| GDPR-artikkel | ISO 27701 klausul | ISO 27701 Støtteklausuler |
|---|---|---|
| EU GDPR artikkel 35 (9) | ISO 27701 | none |
| EU GDPR artikkel 35 (1) til 35 (9) | ISO 27701 | none |
| EU GDPR artikkel 35 (1) | ISO 27701 |
ISO 27701 ISO 27701 |
Hvordan ISMS.online Hjelp
Et brudd på GDPR kan resultere i betydelige bøter, noe som gjør det til en av de strengeste personvern- og sikkerhetsforskriftene i verden. Derfor må organisasjoner beskytte personopplysninger i "rimelig" grad.
Men her er de gode nyhetene.
Ved å bruke ISMS.online kan du hoppe rett inn i GDPR-overholdelse og demonstrere et beskyttelsesnivå som går utover "rimelig". Vi gjør datakartlegging enkelt. Registrer og gjennomgå enkelt organisasjonens behandlingsaktivitet ved å legge til detaljene dine i vårt forhåndskonfigurerte dynamiske Records of Processing Activity-verktøy.
Med våre verktøy kan du planlegge, kommunisere, dokumentere og lære av hvert brudd.
Finn ut mer av bestille en demo.
