Hva er PII-kontrollerkontrollene i ISO 27701:2025?
Tabell A.1 i ISO 27701:2025, tillegg A, definerer 31 kontroller som gjelder for enhver organisasjon som fungerer som en PII-behandlingsansvarlig. En PII-behandlingsansvarlig er en organisasjon som bestemmer formålene og midlene for behandling av personlig identifiserbar informasjon.
Disse kontrollene er gruppert i fire mål:
- Vilkår for innsamling og behandling (A.1.2) — 8 kontroller som dekker rettslig grunnlag, samtykke, vurdering av personvernkonsekvenser, kontrakter og registre
- Forpliktelser overfor PII-oppdragsgivere (A.1.3) — 10 kontroller som dekker åpenhet, rettigheter for registrerte, automatiserte avgjørelser og håndtering av forespørsler
- Personvern gjennom innebygd personvern og personvern som standard (A.1.4) — 9 kontroller som dekker dataminimering, oppbevaring, avhending og overføring
- Deling, overføring og offentliggjøring av personlig identifiserende informasjon (A.1.5) — 4 kontroller som dekker grenseoverskridende overføringer og opplysningsregistre
Hver kontroll har tilhørende implementeringsveiledning i vedlegg B (avsnitt B.1). For eksempel finnes veiledning for kontroll A.1.2.2 Identifiser og dokumenter formål i B.1.2.2.
Vilkår for innsamling og behandling (A.1.2)
Mål: Å vise at behandlingen er lovlig, med et rettslig grunnlag i henhold til gjeldende jurisdiksjoner, og med klart definerte og legitime formål.
| Kontroll: | Tittel | Sammendrag |
|---|---|---|
| A.1.2.2 Identifisere og dokumentere formål | Identifiser og dokumenter formål | Identifiser og dokumenter de spesifikke formålene som PII skal behandles for |
| A.1.2.3 Identifiser rettslig grunnlag | Identifiser det juridiske grunnlaget | Fastslå, dokumentere og demonstrere samsvar med det relevante rettslige grunnlaget |
| A.1.2.4 Fastslå samtykke | Bestem når og hvordan samtykke skal innhentes | Dokumenter en prosess for å demonstrere om, når og hvordan samtykke ble innhentet |
| A.1.2.5 Innhente og registrere samtykke | Innhent og registrer samtykke | Innhent og registrer samtykke fra PII-oppdragsgivere i henhold til dokumenterte prosesser |
| A.1.2.6 Vurdering av personvernkonsekvenser | Vurdering av personvernkonsekvenser | Vurdere behovet for og implementere konsekvensutredninger for personvern for ny eller endret behandling |
| A.1.2.7 Avtaler med PII-behandlere | Kontrakter med PII-behandlere | Sørg for at skriftlige kontrakter med PII-behandlere tar for seg riktig Vedlegg A kontroller |
| A.1.2.8 Felles PII-kontrollør | Felles PII-kontrollør | Bestem roller og ansvar med enhver felles PII-kontrollør |
| A.1.2.9 Registrering av behandling av personopplysninger | Registreringer knyttet til behandling av personlig identifiserende informasjon | Fastslå og oppretthold sikkert registre som støtter forpliktelsene til behandling av personopplysninger |
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Forpliktelser overfor PII-oppdragsgivere (A.1.3)
Mål: Å sikre at PII-oppdragsgivere får tilstrekkelig informasjon om behandlingen av sine PII og å oppfylle eventuelle andre gjeldende forpliktelser.
| Kontroll: | Tittel | Sammendrag |
|---|---|---|
| A.1.3.2 Forpliktelser overfor PII-oppdragsgivere | Fastsettelse og oppfyllelse av forpliktelser overfor PII-oppdragsgivere | Bestem og dokumenter juridiske, regulatoriske og forretningsmessige forpliktelser overfor PII-oppdragsgivere |
| A.1.3.3 Informasjon for PII-prinsipper | Bestemme informasjon for PII-prinsipper | Bestem og dokumenter hvilken informasjon som skal gis til PII-oppdragsgivere og når |
| A.1.3.4 Tilveiebringelse av informasjon | Gi informasjon til PII-oppdragsgivere | Gi tydelig og tilgjengelig informasjon som identifiserer behandlingsansvarlig og beskriver behandlingen |
| A.1.3.5 Endre eller trekke tilbake samtykke | Tilby mekanisme for å endre eller trekke tilbake samtykke | Sørg for en mekanisme for PII-oppdragsgivere for å endre eller trekke tilbake samtykke |
| A.1.3.6 Innsigelse mot behandling av personopplysninger | Tilbyr mekanisme for å protestere mot behandling av personopplysninger | Tilby en mekanisme for PII-oppdragsgivere til å protestere mot behandling |
| A.1.3.7 Tilgang, retting eller sletting | Tilgang, retting eller sletting | Implementer retningslinjer og mekanismer for å oppfylle forpliktelser knyttet til tilgang, korrigering eller sletting |
| A.1.3.8 Informere tredjeparter | PII-kontrollørers plikter til å informere tredjeparter | Informere tredjeparter om endringer, tilbaketrekkinger eller innvendinger mot delte personlig identifiserende opplysninger |
| A.1.3.9 Levering av kopi av personlig identifiserende informasjon | Leverer kopi av behandlet personlig identifiserende informasjon | Gi en kopi av behandlet personlig identifiserende informasjon når den ansvarlige personopplysningsmyndigheten ber om det |
| A.1.3.10 Håndtering av forespørsler | Håndtering av forespørsler | Definer og dokumenter policyer for håndtering av legitime forespørsler fra PII-oppdragsgivere |
| A.1.3.11 Automatisert beslutningstaking | Automatisert beslutningstaking | Identifiser forpliktelser fra beslutninger basert utelukkende på automatisert behandling av personopplysninger |
Personvern gjennom innebygd personvern og personvern som standard (A.1.4)
Mål: Å sikre at prosesser og systemer er utformet slik at innsamling og behandling av personlig identifiserende informasjon er begrenset til det som er nødvendig for det identifiserte formålet.
| Kontroll: | Tittel | Sammendrag |
|---|---|---|
| A.1.4.2 Grenseinnsamling | Begrens innsamling | Begrens innsamlingen av personlig identifiserende informasjon til det minimum som er relevant, proporsjonalt og nødvendig |
| A.1.4.3 Begrens behandling | Begrens behandling | Begrens behandlingen til det som er tilstrekkelig, relevant og nødvendig for identifiserte formål |
| A.1.4.4 Nøyaktighet og kvalitet | Nøyaktighet og kvalitet | Sørg for at personlig identifiserende informasjon er nøyaktig, fullstendig og oppdatert gjennom hele livssyklusen |
| A.1.4.5 Minimering av personlig identifiserende informasjon | Mål for minimering av personlig identifiserende informasjon | Definer og dokumenter mål og mekanismer for dataminimering |
| A.1.4.6 Avidentifisering og sletting | Avidentifisering og sletting av PII | Slett personlig identifiserbar informasjon eller gjør den uidentifiserbar når den ikke lenger er nødvendig |
| A.1.4.7 Midlertidige filer | Midlertidige filer | Kast midlertidige filer fra PII-behandling innen en dokumentert periode |
| A.1.4.8 Oppbevaring | Oppbevaring | Ikke oppbevar personlig identifiserende informasjon lenger enn nødvendig for behandlingsformålene |
| A.1.4.9 Avhending | Avhending | Ha dokumenterte retningslinjer, prosedyrer og mekanismer for avhending av personopplysninger |
| A.1.4.10 PII-overføringskontroller | PII-overføringskontroller | Personopplysninger overført via nettverk til aktuelle kontrollorganer |
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Deling, overføring og offentliggjøring av personlig identifiserende informasjon (A.1.5)
Mål: Å avgjøre om, og dokumentere når, personlig identifiserende informasjon deles, overføres eller utleveres i samsvar med gjeldende forpliktelser.
| Kontroll: | Tittel | Sammendrag |
|---|---|---|
| A.1.5.2 Grunnlag for overføring av personlig identifiserende informasjon | Identifiser grunnlaget for overføring av personlig identifiserende informasjon mellom jurisdiksjoner | Identifiser og dokumenter grunnlaget for internasjonale PII-overføringer |
| A.1.5.3 Land for overføring av personlig identifiserende informasjon | Land og internasjonale organisasjoner for overføring av personlig identifiserende informasjon | Spesifiser og dokumenter landene og organisasjonene personopplysninger kan overføres til |
| A.1.5.4 Registreringer av overføring av personopplysninger | Overføring av personopplysninger | Registrer PII-overføringer til eller fra tredjeparter og sørg for samarbeid |
| A.1.5.5 Registrering av PII-avsløringer | Registrering av PII-avsløringer til tredjeparter | Registrer opplysninger, inkludert hva som ble opplyst, til hvem og når |
Hvordan er disse kontrollene knyttet til GDPR?
Kontrollene for PII-kontrollører er i stor grad knyttet til GDPR- kravene. Viktige koblinger inkluderer:
- A.1.2 (Innsamling og behandling) kartlegger GDPR artikkel 5–6 (prinsipper og rettslig grunnlag), artikkel 7 (samtykke), artikkel 8–9 (barn og spesielle kategorier)
- A.1.3 (Forpliktelser overfor PII-oppdragsgivere) kartlegger GDPR artikkel 12–22 (rettigheter for registrerte, inkludert tilgang, retting, sletting, dataportabilitet og automatiserte avgjørelser)
- A.1.4 (Personvern basert på design) kartlegger GDPR artikkel 25 (databeskyttelse gjennom innebygd og som standard) og artikkel 5(1)(c–e) (minimering, nøyaktighet, lagringsbegrensning)
- A.1.5 (Overføringer) kartlegger GDPR artikkel 44–49 (internasjonale overføringer, tilstrekkelighet, garantier, bindende selskapsregler)
Hvorfor velge ISMS.online for samsvar med PII-kontrollere?
ISMS.online hjelper deg med å implementere og dokumentere alle tabell A.1-kontroller:
- Forhåndsbygd kontrollrammeverk — Alle 31 kontrollerkontroller er kartlagt og klare for din erklæring om anvendelighet
- Samtykkehåndtering — Prosedyrer for dokumentsamtykke, registre og tilbakekallingsmekanismer
- PIA-arbeidsflyt — Gjennomføre og spore vurderinger av personvernkonsekvenser med malskjemaer
- Sporing av forespørsler om dataregistrering — Logg og administrer forespørsler om tilgang, retting og sletting med SLA-sporing
- Overfør poster — Føre et register over internasjonale overføringer med dokumentasjon på det juridiske grunnlaget
- Håndtering av databehandlerkontrakter — Spor kontrakter, due diligence og samsvarsforpliktelser for hver databehandler
Spørsmål og svar
Gjelder alle 31 kontrollene for alle PII-kontrollere?
Ikke nødvendigvis. Du må inkludere alle relevante kontroller i din erklæring om anvendelighet, men kontroller kan utelukkes der risikovurderingen din fastslår at de ikke er nødvendige, eller der de ikke er påkrevd av gjeldende lov. Ethvert utelukkelse må begrunnes.
Hva er forskjellen mellom tabell A.1 og tabell A.3?
Tabell A.1 inneholder kontroller spesifikke for PII-behandlingsansvarlige (f.eks. samtykke, rettigheter for registrerte, vurderinger av personvernkonsekvenser). Tabell A.3 inneholder informasjonssikkerhetskontroller som gjelder for både behandlingsansvarlige og databehandlere (f.eks. tilgangskontroll, logging, kryptografi). Som PII-behandlingsansvarlig gjelder begge tabellene for deg.
Hvor finner jeg implementeringsveiledningen for disse kontrollene?
Vedlegg B, avsnitt B.1, gir implementeringsveiledning for hver kontroll i tabell A.1. Nummereringen samsvarer direkte: veiledning for A.1.2.2 Identifiser og dokumenter formål finnes i B.1.2.2, veiledning for A.1.3.7 Tilgang, korrigering eller sletting finnes i B.1.3.7, og så videre.
Dokumenter dine valg av kontrollører i en erklæring om anvendelighet for å demonstrere begrunnelsen din for revisorer.
Personvernansvarlige finner en fokusert oversikt over sine forpliktelser som behandlingsansvarlige i vår veiledning for personvernansvarlige.
Se vår veiledning om krav til revisjonsbevis for hva revisorer forventer på tvers av disse kontrollene.
