Hva krever kontroll A.1.2.2?
Organisasjonen skal identifisere og dokumentere de spesifikke formålene som de personlige identifiserende opplysningene skal behandles for.
Denne kontrollen ligger innenfor målet med vilkårene for innsamling og behandling (A.1.2), som har som mål å demonstrere at behandlingen er lovlig, med et rettslig grunnlag i henhold til gjeldende jurisdiksjoner, og med klart definerte og legitime formål.
Hva sier implementeringsveiledningen?
Vedlegg B (avsnitt B.1.2.2) gir følgende veiledning:
- Organisasjonen bør sørge for at oppdragsgivere for personlig identifiserende informasjon forstår formålet med behandlingen av deres personlige identifiserende informasjon.
- Det er organisasjonens ansvar å dokumentere og kommunisere dette tydelig til PII-ledere.
- Uten en klar formålserklæring kan ikke samtykke og valg gis på en tilstrekkelig måte
- Dokumentasjon av formål bør være tilstrekkelig tydelig og detaljert til å støtte informasjonen som gis til PII-oppdragsgivere (se A.1.3.3 Informasjon for PII-prinsipper)
- Formålsdokumentasjon bør inneholde informasjon som er nødvendig for å innhente samtykke (se A.1.2.4 Fastslå samtykke) og dokumentert informasjon om retningslinjer og prosedyrer (se A.1.2.9 Registrering av behandling av personopplysninger)
- Se også A.1.2.5: Innhente og registrere samtykke for relaterte krav
- Se også A.1.3.5: Endre eller trekke tilbake samtykke for relaterte krav
Veiledningen bemerker også at taksonomien og definisjonene i ISO/IEC 19944-1 kan være nyttige for å beskrive behandlingsformål i skytjenester.
Hvordan samsvarer dette med GDPR?
Kontroll A.1.2.2 er knyttet til GDPR artikkel 5(1)(b) (prinsippet om formålsbegrensning) og artikkel 32(4) (sikrer at personer som handler under fullmakt kun behandles etter instruksjoner). GDPR krever at personopplysninger samles inn for spesifiserte, eksplisitte og legitime formål, og ikke behandles videre på en måte som er uforenlig med disse formålene.
Hvordan er dette relatert til ISO 29100-prinsippene for personvern?
Denne kontrollen støtter to ISO 29100-personvernprinsipper:
- Samtykke og valg — Tydelig formålsdokumentasjon muliggjør meningsfullt samtykke
- Formålets legitimitet og spesifisering — Tar direkte hensyn til kravet om spesifiserte, legitime formål
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.1.2.2, vil de vanligvis se etter:
- Register over behandlingsformål — En dokumentert liste over alle behandlingsaktiviteter for personopplysninger med angitte formål
- Personvernerklæringer — Bevis for at formålene kommuniseres til PII-oppdragsgivere på et klart og tilgjengelig språk
- Registrering av behandlingsaktiviteter — Dokumenterte opptegnelser som viser formålene for hver kategori av PII som behandles
- Endringsledelse — Bevis for at nye behandlingsformål vurderes og dokumenteres før behandlingen starter
- Samordning med samtykkeregistreringer — At formålene som er dokumentert i samtykkeskjemaer samsvarer med den faktiske behandlingen som utføres
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.1.2.3 Identifiser rettslig grunnlag | Når formålene er definert, må det rettslige grunnlaget for hvert formål identifiseres. |
| A.1.2.4 Fastslå samtykke | Samtykkeprosesser er avhengige av tydelig dokumenterte formål |
| A.1.2.9 Registrering av behandling av personopplysninger | Formålsdokumentasjon inngår i behandlingsregistrene |
| A.1.3.3 Informasjon for PII-prinsipper | Formål må kommuniseres til PII-oppdragsgivere |
| A.1.3.4 Tilveiebringelse av informasjon | Tydelige, tilgjengelige formålsbeskrivelser i personvernerklæringer |
| A.1.4.3 Begrens behandling | Behandlingen må begrenses til det som er nødvendig for de dokumenterte formålene |
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven var dette kravet en del av punkt 7.2.1 (identifiser og dokumenter formål). Kontrollinnholdet er i hovedsak det samme i 2025, men det står nå i tabell A.1 med et tydeligere skille mellom kontrollerklæringen (A.1.2.2) og implementeringsveiledningen (B.1.2.2). Se korrespondansetabellen i vedlegg F for fullstendig oversikt.
Hvorfor velge ISMS.online for å håndtere behandlingsformål?
ISMS.online tilbyr praktiske verktøy for dokumentasjon og håndtering av behandlingsformål:
- Register over behandlingsaktiviteter — Dokumenter hver behandlingsaktivitet med oppgitt formål, kategorier av personopplysninger og juridisk grunnlag
- Administrasjon av personvernerklæring — Vedlikehold versjonskontrollerte personvernerklæringer knyttet til behandlingsformål
- Endringssporing — Logg når formål legges til, endres eller trekkes tilbake med fullstendig revisjonsspor
- Kryssreferanser — Koble formål til samtykkeregistreringer, konsekvensutredninger for personvern og forespørsler om data fra den registrerte
- Revisjonsbevis — Eksportformålsdokumentasjon som en del av samsvarsdokumentasjonspakken din
Spørsmål og svar
Hvor detaljert bør formålsdokumentasjonen være?
Tilstrekkelig tydelig og detaljert til at den kan brukes som en del av informasjonen som gis til PII-oppdragsgivere og som grunnlag for å innhente samtykke. Vage formål som «forretningsdrift» eller «forbedring av tjenester» vil sannsynligvis ikke oppfylle standarden. Hvert formål bør beskrive det spesifikke resultatet av behandlingen.
Hva skjer hvis formålene endres etter innsamling?
Ethvert nytt formål må dokumenteres og vurderes for kompatibilitet med det opprinnelige formålet. Hvis det nye formålet ikke er forenlig, kreves det vanligvis ytterligere samtykke eller et separat rettslig grunnlag. Endringen bør gjenspeiles i oppdaterte personvernerklæringer og behandlingsregistre.
Gjelder dette også for PII-behandlere?
A.1.2.2 er en kontroll for PII-behandlingsansvarlige. PII-behandlere har en relatert, men annen forpliktelse i henhold til A.2.2.3 Organisasjonens formål (organisasjonens formål), som krever at de kun behandler PII for de formålene som er dokumentert i kundens instruksjoner.
Dokumenter hvordan denne kontrollen gjelder for din organisasjon i din erklæring om anvendelighet.
Se vår veiledning om krav til revisjonsbevis for hva revisorer forventer når de vurderer denne kontrollen.
