Hva krever kontroll A.1.2.6?
Organisasjonen skal vurdere behovet for, og implementere der det er hensiktsmessig, en konsekvensutredning for personvern når ny behandling av personopplysninger eller endringer i eksisterende behandling av personopplysninger planlegges.
Denne kontrollen ligger innenfor målet om vilkår for innsamling og behandling (A.1.2). I motsetning til de foregående kontrollene som fokuserer på lovlig grunnlag og samtykke, introduserer A.1.2.6 et krav om risikovurdering . Den pålegger en to-trinns tilnærming: først vurdere om en konsekvensutredning (PIA) er nødvendig (et screeningtrinn), og for det andre, hvis det er nødvendig, utføre det før behandlingen starter.
Hva sier implementeringsveiledningen?
Vedlegg B (avsnitt B.1.2.6) gir følgende veiledning:
- Timing er kritisk — Konsekvensutredninger bør gjennomføres før du behandlingen starter. De er et forebyggende tiltak, ikke en tilbakevirkende begrunnelse
- PIA-en bør vurdere:
- Nødvendighet og proporsjonalitet — Er behandlingen nødvendig for det angitte formålet, og er mengden av personlig identifiserende informasjon som samles inn forholdsmessig til hva som er behovet?
- Risikoer for PII-oppdragsgivere — Hvilke potensielle skader kan oppstå som følge av behandlingen, inkludert uautorisert tilgang, tap, diskriminering eller omdømmeskade?
- Foreslåtte avbøtende tiltak — Hvilke kontroller, sikkerhetstiltak eller designvalg vil redusere de identifiserte risikoene til et akseptabelt nivå?
- Se også A.1.2.4: Bestem når og hvordan samtykke skal innhentes for relaterte krav
- Se også A.1.2.5: Innhente og registrere samtykke for relaterte krav
- Resultatene bør være dokumentert og brukes til å informere behandlingsbeslutninger – konsekvensutredningen er ikke en avkrysningsboksøvelse, men et beslutningsverktøy
- Veiledningsreferansene ISO / IEC 29134 (Retningslinjer for konsekvensutredning for personvern) som den detaljerte metodestandarden for å gjennomføre konsekvensutredninger for personvern
I praksis betyr dette at organisasjoner trenger både en screeningprosess (for å avgjøre når en konsekvensutredning (konsekvensutredning) er nødvendig) og en metodikk (for å gjennomføre vurderingen når den utløses).
Hvordan samsvarer dette med GDPR?
Kontroll A.1.2.6 er knyttet til en betydelig mengde GDPR- bestemmelser:
- Artikkel 35(1)–(11) — Kravene til konsekvensutredning for personvern (DPIA). GDPR pålegger personvernkonsekvensutredninger der behandling «sannsynligvis vil føre til høy risiko for fysiske personers rettigheter og friheter» og angir minimumskrav til innhold, inkludert: en systematisk beskrivelse av behandlingen, vurdering av nødvendighet og proporsjonalitet, vurdering av risikoer og tiltak for å håndtere risikoer
- Artikkel 36(1) (ikke kartlagt i vedlegg D, men nært beslektet)–(5) — Forhåndshøring med tilsynsmyndigheten. Dersom en DPIA indikerer høy gjenværende risiko som ikke kan reduseres, må den behandlingsansvarlige konsultere tilsynsmyndigheten før behandlingen starter.
GDPRs krav til DPIA er mer preskriptivt enn ISO 27701-kontrollen – den pålegger vurdering for høyrisikobehandling, mens A.1.2.6 krever at organisasjoner vurderer behovet for en PIA for enhver ny eller endret behandling. I praksis vil implementering av A.1.2.6 oppfylle GDPRs krav til DPIA forutsatt at screeningkriteriene fanger opp alle utløsende scenarier i henhold til artikkel 35.
Hvordan er dette relatert til ISO 29100-prinsippene for personvern?
Denne kontrollen støtter flere ISO 29100-personvernprinsipper:
- Samtykke og valg — Konsekvensutredninger (PIA-er) bidrar til å identifisere hvor samtykkemekanismer må utformes eller styrkes
- Innsamlingsbegrensning — Nødvendighets- og proporsjonalitetsvurderingen tar direkte for seg hvorvidt det samles inn for mye personlig identifiserende informasjon
- Overholdelse av personvern — PIA-er er en mekanisme for å verifisere og demonstrere samsvar med personvernkrav før behandlingen starter
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.1.2.6, vil de vanligvis se etter:
- PIA-screeningkriterier — En dokumentert terskel eller sjekkliste som brukes til å avgjøre om en fullstendig konsekvensutredning (PIA) er nødvendig for en gitt behandlingsaktivitet eller endring
- Screening-journaler — Bevis for at screeningprosessen ble anvendt på nye og endrede behandlingsaktiviteter, inkludert tilfeller der en fullstendig konsekvensutredning ble utført ikke anses nødvendig (med dokumentert begrunnelse)
- Fullførte PIA-rapporter — Fullstendige vurderingsdokumenter som dekker nødvendighet, proporsjonalitet, risikoanalyse og foreslåtte tiltak
- Beslutninger om risikobehandling — Bevis for at funn av konsekvensutredningen ble fulgt opp — avbøtende tiltak ble implementert, behandlingen ble endret, eller i noen tilfeller behandlingen ble avbrutt
- Signeringsoppføringer — Godkjenning fra relevante interessenter (f.eks. personvernrådgiver, toppledelse) om at konsekvensutredningen ble gjennomgått og at gjenværende risiko ble akseptert
- Tidligere konsultasjonsrapporter — Der gjenværende risiko fortsatt var høy etter tiltak, dokumentasjon på at tilsynsmyndigheten ble konsultert (GDPR artikkel 36)
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.1.2.2 Identifiser og dokumenter formål | Formålsdokumentasjon er et innspill til konsekvensutredningen – du kan ikke vurdere nødvendighet uten å kjenne formålet |
| A.1.2.3 Identifiser rettslig grunnlag | PIA bør bekrefte at det finnes et gyldig rettslig grunnlag for den planlagte behandlingen |
| A.1.4.3 Begrens behandling | Proporsjonalitetsvurderingen i konsekvensutredningen (PIA) informerer beslutninger om dataminimering |
| A.1.4.6 Avidentifisering og sletting av personlig identifiserende informasjon | PIA-er kan identifisere avidentifikasjon eller sletting som et risikoreduserende tiltak |
| A.1.2.7 Avtaler med PII-behandlere | Der behandling involverer tredjeparts databehandlere, bør konsekvensutredningen vurdere databehandlerrelaterte risikoer |
| ISO / IEC 29134 | Den refererte standarden som gir detaljert konsekvensutredningsmetodikk og retningslinjer |
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven fremsto dette kravet som klausul 7.2.5 (konsekvensutredning for personvern). Kjernekravet er uendret – vurder behovet for en konsekvensutredning for personvern og gjennomfør en der det er hensiktsmessig. Omstruktureringen fra 2025 til tabell A.1 gir et klarere skille mellom kontrollerklæringen (A.1.2.6) og veiledningen (B.1.2.6). Referansen til ISO/IEC 29134 som den detaljerte metodikkstandarden for konsekvensutredninger er beholdt, noe som forsterker at organisasjoner bør følge en strukturert tilnærming snarere enn en ad hoc-vurdering. Se korrespondansetabellen i vedlegg F for en fullstendig oversikt.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvorfor velge ISMS.online for konsekvensutredninger for personvern?
ISMS.online tilbyr en komplett PIA-arbeidsflyt som tar deg fra screening til godkjenning:
- PIA-screeningverktøy — Et innebygd spørreskjema som avgjør om en fullstendig vurdering er nødvendig, med dokumentert begrunnelse for hver beslutning
- Strukturerte PIA-maler — Forhåndsbygde vurderingsmaler i samsvar med ISO/IEC 29134, som veileder vurderingspersoner gjennom planlegging av nødvendighet, proporsjonalitet, risikoidentifisering og risikoredusering.
- Risikovurdering og varmekart — Visuell risikoanalyse med sannsynlighets- og konsekvensvurdering, noe som gjør det enkelt å prioritere tiltak og kommunisere funn til interessenter
- Sporing av tiltak — Tildel risikobehandlingstiltak til eiere med tidsfrister, og spor implementeringsfremdriften innenfor samme plattform
- Godkjenningsarbeidsflyter — Send fullførte konsekvensutredninger (PIA-er) til personvernrådgiveren eller toppledelsen for gjennomgang og godkjenning, med fullstendig revisjonsspor for godkjenningsprosessen
- Tilknyttede bevis — Koble PIA-er til behandlingsaktivitetene, det juridiske grunnlaget og samtykkeregistreringene de er knyttet til, og skap et komplett bilde av samsvar
Spørsmål og svar
Når er en konsekvensutredning for personvern obligatorisk?
I henhold til ISO 27701:2025 er en konsekvensutredning (PIA) ikke automatisk obligatorisk for alle behandlingsaktiviteter – kontrollen krever at du vurderer behovet for en. I henhold til GDPR artikkel 35 er imidlertid en DPIA obligatorisk der behandling sannsynligvis vil føre til høy risiko for enkeltpersoners rettigheter. Det europeiske databeskyttelsesrådet har publisert kriterier som inkluderer: systematisk evaluering av personlige aspekter (profilering), storskala behandling av spesielle kategorier og systematisk overvåking av offentlig tilgjengelige områder. Organisasjoner bør bygge disse utløserne inn i sine screeningkriterier.
Kan en konsekvensutredning (PIA) gjennomføres etter at behandlingen allerede har startet?
Både standarden og GDPR forventer at konsekvensutredninger (PIA) gjennomføres før behandlingen starter. Hvis du imidlertid oppdager at en PIA burde ha blitt utført, men ikke ble det, er det bedre å gjennomføre en i ettertid enn å ikke gjøre en i det hele tatt. Den retrospektive PIA-en kan identifisere risikoer som krever umiddelbar avbøtning eller til og med opphør av behandling. Revisorer vil merke seg tidsgapet, men vil se mer positivt på en sen PIA enn ingen PIA.
Hvor ofte bør eksisterende konsekvensutredninger (PIA-er) gjennomgås?
Konsekvensutredninger (PIA-er) bør gjennomgås når det skjer en vesentlig endring i behandlingen de dekker – for eksempel nye datakategorier, nye mottakere, endringer i teknologi eller endringer i regelverket. Beste praksis er også å sette en periodisk gjennomgangsplan (f.eks. årlig) for å fange opp trinnvise endringer som kanskje ikke har utløst en individuell gjennomgang. Gjennomgangen bør vurdere om den opprinnelige risikoanalysen og tiltakene fortsatt er gyldige.
Se vår veiledning om krav til revisjonsbevis for hva revisorer forventer når de vurderer denne kontrollen.
En gap-analyse kan hjelpe deg med å vurdere om din nåværende PIA-prosess oppfyller kravene i 2025.
