Hva krever kontroll A.1.2.8?
Organisasjonen skal fastsette respektive roller og ansvar for behandling av PII (inkludert PII-beskyttelse og sikkerhetskrav) med enhver felles PII-behandlingsansvarlig.
Denne kontrollen ligger innenfor målet om vilkår for innsamling og behandling (A.1.2). Den tar for seg et spesifikt, men stadig mer vanlig scenario: der to eller flere organisasjoner i fellesskap bestemmer formålene og midlene for behandling av personopplysninger. I motsetning til forholdet mellom behandlingsansvarlig og databehandler som er regulert av A.1.2.7 Kontrakter med personopplysningsbehandlere , innebærer felles kontrollansvar delt beslutningsmyndighet – og dermed delt ansvarlighet.
Felles kontrollansvar oppstår når organisasjoner samarbeider om aktiviteter som involverer personlig identifiserende informasjon – for eksempel felles markedsføringskampanjer, delte plattformer, forskningspartnerskap eller integrerte tjenester der begge parter påvirker hvilke data som samles inn og hvordan de brukes.
Hva sier implementeringsveiledningen?
Vedlegg B (avsnitt B.1.2.8) gir følgende veiledning:
- Bli enige om respektive ansvarsområder — Felles behandlingsansvarlige må bli enige om hvilken organisasjon som er ansvarlig for hver forpliktelse som følge av behandling av personopplysninger, særlig med hensyn til:
- Utøvelse av hovedrettigheter knyttet til personlig identifiserende informasjon (forespørsler om tilgang, sletting, retting, portabilitet)
- Gi nødvendig informasjon til personopplysningspliktige (personvernerklæringer, åpenhetsforpliktelser)
- Implementering av sikkerhetstiltak
- Varsling om brudd
- Se også A.1.2.2: Identifiser og dokumenter formål for relaterte krav
- Se også A.1.2.3: Identifiser lovlig grunnlag for relaterte krav
- Gjør avtalen tilgjengelig for PII-oppdragsgivere — Essensen av avtalen om felles kontroll bør gjøres tilgjengelig for personene hvis PII behandles, slik at de vet hvilken organisasjon de skal kontakte for hva
- Dokumenter avtalen formelt – Selv om kontrollen ikke bruker ordet «kontrakt», innebærer kravet om å «bestemme» roller og ansvar en formell, dokumentert avtale mellom partene.
Veiledningen erkjenner at én felles behandlingsansvarlig i praksis kan ta ledelsen når det gjelder visse forpliktelser (som å være primært kontaktpunkt for forespørsler fra registrerte), men dette fritar ikke de andre behandlingsansvarlige for deres ansvar.
Hvordan samsvarer dette med GDPR?
Kontroll A.1.2.8 er direkte knyttet til GDPR artikkel 26:
- Artikkel 26 (1) — Dersom to eller flere behandlingsansvarlige i fellesskap fastsetter formålene og midlene for behandlingen, skal de på en transparent måte fastsette sine respektive ansvarsområder for å oppfylle forpliktelsene i henhold til GDPR, særlig med hensyn til utøvelsen av de registrertes rettigheter og deres respektive plikter til å gi informasjon
- Artikkel 26 (2) – Avtalen skal behørig gjenspeile de felles behandlingsansvarliges respektive roller og forhold til de registrerte. Kjernen i avtalen skal gjøres tilgjengelig for den registrerte.
- Artikkel 26 (3) – Uavhengig av vilkårene i avtalen, kan registrerte utøve sine rettigheter i henhold til GDPR med hensyn til og mot hver av de behandlingsansvarlige. Dette er et avgjørende punkt – interne avtaler kan ikke begrense rettighetene til oppdragsgivere for personopplysninger.
Artikkel 26(3) er spesielt viktig: selv om de felles behandlingsansvarlige er enige om at organisasjon A håndterer alle forespørsler fra den registrerte, kan en person fortsatt rette forespørselen sin til organisasjon B, som deretter enten må håndtere den eller videresende den på riktig måte. Begge organisasjonene forblir ansvarlige.
Hvordan er dette relatert til ISO 29100-prinsippene for personvern?
Denne kontrollen støtter ansvarlighetsprinsippet i ISO 29100. Ansvarlighet krever at behandlingen av personlig identifiserende informasjon er ansvaret til klart identifiserte parter som kan holdes ansvarlige for sine handlinger. Felles kontroll skaper en situasjon der ansvarlighet må fordeles eksplisitt – uten en formell avtale kan det være uklart hvilken organisasjon som er ansvarlig for hvilken forpliktelse, noe som undergraver hele ansvarlighetsrammeverket.
Start din gratis prøveperiode
Vil du utforske?
Registrer deg for din gratis prøveversjon i dag og få hands on med alle samsvarsfunksjonene som ISMS.online har å tilby
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.1.2.8, vil de vanligvis se etter:
- Felles register over behandlingsansvarlige — En dokumentert liste over alle felles behandlingsansvarsordninger som organisasjonen er part i, med identiteten til hver felles behandlingsansvarlig og behandlingsaktivitetene som dekkes
- Felles avtaler om kontrollører — Signerte, skriftlige avtaler som fastsetter ansvarsfordelingen mellom partene
- Ansvarsmatrise — En tydelig kartlegging av hvilken behandlingsansvarlig som håndterer hvilke forpliktelser (rettigheter for den registrerte, varsling om brudd, sikkerhet, åpenhet)
- PII-hovedkommunikasjon — Bevis for at essensen av avtalen om felles kontroll er kommunisert til PII-oppdragsgivere, vanligvis gjennom personvernerklæringer eller dedikerte informasjonssider
- Kontaktpunktbetegnelse — Et dokumentert enkelt kontaktpunkt for PII-oppdragsgivere, selv der ansvaret er delt mellom behandlingsansvarlige
- Operasjonelle prosedyrer – Prosesser for håndtering av scenarier der en personopplysningspliktig kontakter «feil» behandlingsansvarlig (f.eks. videresendingsprosedyrer, avtaler om responstid)
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.1.2.7 Avtaler med PII-behandlere | Ulike kontraktsmessige krav gjelder avhengig av om et forhold er felles behandlingsansvarlig eller behandlingsansvarlig-databehandler. |
| A.1.3.3 Informasjon for PII-prinsipper | Felles behandlingsansvarlige må bli enige om hvem som gir hvilken informasjon og hvordan |
| A.1.3.2 Forpliktelser overfor PII-oppdragsgivere | Ansvaret for å håndtere forespørsler fra registrerte må fordeles mellom felles behandlingsansvarlige |
| A.1.2.6 Vurdering av personvernkonsekvenser | Felles behandlingsavtaler kan utløse krav om konsekvensutredning |
| A.1.5.2 Grunnlag for overføring av personlig identifiserende informasjon mellom jurisdiksjoner | Deling av PII mellom felles behandlingsansvarlige må reguleres |
| A.1.2.9 Registrering av behandling av personopplysninger | Behandlingsregistre bør identifisere felles kontrollordninger |
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven fremsto dette kravet som klausul 7.2.7 (felles PII-behandlingsansvarlig). Kjernekravet er uendret – felles behandlingsansvarlige må bli enige om sine respektive ansvarsområder. Omstruktureringen fra 2025 til tabell A.1 gir et tydeligere skille mellom kontrollerklæringen (A.1.2.8) og veiledningen (B.1.2.8). Vektleggingen av å gjøre ordningen tilgjengelig for PII-oppdragsgivere er beholdt, noe som gjenspeiler åpenhetskravene som er grunnleggende for både ISO 27701 og GDPR. Se korrespondansetabellen i vedlegg F for en fullstendig oversikt.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvorfor velge ISMS.online for å administrere felles avtaler om behandlingsansvarlig?
ISMS.online hjelper deg med å formalisere, spore og operasjonalisere felles kontroll med klarhet:
- Felles register over behandlingsansvarlige — Dokumenter alle felles avtaler om behandlingsansvar med de involverte partene, behandlingsaktiviteter som dekkes og avtalestatus
- Maler for ansvarsfordeling — Forhåndsbygde ansvarsmatriser som dekker den registrertes rettigheter, varsling om brudd, sikkerhet og åpenhet, slik at ingenting går mellom to stoler
- Avtalehåndtering — Lagre, versjonskontrollere og gjennomgå felles avtaler for behandlingsansvarlige sammen med annen samsvarsdokumentasjon
- Lenkede personvernerklæringer — Koble felles kontrollavtaler til personvernerklæringene som informerer PII-oppdragsgivere, og sørg for at kravene til åpenhet er oppfylt
- Arbeidsflyter på tvers av organisasjoner — Definere og spore prosedyrer for videresending av forespørsler fra registrerte mellom felles behandlingsansvarlige med SLA-overvåking
- Revisjonsklare bevis — Generer samsvarsdokumentasjonspakker som demonstrerer ansvarsfordelingen og den operative implementeringen av disse.
Spørsmål og svar
Hvordan avgjør vi om et forhold er felles behandlingsansvarlig eller behandlingsansvarlig og databehandler?
Hovedspørsmålet er hvem som bestemmer formålene og midlene for behandlingen. Hvis begge organisasjonene påvirker hvorfor og hvordan PII behandles, er det felles behandlingsansvar. Hvis én organisasjon bestemmer formålet og den andre bare handler etter instruksjoner, er det et behandlingsansvarlig-databehandlerforhold. I praksis faller mange forhold i en gråsone. Vurder: har den andre parten sin egen interesse i behandlingsresultatet? Bestemmer den hvilke data som skal samles inn eller hvordan de skal brukes? Hvis ja, er det sannsynligvis en felles behandlingsansvarlig snarere enn en databehandler.
Kan én felles behandlingsansvarlig holdes ansvarlig for den andres feil?
I henhold til GDPR artikkel 26(3) kan PII-oppdragsgivere utøve sine rettigheter mot enhver av de felles behandlingsansvarlige, uavhengig av interne avtaler. Dette betyr at hvis én behandlingsansvarlig unnlater å håndtere en forespørsel fra en registrert person, kan den andre holdes ansvarlig. Tilsynsmyndigheter kan også iverksette håndhevingstiltak mot noen eller alle felles behandlingsansvarlige. Interne avtaler kan fordele økonomisk ansvar mellom partene, men de kan ikke begrense rettighetene til PII-oppdragsgivere eller fullmaktene til regulatorer.
Hva bør vi fortelle PII-oppdragsgivere om det felles kontrollansvaret?
Kjernen i avtalen må gjøres tilgjengelig for PII-oppdragsgivere. Dette bør som et minimum omfatte: identiteten til hver felles behandlingsansvarlig, hvilke typer behandling hver er ansvarlig for, og hvordan PII-oppdragsgivere kan utøve sine rettigheter (inkludert et kontaktpunkt). Denne informasjonen er vanligvis gitt i personvernerklæringen. Den trenger ikke å avsløre alle detaljer i den interne avtalen – akkurat nok til at enkeltpersoner forstår hvem som er ansvarlig og hvordan de kan kontakte dem.
Se vår veiledning om krav til revisjonsbevis for hva revisorer forventer når de vurderer denne kontrollen.
