Hva krever kontroll A.1.4.2?
Organisasjonen skal begrense innsamlingen av personlig identifiserende informasjon til det minimum som er relevant, proporsjonalt og nødvendig for de identifiserte formålene.
Denne kontrollen ligger innenfor målet om minimering av personopplysninger (A.1.4), som sikrer at organisasjoner kun samler inn og behandler de personopplysningene de virkelig trenger. A.1.4.2 omhandler spesifikt innsamlingspunktet, og krever at organisasjoner kritisk vurderer hvert datafelt de samler inn mot formålene de har dokumentert under A.1.2.2.
Hva sier implementeringsveiledningen?
Vedlegg B (avsnitt B.1.4.2) gir følgende veiledning:
- Definer og dokumenter databehov — For hvert behandlingsformål bør organisasjonen tydelig definere og dokumentere nøyaktig hvilke personopplysninger som er nødvendige, og dermed skape en direkte kobling mellom formål og datafelt.
- Gjennomgå innkrevingspraksis med jevne mellomrom — Innsamlingspraksis bør ikke forbli statisk; den bør gjennomgås med jevne mellomrom for å sikre at den fortsatt gjenspeiler faktiske behandlingsbehov.
- Ikke samle inn «bare i tilfelle» — Organisasjonen bør ikke samle inn personlig identifiserende informasjon spekulativt med den begrunnelse at det kan være nyttig i fremtiden.
- Vurder alternativer — Før du samler inn personlig identifiserende informasjon, bør du vurdere om formålet kan oppnås med mindre personlig identifiserende informasjon eller med anonymiserte data i stedet.
- Se også A.1.4.4: Nøyaktighet og kvalitet for relaterte krav
- Se også A.1.4.7: Midlertidige filer for relaterte krav
Den praktiske effekten er at hvert skjemafelt, hvert datafangstpunkt og hver inntaksprosess bør begrunnes mot et dokumentert formål. Hvis et felt ikke kan knyttes til et spesifikt, dokumentert formål, bør det ikke samles inn.
Hvordan samsvarer dette med GDPR?
Kontroll A.1.4.2 er knyttet til to viktige GDPR -artikler:
- Artikkel 5 (1) (b) — Formålsbegrensning: Personopplysninger må samles inn for spesifiserte, eksplisitte og legitime formål
- Artikkel 5 nr. 1 bokstav c) — Dataminimering: Personopplysninger må være tilstrekkelige, relevante og begrenset til det som er nødvendig i forhold til formålene de behandles for.
Sammen krever disse GDPR- prinsippene at innsamlingen er både formålsbestemt og minimert, noe som er nettopp det A.1.4.2 operasjonaliserer innenfor ISO 27701-rammeverket.
Hvordan er dette relatert til ISO 29100-prinsippene for personvern?
Denne kontrollen støtter direkte ISO 29100 -prinsippet om innsamlingsbegrensning , som sier at innsamling av personlig identifiserende informasjon bør begrenses til det som er innenfor rammene av gjeldende lov og strengt nødvendig for det spesifiserte formålet. Prinsippet understreker at organisasjoner bør vurdere om innsamling av personlig identifiserende informasjon virkelig er nødvendig før de implementerer det.
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.1.4.2, vil de vanligvis se etter:
- Begrunnelsesoppføringer for datainnsamling — Dokumentasjon som viser at hvert felt for personlig identifiserende informasjon som er samlet inn, er tilordnet et spesifikt behandlingsformål.
- Skjema- og inntaksvurderinger — Dokumentasjon på periodiske gjennomganger av datainnsamlingsskjemaer, nettskjemaer og inntaksprosesser for å fjerne unødvendige felt
- Vurderinger av dataminimering — Registreringer av vurderinger som vurderer om anonymiserte eller pseudonymiserte data kan tjene formålet i stedet
- Endre kontroll — Bevis for at nye datainnsamlingsfelt krever godkjenning og begrunnelse før de legges til
- Treningsrekord — Bevis på at ansatte involvert i utformingen av datainnsamlingsprosesser forstår minimeringskravene
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.1.2.2 Identifiser og dokumenter formål | Innsamlingsgrenser stammer fra dokumenterte formål |
| A.1.4.3 Begrens behandling | Behandlingsgrenser utfyller innsamlingsgrensene gjennom hele datalivssyklusen |
| A.1.4.5 Mål for minimering av personlig identifiserende informasjon | Definerer de overordnede minimeringsmekanismene som støtter innsamlingsbegrensning |
| A.1.4.6 Avidentifikasjon og sletting | Der innsamlet personlig identifiserende informasjon ikke lenger er nødvendig, må den avidentifiseres eller slettes. |
| A.1.2.4 Fastslå samtykke | Samtykke bør kun omfatte personlig identifiserende informasjon som virkelig er nødvendig |
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven ble begrensning av innkreving adressert under punkt 7.4.1 (begrensning av innkreving). 2025-kontrollen er i hovedsak den samme i sine krav, men det omstrukturerte formatet i vedlegg A og vedlegg B gir et tydeligere skille mellom den normative kontrollerklæringen og implementeringsveiledningen. Språket rundt proporsjonalitet er noe styrket. Se korrespondansetabellen i vedlegg F for den fullstendige kartleggingen.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvorfor velge ISMS.online for å administrere grenser for innsamling av PII?
ISMS.online gir deg strukturen for å håndheve og demonstrere begrensninger i innkreving på tvers av organisasjonen din:
- Kartlegging av datalager — Tilordne hvert PII-felt til det dokumenterte formålet, slik at det umiddelbart blir tydelig hvilke felt som er berettigede og hvilke som bør fjernes
- Arbeidsflyter for gjennomgang av samlinger — Planlegg periodiske gjennomganger av datainnsamlingspraksis med automatiserte påminnelser og godkjenningsarbeidsflyter
- Sporing av endringsforespørsler — Krev begrunnelse og godkjenning før nye PII-felt legges til i noen innsamlingsprosess
- Formålskobling — Kryssreferer automatisk innsamlingspunkter med behandlingsformålsregisteret ditt for å identifisere hull eller overinnsamling
- Tilsynsspor — Føre en fullstendig historikk over innkrevingsbeslutninger, gjennomganger og endringer for revisorbevis
Spørsmål og svar
Hvordan avgjør du hvilke personlig identifiserende opplysninger som er «nødvendige» for et formål?
Spør om formålet med behandlingen kan oppfylles uten hvert datafelt. Hvis det å fjerne et felt ikke ville hindre deg i å oppnå det oppgitte formålet, er det sannsynligvis unødvendig. Vurder om formålet kunne oppnås med mindre detaljerte data (f.eks. aldersgruppe i stedet for fødselsdato) eller med anonymiserte data. Dokumenter begrunnelsen for hvert felt du beholder.
Kan valgfrie felt på skjemaer fortsatt overholde denne kontrollen?
Valgfrie felt er ikke automatisk ikke-kompatible, men de krever gransking. Hvert valgfritt felt bør fortsatt være knyttet til et dokumentert formål, og organisasjonen bør kunne forklare hvorfor feltet finnes selv om det ikke er obligatorisk. Hvis et valgfritt felt ikke tjener noe dokumentert formål, bør det fjernes uavhengig av om det er obligatorisk eller valgfritt.
Hvor ofte bør innkrevingspraksis gjennomgås?
Standarden foreskriver ikke en spesifikk gjennomgangsfrekvens. Beste praksis er imidlertid å gjennomgå innsamlingspraksis minst årlig som en del av PIMS-ledelsens gjennomgang, og i tillegg hver gang et nytt behandlingsformål introduseres, et eksisterende formål endres eller en konsekvensanalyse av personvern gjennomføres.
Se vår veiledning om krav til revisjonsbevis for de spesifikke bevisene revisorer forventer for datakvalitets- og minimeringskontroller.
Registrer denne kontrollen i din erklæring om anvendelighet med din begrunnelse for dens anvendelighet.
