Hva krever kontroll A.1.4.5?
Organisasjonen skal definere og dokumentere mål for dataminimering og hvilke mekanismer (som avidentifikasjon) som brukes for å nå disse målene.
Denne kontrollen ligger innenfor målet for minimering av personlig identifiserende informasjon (A.1.4) og fungerer som planleggingslaget for alle minimeringsaktiviteter. Mens kontroller som A.1.4.2 (grenseinnsamling) og A.1.4.3 (grensebehandling) adresserer spesifikke aspekter ved minimering, krever A.1.4.5 at organisasjonen tar et skritt tilbake og definerer hva den prøver å oppnå generelt og hvilke verktøy den vil bruke for å komme dit.
Hva sier implementeringsveiledningen?
Vedlegg B (avsnitt B.1.4.5) gir følgende veiledning:
- Identifiser minimeringsmekanismer — Organisasjonen bør vurdere en rekke teknikker, inkludert avidentifikasjon, pseudonymisering, aggregering og sletting av unødvendige felt
- Tilordne mekanismer til PII-kategorier — Dokumenter hvilken minimeringsmekanisme som brukes for hver kategori av personlig identifiserende informasjon, og lag en tydelig oversikt over hvordan data reduseres eller beskyttes
- Gjennomgå med jevne mellomrom — Minimeringsmål og mekanismene som brukes bør gjennomgås med jevne mellomrom for å sikre at de forblir passende etter hvert som behandlingsaktiviteter, teknologi og risikoer utvikler seg.
- Valg av mekanisme bør gjenspeile sensitiviteten til den personlige identifiserende informasjonen, formålene den behandles for og risikoen for oppdragsgivere av den personlige identifiserende informasjonen.
- Se også A.1.4.4: Nøyaktighet og kvalitet for relaterte krav
- Se også A.1.4.10: PII-overføringskontroller for relaterte krav
Denne kontrollen handler om å ha en bevisst, dokumentert strategi i stedet for å bruke minimeringsteknikker på ad hoc-basis. Organisasjonen bør kunne vise revisorer et klart bilde av sin minimeringstilnærming på tvers av alle PII-kategorier.
Hvordan samsvarer dette med GDPR?
Kontroll A.1.4.5 er knyttet til to GDPR- artikler:
- Artikkel 5 nr. 1 bokstav c) — Dataminimering: Personopplysninger må være tilstrekkelige, relevante og begrenset til det som er nødvendig
- Artikkel 5(1)(e) — Lagringsbegrensning: Personopplysninger bør oppbevares i en form som tillater identifisering av de registrerte ikke lenger enn nødvendig.
Sammen krever disse prinsippene at organisasjoner tenker strategisk om minimering, noe som er nettopp det A.1.4.5 krever gjennom kravet om å definere mål og velge passende mekanismer.
Hvordan er dette relatert til ISO 29100-prinsippene for personvern?
Denne kontrollen støtter to ISO 29100- prinsipper:
- Dataminimering — Det overordnede kravet om å minimere behandlingen av personopplysninger til det som er strengt nødvendig
- Begrensning av bruk, oppbevaring og offentliggjøring — Begrense bruk og oppbevaring av personlig identifiserende informasjon, noe minimeringsmekanismer som avidentifikasjon og aggregering støtter direkte
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.1.4.5, vil de vanligvis se etter:
- Minimeringspolitikk eller -strategi — En dokumentert redegjørelse for organisasjonens minimeringsmål, inkludert hvilke resultater den tar sikte på å oppnå
- Mekanismeregister – En oversikt som knytter hver PII-kategori til den anvendte minimeringsmekanismen (f.eks. pseudonymisering for analysedata, aggregering for rapporteringsdata, sletting for midlertidige behandlingsdata)
- Begrunnelse for valg av teknikk — Bevis for at valget av minimeringsteknikk ble vurdert opp mot sensitivitet, formål og risiko, og ikke anvendt vilkårlig
- Periodiske gjennomgangsrapporter — Bevis for at mål og mekanismer gjennomgås som en del av ledelsens gjennomgangssyklus, med oppdateringer når behandlingsaktiviteter endres
- Implementeringsbevis — Bevis på at de dokumenterte mekanismene faktisk er i bruk (f.eks. pseudonymiseringskonfigurasjoner, aggregeringsutdata, slettingslogger)
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.1.4.2 Begrens innsamling | Innsamlingsbegrensning er en av de taktiske kontrollene som minimeringsmål styrer |
| A.1.4.3 Begrens behandling | Behandlingsbegrensning er drevet av minimeringsmålene |
| A.1.4.6 Avidentifikasjon og sletting | Avidentifikasjon er en nøkkelmekanisme for å nå minimeringsmål |
| A.1.4.7 Midlertidige filer | Avhending av midlertidige filer er en del av minimeringsstrategien |
| A.1.4.8 Oppbevaring | Oppbevaringsperioder definerer tidsdimensjonen for minimering |
| A.1.4.9 Avhending | Sikker avhending er det siste trinnet i minimeringssyklusen |
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven ble minimeringsmålene dekket under punkt 7.4.4 (mål for minimering av personlig identifiserende informasjon). Kontrollen for 2025 er i hovedsak den samme, med samme fokus på å definere mål og velge mekanismer. Det omstrukturerte formatet gir tydeligere implementeringsveiledning i vedlegg B, og den eksplisitte omtalen av avidentifikasjon som en eksempelmekanisme i selve kontrollerklæringen gir sterkere retning. Se samsvarstabellen i vedlegg F for fullstendig kartlegging.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvorfor velge ISMS.online for å håndtere mål for minimering av PII?
ISMS.online hjelper deg med å gå fra ad hoc-minimering til en strukturert, reviderbar strategi:
- Rammeverk for målsetting — Definer minimeringsmål på organisasjons- og prosesseringsaktivitetsnivå, og lag en lagdelt strategi som revisorer kan følge
- Mekanismekartlegging — Koble hver PII-kategori til den tildelte minimeringsteknikken (pseudonymisering, aggregering, sletting) med dokumentasjon av begrunnelsen
- Teknikkbibliotek — Få tilgang til et referansebibliotek med minimeringsteknikker som hjelper deg med å velge den mest passende mekanismen for hvert brukstilfelle
- Gjennomgå arbeidsflyter — Planlegg periodiske gjennomganger av minimeringsmål med automatiserte påminnelser og strukturerte gjennomgangsmaler
- Krysskontrollsynlighet — Se hvordan minimeringsmålene dine er knyttet til innsamlingsgrenser, behandlingsgrenser, avidentifikasjon, oppbevaring og avhending i en samlet visning.
- Fremdriftssporing — Overvåk implementeringen av minimeringsmekanismer med statusdashboards og oppgavetildelinger
Spørsmål og svar
Hva er forskjellen mellom avidentifikasjon og pseudonymisering?
Avidentifikasjon er den bredere betegnelsen for å fjerne eller tilsløre identifiserende informasjon slik at PII-prinsipper ikke kan identifiseres. Pseudonymisering er en spesifikk type avidentifikasjon der direkte identifikatorer erstattes med kunstige identifikatorer (pseudonymer), men dataene kan fortsatt kobles til individet på nytt ved hjelp av en egen nøkkel. Pseudonymiserte data forblir PII i henhold til de fleste forskrifter fordi reidentifikasjon er mulig. Fullstendig avidentifiserte data som ikke kan identifiseres på nytt, kan falle utenfor virkeområdet for personvernforskrifter, avhengig av jurisdiksjon.
Må minimeringsmål være målbare?
Standarden krever at mål defineres og dokumenteres, men pålegger ikke kvantitative mål. Målbare mål (som «redusere antall PII-felt som samles inn med 20 % innen 12 måneder» eller «pseudonymisere alle analysedata innen 30 dager etter innsamling») er imidlertid mer nyttige for å spore fremdrift og demonstrere forpliktelse overfor revisorer. Sett mål som kan verifiseres der det er mulig.
Hvordan er denne kontrollen relatert til innebygd databeskyttelse?
A.1.4.5 er en sentral del av innbygget databeskyttelse. Ved å definere minimeringsmål på forhånd og velge mekanismer før behandlingen starter, integrerer organisasjonen personvern i utformingen av behandlingsaktivitetene sine i stedet for å ettermontere det. Denne proaktive tilnærmingen er akkurat det GDPR artikkel 25 (databeskyttelse gjennom design og standardinnstilling) krever.
Se vår veiledning om krav til revisjonsbevis for de spesifikke bevisene revisorer forventer for datakvalitets- og minimeringskontroller.
Registrer denne kontrollen i din erklæring om anvendelighet med din begrunnelse for dens anvendelighet.
