Hva krever kontroll A.2.2.3?
Organisasjonen skal sørge for at personlig identifiserende opplysninger som behandles på vegne av en kunde kun behandles for de formålene som er angitt i kundens dokumenterte instruksjoner.
Denne kontrollen ligger i tillegget om databehandlerkontroller for personopplysninger (A.2) og etablerer den mest grunnleggende databehandlerforpliktelsen: formålsbegrensning. En databehandler eksisterer for å utføre den behandlingsansvarliges instruksjoner, ikke for å forfølge sine egne mål med dataene. Enhver behandling utover det kunden har dokumentert og instruert, representerer et brudd på denne kontrollen og potensielt et brudd på personvernlovgivningen.
Hva sier implementeringsveiledningen i vedlegg B?
Vedlegg B (avsnitt B.2.2.3) gir følgende veiledning:
- Dokumenter tjenestens mål og tidsramme — Kontrakten mellom organisasjonen og kunden bør inneholde, men ikke være begrenset til, målet og tidsrammen som skal oppnås med tjenesten
- Tillat teknisk skjønn innenfor generelle instruksjoner — Det kan være tekniske grunner til at det er hensiktsmessig for organisasjonen å bestemme metoden for behandling av personlig identifiserende informasjon, i samsvar med kundens generelle instruksjoner, men uten kundens uttrykkelige instruksjoner. For eksempel å tildele spesifikke behandlingsressurser avhengig av visse egenskaper ved den personlige identifiserende informasjonens oppdragsgiver.
- Aktiver kundeverifisering — Organisasjonen bør la kunden bekrefte at den overholder prinsippene for formålsspesifikasjon og begrensning.
- Utvid til underleverandører — Dette sikrer også at ingen personlig identifiserende informasjon behandles av organisasjonen eller noen av dens underleverandører til andre formål enn de som er angitt i kundens dokumenterte instruksjoner.
- Se også A.2.2.6: Kundens forpliktelser for relaterte krav
Veiledningen finner en pragmatisk balansegang: databehandlere kan ta tekniske avgjørelser om hvordan data skal behandles effektivt, men de må ikke endre formålet som dataene behandles for. Kunden må kunne bekrefte at denne grensen respekteres.
Hvordan samsvarer dette med GDPR?
Kontroll A.2.2.3 er knyttet til følgende GDPR- artikler:
- Artikkel 5 (1) (a) – Prinsippet om lovlighet, rettferdighet og åpenhet
- Artikkel 5 (1) (b) — Prinsippet om formålsbegrensning, som krever at personopplysninger samles inn for spesifiserte, eksplisitte og legitime formål og ikke behandles videre på en måte som er uforenlig med disse formålene
- Artikkel 28 (3) (a) — Databehandleren skal kun behandle personopplysninger etter dokumenterte instruksjoner fra den behandlingsansvarlige
- Artikkel 29 – Databehandleren skal ikke behandle personopplysninger uten instruksjoner fra den behandlingsansvarlige
- Artikkel 32 (4) — Enhver person som handler under databehandlerens myndighet og som har tilgang til personopplysninger, skal ikke behandle dem uten instruksjoner fra den behandlingsansvarlige.
I henhold til GDPR risikerer en databehandler som behandler data utover kundens dokumenterte instruksjoner å bli omklassifisert som behandlingsansvarlig for den behandlingen, med alle de juridiske forpliktelsene det medfører.
Hva har endret seg fra ISO 27701:2019?
For en trinnvis tilnærming, se Overgangen fra 2019 til 2025.
I 2019-utgaven ble dette kravet adressert innenfor den bredere klausulstrukturen. 2025-utgaven inneholder A.2.2.3 som en frittstående kontroll med implementeringsveiledning i B.2.2.3 som tydeliggjør grensen mellom legitim teknisk skjønn og uautorisert formålsutvidelse. Se korrespondansetabellen i vedlegg F for den fullstendige kartleggingen.
Administrer all samsvarskontroll, alt på ett sted
ISMS.online støtter over 100 standarder og forskrifter, og gir deg én enkelt plattform for alle dine samsvarsbehov.
Hvilke bevis forventer revisorer?
Når revisorer vurderer samsvar med A.2.2.3, vil de vanligvis se etter:
- Dokumenterte kundeinstruksjoner — Tydelige, skriftlige instruksjoner fra hver kunde som spesifiserer formålene som PII kan behandles for
- Behandler poster — Dokumentasjon som viser at faktiske behandlingsaktiviteter er i samsvar med dokumenterte kundeinstruksjoner
- Verifiseringsmekanismer — Bevis på at kunder kan bekrefte samsvar med formålet, for eksempel revisjonsrettigheter, rapporteringsmuligheter eller transparensdashbord
- Underleverandørkontroller — Bevis for at formålsbegrensningsplikten videreføres til eventuelle underleverandører involvert i behandling av personopplysninger
- Opplæring av personalet — Opplæringsjournaler som viser at personalet forstår at de ikke må behandle personlig identifiserende opplysninger utover kundens dokumenterte formål.
Hva er de relaterte kontrollene?
| Kontroll: | Slektskap |
|---|---|
| A.2.2.2 Kundeavtale | Avtalen skal dokumentere formålene og instruksjonene for behandlingen |
| A.2.2.4 Markedsføring og reklamebruk | Et spesifikt forbud mot bruk av personlig identifiserende informasjon (PII) til markedsføring utover kundens instruksjoner |
| A.2.2.5 Krenkende instruks | Databehandleren må flagge kundeinstruksjoner som kan være i strid med loven. |
| A.2.5.8 Engasjering av underleverandør | Underleverandører må også være bundet av kundens formålsbegrensninger. |
| A.2.2.7 Behandlingsregistreringer | Registreringer skal vise at behandlingen er i samsvar med dokumenterte formål. |
Hvem gjelder denne kontrollen for?
A.2.2.3 gjelder utelukkende for PII-behandlere . Det er implementeringen av formålsbegrensningsprinsippet på behandlersiden. Behandlingsansvarlige definerer formålene; behandlere må holde seg strengt innenfor disse grensene. Enhver behandling for organisasjonens egne formål (analyse, produktforbedring, AI-opplæring) uten eksplisitt godkjenning fra kunden vil bryte denne kontrollen.
Kom enkelt i gang med en personlig produktdemo
En av våre onboarding-spesialister vil veilede deg gjennom plattformen vår for å hjelpe deg med å komme i gang med selvtillit.
Hvorfor velge ISMS.online for samsvar med formålsbegrensning?
ISMS.online tilbyr praktiske verktøy for å demonstrere formålsbegrensning som databehandler:
- Behandlingsregister — Dokumentere og vedlikeholde et register over behandlingsaktiviteter per kunde, knyttet til deres dokumenterte instruksjoner og formål
- Sporing av kundeinstruksjoner — Registrer kundens instruksjoner med versjonskontroll, slik at du kan demonstrere hvilke instruksjoner som var gjeldende til enhver tid
- Underleverandørhåndtering — Flytformålsbegrensninger ned til underleverandører med kontraktssporing og samsvarsovervåking
- Revisjonsstøtte — Gi kundene dokumentasjonspakker som viser at formålet er samsvar, og som støtter deres verifiseringsrettigheter
- Policyhåndtering — Publiser og distribuer retningslinjer for formålsbegrensning til ansatte med bekreftelsessporing
Spørsmål og svar
Kan en databehandler bruke PII til egen analyse eller produktforbedring?
Ikke uten eksplisitt tillatelse fra kunden. Bruk av kundens personlig identifiserende informasjon til databehandlerens egne formål – for eksempel opplæring av maskinlæringsmodeller, benchmarking, produktforbedring eller analyse – er behandling utover de dokumenterte instruksjonene og bryter med A.2.2.3. I henhold til GDPR kan en databehandler som ensidig bestemmer seg for å behandle data til egne formål, behandles som en behandlingsansvarlig for den behandlingen, og arve alle forpliktelser og potensielt ansvar for behandlingsansvarlige.
Hva er grensen mellom teknisk skjønn og formålsutvidelse?
Teknisk skjønn betyr at databehandleren kan bestemme hvordan kundens formål skal oppnås effektivt – for eksempel å velge hvilke servere som skal brukes, hvordan behandlingsressurser skal tildeles eller hvilken hurtigbufferstrategi som skal anvendes. Formålsutvidelse betyr at databehandleren bruker dataene til et formål kunden ikke har instruert – for eksempel å analysere PII-mønstre for databehandlerens egen forretningsinnsikt. Testen er om behandlingen tjener kundens dokumenterte formål eller databehandlerens egne interesser.
Hvordan bør formålsbegrensninger kommuniseres til ansatte?
Alt personell som har tilgang til kundens personlig identifiserende informasjon bør forstå at de kun kan behandle den for de formålene som er dokumentert i kundens instruksjoner. Dette bør dekkes i introduksjonsopplæring, forsterkes i regelmessige bevisstgjøringsmøter og gjenspeiles i rollebaserte tilgangskontroller. Tekniske kontroller bør også håndheve formålsbegrensning der det er mulig – for eksempel å begrense dataeksport, forhindre massenedlastinger og logge all tilgang for revisjonsformål.
SaaS-organisasjoner står overfor unike prosessorutfordringer – se vår veiledning for SaaS-plattformer.
Vår veiledning om krav til revisjonsbevis dekker bevisene revisorer forventer for databehandlerkontroller.
