וואָס דאַרף קאָנטראָל A.1.2.3?
די אָרגאַניזאַציע זאָל באַשטימען, דאָקומענטירן און קענען דעמאָנסטרירן קאַנפאָרמאַטי מיט די באַטייַטיק לעגאַלע באַזע פֿאַר די פאַראַרבעטונג פון פּערזענלעך אינפארמאציע (PII) פֿאַר די אידענטיפיצירטע צוועקן.
די קאנטראל געפינט זיך אינעם ציל פון די באדינגונגען פאר זאמלונג און באארבעטונג (A.1.2), וואס האט צום ציל צו ווייזן אז באארבעטונג איז געזעצלעך, מיט א לעגאלע באזע לויט די אנwendבארע יוריסדיקציעס, און מיט קלאר דעפינירטע און לעגיטימע צוועקן. בשעת A.1.2.2 אידענטיפיצירן און דאקומענטירן דעם ציל באשטימט וואס איר באארבעט און פארוואס , A.1.2.3 באשטימט דעם לעגאלן באדן וואס ערלויבט אייך דאס צו טון.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.2.3) גיט די פאלגענדע אנווייזונגען:
- עטלעכע יוריסדיקציעס פארלאנגען אז די געזעצלעכע באזע זאל ווערן אויפגעשטעלט פריער פאַראַרבעטונג הייבט זיך אָן — אָרגאַניזאַציעס זאָלן נישט אָננעמען אַז זיי קענען רעטראָספּעקטיוולי צוטיילן אַ לעגאַלן גרונט
- דער סטאַנדאַרט אנערקענט זעקס געוויינטלעכע קאַטעגאָריעס פון לעגאַלע באַזע, כאָטש אָנווענדלעך געזעצגעבונג קען זיי דעפינירן אַנדערש:
- צושטימען פון די PII פּרינציפּאַל
- פאָרשטעלונג פון אַ קאָנטראַקט צו וואָס דער PII פּרינציפּאַל איז אַ פּאַרטיי
- העסקעם מיט אַ לעגאַל פליכט צו וועלכער דער קאָנטראָללער איז אונטערגעוואָרפן
- וויטאַל אינטערעסן פונעם PII פּרינציפּאַל אָדער אַן אַנדער נאַטירלעכער פּערזאָן
- ציבור אינטערעס אדער אויסאיבונג פון אפיציעלע אויטאריטעט
- לאַדזשיטאַמאַט אינטערעסן נאכגעפאלגט דורך דעם קאנטראלירער אדער א דריטער פארטיי
- זע אויך A.1.2.7: קאנטראקטן מיט PII פראסעסארן פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.2.8: געמיינזאמע PII קאָנטראָללער פֿאַר פֿאַרבונדענע באַדערפֿנישן
- ווו ספּעציעלע קאַטעגאָריעס פון פּערזענלעך אינטעליגענץ ווערן פּראַסעסט (למשל געזונט דאַטן, ביאָמעטרישע דאַטן, ראַסישע אָדער עטנישע אָפּשטאַם), קען מען דאַרפֿן נאָך לעגאַלע באַזעס — אַזאַ ווי עקספּליציטע צושטימונג, נויטווענדיקייט פֿאַר באַשעפֿטיקונג געזעץ פֿאַרפֿליכטונגען, שוץ פֿון וויכטיקע אינטערעסן, אָדער פּראַסעסינג דורך אַ ניט-פֿאַר-געווינס אָרגאַניזאַציע
- די אָרגאַניזאַציע מוז קענען באַווייַזן אז די אויסגעקליבענע באזע איז פאסיג — בלויזע באהויפטונג איז נישט גענוג
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.2.3 מאַפּט זיך צו אַ באַדײַטנדיקן סכום פון GDPR פּראָוויזיעס:
- אַרטיקל קסנומקס (קסנומקס) (אַ) — דער פּרינציפּ פֿון געזעצלעכקייט, יושר און טראַנספּאַרענץ
- אַרטיקל 6(1)–(4) — די זעקס געזעצלעכע באַזעס פֿאַר פאַראַרבעטונג, פּלוס די קאָמפּאַטאַבילאַטי טעסט פֿאַר ווייטערדיקע פאַראַרבעטונג
- אַרטיקל קסנומקס — באדינגונגען וואָס זענען אָנווענדלעך צו קינדס צושטימונג אין באַצוג צו אינפֿאָרמאַציע־געזעלשאַפט־דינסטן
- אַרטיקל קסנומקס — פאַראַרבעטונג פון ספּעציעלע קאַטעגאָריעס פון פּערזענלעכע דאַטן
- אַרטיקל קסנומקס — פאַראַרבעטונג פון דאַטן וועגן קרימינעלע קאָנוויקציעס און עבירות
- אַרטיקל קסנומקס — רעכט צו אויסמעקן (פֿאַרבונדן ווײַל די אויסמעקונג רעכטן הענגען אָפּ פֿון דער געזעצלעכער באַזיס אויף וועלכער מען פֿאַרלאָזט זיך)
- אַרטיקל קסנומקס — רעכט צו באַגרענעצונג פון פאַראַרבעטונג
- אַרטיקל קסנומקס — אויטאָמאַטישע יחיד באַשלוס-מאכן, אַרייַנגערעכנט פּראָופיילינג
די ברייטקייט פון דעם מאַפּינג שפיגלט אָפּ דעם פאַקט אַז לעגאַלע באַזע סעלעקציע האט נאָך קאָנסעקווענצן אַריבער כּמעט יעדער GDPR פליכט — פֿון דאַטן סוביעקט רעכט ביז ריטענשאַן פּיריאַדס.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאנטראל שטיצט דעם צוועק לעגיטימיטעט און ספעציפיקאציע פרינציפ אין ISO 29100. דער פרינציפ פארלאנגט אז דער צוועק פארן פארארבעטן פערזענליכע אינפארמאציע (PII) זאל זיין אין איינקלאנג מיט די אנwendבארע געזעצן און פארלאזט זיך אויף א ערלויבטער לעגאלער באזע. A.1.2.3 איז דער אפעראציאנעלער מעכאניזם פארן באפרידיקן דעם פרינציפ — עס פארוואנדלט די אבסטראקטע פארלאנג אין דאקומענטירטע, דעמאנסטרירבארע קאנפארמיטעט.
אָנהייב דיין פריי פּראָצעס
ווילן צו ויספאָרשן?
צייכן אַרויף פֿאַר דיין פריי פּראָצעס הייַנט און באַקומען האַנט אויף מיט אַלע די העסקעם פֿעיִקייטן וואָס ISMS.online האט צו פאָרשלאָגן
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.2.3, וועלן אוידיטארן טיפיש זוכן:
- לעגאַלע באַזע רעגיסטרירן — א דאקומענטירטע מאַפּירונג פון יעדער פאַראַרבעטונג אַקטיוויטעט צו איר לעגאַלער באַזע, אידעאַלערװײַז קראָס-רעפערענסירט מיטן צוועק רעגיסטער פֿון A.1.2.2 אידענטיפיצירן און דאקומענטירן ציל
- לעגיטימע אינטערעסן אַסעסמאַנץ (LIAs) — וואו מען פארלאזט זיך אויף לעגיטימע אינטערעסן, דאקומענטירטע באלאנסיר-טעסטן וואס ווייזן אז די ארגאניזאציע'ס אינטערעסן זענען אפגעוואגן געווארן קעגן די רעכטן פון די פרינציפאלן פון די אינפארמאציע-איבערגעגעבענע אינפארמאציע.
- ספּעציעלע קאַטעגאָריע באַרעכטיקונגען — באַזונדער דאָקומענטירטע באַגרינדונג פֿאַר יעדער פאַראַרבעטונג פון סענסיטיווע פּערזענלעך אינפֿאָרמאַציע, ציטירנדיק די נאָך לעגאַלע גרונט אויף וועלכער מען פֿאַרלאָזט זיך
- לעגאַלע איבערבליק רעקאָרדס — באווייזן אז מען האט געזוכט לעגאלע עצה אדער מען האט דורכגעפירט אן אינערליכע איבערבליק ביים אויסקלויבן די געזעצלעכע באזע, ספעציעל פאר קאמפליצירטע אדער הויך-ריזיקירטע באארבעטונג
- צייט באווייזן — אז די געזעצלעכע באזע איז באשטימט געווארן פריער באַאַרבעטונג האָט זיך אָנגעהויבן, נישט דאָקומענטירט רעטראָספּעקטיוו
- קאָמוניקאַציע צו PII פּרינציפּאַלן — אז די געזעצלעכע באזע ווערט געזאגט אין פּריוואַטקייט נאָוטאַסיז און אַנדערע אינפֿאָרמאַציע וואָס ווערט צוגעשטעלט צו יחידים
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.2.2 אידענטיפיצירן און דאקומענטירן ציל | צוועקן מוזן ערשט פעסטגעשטעלט ווערן — לעגאַלע באַזע ווערט באַשטימט פֿאַר יעדן צוועק |
| A.1.2.4 באַשטימען צושטימונג | אויב צושטימונג איז די לעגאַלע באַזע, מוז דער צושטימונג פּראָצעס זיין פאָרמעל דעפינירט |
| A.1.2.5 באַקומען און רעקאָרדירן צושטימונג | אפעראציאנעלע דורכפירונג פון צושטימונג וואו עס איז דער אויסגעקליבענער לעגאלער גרונט |
| A.1.2.6 פּריוואַטקייט השפּעה אַסעסמענט | פּייאַ'ס אָפּשאַצן פּראַסעסינג קעגן די דאָקומענטירטע לעגאַלע באַזע און צוועקן |
| A.1.3.3 אינפֿאָרמאַציע פֿאַר PII פּרינציפּאַלן | די לעגאַלע באַזע מוז ווערן מיטגעטיילט צו די פּרינציפּאַלן פון PII |
| A.1.4.3 לימיטירן פאַראַרבעטונג | פאַראַרבעטונג מוז זיין באַגרענעצט צו וואָס די לעגאַלע באַזע ערלויבט |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די פארלאנג ארויסגעקומען אלס טייל פון קלאָז 7.2.2 (ידענטיפיצירן די געזעצלעכע באזע). די קאנטראל כוונה איז סובסטאנטיוו נישט געענדערט אין דער 2025 אויסגאבע, אבער די רעסטרוקטורירונג אין טאַבעלע A.1 גיט איצט א קלארערע צעשיידונג צווישן דער נאָרמאַטיווער קאנטראל סטעיטמענט (A.1.2.3) און די נאָרמאַטיווער אימפּלעמענטאַציע גיידליינז (B.1.2.3). דער טראָפּ אויף דעמאָנסטראַביליטי — נישט נאָר באַשטימען די באזע נאָר קענען באַווייַזן העסקעם דערמיט — איז געבליבן און אַרגומענטאַבל פארשטארקט דורך דער קלארערער סטרוקטור. זעט די אַנעקס F קארעספאנדענץ טאַבעלע פאר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַרן פאַרוואַלטן לעגאַלע באַזיס דאָקומענטאַציע?
ISMS.online גיט אייך די מכשירים צו דאקומענטירן, נאכפאלגן און ווייזן אייערע לעגאלע באזעס מיט בטחון:
- לעגאַלע באַזע מאַפּינג — פֿאַרבינדן יעדע פּראָצעסירונג אַקטיוויטעט צו איר לעגאַלער באַזע אין אַ סטרוקטורירטן רעגיסטער וואָס אָדיטאָרס קענען איבערקוקן מיט איין בליק
- לעגיטימע אינטערעסן אַסעסמאַנט טעמפּלאַטעס — פאַר-געבויטע LIA טעמפּלאַטן פירן אייך דורך די באַלאַנסינג טעסט מיט פּראָמפּטס און סקאָרינג, אַזוי גאָרנישט ווערט פאַרפעלט
- ספּעציעלע קאַטעגאָריע פאָן — אויטאָמאַטיש אָנצייכענען פאַראַרבעטונג אַקטיוויטעטן וואָס אַנטהאַלטן סענסיטיווע פּערזענלעך אינפֿאָרמאַציע און בעטן פֿאַר דער נאָך לעגאַלער באַזע וואָס איז נויטיק
- ווערסיע-קאנטראלירטע באווייזן — יעדע ענדערונג צו אייערע דאקומענטן וועגן לעגאלן באזיס ווערט צייטגעשטעמפלט, וואס שאפט אן אוידיט טרעיל וואס באווייזט ווען די באשלוסן זענען געמאכט געווארן.
- אינטעגרירטע פּריוואַטקייט נאָטיץ — פֿאַרבינדט אייערע לעגאַלע באַזע רעקאָרדס גלייך צו די פּריוואַטקייט נאָוטאַסיז וואָס קאָמוניקירן זיי צו PII פּרינציפּאַלן
- קראָס-פֿרэйמווערק מאַפּינג — זעט ווי אייערע דאקומענטן וועגן לעגאלן באזיס באפרידיגן די ISO 27701, GDPR און אנדערע פריימווערקס גלייכצייטיג.
FAQs
קענען מיר ענדערן אונדזער לעגאַלע באַזע נאָכדעם וואָס די פאַראַרבעטונג האָט זיך אָנגעהויבן?
איבערגיין דעם לעגאַלן יסוד רעטראָספּעקטיוו איז בכלל פּראָבלעמאַטיש. רובֿ פּריוואַטקייט ראַמען ערוואַרטן אַז דער לעגאַלער יסוד זאָל באַשטימט ווערן איידער די פאַראַרבעטונג הייבט זיך אָן. אויב די אומשטענדן טוישן זיך, זאָלט איר דאָקומענטירן די באַגרינדונג פֿאַר יעדער ענדערונג, מעלדן די פּרינציפּאַלן פון פּערזענלעך אינפארמאַציע (PII) ווען נויטיק, און באַטראַכטן צי עקזיסטירנדיקע דאַטן מוזן ווידער פאַראַרבעט ווערן אונטער דער נייער יסוד אָדער אויסגעמעקט. די הויפּט פאָדערונג איז דעמאָנסטראַביליטי - איר מוזט קענען ווייַזן אַז דער יסוד איז געווען גילטיק אין דער צייט פון פאַראַרבעטונג.
ווי אזוי באַאיינפלוסט אַ לעגאַלע באַזע די רעכטן פון דאַטן סוביעקטן?
די לעגאַלע באַזע אויף וועלכע איר פֿאַרלאָזט זיך באַשטימט גלייך וועלכע דאַטן סוביעקט רעכטן זענען אָנווענדלעך. למשל, אונטער GDPR, די רעכט צו דאַטן פּאָרטאַביליטי איז נאָר אָנווענדלעך ווען פּראַסעסינג איז באַזירט אויף צושטימונג אָדער קאָנטראַקט דורכפֿירונג. די רעכט צו אָבדזשעקטירן איז ספּעציפֿיש אָנווענדלעך צו פּראַסעסינג באַזירט אויף לעגיטימע אינטערעסן אָדער עפֿנטלעכע אינטערעסן. דעריבער איז עס קריטיש צו סעלעקטירן די ריכטיקע לעגאַלע באַזע פֿון אָנהייב — עס פֿאָרעמט אייערע אָנגייענדיקע פֿאַרפֿליכטונגען איבערן גאַנצן דאַטן לעבן-ציקל.
וואָס אויב קייפל לעגאַלע באַזעס קענען זיך צולייגן צו דער זעלבער פאַראַרבעטונג?
איר זאָלט אידענטיפיצירן און דאָקומענטירן די הויפּט לעגאַלע באַזע אויף וועלכער איר פֿאַרלאָזט זיך פֿאַר יעדער פאַראַרבעטונג אַקטיוויטעט. כאָטש מער ווי איין באַזע קען טעאָרעטיש אָנווענדלעך זיין, די אויסקלייבן פון איין הויפּט באַזע גיט קלארקייט פֿאַר PII פּרינציפּן און סימפּליפייז קאַמפּליאַנס פאַרוואַלטונג. זיך פֿאַרלאָזן אויף קייפל באַזעס סיימאַלטייניאַסלי קען שאַפֿן צעמישונג - ספּעציעל אויב איין באַזע (אַזאַ ווי צושטימונג) ווערט שפּעטער צוריקגעצויגן און איר פּרוּווט צו פֿאַרלאָזן זיך אויף אַן אַנדערער.
דאָקומענטירט ווי די קאָנטראָל איז אָנווענדלעך צו אייער אָרגאַניזאַציע אין אייער סטעיטמענט פון אָנווענדלעכקייט.
זעט אונדזער אוידיט באווייז רעקווייערמענץ גייד פאר וואס אוידיטארן ערווארטן ווען זיי אפשאצן דעם קאנטראל.
