וואָס דאַרף קאָנטראָל A.1.2.6?
די אָרגאַניזאַציע זאָל אָפּשאַצן די נויט פֿאַר, און ימפּלעמענטירן וווּ עס איז נויטיק, אַן פּריוואַטקייט אימפּאַקט אַסעסמאַנט ווען עס איז פּלאַנירט אַ נייַע פאַראַרבעטונג פון פּערזענלעך אינפֿאָרמאַציע אָדער ענדערונגען צו עקסיסטירנדיק פאַראַרבעטונג פון פּערזענלעך אינפֿאָרמאַציע.
די קאנטראל געפינט זיך אינעם ציל פון די באדינגונגען פאר זאמלונג און באארבעטונג (A.1.2). אנדערש ווי די פריערדיגע קאנטראלן וואס פאקוסירן אויף א געזעצלעכן באזיס און צושטימונג, פירט A.1.2.6 איין א ריזיקא אפשאצונג פארלאנג. עס פארלאנגט א צוויי-שטאפלען צוגאנג: ערשטנס, אפשאצן צי א PIA איז נויטיג (א סקרינינג שריט), און צווייטנס, אויב עס איז נויטיג, דורכפירן עס איידער די באארבעטונג הייבט זיך אן.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.2.6) גיט די פאלגענדע אנווייזונגען:
- צייט איז קריטיש — מען זאָל דורכפֿירן PIAs פריער פאַראַרבעטונג הייבט זיך אָן. זיי זענען אַ פאַרהיטנדיקע מאָס, נישט אַ רעטראָספּעקטיווע באַרעכטיקונג
- די PIA זאָל אָפּשאַצן:
- נויטווענדיקייט און פּראָפּאָרציאָנאַליטעט — איז די פאַראַרבעטונג נייטיק פֿאַר דעם דערקלערטן צוועק, און איז די סומע פון פּערזענלעך אינפארמאציע וואָס ווערט געזאַמלט פּראָפּאָרציאָנעל צו וואָס איז נייטיק?
- ריזיקעס צו PII פּרינציפּאַלן — וואָסערע מעגלעכע שאָדנס קענען אַרויסקומען פֿון דער פֿאַראַרבעטונג, אַרײַנגערעכנט נישט-אָטעריזירטער צוטריט, פֿאַרלוסט, דיסקרימינאַציע אָדער שאָדן צו דער רעפּוטאַציע?
- פארגעשלאגענע מיטיגאציעס — וואָס קאָנטראָלן, זיכערהייטס־מיטלען אָדער פּלאַן־ברירות וועלן רעדוצירן די אידענטיפֿיצירטע ריזיקעס צו אַן אַקצעפּטאַבלן לעוועל?
- זע אויך A.1.2.4: באַשטימען ווען און ווי צושטימונג זאָל באַקומען ווערן פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.2.5: באַקומען און רעקאָרדירן צושטימונג פֿאַר פֿאַרבונדענע באַדערפֿנישן
- רעזולטאַטן זאָלן זיין documented און גענוצט צו אינפארמירן פּראַסעסינג דיסיזשאַנז — די PIA איז נישט אַ טשעק-באָקס געניטונג אָבער אַ באַשלוס-מאכן געצייַג
- די אנווייזונגען רעפערענצן ISO / יעק קסנומקס (גיידליינז פאר פּריוואַטקייט אימפּאַקט אַסעסמענט) ווי דער דעטאַלירטער מעטאָדאָלאָגישער סטאַנדאַרט פאר דורכפירן פּיאַ'ס
פּראַקטיש, דאָס מיינט אַז אָרגאַניזאַציעס דאַרפֿן ביידע אַ סקרינינג פּראָצעס (צו באַשליסן ווען אַ PIA איז פארלאנגט) און אַ PIA מעטאָדאָלאָגיע (צו דורכפירן די אַסעסמאַנט ווען עס ווערט אַקטיוויזירט).
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.2.6 מאַפּט זיך צו אַ באַדייטנדיקן בלאָק פון GDPR פּראָוויזשאַנז:
- אַרטיקל 35(1)–(11) — די דאטן שוץ אימפאקט אפשאצונג (DPIA) רעקווייערמענץ. די GDPR פארלאנגט DPIAs וואו פארארבעטונג איז "מסתּמא צו רעזולטירן אין א הויכן ריזיקע פאר די רעכטן און פרייהייטן פון נאטירלעכע פערזאנען" און שטעלט ארויס מינימום אינהאלט רעקווייערמענטס אריינגערעכנט: א סיסטעמאטישע באשרייבונג פון פארארבעטונג, אפשאצונג פון נויטווענדיקייט און פראפארציאנאליטעט, אפשאצונג פון ריזיקעס, און מיטלען צו אדרעסירן ריזיקעס
- אַרטיקל 36(1) (נישט קאַרטירט אין אַנעקס ד אָבער ענג פֿאַרבונדן)–(5) — פריערדיקע קאנסולטאציע מיט דער אויפזיכט אויטאריטעט. וואו א DPIA ווייזט אויף א הויכן רעשט ריזיקע וואס קען נישט ווערן פארמינערט, מוז דער קאנטראלער קאנסולטירן מיט דער אויפזיכט אויטאריטעט איידער די באארבעטונג הייבט זיך אן.
די GDPR'ס DPIA פארלאנג איז מער פארשרייבנד ווי די ISO 27701 קאנטראל — עס פארלאנגט אפשאצונג פאר הויך-ריזיקירטע פראצעסירונג, משא"כ A.1.2.6 פארלאנגט פון ארגאניזאציעס צו אפשאצן די נויטווענדיגקייט פון א PIA פאר יעדע נייע אדער געענדערטע פראצעסירונג. אין פראקטיק, וועט די אימפלעמענטירונג פון A.1.2.6 באפרידיקן די GDPR DPIA פארלאנג, אויב די סקרינינג קריטעריע כאפן אלע ארטיקל 35 טריגער סצענארן.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאָנטראָל שטיצט קייפל ISO 29100 פּריוואַטקייט פּרינציפּן:
- צושטימונג און ברירה — PIAs העלפֿן אידענטיפֿיצירן וואו צושטימונג מעקאַניזמען דאַרפֿן צו זיין דיזיינד אָדער געשטאַרקט
- זאַמלונג לימיטאַציע — די נויטווענדיקייט און פּראָפּאָרציאָנאַליטעט אַסעסמענט אַדרעסירט גלייך צי צו פיל פּערזענלעך אינפֿאָרמאַציע ווערט געזאַמלט
- פּריוואַטקייט העסקעם — PIAs זענען אַ מעכאַניזם צו וועריפיצירן און דעמאָנסטרירן העסקעם מיט פּריוואַטקייט רעקווייערמענץ איידער פּראַסעסינג הייבט זיך אָן
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.2.6, וועלן אוידיטארן טיפיש זוכן:
- PIA סקרינינג קריטעריאַ — א דאקומענטירטער שוועל אדער טשעקליסט גענוצט צו באשטימען צי א פולע PIA איז פארלאנגט פאר א געגעבענע פארארבעטונג אקטיוויטעט אדער ענדערונג
- סקרינינג רעקאָרדס — באווייזן אז דער סקרינינג פראצעס איז געווען אנגעווענדט צו נייע און געענדערטע פראצעסינג אקטיוויטעטן, אריינגערעכנט פעלער וואו א פולע PIA איז געווען טאָן געהאלטן פאר נויטיק (מיט דאקומענטירטע באגרינדונג)
- פֿאַרענדיקטע PIA באַריכטן — פולע אפשאצונג דאקומענטן וואס דעקן נויטווענדיקייט, פראפארציאנאליטעט, ריזיקע אנאליז און פארגעשלאגענע פארמינדערונגען
- ריזיקע באַהאַנדלונג באַשלוסן — באווייזן אז מען האט געהאנדלט אויף די געפינסן פון PIA — מיטלען זענען איינגעפירט געווארן, באארבעטונג איז געענדערט געווארן, אדער אין געוויסע פעלער איז באארבעטונג אפגעלאזט געווארן
- אונטערשרייבונג רעקאָרדס — באַשטעטיקונג פון פּאַסיקע אינטערעסירטע פּאַרטייען (למשל DPO, עלטערע פאַרוואַלטונג) אַז די PIA איז געווען איבערגעקוקט און די רעשט ריזיקע איז אנגענומען געוואָרן
- פריערדיקע קאנסולטאציע רעקארדס — וואו רעשט ריזיקע איז געבליבן הויך נאך מיטיגאציע, באווייז אז די אויפזיכט אויטאריטעט איז געווארן קאנסולטירט (GDPR ארטיקל 36)
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.2.2 אידענטיפיצירן און דאקומענטירן ציל | צוועק דאקומענטאציע איז אן אריינגאבע צו די PIA — איר קענט נישט אפשאצן די נויטווענדיקייט אן וויסן די צוועק |
| A.1.2.3 אידענטיפיצירן די לעגאַלע באַזע | די PIA זאָל באַשטעטיקן אַז אַ גילטיקע לעגאַלע באַזע עקזיסטירט פֿאַר דער פּלאַנירטער פאַראַרבעטונג |
| A.1.4.3 לימיטירן פאַראַרבעטונג | די פּראָפּאָרציאָנאַליטעט אַסעסמאַנט אין די PIA ינפאָרמירט דאַטן מינימיזאַציע דיסיזשאַנז |
| A.1.4.6 PII דע-ידענטיפֿיקאַציע און אויסמעקן | PIAs קענען אידענטיפיצירן דע-ידענטיפיצירונג אדער אויסמעקן אלס א ריזיקע פארמינדערונג מאס |
| A.1.2.7 קאנטראקטן מיט PII פראסעסארן | וואו פאַראַרבעטונג ינוואַלווז דריט-פּאַרטיי פּראַסעסערז, זאָל די PIA אָפּשאַצן פּראַסעסער-פֿאַרבונדענע ריסקס |
| ISO / יעק קסנומקס | דער רעפערענצירטער סטאַנדאַרט וואָס גיט דעטאַלירטע PIA מעטאָדאָלאָגיע און גיידליינז |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די פארלאנג דערשינען אלס קלאָז 7.2.5 (פּריוואַטקייט אימפּאַקט אַסעסמענט). די הויפּט פארלאנג איז נישט געביטן — אַסעסירן די נויטווענדיקייט פֿאַר אַ PIA און דורכפירן איינע וואו נויטיק. די 2025 רעסטרוקטורירונג אין טאַבעלע A.1 גיט אַ קלאָרערע צעשיידונג צווישן די קאָנטראָל סטעיטמענט (A.1.2.6) און גיידליינז (B.1.2.6). די רעפֿערענץ צו ISO/IEC 29134 אלס דער דעטאַלירטער PIA מעטאָדאָלאָגיע סטאַנדאַרט איז איבערגעהאַלטן געוואָרן, פארשטארקנדיק אז אָרגאַניזאַציעס זאָלן נאָכפאָלגן אַ סטרוקטורירטן צוגאַנג אלא ווי אַן אַד האָק אַסעסמענט. זעט די אַנעקס F קאָרעספּאָנדענץ טאַבעלע פֿאַר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַר פּריוואַטקייט אימפּאַקט אַסעסמאַנץ?
ISMS.online גיט אן ענד-צו-ענד PIA וואָרקפלאָו וואָס נעמט אײַך פֿון סקרינינג ביז סאַגדזשעסטשאַן:
- PIA סקרינינג געצייַג — אן איינגעבויטער פרעגנבויגן וואס באשטימט צי א פולע אפשאצונג איז נויטיג, מיט דאקומענטירטע באגרינדונג פאר יעדן באשלוס
- סטרוקטורירטע PIA טעמפּלאַטן — פאַר-געבויטע אַסעסמאַנט טעמפּלאַטן לויט ISO/IEC 29134, וואָס פירן אַסעסערס דורך נייטיקייט, פּראָפּאָרציאָנאַליטעט, ריזיקאָ אידענטיפֿיקאַציע און מיטיגאַציע פּלאַנירונג
- ריזיקע סקאָרינג און היץ מאַפּס — וויזועלע ריזיקע אנאליז מיט ליקעליהאָאָד און אימפּאַקט סקאָרינג, מאַכנדיג עס גרינג צו פּריאָריטיזירן מיטיגאַציעס און קאָמוניקירן רעזולטאַטן צו סטייקהאָולדערז
- מיטיגאַציע טראַקינג — באַשטימען ריזיקאָ באַהאַנדלונג אַקשאַנז צו אָונערז מיט דעדליינז, און טראַק ימפּלאַמענטיישאַן פּראָגרעס אין דער זעלביקער פּלאַטפאָרמע
- האַסקאָמע וואָרקפלאָווס — שיקן די פארענדיגטע PIA'ס צום DPO אדער עלטערע מענעדזשמענט פאר איבערבליק און אונטערשרייבונג, מיט א פולע אוידיט שפּור פון דעם באשטעטיגונג פּראָצעס.
- פֿאַרבונדענע באַווײַזן — פֿאַרבינדן PIAs צו די פּראַסעסינג אַקטיוויטעטן, לעגאַלע באַזעס און צושטימונג רעקאָרדס צו וועלכע זיי באַציען זיך, שאַפֿנדיק אַ פולשטענדיק בילד פֿון קאָנפאָרמאַטי
FAQs
ווען איז אַ פּריוואַטקייט אימפּאַקט אַסעסמאַנט פארלאנגט?
אונטער ISO 27701:2025, איז א PIA נישט אויטאמאטיש פארלאנגט פאר יעדער פארארבעטונג אקטיוויטעט — די קאנטראל פארלאנגט אז איר זאלט אפשאצן די נויטווענדיגקייט דערפון. אבער, אונטער GDPR ארטיקל 35, איז א DPIA פארלאנגט ווען פארארבעטונג וועט מסתמא רעזולטירן אין א הויכן ריזיקע פאר יחידים' רעכט. די אייראפעאישע דאטן שוץ באארד האט ארויסגעגעבן קריטעריעס אריינגערעכנט: סיסטעמאטישע אפשאצונג פון פערזענליכע אספעקטן (פראפיילינג), גרויס-מאסשטאב פארארבעטונג פון ספעציעלע קאטעגאריעס, און סיסטעמאטישע מאניטארינג פון עפנטלעך צוטריטלעכע געביטן. ארגאניזאציעס זאלן איינבויען די טריגערס אין זייערע סקרינינג קריטעריעס.
קען מען דורכפירן א PIA נאכדעם וואס די באארבעטונג האט שוין אנגעהויבן?
ביידע דער סטאַנדאַרט און GDPR ערוואַרטן אַז PIAs זאָלן דורכגעפירט ווערן איידער די פאַראַרבעטונג הייבט זיך אָן. אָבער, אויב איר אַנטדעקט אַז אַ PIA וואָלט געדאַרפט דורכגעפירט ווערן און איז נישט געטאָן געוואָרן, איז דורכפירן איינס רעטראָספּעקטיוו בעסער ווי נישט דורכפירן איינס בכלל. די רעטראָספּעקטיווע PIA קען אידענטיפיצירן ריזיקעס וואָס דאַרפן באַלדיקע רעדוקציע אָדער אפילו אָפּשטעלן פון פאַראַרבעטונג. אוידיטאָרן וועלן באַמערקן דעם צייט-גאַפּ אָבער וועלן באַטראַכטן אַ שפּעט PIA מער גינסטיג ווי קיין PIA.
ווי אָפט זאָל מען איבערקוקן די עקזיסטירנדיקע PIAs?
PIAs זאָלן איבערגעקוקט ווערן ווען עס איז אַ באַדייטנדיקע ענדערונג אין די פאַראַרבעטונג וואָס זיי דעקן — אַזאַ ווי נייַע דאַטן קאַטעגאָריעס, נייַע באַקומער, ענדערונגען אין טעכנאָלאָגיע, אָדער ענדערונגען אין די רעגולאַטאָרישע סביבה. בעסטע פּראַקטיק איז אויך צו שטעלן אַ פּעריִאָדישן איבערבליק פּלאַן (למשל יערלעך) צו כאַפּן ינקראַמענטאַלע ענדערונגען וואָס קען נישט האָבן געפֿירט צו אַן אינדיווידועלע איבערבליק. די איבערבליק זאָל אַססעסירן צי די אָריגינעלע ריזיקאָ אַנאַליז און מיטלען בלייבן גילטיק.
זעט אונדזער אוידיט באווייז רעקווייערמענץ גייד פאר וואס אוידיטארן ערווארטן ווען זיי אפשאצן דעם קאנטראל.
א גאַפּ אַנאַליז קען אייך העלפֿן אָפּשאַצן צי אייער איצטיקער PIA פּראָצעס טרעפֿט די 2025 רעקווייערמענץ.
