וואָס דאַרף קאָנטראָל A.1.2.8?
די אָרגאַניזאַציע זאָל באַשטימען די ריספּעקטיווע ראָלעס און פֿאַראַנטוואָרטלעכקייטן פֿאַר די פאַראַרבעטונג פון PII (אַרייַנגערעכנט PII שוץ און זיכערהייט רעקווירעמענץ) מיט יעדן געמיינזאַמען PII קאָנטראָללער.
די קאנטראל געפינט זיך אינעם ציל פון די באדינגונגען פאר זאמלונג און באארבעטונג (A.1.2). עס באהאנדלט א ספעציפישן אבער אלץ מער געווענליכן סצענאר: וואו צוויי אדער מער ארגאניזאציעס באשטימען צוזאמען די צוועקן און מיטלען פון PII באארבעטונג. אנדערש ווי די קאנטראלער-פראסעסאר באציאונג וואס ווערט רעגולירט דורך A.1.2.7 קאנטראקטן מיט PII פראסעסארן , באטרעפט געמיינזאמע קאנטראלערשאפט געמיינזאמע באשלוס-מאכן אויטאריטעט — און דעריבער געמיינזאמע אחריות.
געמיינזאַמע קאָנטראָללערשאַפט ענטשטייט ווען אָרגאַניזאַציעס אַרבעטן צוזאַמען אויף אַקטיוויטעטן וואָס אַרייַננעמען פּערזענלעך אינפארמאציע — למשל, געמיינזאַמע פֿאַרקויף קאַמפּיינז, געטיילטע פּלאַטפאָרמעס, פאָרשונג פּאַרטנערשיפּס, אָדער אינטעגרירטע באַדינונגען וואו ביידע פּאַרטיעס השפּעה האָבן אויף וועלכע דאַטן ווערן געזאַמלט און ווי עס ווערט גענוצט.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.2.8) גיט די פאלגענדע אנווייזונגען:
- מסכים זיין אויף די ריספּעקטיווע פֿאַראַנטוואָרטלעכקייטן — געמיינזאמע קאנטראלירער מוזן מסכים זיין וועלכע ארגאניזאציע איז פאראנטווארטלעך פאר יעדער פליכט וואס שטאמט פון פערזענלעכע אינפארמאציע באשרייבונג, ספעציעל וועגן:
- אויסנוצן די הויפּט רעכטן פון PII (צוטריט בעטן, אויסמעקן, פאררעכטן, פּאָרטאַביליטי)
- צושטעלן פארלאנגטע אינפארמאציע צו PII פרינציפאלן (פריוואטקייט נאטיצן, טראנספארענץ פליכטן)
- דורכפירן זיכערהייט מיטלען
- בריטש מעלדונג
- זע אויך A.1.2.2: אידענטיפיצירן און דאקומענטירן ציל פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.2.3: אידענטיפיצירן לעגאַלע באַזע פֿאַר פֿאַרבונדענע באַדערפֿנישן
- מאַכן די אָרדענונג צוטריטלעך פֿאַר PII פּרינציפּאַלן — די עסענץ פון דער געמיינזאמער קאנטראלערשאפט אראנדזשירונג זאל ווערן צוגעשטעלט פאר די יחידים וועמענס אינפארמאציע-אינטעליגענטע אינפארמאציע ווערט פארארבעט, אזוי זיי זאלן וויסן וועלכע ארגאניזאציע צו קאנטאקטירן פאר וואס.
- דאָקומענטירן די אָרדענונג פֿאָרמעל — כאָטש די קאָנטראָל ניצט נישט דאָס וואָרט "קאָנטראַקט", די פאָדערונג צו "באַשטימען" ראָלעס און פֿאַראַנטוואָרטלעכקייטן ימפּלייז אַ פֿאָרמעלע, דאָקומענטירטע העסקעם צווישן די פּאַרטייען
די אנווייזונגען אנערקענען אז אין פראקטיק, קען איין געמיינזאמער קאנטראלער איבערנעמען די פירערשאפט אויף געוויסע פארפליכטונגען (ווי צום ביישפיל זיין דער הויפט קאנטאקט-פונקט פאר פארלאנגען פון דאטן סוביעקטן), אבער דאס באפרייט נישט די אנדערע קאנטראלערס פון זייערע אחריותן.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.2.8 איז גלייך פֿאַרבונדן מיט GDPR אַרטיקל 26:
- אַרטיקל קסנומקס (קסנומקס) — וואו צוויי אדער מער קאָנטראָלירער באַשטימען צוזאַמען די צוועקן און מיטלען פון פאַראַרבעטונג, זאָלן זיי אויף אַ טראַנספּאַרענטן שטייגער באַשטימען זייערע ריספּעקטיווע פֿאַראַנטוואָרטלעכקייטן פֿאַר נאָכקומען מיט די פֿאַרפליכטונגען אונטער דעם GDPR, ספּעציעל וועגן דעם אויסנוצן פון דאַטן סוביעקט רעכט און זייערע ריספּעקטיווע פליכטן צו צושטעלן אינפֿאָרמאַציע
- אַרטיקל קסנומקס (קסנומקס) — די אָרדענונג זאָל ריכטיק אָפּשפּיגלען די ריספּעקטיווע ראָלעס און באַציִונגען פון די געמיינזאַמע קאָנטראָלירער קעגן די דאַטן סוביעקטן. די עסאַנס פון דער אָרדענונג זאָל זיין צוטריטלעך פֿאַר די דאַטן סוביעקט.
- אַרטיקל קסנומקס (קסנומקס) — אומאפהענגיק פון די באדינגונגען פון דער אפמאך, קענען דאטן סוביעקטן אויסנוצן זייערע רעכטן אונטער די GDPR אין באצוג צו און קעגן יעדן פון די קאנטראלערס. דאס איז א קריטישער פונקט — אינערליכע אפמאכן קענען נישט באגרענעצן די רעכטן פון די פרינציפאלן פון PII.
אַרטיקל 26(3) איז באַזונדערס וויכטיק: אפילו אויב די געמיינזאַמע קאָנטראָלירער שטימען צו אַז אָרגאַניזאַציע אַ באַהאַנדלט אַלע בקשות פֿון דאַטן סוביעקטן, קען אַ יחיד נאָך אַלץ ריכטן זייער בקשה צו אָרגאַניזאַציע ב, וואָס מוז דאַן אָדער עס באַהאַנדלען אָדער עס ווייטערשיקן ווי געהעריק. ביידע אָרגאַניזאַציעס בלייבן פֿאַראַנטוואָרטלעך.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאנטראל שטיצט דעם "אַקאַונטאַביליטי פּרינציפּ" אין ISO 29100. אַקאַונטאַביליטי פארלאנגט אז די פאַראַרבעטונג פון PII זאָל זיין די פֿאַראַנטוואָרטלעכקייט פון קלאָר אידענטיפיצירטע פּאַרטייען וואָס קענען זיין געהאַלטן פאַראַנטוואָרטלעך פֿאַר זייערע אַקציעס. געמיינזאַמע קאָנטראָלערשאַפט שאַפט אַ סיטואַציע וואו אַקאַונטאַביליטי מוז זיין עקספּליציט צוגעטיילט — אָן אַ פֿאָרמעלער אָפּמאַך, קען עס זיין נישט קלאָר וועלכע אָרגאַניזאַציע איז פאַראַנטוואָרטלעך פֿאַר וועלכע פֿאַרפֿליכטונג, אונטערמינירנדיק דעם גאַנצן אַקאַונטאַביליטי ראַם.
אָנהייב דיין פריי פּראָצעס
ווילן צו ויספאָרשן?
צייכן אַרויף פֿאַר דיין פריי פּראָצעס הייַנט און באַקומען האַנט אויף מיט אַלע די העסקעם פֿעיִקייטן וואָס ISMS.online האט צו פאָרשלאָגן
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.2.8, וועלן אוידיטארן טיפיש זוכן:
- געמיינזאמע קאָנטראָללער רעגיסטער — א דאקומענטירטע ליסטע פון אלע געמיינזאמע קאנטראלערשאפט אראנדזשירונגען צו וועלכע די ארגאניזאציע איז א פארטיי, מיט דער אידענטיטעט פון יעדן געמיינזאמען קאנטראלער און די באארבעטונג אקטיוויטעטן וואס ווערן באדעקט.
- געמיינזאַמע קאָנטראָללער אַגרימענץ — אונטערגעשריבענע, געשריבענע אפמאכן וואָס שטעלן אויס די צוטיילונג פון פֿאַראַנטוואָרטלעכקייטן צווישן די פּאַרטייען
- פֿאַראַנטוואָרטלעכקייט מאַטריץ — א קלאָרע קאַרטירונג פון וועלכער קאָנטראָללער האַנדלט מיט וועלכע פליכט (רעכטן פון דאַטן סוביעקטן, מעלדונג פון בריטשעס, זיכערהייט, טראַנספּאַרענץ)
- הויפּט קאָמוניקאַציע פון PII — באווייז אז די עסענץ פון די געמיינזאמע קאנטראלערשאפט אראנדזשירונג ווערט מיטגעטיילט צו PII פרינציפאלן, געווענליך דורך פריוואטקייט נאטיצן אדער דעדיקירטע אינפארמאציע בלעטער.
- קאָנטאַקט פּונקט באַצייכענונג — א דאקומענטירטער איינציקער קאנטאקט-פונקט פאר PII פרינציפאלן, אפילו ווען אחריותן זענען צעטיילט צווישן קאנטראלערס
- אַפּעריישאַנאַל פּראָוסידזשערז — פּראָצעסן פֿאַר האַנדלען מיט סצענאַרן וואו אַ PII פּרינציפּאַל קאָנטאַקטירט דעם "פאַלשן" קאָנטראָללער (למשל פאָרווערדינג פּראָצעדורן, ענטפֿער צייט אָפּמאַכן)
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.2.7 קאנטראקטן מיט PII פראסעסארן | פֿאַרשידענע קאָנטראַקטואַלע רעקווייערמענץ גילטן לויט צי אַ שייכות איז געמיינזאַמע קאָנטראָללערשאַפט אָדער קאָנטראָללער-פּראַסעסער |
| A.1.3.3 אינפֿאָרמאַציע פֿאַר PII פּרינציפּאַלן | געמיינזאמע קאנטראלערס מוזן מסכים זיין ווער גיט וואָס אינפֿאָרמאַציע און ווי |
| A.1.3.2 פליכטן צו PII פּרינציפּאַלן | פֿאַראַנטוואָרטלעכקייט פֿאַר האַנדלען מיט דאַטן סוביעקט ריקוועסץ מוז זיין צוגעטיילט צווישן דזשוינט קאָנטראָללערס |
| A.1.2.6 פּריוואַטקייט השפּעה אַסעסמענט | געמיינזאַמע פּראַסעסינג אַראַנזשעמענץ קענען אַרויסרופן PIA רעקווייערמענץ |
| A.1.5.2 באַזיס פֿאַר PII אַריבערפירן צווישן יוריסדיקציעס | טיילן פּערזענלעך אינפארמאציע צווישן געמיינזאמע קאָנטראָללערס מוז זיין רעגולירט |
| A.1.2.9 רעקאָרדס פון פּראַסעסינג פּערזענלעך אינפֿאָרמאַציע | פּראַסעסינג רעקאָרדס זאָלן ידענטיפיצירן געמיינזאַמע קאָנטראָללערשאַפט אַראַנזשעמענץ |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די פארלאנג דערשינען אלס קלאָז 7.2.7 (געמיינזאמע PII קאָנטראָללער). די הויפּט פארלאנג איז נישט געביטן — געמיינזאמע קאָנטראָללערס מוזן מסכים זיין אויף זייערע ריספּעקטיווע פֿאַראַנטוואָרטלעכקייטן. די 2025 רעסטרוקטורירונג אין טאַבעלע A.1 גיט אַ קלאָרערע צעשיידונג צווישן די קאָנטראָל סטעיטמענט (A.1.2.8) און גיידליינז (B.1.2.8). דער טראָפּ אויף מאַכן די אָרדענונג צוטריטלעך פֿאַר PII פּרינציפּאַלן איז געהאלטן געוואָרן, וואָס שפּיגלט אָפּ די טראַנספּאַרענץ רעקווייערמענץ וואָס זענען יסודותדיק צו ביידע ISO 27701 און די GDPR. זעט די אַנעקס F קאָרעספּאָנדענץ טאַבעלע פֿאַר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַר פאַרוואַלטן דזשוינט קאָנטראָללער אַראַנזשירונגען?
ISMS.online העלפט אייך פארמאליזירן, נאכפאלגן און אפעראציאנאליזירן געמיינזאמע קאנטראלערשאפט מיט קלארקייט:
- געמיינזאמע קאָנטראָללער רעגיסטער — דאקומענטירן יעדע געמיינזאמע קאנטראלערשאפט אפמאך מיט די באטייליקטע פארטייען, די באהאנדלטע פראצעסינג אקטיוויטעטן און אפמאך סטאטוס
- פֿאַראַנטוואָרטלעכקייט צוטיילונג טעמפּלאַטעס — פאַר-געבויטע פֿאַראַנטוואָרטלעכקייט מאַטריץ וואָס דעקן דאַטן סוביעקט רעכט, בריטש אָנזאָגן, זיכערהייט און טראַנספּעראַנסי, אַזוי גאָרנישט פאַלט דורך די ריסן
- אפמאך פאַרוואַלטונג — אויפֿהיטן, ווערסיע-קאָנטראָלירן און איבערקוקן געמיינזאַמע קאָנטראָללער אָפּמאַכן צוזאַמען מיט אייערע אַנדערע קאָנפאָרמאַנס דאָקומענטאַציע
- פֿאַרבונדענע פּריוואַטקייט נאָטיץ — פֿאַרבינדן געמיינזאַמע קאָנטראָללערשאַפֿט אַראַנזשעמענץ צו די פּריוואַטקייט נאָטיץ וואָס אינפאָרמירן PII פּרינציפּאַלן, און זיכער מאַכן אַז טראַנספּאַרענץ רעקווירעמענץ זענען מקוים.
- קראָס-אָרגאַניזאַציע וואָרקפלאָוז — דעפינירן און טראַקן פּראָצעדורן פֿאַר ווייטערפירן דאַטן סוביעקט ריקוועסץ צווישן דזשוינט קאָנטראָללערס מיט SLA מאָניטאָרינג
- אוידיט-גרייט באווייזן — שאַפֿן פּאַקעטן פֿון קאָנפאָרמאַנס־באַווײַזן וואָס ווײַזן די צוטיילונג פֿון פֿאַראַנטוואָרטלעכקייטן און זייער אָפּעראַציאָנעלער דורכפֿירונג
FAQs
ווי באַשטימען מיר צי אַ שייכות איז געמיינזאַמע קאָנטראָללערשאַפט אָדער קאָנטראָללער און פּראַסעסער?
די הויפּט קשיא איז ווער באַשטימט די צוועקן און מיטלען פון פאַראַרבעטונג. אויב ביידע אָרגאַניזאַציעס האָבן אַן השפּעה אויף פאַרוואָס און ווי אַזוי פּערזענלעך אינפארמאציע ווערט פאַראַרבעט, איז דאָס אַ געמיינזאַמע קאָנטראָללערשאַפט. אויב איין אָרגאַניזאַציע באַשטימט דעם צוועק און די אַנדערע האַנדלט בלויז לויט אינסטרוקציעס, איז דאָס אַ קאָנטראָללער-פּראַסעסער באַציִונג. אין פּראַקסיס, פאַלן פילע באַציִונגען אין אַ גרויער געגנט. באַטראַכט: האָט די אַנדערע פּאַרטיי איר אייגענעם אינטערעס אין די רעזולטאַטן פון פאַראַרבעטונג? באַשליסט זי וועלכע דאַטן צו זאַמלען אָדער ווי אַזוי זי צו נוצן? אויב יאָ, איז עס מסתּמא אַ געמיינזאַמער קאָנטראָללער אלא ווי אַ פּראַסעסער.
קען איין געמיינזאמער קאנטראלער געהאלטן ווערן פאראנטווארטלעך פאר די דורכפעלער פונעם אנדערן?
אונטער GDPR ארטיקל 26(3), קענען PII פרינציפאלן אויסנוצן זייערע רעכטן קעגן יעדן פון די געמיינזאמע קאנטראלערס, אומאפהענגיק פון אינערליכע אפמאכן. דאס מיינט אז אויב איין קאנטראלער באהאנדלט נישט א פארלאנג פון א דאטן סוביעקט, קען דער צווייטער געהאלטן ווערן פאראנטווארטלעך. אויפזיכט אויטאריטעטן קענען אויך נעמען דורכפירונגס אקציע קעגן יעדן אדער אלע געמיינזאמע קאנטראלערס. אינערליכע אפמאכן קענען צוטיילן פינאנציעלע אחריות צווישן די פארטייען, אבער זיי קענען נישט באגרענעצן די רעכטן פון PII פרינציפאלן אדער די כוחות פון רעגולאטארן.
וואָס זאָלן מיר זאָגן PII פּרינציפּאַלן וועגן דער געמיינזאַמער קאָנטראָללערשאַפט?
די עסענץ פון דער אפמאך מוז זיין צוטריטלעך פאר די פריוואטקייט-פאראנטווארטלעכע (PII) פרינציפאלן. לכל הפחות, זאל דאס ארייננעמען: די אידענטיטעט פון יעדן געמיינזאמען קאנטראלער, די טיפן פון באארבעטונג פאר וועלכע יעדער איז פאראנטווארטלעך, און ווי PII פרינציפאלן קענען אויסנוצן זייערע רעכטן (אריינגערעכנט א קאנטאקט פונקט). די אינפארמאציע ווערט געווענליך צוגעשטעלט אין דער פריוואטקייט נאטיץ. עס דארף נישט ארויסגעבן יעדן דעטאל פון דער אינערליכער אפמאך — נאר גענוג כדי מענטשן זאלן פארשטיין ווער איז פאראנטווארטלעך און ווי אזוי צו מאכן קאנטאקט.
זעט אונדזער אוידיט באווייז רעקווייערמענץ גייד פאר וואס אוידיטארן ערווארטן ווען זיי אפשאצן דעם קאנטראל.
