וואָס דאַרף קאָנטראָל A.1.3.3?
די אָרגאַניזאַציע זאָל באַשטימען און דאָקומענטירן די אינפֿאָרמאַציע וואָס דאַרף געגעבן ווערן צו פּרינציפּאַלן פון פּערזענלעך אינפֿאָרמאַציע וועגן דער פאַראַרבעטונג פון זייערע פּערזענלעך אינפֿאָרמאַציע און דעם צייט פון אַזאַ צושטעלן.
די קאנטראל געפינט זיך אינעם ציל פון "פליכטן צו PII פרינציפאלן" (A.1.3). כאטש A.1.3.2 "פליכטן צו PII פרינציפאלן" אידענטיפיצירט וועלכע פליכטן איר האט, גייט A.1.3.3 אריין אין די ספעציפישע אינפארמאציע וואס מוז קאמוניקירט ווערן און שטעלט פעסט די צייט-רעגולאציעס פאר ווען די אינפארמאציע מוז צוגעשטעלט ווערן.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.3.3) גיט דעטאַלירטע אנווייזונגען וועגן ביידע דעם אינהאַלט און צייט פון אינפֿאָרמאַציע צושטעלן:
אינפֿאָרמאַציע צו זיין צוגעשטעלט
- אידענטיטעט פון דעם קאָנטראָללער — דער נאָמען און קאָנטאַקט דעטאַלן פון דער אָרגאַניזאַציע וואָס איז פאַראַנטוואָרטלעך פֿאַר פאַראַרבעטונג
- צוועקן פון פּראַסעסינג — א קלארע דערקלערונג פארוואס די פערזענלעכע אינפארמאציע (PII) ווערט פארארבעט, אין איינקלאנג מיט A.1.2.2 אידענטיפיצירן און דאקומענטירן ציל
- קאַטעגאָריעס פון פּערזענלעך אינפארמאציע (PII) — וואָסערע טיפּן פּערזענלעכע דאַטן ווערן געזאַמלט און פאַראַרבעט
- רעסיפּיענץ — יעדע דריטע פּאַרטייען אָדער קאַטעגאָריעס פון דריטע פּאַרטייען וואָס וועלן באַקומען די פּערזענלעך אינפֿאָרמאַציע
- ריטענשאַן פּיריאַדז — ווי לאַנג די פּערזענלעך אינפארמאציע (PII) וועט ווערן געהיט, אדער די קריטעריעס געניצט צו באַשטימען די אויפהאלטונג
- רעכטן בנימצא — די ספּעציפֿישע רעכט וואָס PII פּרינציפּאַלן קענען אויסנוצן (צוטריט, קערעקטאַציע, אויסמעקן, באַגרענעצונג, פּאָרטאַביליטי, אָבדזשעקשאַן)
- אָטאַמייטיד באַשלוס-מאכן — צי עס ווערט דורכגעפירט אויטאמאטישע פראפיילינג אדער באשלוס-מאכן, און די לאגיק וואס איז דערביי פארמישט.
- אינטערנאציאנאלע טראַנספערס — דעטאלן פון יעדע איבערטראגונג צו אנדערע יוריסדיקציעס, אריינגערעכנט די זיכערהייטן וואס זענען אין פלאץ
- זע אויך A.1.3.6: אָביעקטירן קעגן PII פּראַסעסינג פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.3.8: פליכטן צו אינפארמירן דריטע פּאַרטייען פֿאַר פֿאַרבונדענע באַדערפֿנישן
צייט פון צושטעלן
- דירעקטע זאַמלונג — אינפֿאָרמאַציע זאָל געגעבן ווערן בײַם זאַמלען
- אינדירעקטע זאַמלונג — אינפֿאָרמאַציע זאָל צוגעשטעלט ווערן אין אַ גלייַכגעוויכטיקער צײַט נאָך באַקומען די PII, און נישט שפּעטער ווי דער צײַט פֿון דער ערשטער קאָמוניקאַציע מיטן PII פּרינציפּאַל אָדער דער ערשטער אַנטפּלעקונג צו אַ דריטער פּאַרטיי
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.3.3 פּאַסט ברייט צו GDPR טראַנספּעראַנסי פּראָוויזשאַנז:
- אַרטיקל 13(1-4) — אינפֿאָרמאַציע וואָס דאַרף געגעבן ווערן ווען פּערזענלעכע דאַטן ווערן געזאַמלט פֿון דעם דאַטן סוביעקט
- אַרטיקל 14(1-5) — אינפֿאָרמאַציע וואָס דאַרף געגעבן ווערן ווען פּערזענלעכע דאַטן זענען נישט באַקומען געוואָרן פֿון דעם דאַטן סוביעקט
- אַרטיקל קסנומקס (קסנומקס) — באַשטימונגען וואו דער קאָנטראָללער קען נישט אידענטיפיצירן דעם דאַטן סוביעקט
- אַרטיקל 15(1-2) — רעכט צו צוטריט רעקווייערמענץ (אינפֿאָרמירן דאַטן סוביעקטן וואָס אינפֿאָרמאַציע זיי קענען צוטריטן)
- אַרטיקל קסנומקס (קסנומקס) — אינפאָרמירן דאַטן סוביעקטן איידער אַ באַגרענעצונג פון פּראַסעסינג ווערט אויפגעהויבן
- אַרטיקל קסנומקס (קסנומקס) — אינפאָרמירן דאַטן סוביעקטן וועגן דעם רעכט צו אָביעקטירן
דער GDPR אונטערשייד צווישן ארטיקלען 13 און 14 (דירעקט קעגן אינדירעקט זאַמלונג) איז גלייך פארבונדן מיט די צייט אנווייזונגען אין B.1.3.3.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאנטראל שטיצט דעם פרינציפ פון אפנקייט, טראנספארענץ און מעלדונג פון ISO 29100. דער פרינציפ פארלאנגט אז PII פרינציפאלן זאלן ווערן אינפארמירט וועגן ווי זייערע דאטן ווערן פארארבעט אויף א קלארן, צוגענגלעכן און צייטלעכן אופן. A.1.3.3 אפעראציאנאליזירט דאס דורך פארלאנגען פון ארגאניזאציעס צו דאקומענטירן פונקטליך וועלכע אינפארמאציע איז נויטיג און ווען עס מוז ווערן איבערגעגעבן.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.3.3, וועלן אוידיטארן טיפיש זוכן:
- פּריוואַטקייט נאָטיץ אינהאַלט מאַטריץ — א דאקומענטירטע אנאליז פון וועלכע אינפארמאציע מוז צוגעשטעלט ווערן פאר יעדער פארארבעטונג אקטיוויטעט, צוזאמענגעשטעלט קעגן לעגאלע רעקווייערמענטס
- צייט דאָקומענטאַציע — קלאָרע כּללים פֿאַר ווען אינפֿאָרמאַציע ווערט צוגעשטעלט, אונטערשיידנדיק צווישן דירעקטע און אומדירעקטע זאַמלונג סצענאַרן
- פּריוואַטקייט נאָטיץ — פאקטישע מעלדונג דאקומענטן (וועבזייטל פּריוואַטקייט פּאָליטיק, זאַמלונג מעלדונגען, אַרבעטער פּריוואַטקייט מעלדונגען) וואָס אַנטהאַלטן די פארלאנגטע אינפֿאָרמאַציע עלעמענטן
- פולשטענדיקייט איבערבליק — באווייזן אז נאטיצן זענען איבערגעקוקט געווארן קעגן די דאקומענטירטע באדערפענישן צו זיכער מאכן אז גארנישט פעלט
- מולטי-קאַנאַל קאַווערידזש — פּריוואַטקייט נאָטיץ פּאַסיק פֿאַר יעדן זאַמלונג קאַנאַל (וועב פֿאָרמען, טעלעפֿאָן, פּערזענלעך, דריט-פּאַרטיי קוואלן)
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.3.2 פֿאַרפֿליכטונגען צו PII פּרינציפּאַלן | אידענטיפיצירט דעם גאנצן סכום פון פליכטן; A.1.3.3 באשטימט דעם ספעציפישן אינפארמאציע אינהאלט |
| A.1.3.4 צושטעלן אינפֿאָרמאַציע צו PII פּרינציפּאַלן | דעקט ווי אזוי צו צושטעלן די אינפארמאציע באשטימט אונטער A.1.3.3 |
| A.1.2.2 אידענטיפיצירן און דאקומענטירן ציל | צוועק דאָקומענטאַציע פֿיטערט זיך אריין אין די אינפֿאָרמאַציע וואָס ווערט צוגעשטעלט צו PII פּרינציפּאַלן |
| A.1.2.9 רעקאָרדס שייך צו פאַראַרבעטן פּערזענלעך אינפֿאָרמאַציע | פּראַסעסינג רעקאָרדס זענען אַ שליסל מקור פֿאַר די אינפֿאָרמאַציע צו זיין קאַמיונאַקייטיד |
| A.1.3.5 מאָדיפיצירן אָדער צוריקציען צושטימונג | צושטימונג צוריקציען מעקאַניזמען זאָלן זיין קאָמוניקירט ווי טייל פון די אינפֿאָרמאַציע פּאַקעט |
| A.1.3.7 צוטריט, קארעקציע אדער אויסמעקן | רעכט אינפֿאָרמאַציע איז טייל פֿון וואָס מוז קאָמוניקירט ווערן צו PII פּרינציפּאַלן |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג באדעקט געווארן אונטער קלאָז 7.3.2 (באַשטימען אינפֿאָרמאַציע פֿאַר PII פּרינציפּאַלן). די 2025 אויסגאבע גיט דעם איר אייגענע קאָנטראָל נומער (A.1.3.3) מיט אַ קלאָרערער צעשיידונג צווישן באַשטימען דעם אינהאַלט פֿון אינפֿאָרמאַציע און דעם אַקט פֿון צושטעלן עס (איצט A.1.3.4 צושטעלן אינפֿאָרמאַציע ). דער אינהאַלט פֿון דער אנווייזונג איז אין גרויסן זין ענלעך אָבער געניסן פֿון דעם מער סטרוקטורירטן פֿאָרמאַט. זעט די אַנעקס F קאָרעספּאָנדענץ טאַבעלע פֿאַר די פֿולע מאַפּינג.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
פארוואס קלייַבן ISMS.online פֿאַר פאַרוואַלטן פּריוואַטקייט אינפֿאָרמאַציע רעקווייערמענץ?
ISMS.online העלפט אייך סיסטעמאַטיש באַשטימען, דאָקומענטירן און אויפהאַלטן די אינפֿאָרמאַציע וואָס איר שולדיקט PII פּרינציפּאַלן:
- פּריוואַטקייט נאָטיץ בויער — שאַפֿן און אויפֿהאַלטן פּריוואַטקייט נאָטיץ מיט פּראָמפּטס פֿאַר יעדן פארלאנגטן אינפֿאָרמאַציע עלעמענט, און רעדוצירן דעם ריזיקאָ פֿון אויסלאָזונגען
- זאַמלונג קאַנאַל מאַפּינג — דאָקומענטירן וואָסערע אינפֿאָרמאַציע ווערט צוגעשטעלט ביי יעדן דאַטן זאַמלונג פּונקט, און זיכער מאַכן אַז עס זענען קאָנסיסטענט קאַווערידזש איבער אַלע קאַנאַלן
- צייט-רעגולאציעס מאָטאָר — שטעלן און נאכפאלגן צייט רעקווייערמענץ פאר אינפארמאציע צושטעלן באזירט אויף דירעקט אדער אינדירעקט זאמלונג, מיט ווארענונגען ווען דעדליינס דערנענטערן זיך
- ווערסיע-קאנטראלירטע דאקומענטן — פירן א פולע געשיכטע פון ענדערונגען אין פּריוואַטקייט נאָטיץ מיט באַשטעטיקונג וואָרקפלאָוז, אַזוי איר קענט ווייַזן וואָס אינפֿאָרמאַציע איז געווען צוגעשטעלט און ווען
- קאָנפאָרמאַנס גאַפּ דעטעקציע — פאַרגלייכן אייערע איצטיקע נאָטיצן מיט דאָקומענטירטע רעקווייערמענץ צו ידענטיפיצירן פעלנדיקע אינפֿאָרמאַציע איידער אַן אוידיטאָר טוט דאָס
FAQs
וואָס איז דער חילוק צווישן A.1.3.3 און A.1.3.4 צושטעלן אינפֿאָרמאַציע?
A.1.3.3 איז וועגן באַשליסן וואָס אינפֿאָרמאַציע צו אַרייַננעמען און ווען צו צושטעלן עס. A.1.3.4 צושטעלן אינפֿאָרמאַציע איז וועגן ווי איר טאַקע צושטעלן די אינפֿאָרמאַציע צו PII פּרינציפּאַלן, קאַווערינג פֿאָרמאַט, קלעריטי, צוטריטלעכקייט און פּרעזענטאַציע. טראַכט פון A.1.3.3 ווי די אינהאַלט פּלאַנירונג שריט און A.1.3.4 צושטעלן אינפֿאָרמאַציע ווי די עקספּרעס שריט.
ווי זאָל די צייט זיך אַנדערש מאַכן פֿאַר דירעקטער און אומדירעקטער זאַמלונג?
פֿאַר דירעקטע זאַמלונג (וואו PII ווערט באַקומען פֿון דעם יחיד), זאָל אינפֿאָרמאַציע צוגעשטעלט ווערן ביים פּונקט פֿון זאַמלונג, פֿאַר אָדער בעת דער אינטעראַקציע. פֿאַר אומדירעקטע זאַמלונג (וואו PII ווערט באַקומען פֿון אַ דריטער פּאַרטיי אָדער עפֿנטלעכער מקור), זאָל אינפֿאָרמאַציע צוגעשטעלט ווערן אין אַ גלייַכבערעכטיקער צייט און נישט שפּעטער ווי די ערשטע קאָמוניקאַציע מיטן יחיד אָדער די ערשטע אַנטפּלעקונג צו אַ דריטער פּאַרטיי. אונטער GDPR, איז די מאַקסימום פֿאַר אומדירעקטע זאַמלונג איין חודש.
דאַרפֿסטו באַזונדערע נאָטיצונגען פֿאַר פֿאַרשידענע פֿאַראַרבעטונג אַקטיוויטעטן?
נישט נויטווענדיג. איין פולשטענדיגע פריוואטקייט נאטיץ קען דעקן פארשידענע פארארבעטונג אקטיוויטעטן, אויב עס איז קלאר וועלכע אינפארמאציע איז פארבונדן מיט וועלכע אקטיוויטעט. אבער, וואו פארארבעטונג קאנטעקסטן זענען זייער אנדערש (למשל קאסטומער דאטן קעגן ארבייטער דאטן), באזונדערע נאטיץ געבן אפט בעסערע קלארקייט. דער שליסל איז אז אלע פארלאנגטע אינפארמאציע עלעמענטן זענען באדעקט פאר יעדער פארארבעטונג אקטיוויטעט, נישט קוקנדיק אויף וויפיל דאקומענטן איר ניצט.
אונדזער אנווייזונג וועגן רעקווייערמענץ גייד דעטאלירט די דאקומענטאציע וואס אוידיטארן ערווארטן פאר קאנטראלן פון די רעכטן פון דאטן סוביעקטן.
דיפישע ארגאניזאציעס וואס פירן די דאזיגע פליכטן זאלן לייענען אונזער גייד פאר דיפישע ארגאניזאציעס פאר א פולשטענדיגן איבערבליק.
