וואָס דאַרף קאָנטראָל A.1.3.8?
די אָרגאַניזאַציע זאָל אינפאָרמירן דריטע פּאַרטייען מיט וועמען פּערזענלעך אינפֿאָרמאַציע איז געטיילט געוואָרן וועגן יעדער מאָדיפֿיקאַציע, צוריקציאונג אָדער אָבדזשעקשאַנז וואָס האָבן צו טאָן מיט די געטיילטע פּערזענלעך אינפֿאָרמאַציע, און זאָל ימפּלעמענטירן פּאַסיקע פּאָליטיקס, פּראָצעדורן אָדער מעכאַניזמען צו טאָן דאָס.
די קאנטראל געפינט זיך אין דער ציל פון די פליכטן צו די פּרינציפּאַלן פון די דאַטן סוביעקטן (A.1.3). עס אנערקענט אז די רעכטן פון די דאַטן סוביעקטן זענען נאָר עפעקטיוו אויב זיי גייען ווייטער ווי דער קאָנטראָללער. ווען איר קאָריגירט, אויסמעקט אָדער באַגרענעצט די דאַטן אין אייערע אייגענע סיסטעמען, דאַרפן דריטע פּאַרטיעס וואָס האַלטן קאָפּיעס פון די דאַטן ווערן געזאָגט צו טאָן דאָס זעלבע.
וואָס זאָגט די דורכפֿירונג־גיידליינז?
אַנעקס ב (סעקציע ב.1.3.8) גיט אנווייזונגען וועגן אויפשטעלן עפעקטיווע דריט-פּאַרטיי מעלדונג פּראָצעדורן:
- אַנטפּלעקונג טראַקינג — פירן רעקאָרדס פון וועלכע דריטע פּאַרטייען האָבן באַקומען יעדע קאַטעגאָריע פון פּערזענלעך אינפֿאָרמאַציע. אָן דעם קענט איר נישט וויסן ווער דאַרף באַקומען אַ נאָטיפיקאַציע ווען אַ רעכט ווערט אויסגענוצט.
- נאָטיפיקאַציע טריגערס — אויפשטעלן קלאָרע טריגערס פֿאַר דריט-פּאַרטיי אָנזאָגן, אַרייַנגערעכנט קערעקשאַן פון אומרעכטע פּערזענלעך אינפֿאָרמאַציע, ויסמעקן פון פּערזענלעך אינפֿאָרמאַציע, באַגרענעצונג פון פּראַסעסינג, און צוריקציען פון צושטימונג
- אָנזאָג פּראָוסידזשערז — דאָקומענטירן ווי נאָוטאַפאַקיישאַנז וועלן געשיקט ווערן צו דריטע פּאַרטיעס (אימעיל, API, פּאָרטאַל) און די ערוואַרטעטע צייט ראַמען
- באַשטעטיקונג פון אַקציע — וואו מעגלעך, באַקומען באַשטעטיקונג פֿון דריטע פּאַרטייען אַז זיי האָבן געהאַנדלט לויט דער מעלדונג
- אויסנעמען — דאקומענטירן יעדע אומשטענדן וואו מעלדונג איז אוממעגלעך אדער פארלאנגט א דיספארפארציאנעלע מי, און אינפארמירן דעם PII הויפט לויט דעם
- זע אויך A.1.3.2: פליכטן צו PII פּרינציפּאַלן פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.1.3.3: באַשטימען אינפֿאָרמאַציע פֿאַר PII פּרינציפּאַלן פֿאַר פֿאַרבונדענע באַדערפֿנישן
די פּראַקטישע אַרויסרופן פון דעם קאָנטראָל וואַקסט מיט דער צאָל דריטע פּאַרטייען און די קאָמפּלעקסיטעט פון דאַטן-טיילונג אַראַנזשירונגען. אויטאָמאַטישע אָנזאָג סיסטעמען און קלאָרע קאָנטראַקטואַלע פֿאַרפליכטונגען מיט פּראַסעסערז און באַקומער זענען וויכטיק פֿאַר אָרגאַניזאַציעס מיט ברייט דאַטן-טיילונג.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.1.3.8 איז גלייך פֿאַרבונדן מיט GDPR אַרטיקל 19:
- אַרטיקל קסנומקס — מעלדונג פליכט וועגן קארעקטירן אדער אויסמעקן פערזענלעכע דאטן אדער באגרענעצונג פון באארבעטונג. דער קאנטראלירער זאל מיטטיילן יעדע קארעקטירן, אויסמעקן אדער באגרענעצונג צו יעדן באקומער צו וועמען די דאטן זענען געווארן ארויסגעגעבן, סיידן דאס ווייזט זיך ארויס אוממעגלעך אדער פארלאנגט אומדיספראפארציאנעלע מי.
- אַרטיקל 19 פארלאנגט אויך אַז דער קאָנטראָללער זאָל אינפאָרמירן דעם דאַטן סוביעקט וועגן די באַקומער אויב דער דאַטן סוביעקט בעט עס.
דאָס איז אַ אָפט איבערגעקוקטע GDPR פליכט. אויפֿזיכט אויטאָריטעטן האָבן באַמערקט אַז פילע אָרגאַניזאַציעס מקיים זיין אויסמעקן ריקוועסץ אין זייערע אייגענע סיסטעמען אָבער פאַרלאָזן צו קאַסקאַדירן די בקשה צו דריט פּאַרטיעס וואָס האָבן באַקומען די דאַטן. א שטאַרק אָנזאָג פּראָצעס איז יקערדיק פֿאַר עכט קאַנפאָרמאַטי.
ווי אזוי איז דאָס פֿאַרבונדן מיט ISO 29100 פּריוואַטקייט פּרינציפּן?
די קאנטראל שטיצט דעם פרינציפ פון יחידישע באטייליקונג און צוטריט פון ISO 29100. דער פרינציפ פארלאנגט אז יחידים קענען ארויסווארפן די ריכטיקייט פון זייערע דאטן און עס לאזן פארבעסערן אדער אויסמעקן. כדי דאס רעכט זאל זיין באדייטנדיק, מוזן ענדערונגען און אויסמעקונגען זיך פארשפרייטן צו אלע פארטייען וואס האלטן די דאטן, נישט נאר צו דעם אריגינעלן קאנטראלער.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.1.3.8, וועלן אוידיטארן טיפיש זוכן:
- אַנטפּלעקונג רעגיסטער — א געפאסטע רעקארד פון וועלכע דריטע פארטייען האבן באקומען פערזענליכע אינפארמאציע (PII), פארבונדן מיט קאטעגאריעס פון דאטן און פערזענליכע אינפארמאציע פרינציפאלן
- אָנזאָג פּראָוסידזשערז — דאקומענטירטע פּראָצעדורן פֿאַר ווי און ווען דריטע פּאַרטיעס ווערן געמאָלדן וועגן קערעקשאַנז, אויסמעקן, באַגרענעצונגען און אָבדזשעקשאַנז
- מעלדונג רעקאָרדס — באַווײַזן אַז מעלדונגען זענען טאַקע געשיקט געוואָרן, מיט דאַטעס, אינהאַלט און דעטאַלן וועגן דעם באַקומער
- באַשטעטיקונג טראַקינג — וואו באקומען, באַשטעטיקונג פון דריטע פּאַרטייען אַז זיי האָבן געהאַנדלט לויט דער מעלדונג
- קאָנטראַקטואַלע פּראָוויזשאַנז — דאַטן פּראַסעסינג אַגרימאַנץ אָדער דאַטן ייַנטיילונג אַגרימאַנץ וואָס פאַרפליכטן דריט פּאַרטיעס צו האַנדלען אויף אָנזאָג
- אויסנאַם דאָקומענטאַציע — וואו מעלדונג איז נישט געווען מעגלעך, דאקומענטירטע סיבות און באווייזן אז דער PII הויפט איז געווען אינפארמירט
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.1.3.7 צוטריט, קארעקציע אדער אויסמעקן | קארעקציעס און אויסמעקונגען דורכגעפירט אונטער A.1.3.7 צוטריט, קארעקציע אדער אויסמעקן אַקטיווירן די מעלדונג פליכט |
| A.1.3.5 מאָדיפיצירן אָדער צוריקציען צושטימונג | צוריקציען פון צושטימונג וואָס באַטראַפט געטיילטע פּערזענלעך אינפֿאָרמאַציע טריגערט אַ נאָטיפיקאַציע פון אַ דריטער פּאַרטיי |
| A.1.3.6 אָביעקטירן קעגן PII פּראַסעסינג | באשטעטיקטע אביעקציעס וואס האבן אן איינפלוס אויף געטיילטע PII ברענגען ארויס א נאטיפיקאציע פון א דריטער פארטיי |
| A.1.2.9 רעקאָרדס שייך צו פאַראַרבעטן פּערזענלעך אינפֿאָרמאַציע | פּראַסעסינג רעקאָרדס זאָלן דאָקומענטירן די באַקומער, שטיצנדיק די אַנטפּלעקונג טראַקינג וואָס איז דאָ נויטיק |
| A.1.5.2 באַזיס פֿאַר PII טראַנספער לענדער און אינטערנאציאנאלע ארגאניזאציעס טראנספערס | אינטערנאציאנאלע טראנספער רעקארדס העלפן אידענטיפיצירן דריט-פארטיי באקומער אין אנדערע יוריסדיקציעס |
| A.1.3.10 באַהאַנדלען בקשות | דריט-פּאַרטיי אָנזאָגן זאָל זיין אינטעגרירט אין די אַרבעטס-פלוס פון באַהאַנדלונג פון בעטן |
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג געווען א טייל פון קלאָז 7.3.7 (קאָנטראָלירערס' פליכטן צו אינפאָרמירן דריטע פּאַרטייען). די 2025 אויסגאבע האַלט די קערן פליכט אונטער A.1.3.8 מיט אנווייזונגען אין B.1.3.8. דער טראָפּ אויף אויפהאלטן אַנטפּלעקונג רעקאָרדס און האָבן דאָקומענטירטע אָנזאָג פּראָצעדורן בלייבט צענטראל. דער רעסטרוקטורירטער פֿאָרמאַט גיט אַ קלאָרערע אוידיט טשעקפּוינט פֿאַר דעם ספּעציפֿישן פליכט. זעט די אַנעקס F קאָרעספּאָנדענץ טאַבעלע פֿאַר די פולע מאַפּינג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
פארוואס קלייַבן ISMS.online פֿאַר דריט-פּאַרטיי אָנזאָג פאַרוואַלטונג?
ISMS.online העלפט אייך נאכפאלגן אנטפלעקונגען און איבערגעבן די רעכט פון דאטן צו דריטע פארטייען עפעקטיוו:
- דריט-פּאַרטיי אַנטפּלעקונג רעגיסטער — לאָגט יעדע PII אַנטפּלעקונג צו דריטע פּאַרטיעס מיט דאַטעס, קאַטעגאָריעס און צוועקן, אַזוי איר ווייסט שטענדיק ווער דאַרף ווערן געמאָלדן
- אויטאָמאַטישע מעלדונג וואָרקפלאָוז — ווען אַ קאָרעקציע, אויסמעקן אָדער באַגרענעצונג ווערט אַקציאָנירט, אויטאָמאַטיש דזשענערירן אָנזאָג אויפֿגאַבעס פֿאַר יעדער באַטראָפענער דריטער פּאַרטיי
- באַשטעטיקונג טראַקינג — רעקאָרדירן ווען דריטע פּאַרטייען באַשטעטיקן און האַנדלען אויף נאָוטאַפאַקיישאַנז, שאַפֿן אַ פולשטענדיקע באַווייַז קייט פון בקשה ביז לייזונג
- קאָנטראַקט פֿאַרבינדונג — פֿאַרבינדן דריט-פּאַרטיי באַציִונגען צו דאַטן פּראַסעסינג אַגרימאַנץ וואָס אַרייַננעמען אָנזאָג אַבליגאַציעס, ענשורינג קאָנטראַקטואַל שטיצן פֿאַר אָפּעראַציאָנעל פּראָוסידזשערז
- אומפּראָפּאָרציאָנעלער מי לאָג — וואו מעלדונג איז נישט מעגלעך, דאקומענטירן די סיבה אין א סטרוקטורירטן פארמאט וואס באפרידיגט רעגולאטורישע קאנטראל
FAQs
ווי אזוי טרעקט איר וועלכע דריטע פּאַרטייען האָבן באַקומען ספּעציפֿישע פּערזענלעך אינפֿאָרמאַציע?
דאָס פארלאנגט אַן אַנטפּלעקונג לאָג אָדער רעגיסטער וואָס רעקאָרדירט יעדעס מאָל ווען PII ווערט געטיילט מיט אַ דריטער פּאַרטיי, אַרייַנגערעכנט דעם דאַטע, די קאַטעגאָריע פון PII געטיילט, די אידענטיטעט פון די באַקומער און די צוועק. פֿאַר מאַסן אָדער אָנגאָינג דאַטן ייַנטיילונג (אַזאַ ווי מיט פּראַסעסערז), קען דער רעקאָרד זיין אויף די קאַטעגאָריע מדרגה אלא ווי יחיד רעקאָרד מדרגה. דער שליסל איז אַז ווען אַ PII פּרינציפּאַל נוצט אַ רעכט, קענט איר שנעל ידענטיפיצירן אַלע דריטע פּאַרטיעס וואָס האַלטן זייער דאַטן.
וואָס ציילט זיך ווי "דיספּראָפּאָרציאָנעלע מי" פֿאַר אָנזאָג?
דאָס ווערט אָפּגעשאַצט אויף אַ פאַל-צו-פאַל באַזיס. פאַקטאָרן אַרייַננעמען די צאָל פון באַקומער, די קאָסטן פון אָנזאָגן, די עלטער פון די דאַטן, די נאַטור פון די דאַטן און די פּאָטענציעלע ווירקונג אויף דעם PII פּרינציפּאַל. למשל, אָנזאָגן אַ קליינע צאָל פון באַקאַנטע געשעפט פּאַרטנערס איז נישט מסתּמא צו זיין דיספּראָפּאָרציאָנעל. פּרוּוון צו אָנזאָגן הונדערטער פון אומבאַקאַנטע אינטערנעט ניצערס וואָס האָבן אַקסעסט עפנטלעך צוטריטלעכע דאַטן קען זיין. די אָרגאַניזאַציע מוז דאָקומענטירן איר לאָגיק און אָנזאָגן דעם PII פּרינציפּאַל אויב אָנזאָגן קען נישט דורכגעפירט ווערן.
האט דער PII פּרינציפּאַל דאָס רעכט צו וויסן ווער די דריטע פּאַרטיעס זענען?
יא. לויט GDPR ארטיקל 19, מוז דער קאנטראלער אינפארמירן דעם דאטן סוביעקט וועגן די באקומער אויב דער דאטן סוביעקט בעט עס. דאס מיינט אז איר זאלט זיין גרייט צו צושטעלן א ליסטע פון דריטע פארטייען וואס האבן באקומען דעם יחיד'ס PII. דאס פארשטארקט ווייטער די וויכטיקייט פון האלטן גענויע אפענטלעכקייט רעקארדס. אין אייער פריוואטקייט נאטיץ, זאלט איר שוין ליסטן די קאטעגאריעס פון באקומער, אבער אויף פארלאנג מעגט איר דארפן צושטעלן ספעציפישע אידענטיטעטן.
אונדזער אנווייזונג וועגן רעקווייערמענץ גייד דעטאלירט די דאקומענטאציע וואס אוידיטארן ערווארטן פאר קאנטראלן פון די רעכטן פון דאטן סוביעקטן.
דיפישע ארגאניזאציעס וואס פירן די דאזיגע פליכטן זאלן לייענען אונזער גייד פאר דיפישע ארגאניזאציעס פאר א פולשטענדיגן איבערבליק.
