וואָס דאַרף קאָנטראָל A.2.2.3?
די אָרגאַניזאַציע זאָל זיכער מאַכן אַז פּערזענלעך אינפארמאציע וואָס ווערט פאַראַרבעט אין נאָמען פון אַ קונה ווערט נאָר פאַראַרבעט פֿאַר די צוועקן וואָס זענען אויסגעדריקט אין די דאָקומענטירטע אינסטרוקציעס פון דעם קונה.
די קאנטראל געפינט זיך אינעם PII פראסעסאר קאנטראלן אנעקס (A.2) און שטעלט פעסט די מערסט פונדאמענטאלע פראסעסאר פליכט: צוועק באגרענעצונג. א פראסעסאר עקזיסטירט צו דורכפירן די קאנטראלער'ס אינסטרוקציעס, נישט צו נאכיאגן זיינע אייגענע צילן מיט די דאטן. יעדע פראצעסירונג ווייטער פון וואס דער קונה האט דאקומענטירט און אינסטרואירט רעפרעזענטירט א פארלעצונג פון די קאנטראל און מעגליך א פארלעצונג פון דאטן שוץ געזעץ.
וואָס זאָגט די אַנעקס ב' אימפּלעמענטאַציע גיידליינז?
אַנעקס ב (סעקציע ב.2.2.3) גיט די פאלגענדע אנווייזונגען:
- דאָקומענטירן די סערוויס ציל און צייט ראַם — דער קאָנטראַקט צווישן דער אָרגאַניזאַציע און דעם קונה זאָל אַרייַננעמען, אָבער נישט זיין באַגרענעצט צו, די ציל און צייט ראַם וואָס דער סערוויס דאַרף דערגרייכן
- ערלויבן טעכנישע דיסקרעציע אין די אַלגעמיינע אינסטרוקציעס — עס קענען זיין טעכנישע סיבות פארוואס עס איז פאסיג פאר דער ארגאניזאציע צו באשטימען די מעטאד פארן באארבעטן פערזענליכע אינפארמאציע, אין איינקלאנג מיט די אלגעמיינע אנווייזונגען פונעם קונה אבער אן די אויסדריקליכע אנווייזונגען פונעם קונה. למשל, צוטיילן ספעציפישע באארבעטונג רעסורסן לויט געוויסע אייגנשאפטן פונעם פערזענליכע אינפארמאציע פרינציפאל.
- אַקטיווירן קונה וועריפיקאַציע — די אָרגאַניזאַציע זאָל דערלויבן דעם קונה צו באַשטעטיקן איר העסקעם מיט די ציל ספּעציפֿיקאַציע און לימיטאַציע פּרינציפּן.
- אויסברייטערן צו סובקאנטראקטארן — דאָס גאַראַנטירט אויך אַז קיין PII ווערט נישט פאַראַרבעט דורך דער אָרגאַניזאַציע אָדער קיין איינעם פון אירע סובקאָנטראַקטאָרן פֿאַר אַנדערע צוועקן ווי די וואָס זענען אויסגעדריקט אין די דאָקומענטירטע אינסטרוקציעס פון דעם קונה.
- זע אויך A.2.2.6: קונה פֿאַרפליכטונגען פֿאַר פֿאַרבונדענע באַדערפֿנישן
די אנווייזונגען טרעפן א פּראַגמאַטישע באַלאַנס: פּראַסעסאָרן קענען מאַכן טעכנישע באַשלוסן וועגן ווי צו פּראַסעסירן דאַטן עפֿעקטיוו, אָבער זיי טאָרן נישט ענדערן דעם צוועק פֿאַר וועלכן דאַטן ווערן פּראַסעסט. דער קונה מוז קענען באַשטעטיקן אַז די גרענעץ ווערט רעספּעקטירט.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.2.2.3 מאַפּט זיך צו די פאלגענדע GDPR אַרטיקלען:
- אַרטיקל קסנומקס (קסנומקס) (אַ) — דער פּרינציפּ פֿון געזעצלעכקייט, יושר און טראַנספּאַרענץ
- אַרטיקל 5 (1) (ב) — דער פּרינציפּ פֿון ציל-באַגרענעצונג, וואָס פֿאָדערט אַז פּערזענלעכע דאַטן זאָלן געזאַמלט ווערן פֿאַר ספּעציפֿישע, קלאָרע און לעגיטימע צוועקן און נישט ווייטער פֿאַראַרבעט ווערן אויף אַן אופֿן וואָס איז נישט קאָמפּאַטיבל מיט יענע צוועקן.
- אַרטיקל קסנומקס (קסנומקס) (אַ) — דער פּראַסעסאָר זאָל פּראַצעסירן פּערזענלעכע דאַטן בלויז לויט דאָקומענטירטע אינסטרוקציעס פֿונעם קאָנטראָללער
- אַרטיקל קסנומקס — דער פּראַסעסער זאָל נישט פּראַסעסירן פּערזענלעכע דאַטן אַחוץ אויף אינסטרוקציעס פון דעם קאָנטראָללער
- אַרטיקל קסנומקס (קסנומקס) — יעדער מענטש וואָס האַנדלט אונטער דער אויטאָריטעט פֿון דעם פּראַסעסער און האָט צוטריט צו פּערזענלעכע דאַטן זאָל זיי נישט פּראַסעסן אַחוץ אויף אינסטרוקציעס פֿון דעם קאָנטראָללער
אונטער GDPR , אַ פּראַסעסער וואָס פּראַסעסירט דאַטן ווייטער פון די קונה'ס דאָקומענטירטע אינסטרוקציעס ריזיקירט צו ווערן איבערקלאַסיפיצירט ווי אַ קאָנטראָללער פֿאַר יענער פּראַסעסינג, מיט אַלע לעגאַלע פֿאַרפליכטונגען וואָס דאָס באַדייט.
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג באהאנדלט געווארן אינעם ברייטערן קלאוז סטרוקטור. די 2025 אויסגאבע גיט A.2.2.3 אלס א זעלבשטענדיגע קאנטראל מיט אימפלעמענטאציע אנווייזונגען אין B.2.2.3 וואס קלארט אויס די גרענעץ צווישן לעגיטימע טעכנישע דיסקרעציע און אומאויטאריזירטע צוועק אויסברייטערונג. זעט די אנעקס F קארעספאנדענץ טאבעלע פאר די פולע מאפירונג.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.2.2.3, וועלן אוידיטארן טיפיש זוכן:
- דאָקומענטירטע קונה אינסטרוקציעס — קלאָרע, געשריבענע אינסטרוקציעס פֿון יעדן קונה, וואָס ספּעציפֿיצירן די צוועקן פֿאַר וועלכע מען קען פּראַסעסטן די פּערזענלעך אינפֿאָרמאַציע (PII)
- פּראַסעסינג רעקאָרדס — רעקאָרדס וואָס ווײַזן אַז די פאַקטישע פּראַסעסינג אַקטיוויטעטן שטימען מיט די דאָקומענטירטע קונה אינסטרוקציעס
- וועריפיקאציע מעכאניזמען — באווייזן אז קאסטומערס קענען באשטעטיגן צוועק-איינשטימונג, ווי צום ביישפיל אוידיט רעכטן, באריכטן-מעגלעכקייטן אדער טראנספארענץ-דעשבאָרדז
- סובקאָנטראַקטאָר קאָנטראָלס — באווייז אז די צוועק באגרענעצונג פליכט ווערט אראפגעפליסט צו אלע סובקאנטראקטארן וואס זענען פארמישט אין PII פראצעסינג
- שטעקן טריינינג — טרענירונג רעקאָרדס וואָס ווײַזן אַז פּערסאָנעל פֿאַרשטייט אַז זיי טאָרן נישט פּראָצעסירן פּערזענלעך אינפֿאָרמאַציע ווײַטער פֿון די דאָקומענטירטע צוועקן פֿונעם קונה
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.2.2.2 קונה אפמאך | דער קאָנטראַקט זאָל דאָקומענטירן די פאַראַרבעטונג צוועקן און אינסטרוקציעס |
| A.2.2.4 פֿאַרקויף און גאַנצע נוצן | א ספעציפֿישער פֿאַרווער אויף ניצן פּערזענלעך אינפֿאָרמאַציע (PII) פֿאַר פֿאַרקויף ווייטער פֿון קונה אינסטרוקציעס |
| A.2.2.5 פארלעצונג אינסטרוקציע | דער פּראַסעסער מוז אָנצייכענען קונה אינסטרוקציעס וואָס קענען אָנרירן דעם געזעץ |
| A.2.5.8 אנשטעלן א סובקאנטראקטאר | סובקאָנטראַקטאָרס מוזן אויך זיין געבונדן דורך די קונה'ס צוועק לימיטיישאַנז |
| A.2.2.7 רעקאָרדס פון פּראַסעסינג | רעקאָרדס זאָלן ווײַזן אַז די פאַראַרבעטונג איז אין לויט מיט דאָקומענטירטע צוועקן. |
אויף וועמען גילט די קאנטראל?
A.2.2.3 גילט אויסשליסלעך פאר PII פראסעסארן . דאס איז די פראסעסאר-זייט אימפלעמענטאציע פון דעם צוועק באגרענעצונג פרינציפ. קאנטראלערס דעפינירן די צוועקן; פראסעסארן מוזן בלייבן שטרענג אין די גרענעצן. יעדע פראצעסינג פאר די ארגאניזאציע'ס אייגענע צוועקן (אנאליטיקס, פראדוקט פארבעסערונג, קינסטלעכע אינטעליגענץ טרענירונג) אן אויסדריקליכע קונה דערלויבעניש וואלט פארלעצט דעם קאנטראל.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
פארוואס קלייַבן ISMS.online פֿאַר צוועק באַגרענעצונג קאַנפאָרמאַטי?
ISMS.online גיט פּראַקטישע מכשירים צו דעמאָנסטרירן צוועק לימיטאַציע ווי אַ פּראַסעסער:
- פאַראַרבעטונג רעגיסטער — דאקומענטירן און אויפהאלטן א רעגיסטער פון פארארבעטונג אקטיוויטעטן פער קונה, פארבונדן מיט זייערע דאקומענטירטע אינסטרוקציעס און צוועקן
- קונה אינסטרוקציע טראַקינג — רעקאָרדירן קונה אינסטרוקציעס מיט ווערסיע קאָנטראָל, זיכער מאַכנדיק אַז איר קענט ווייַזן וועלכע אינסטרוקציעס זענען געווען אין קראַפט אין יעדן מאָמענט
- סובקאנטראקטאר מענעדזשמענט — לימיטאַציעס אויף דעם צוועק פון פלוס ביז סובקאָנטראַקטאָרן מיט קאָנטראַקט טראַקינג און קאָנפאָרמאַנס מאָניטאָרינג
- קאָנטראָלירן שטיצן — צושטעלן קאַסטאַמערז מיט באַווייַז פּאַקאַדזשאַז וואָס ווייַזן ציל קאַנפאָרמאַטי, שטיצן זייער וועראַפאַקיישאַן רעכט
- פּאָליטיק פאַרוואַלטונג — פאַרעפֿנטלעכן און פֿאַרשפּרייטן צוועק-באַגרענעצונג פּאָליטיקס צו שטאַב מיט באַשטעטיקונג טראַקינג
FAQs
קען אַ פּראַסעסער נוצן פּערזענלעך אינפֿאָרמאַציע (PII) פֿאַר זיינע אייגענע אַנאַליטיקס אָדער פּראָדוקט פֿאַרבעסערונג?
נישט אָן קלאָרע דערלויבעניש פֿונעם קונה. ניצן קונה'ס פּערזענלעך אינפארמאציע (PII) פֿאַר די פּראַסעסאָר'ס אייגענע צוועקן — אַזאַ ווי טרענירן מאַשין לערנען מאָדעלן, בענטשמאַרקינג, פּראָדוקט פֿאַרבעסערונג אָדער אַנאַליטיקס — איז פּראַסעסינג ווייטער פֿון די דאָקומענטירטע אינסטרוקציעס און ווייאַלייץ A.2.2.3. אונטער GDPR, אַ פּראַסעסאָר וואָס באַשליסט איין-זייַטיק צו פּראַסעסירן דאַטן פֿאַר זיינע אייגענע צוועקן קען ווערן באַהאַנדלט ווי אַ קאָנטראָללער פֿאַר יענער פּראַסעסינג, ירשענענדיק אַלע קאָנטראָללער פֿאַרפֿליכטונגען און פּאָטענציעלע פֿאַראַנטוואָרטלעכקייט.
וואָס איז די גרענעץ צווישן טעכנישער דיסקרעציע און ציל-אויסברייטערונג?
טעכנישע דיסקרעציע מיינט אז דער פראסעסאר קען באשליסן ווי אזוי צו דערגרייכן דעם קונה'ס ציל עפעקטיוו — למשל, אויסקלויבן וועלכע סערווערס צו ניצן, ווי אזוי צו צוטיילן פראסעסינג רעסורסן אדער וועלכע קעשינג סטראטעגיע צו אנווענדן. ציל אויסברייטערונג מיינט אז דער פראסעסאר ניצט די דאטן פאר א ציל וואס דער קונה האט נישט אינסטרואירט — למשל, אנאליזירן PII מוסטערן פאר דעם פראסעסאר'ס אייגענע ביזנעס איינזיכטן. דער טעסט איז צי די פראסעסינג דינט דעם קונה'ס דאקומענטירטן ציל אדער דעם פראסעסאר'ס אייגענע אינטערעסן.
ווי זאָלן צוועק לימיטאַציעס ווערן קאָמוניקירט צו שטאב?
אַלע פּערסאָנעל וואָס האָבן צוטריט צו קונה'ס פּערזענלעך אינפארמאציע (PII) זאָלן פֿאַרשטיין אַז זיי מעגן עס נאָר פּראָצעסירן פֿאַר די צוועקן דאָקומענטירט אין די קונה'ס אינסטרוקציעס. דאָס זאָל זיין באדעקט אין אָנבאָרדינג טריינינג, פארשטארקט אין רעגולערע וויסיקייַט סעסיעס און רעפלעקטירט אין ראָלע-באַזירט צוטריט קאָנטראָל. טעכנישע קאָנטראָלס זאָלן אויך דורכפירן צוועק לימיטאַציע וווּ מעגלעך - למשל, באַגרענעצן דאַטן עקספּאָרטן, פאַרהיטן מאַסע דאַונלאָודז און לאָגינג אַלע צוטריט פֿאַר אָדיט צוועקן.
SaaS אָרגאַניזאַציעס שטייען פאר אייגענאַרטיקע פּראַסעסאָר טשאַלאַנדזשיז — זעט אונדזער גייד פֿאַר SaaS פּלאַטפאָרמעס.
אונדזער אנווייזונג וועגן רעקווייערמענץ גייד באדעקט די באווייזן וואָס אוידיטאָרן ערוואַרטן פֿאַר פּראַסעסער קאָנטראָלס.
