וואָס דאַרף קאָנטראָל A.2.2.7?
די אָרגאַניזאַציע זאָל באַשטימען און אויפֿהאַלטן די נויטיקע רעקאָרדס צו ווײַזן די קאָנפאָרמאַטי מיט אירע פֿאַרפֿליכטונגען (ווי ספּעציפֿיצירט אין דעם אָנווענדלעכן קאָנטראַקט) פֿאַר דער פאַראַרבעטונג פֿון פּערזענלעך אינפארמאציע (PII) וואָס ווערט דורכגעפֿירט אין נאָמען פֿון אַ קונה.
די קאנטראל געפינט זיך אינעם PII פראסעסאר קאנטראלן אנעקס (A.2) און שטעלט פעסט די פראסעסאר'ס אייגענע רעקארד-האלטונג פליכטן. כאטש A.2.2.6 קאסטומער פליכטן פארלאנגט אז דער פראסעסאר זאל העלפן קאסטומערס ווייזן קאמפלייענס, פארלאנגט A.2.2.7 אז דער פראסעסאר זאל האלטן רעקארדס פאר זיין אייגענע אחריות. די רעקארדס מוזן ווייזן אז דער פראסעסאר האט נאכגעקומען זיינע קאנטראקטועלע פליכטן און אנגעווענדלעכע לעגאלע באדערפענישן.
וואָס זאָגט די אַנעקס ב' אימפּלעמענטאַציע גיידליינז?
אַנעקס ב (סעקציע ב.2.2.7) גיט די פאלגענדע אנווייזונגען:
- יוריסדיקציאָנעלע רעקווייערמענץ — געוויסע יוריסדיקציעס קענען פארלאנגען אז די ארגאניזאציע זאל רעקארדירן אינפארמאציע ווי צום ביישפיל:
- קאַטעגאָריעס פון פאַראַרבעטונג דורכגעפירט אין נאָמען פון יעדן קונה
- טראַנספערס צו דריטע לענדער אדער אינטערנאַציאָנאַלע אָרגאַניזאַציעס
- אן אלגעמיינע באשרייבונג פון די טעכנישע און ארגאניזאציאנעלע זיכערהייט מיטלען
- זע אויך A.2.2.2: קונה אפמאך פֿאַר פֿאַרבונדענע באַדערפֿנישן
- זע אויך A.2.2.4: פֿאַרקויף און גאַנצע נוצן פֿאַר פֿאַרבונדענע באַדערפֿנישן
די אנווייזונגען שפּיגלען גלייך אָפּ די GDPR אַרטיקל 30(2) רעקווייערמענץ פֿאַר פּראַסעסאָר רעקאָרדס פון פּראַסעסינג אַקטיוויטעטן. כאָטש דער ISO סטאַנדאַרט ראַמען זיי ווי יוריסדיקשאַנאַל רעקווייערמענץ, וועלן אָרגאַניזאַציעס וואָס אַרבעטן אונטער GDPR זיי דערקענען ווי מאַנדאַטאָרישע רעקאָרד-האַלטונג פליכטן.
ווי אזוי פאסט זיך דאס צו צום GDPR?
קאָנטראָל A.2.2.7 מאַפּט זיך צו די פאלגענדע GDPR אַרטיקלען:
- אַרטיקל קסנומקס (קסנומקס) (אַ) — דער נאָמען און קאָנטאַקט דעטאַלן פֿון יעדן פּראַסעסאָר, פֿון יעדן קאָנטראָללער אין וועלכן נאָמען דער פּראַסעסאָר אַקטירט, און פֿון דעם קאָנטראָללערס אָדער פּראַסעסאָרס פֿאַרטרעטער און דאַטן שוץ אָפֿיציר
- אַרטיקל 30 (2) (ב) — די קאַטעגאָריעס פון פאַראַרבעטונג וואָס ווערט דורכגעפירט אין נאָמען פון יעדן קאָנטראָללער
- אַרטיקל קסנומקס (קסנומקס) — רעקאָרדס זאָלן זיין אין שריפט, אַרייַנגערעכנט אין עלעקטראָנישער פֿאָרעם
- אַרטיקל קסנומקס (קסנומקס) — דער פּראַסעסער זאָל מאַכן דעם רעקאָרד צוטריטלעך פֿאַר דער אויפֿזיכט־אויטאָריטעט אויף בקשה.
- אַרטיקל קסנומקס (קסנומקס) — באַפרייאונג פֿאַר אָרגאַניזאַציעס מיט ווייניקער ווי 250 עמפּלוייז, סיידן די פאַראַרבעטונג איז מסתּמא צו רעזולטירן אין אַ ריזיקע, איז נישט געלעגנטלעך, אָדער כולל ספּעציעלע קאַטעגאָריעס פון דאַטן
GDPR אַרטיקל 30(2) גיט אַ ספּעציפֿישע, מינימום רשימה פֿון וואָס פּראַסעסאָר רעקאָרדס מוזן אַנטהאַלטן. אָרגאַניזאַציעס זאָלן דאָס באַהאַנדלען ווי אַ מינימום, נישט אַ מינימום.
וואָס האָט זיך געביטן פֿון ISO 27701:2019?
פֿאַר אַ שריט-פֿאַר-שריט צוגאַנג, זעט די איבערגאַנג פֿון 2019 ביז 2025.
אין דער 2019 אויסגאבע, איז די דאזיגע פארלאנג באהאנדלט געווארן אינעם ברייטערן קלאוז סטרוקטור. די 2025 אויסגאבע גיט A.2.2.7 אלס א זעלבשטענדיגע קאנטראל מיט אימפלעמענטאציע אנווייזונגען אין B.2.2.7 וואס ליסט קלאר די יוריסדיקשאנעלע רעקארד-האלטונג פארלאנגען. זעהט די אנעקס F קארעספאנדענץ טאבעלע פאר די פולע מאפירונג.
הייבט אן גרינג מיט א פערזענליכע פראדוקט דעמא
איינער פון אונדזערע אָנבאָאַרדינג ספּעציאַליסטן וועט אייך דורכפֿירן אונדזער פּלאַטפאָרמע צו העלפֿן אייך אָנהייבן מיט בטחון.
וואָסערע באַווײַזן ערוואַרטן אוידיטאָרן?
ווען מען אפשאצט די קאנפארמיטעט פון A.2.2.7, וועלן אוידיטארן טיפיש זוכן:
- רעקאָרדס פון פּראַסעסינג אַקטיוויטעטן — א געהאלטענער רעגיסטער פון פארארבעטונג אקטיוויטעטן וואס ווערן דורכגעפירט אין נאמען פון יעדן קונה, אריינגערעכנט פארארבעטונג קאטעגאריעס, דאטן טיפן און צוועקן
- איבערפירן רעקארדס — דאָקומענטאַציע פון יעדע PII טראַנספערס צו דריטע לענדער אָדער אינטערנאַציאָנאַלע אָרגאַניזאַציעס, אַרייַנגערעכנט די לעגאַלע באַזע פֿאַר יעדער טראַנספער
- זיכערהייט מיטלען דאָקומענטאַציע — אן אלגעמיינע באשרייבונג פון די טעכנישע און ארגאניזאציאנעלע זיכערהייט מיטלען וואס זענען אין פלאץ פאר פערזענלעכע אינפארמאציע באשרייבונג
- קאָנטאַקט פרטים — געהאַלטן רעקאָרדס פון פּראַסעסער, קאָנטראָללער, פארשטייער און DPO קאָנטאַקט דעטאַילס פֿאַר יעדער פּראַסעסינג אַראַנזשירונג
- רעקאָרד וישאַלט פּראָצעס — א דאקומענטירטער פראצעס פארן האלטן רעקארדס אפ טו דעיט, אריינגערעכנט איבערבליק פלענער און דערהייַנטיקונג טריגערס
וואָס זענען די פֿאַרבונדענע קאָנטראָלן?
| קאָנטראָל | שייכות |
|---|---|
| A.2.2.6 קונה פֿאַרפליכטונגען | פּראַסעסינג רעקאָרדס שטיצן די אינפֿאָרמאַציע וואָס ווערט צוגעשטעלט צו קאַסטאַמערז פֿאַר זייער העסקעם |
| A.2.2.3 די צוועקן פון דער אָרגאַניזאַציע | רעקאָרדס זאָלן ווייַזן אַז די פּראַסעסינג איז אין לויט מיט די דאָקומענטירטע קונה'ס צוועקן. |
| A.1.2.9 רעקאָרדס (קאָנטראָללער) | דער קאָנטראָללער-זייט עקוויוואַלענט פון פּראַסעסינג רעקאָרד רעקווייערמענץ |
| A.3.14 שוץ פון רעקאָרדס | פּראַסעסינג רעקאָרדס מוזן זיין זיכער געהאלטן און פּראָטעקטעד פון ניט-אָטעריזירטע ענדערונגען |
| A.2.5.2 באַזיס פֿאַר PII טראַנספער | גרענעץ-איבערשרייטנדיקע טראנספער רעקארדס זענען א שליסל קאמפאנענט פון פראצעסירונג רעקארדס |
אויף וועמען גילט די קאנטראל?
A.2.2.7 גילט אויסשליסלעך פאר PII פראסעסארן . עס שאפט אן אומאפהענגיקע רעקארד-האלטונג פליכט פאר פראסעסארן, אפגעזונדערט פון די קאנטראלער'ס אייגענע רעקארד-האלטונג רעקווייערמענטס אונטער A.1.2.9 רעקארדס פון פראצעסינג PII . אונטער GDPR, גילט די קליינע ביזנעס באפרייאונג אין ארטיקל 30(5) זעלטן אין פראקטיק ווייל רוב פראצעסינג איז נישט באמת "געלעגנטליך" און פילע פראסעסארן האנדלען מיט ספעציעלע קאטעגאריעס פון דאטן. פראסעסארן זאלן דעריבער האלטן רעקארדס אומאפהענגיק פון ארגאניזאציע גרייס.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
פארוואס קלייַבן ISMS.online פֿאַר פאַראַרבעטן רעקאָרד פאַרוואַלטונג?
ISMS.online גיט פּראַקטישע מכשירים פֿאַר אויפֿהאַלטן פּראַסעסאָר רעקאָרדס פֿון פּראַסעסינג אַקטיוויטעטן:
- פאַראַרבעטונג רעגיסטער — פירן א צענטראלן, סטרוקטורירטן רעגיסטער פון אלע פארארבעטונג אקטיוויטעטן פער קונה, מיט קאטעגאריעס, דאטן טיפן, צוועקן און זיכערהייט מיטלען דאקומענטירט
- אַריבערפירן טראַקינג — רעקאָרדירן און מאָניטאָרירן גרענעץ-איבערשרייטנדיקע PII טראַנספערס מיט לעגאַלער באַזע דאָקומענטאַציע און דעסטינאַציע לאַנד טראַקינג
- אָטאַמייטיד רימיינדערז — פּלאַנירן פּעריִאָדישע רעקאָרד איבערבליקן מיט אויטאָמאַטישע דערמאָנונגען צו זיכער מאַכן אַז רעקאָרדס בלייבן אַקטועל און פּינקטלעך
- גרייטקייט פון אויפזיכט אויטאָריטעט — שאַפֿן רעקאָרדס אין אַ פֿאָרמאַט פּאַסיק פֿאַר בקשות פֿון אויפֿזיכט־אויטאָריטעטן, וואָס טרעפֿן די פֿאַרפֿליכטונגען פֿון GDPR אַרטיקל 30(4)
- ווערסיע געשיכטע — פירן א פולשטענדיגע ווערסיע געשיכטע פון פראצעסירונג רעקארדס, וואס ווייזט ווי פראצעסירונג אראנדזשירונגען האבן זיך געענדערט איבער צייט
FAQs
וואָס מוזן פּראַסעסאָר רעקאָרדס אַנטהאַלטן?
לויט GDPR ארטיקל 30(2), מוזן פּראַסעסאָר רעקאָרדס אַנטהאַלטן: דעם נאָמען און קאָנטאַקט דעטאַלן פון יעדן פּראַסעסאָר און יעדן קאָנטראָללער פֿאַר וועמען ער אַקטירט, פּלוס זייערע פארשטייערס און DPOs וואו אָנווענדלעך; די קאַטעגאָריעס פון פּראַסעסינג דורכגעפירט אין נאָמען פון יעדן קאָנטראָללער; טראַנספערס צו דריטע לענדער אָדער אינטערנאַציאָנאַלע אָרגאַניזאַציעס, אַרייַנגערעכנט די לעגאַלע באַזע; און אַן אַלגעמיינע באַשרייַבונג פון טעכנישע און אָרגאַניזאַציאָנעלע זיכערהייט מיטלען. בעסטע פּראַקטיק פארברייטערט דאָס צו אַרייַננעמען די טייפּס פון PII פּראַסעסט, די לעגאַלע באַזע פֿאַר פּראַסעסינג, סוב-פּראַסעסאָר דעטאַלן און ריטענשאַן פּיריאַדז.
ווי אָפט זאָל מען דערהייַנטיקן רעקאָרדס?
רעקאָרדס זאָלן ווערן דערהייַנטיקט ווען עס איז אַ באַדייטנדיקע ענדערונג אין די פּראַסעסינג אַראַנזשירונגען, אַזאַ ווי אַ נייַ קונה, אַ ענדערונג אין פּראַסעסינג קאַטעגאָריעס, אַ נייַ סוב-פּראַסעסער, אַ נייַ גרענעץ-איבערשרייטנדיק אַריבערפירן אָדער אַ ענדערונג אין זיכערהייט מיטלען. אין דערצו, רעקאָרדס זאָלן ווערן איבערגעקוקט אין רעגולערע אינטערוואַלן (לפּחות יערלעך) צו וועריפיצירן אַז זיי בלייבן פּינקטלעך און גאַנץ. פילע אָרגאַניזאַציעס אינטעגרירן רעקאָרד דערהייַנטיקונגען אין זייערע ענדערונג פאַרוואַלטונג פּראָצעסן צו ענשור אַז דערהייַנטיקונגען פּאַסירן אין פאַקטיש צייט.
דאַרפֿן פּראַסעסערז מיט ווייניקער ווי 250 עמפּלוייז האַלטן רעקאָרדס?
GDPR אַרטיקל 30(5) גיט אַ באַגרענעצטע באַפרייאונג פֿאַר אָרגאַניזאַציעס מיט ווייניקער ווי 250 עמפּלוייז, אָבער עס גילט נאָר אויב די פאַראַרבעטונג איז נישט מסתּמא צו רעזולטירן אין אַ ריזיקירן פֿאַר דאַטן סוביעקטן, איז געלעגנטלעך און טוט נישט אַרייַננעמען ספּעציעלע קאַטעגאָריעס פון דאַטן אָדער קרימינאַלע עבירות דאַטן. אין פּראַקטיק, רובֿ פּראַסעסערז פאַלן אַרויס פון דעם באַפרייאונג ווייַל זייער פאַראַרבעטונג איז רעגולער (נישט געלעגנטלעך) און קען אַרייַננעמען דאַטן טייפּס וואָס טריגערן די באַפרייאונג. ISO 27701 טוט נישט אַרייַננעמען אַ ענלעכע באַפרייאונג, אַזוי אַלע פּראַסעסערז וואָס זוכן סערטיפיקאַציע זאָל האַלטן רעקאָרדס ראַגאַרדלאַס פון גרייס.
זעט אונזער אנווייזונג וועגן רעקווייערמענץ גייד פאר די פולשטענדיגע ליסטע פון רעקארדס וואס אוידיטארן ערווארטן פון פראסעסארן.
