GDPR Artikel 35 kräver att organisationer utför en Data Protection Impact Assessment (DPIA) närhelst deras agerande som databehandlare har potential att påverka individers rättigheter och friheter, som beviljats av deras nationella regeringar.
Konsekvensbedömning av dataskydd
- Om en typ av behandling, särskilt med användning av ny teknik, och med hänsyn till behandlingens art, omfattning, sammanhang och syften, sannolikt kommer att leda till en hög risk för fysiska personers rättigheter och friheter, ska den registeransvarige före behandlingen, genomföra en bedömning av de planerade behandlingarnas inverkan på skyddet av personuppgifter. En enda bedömning kan behandla en uppsättning liknande bearbetningsoperationer som innebär liknande höga risker.
- Den registeransvarige ska inhämta råd från dataskyddsombudet, om det är utsett, när han utför en konsekvensbedömning av dataskyddet.
- En konsekvensbedömning av dataskyddet som avses i punkt 1 ska särskilt krävas i fallet med:
- a) en systematisk och omfattande utvärdering av personliga aspekter som rör fysiska personer som grundar sig på automatiserad behandling, inklusive profilering, och på vilken beslut grundas som ger rättsverkningar för den fysiska personen eller på liknande sätt väsentligt påverkar den fysiska personen.
- b) Behandling i stor skala av särskilda kategorier av uppgifter som avses i artikel 9 eller av personuppgifter som rör brottsdomar och brott som avses i artikel 1. eller
- c) En systematisk övervakning av ett allmänt tillgängligt område i stor skala.
- Kommissionären ska upprätta och offentliggöra en förteckning över de typer av behandlingar som omfattas av kravet på en konsekvensbedömning av dataskyddet enligt punkt 1. Tillsynsmyndigheten ska översända dessa förteckningar till den styrelse som avses i artikel 68.
- Kommissionsledamoten kan också upprätta och offentliggöra en förteckning över den typ av behandlingsverksamhet för vilken ingen konsekvensbedömning av dataskyddet krävs. Tillsynsmyndigheten ska översända dessa förteckningar till styrelsen.
- Bedömningen ska innehålla minst:
- a) En systematisk beskrivning av den planerade behandlingen och syftena med behandlingen, inklusive, i tillämpliga fall, det berättigade intresse som eftersträvas av den registeransvarige.
- b) En bedömning av nödvändigheten och proportionaliteten av behandlingsverksamheten i förhållande till ändamålen.
- c) En bedömning av riskerna för de registrerades rättigheter och friheter som avses i punkt 1. och
- d) De åtgärder som planeras för att hantera riskerna, inklusive skyddsåtgärder, säkerhetsåtgärder och mekanismer för att säkerställa skyddet av personuppgifter och för att visa att denna förordning efterlevs med hänsyn till de registrerades och andra berörda personers rättigheter och legitima intressen.
- Efterlevnaden av godkända uppförandekoder som avses i artikel 40 av de relevanta personuppgiftsansvariga eller personuppgiftsbiträden ska beaktas vid bedömningen av effekterna av de behandlingar som utförs av sådana registeransvariga eller registerförare, särskilt för en konsekvensbedömning av dataskyddet.
- När så är lämpligt ska den registeransvarige inhämta synpunkter från registrerade eller deras företrädare om den avsedda behandlingen, utan att det påverkar skyddet av kommersiella eller allmänna intressen eller säkerheten för behandlingar.
- När det gäller behandling enligt artikel 6 c eller e, gäller punkterna 1–1 i denna artikel inte om en dataskyddskonsekvensbedömning redan har genomförts för behandlingen som en del av en allmän konsekvensbedömning som krävs enligt nationell lagstiftning, om inte nationell lagstiftning föreskriver annat.
- Vid behov ska den personuppgiftsansvarige genomföra en granskning för att bedöma om behandlingen utförs i enlighet med dataskyddskonsekvensbedömningen, åtminstone när det sker en förändring av risken för behandlingar.
Storbritanniens GDPR liknar i stort sett EU:s GDPR-utdrag, utan några märkbara skillnader.
Begär offert
När organisationer överväger planering och genomförande av en DPIA måste de överväga 11 nyckelområden:
PII och integritetsskydd har potential att påverka ett stort antal anställda, användare, kunder, både internt och externt.
Organisationer måste få en fast förståelse för behoven hos all berörd personal och vad ISO anser vara "intresserade parter".
Organisationens behov av att fastställa och dokumentera:
Organisationer bör också ta hänsyn till alla rättsliga, regulatoriska eller kontraktuella förpliktelser, vid sidan av praktiska och operativa krav.
När man implementerar ett PIMS måste organisationer kartlägga en lista över intresserade parter som antingen påverkas av ett PIMS eller har en roll att spela i behandlingen av PII.
När det gäller PII kan en intresserad part vara en av följande (men inte begränsat till):
Det är viktigt att notera att PII-krav – som relaterade till en PIMS – ofta härrör från ett brett spektrum av källor, inklusive:
Det kan ofta vara svårt för styrande och reglerande organisationer att bekräfta efterlevnaden av publicerade integritetsskyddsstandarder från en organisations sida, i dess roll som PII-behandlare och personuppgiftsansvarig.
Som sådan måste organisationer förvänta sig att sådana organ kräver oberoende granskning av alla relevanta ledningssystem för att uppfylla sina egna revisionskrav.
I det här avsnittet talar vi om GDPR-artiklarna 35 (1), 35 (10), 35 (11), 35 (2), 35 (3) (a), 35 (3) (b), 35 (3) (c) ), 35 (4), 35 (5), 35 (7) (a), 35 (7) (b), 35 (7) (c), 35 (7) (d), 35 (8) och 35 (9)
Integritetskonsekvensbedömningar gör det möjligt för organisationer att mäta eventuella konsekvenser för informationssäkerheten när de bearbetar en ny uppsättning PII eller ändrar hur befintliga data behandlas.
PII-bearbetning är en risktung affärsfunktion som måste utvärderas grundligt för att säkerställa integriteten, äktheten och lagligheten hos de uppgifter som behandlas.
Beroende på jurisdiktion kommer vissa organisationer att behöva följa en kategorisk lista över scenarier där en integritetskonsekvensbedömning krävs, till exempel:
Organisationer måste fastställa vad som utgör en adekvat konsekvensbedömning, inklusive (men inte begränsat till):
Boka en skräddarsydd hands-on session
utifrån dina behov och mål
Boka din demo
Kontrakt bör innehålla:
| GDPR-artikel | ISO 27701 klausul | ISO 27701 stödklausuler |
|---|---|---|
| EU GDPR artikel 35 (9) | ISO 27701 5.2.2 | Ingen |
| EU GDPR artiklarna 35 (1) till 35 (9) | ISO 27701 7.2.5 | Ingen |
| EU GDPR artikel 35 (1) | ISO 27701 8.2.1 | ISO 27701 7.4 ISO 27701 8.4 |
Ett brott mot GDPR kan resultera i betydande böter, vilket gör det till en av de tuffaste integritets- och säkerhetsbestämmelserna i världen. Därför måste organisationer skydda personuppgifter i "rimlig" utsträckning.
Men här är de goda nyheterna.
Genom att använda ISMS.online kan du hoppa rakt in i GDPR-efterlevnad och visa en skyddsnivå som går utöver "rimligt". Vi gör datakartläggning enkelt. Registrera och granska enkelt din organisations bearbetningsaktivitet genom att lägga till dina uppgifter i vårt förkonfigurerade dynamiska verktyg för registrering av bearbetningsaktivitet.
Med våra verktyg kan du planera, kommunicera, dokumentera och lära dig av varje intrång.
Ta reda på mer av boka en demo.
ISMS.online är en
en enda lösning som radikalt påskyndade vår implementering.
