Vad kräver kontroll A.1.2.2?
Organisationen ska identifiera och dokumentera de specifika syften för vilka de personliga identifieringsuppgifterna kommer att behandlas.
Denna kontroll ligger inom ramen för målet Villkor för insamling och behandling (A.1.2), vilket syftar till att visa att behandlingen är laglig, med en rättslig grund enligt tillämpliga jurisdiktioner och med tydligt definierade och legitima syften.
Vad säger implementeringsriktlinjerna?
Bilaga B (avsnitt B.1.2.2) ger följande vägledning:
- Organisationen bör säkerställa att huvudmännen för personligt ansvar förstår syftet med att deras personliga ansvar behandlas.
- Det är organisationens ansvar att tydligt dokumentera och kommunicera detta till PII-ansvariga.
- Utan ett tydligt syfte kan samtycke och val inte ges på ett adekvat sätt
- Dokumentation av syften bör vara tillräckligt tydlig och detaljerad för att stödja den information som lämnas till PII-ansvariga (se A.1.3.3 Information för PII-principaler)
- Ändamålsdokumentationen bör innehålla information som är nödvändig för att inhämta samtycke (se A.1.2.4 Fastställ samtycke) och dokumenterad information om policyer och rutiner (se A.1.2.9 Register över behandling av personuppgifter)
- Se även A.1.2.5: Inhämta och registrera samtycke för relaterade krav
- Se även A.1.3.5: Ändra eller återkalla samtycke för relaterade krav
Vägledningen noterar också att taxonomin och definitionerna i ISO/IEC 19944-1 kan vara till hjälp för att beskriva behandlingsändamål i molntjänstsammanhang.
Hur kopplas detta till GDPR?
Kontroll A.1.2.2 motsvarar artikel 5(1)(b) i GDPR (principen om ändamålsbegränsning) och artikel 32(4) (säkerställande av att personer som agerar under befogenhet endast får behandlas på instruktioner). GDPR kräver att personuppgifter samlas in för angivna, uttryckliga och legitima ändamål och inte behandlas vidare på ett sätt som är oförenligt med dessa ändamål.
Hur relaterar detta till ISO 29100:s integritetsprinciper?
Denna kontroll stöder två ISO 29100-sekretessprinciper:
- Samtycke och val — Tydlig dokumentation av syftet möjliggör meningsfullt samtycke
- Syftelegitimitet och specifikation — Tar direkt upp kravet på specificerade, legitima syften
Befria dig från ett berg av kalkylblad
Bädda in, utöka och skala upp er efterlevnad utan krångel. IO ger er motståndskraften och självförtroendet att växa säkert.
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.1.2.2 letar revisorer vanligtvis efter:
- Register över behandlingsändamål — En dokumenterad lista över all behandling av personuppgifter med deras angivna syften
- Integritetsmeddelanden — Bevis på att syften kommuniceras till PII-ansvariga på ett tydligt och lättillgängligt språk
- Register över bearbetningsaktiviteter — Dokumenterade register som visar syftena för varje kategori av PII som behandlas
- Ändra hanteringen — Bevis på att nya behandlingsändamål bedöms och dokumenteras innan behandlingen påbörjas
- Överensstämmelse med samtyckesregister — Att ändamålen som dokumenterats i samtyckesblanketter överensstämmer med den faktiska behandlingen som utförs
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.1.2.3 Identifiera rättslig grund | När syftena har definierats måste den rättsliga grunden för vart och ett identifieras. |
| A.1.2.4 Fastställ samtycke | Samtyckesprocesser är beroende av tydligt dokumenterade syften |
| A.1.2.9 Register över behandling av personuppgifter | Ändamålsdokumentation matas in i behandlingsregister |
| A.1.3.3 Information för PII-huvudpersoner | Syften måste kommuniceras till PII-ansvariga |
| A.1.3.4 Tillhandahållande av information | Tydliga och lättillgängliga syftesbeskrivningar i integritetsmeddelanden |
| A.1.4.3 Begränsa bearbetningen | Behandlingen måste begränsas till vad som är nödvändigt för de dokumenterade ändamålen. |
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva ingick detta krav i klausul 7.2.1 (identifiera och dokumentera syfte). Kontrollinnehållet är i huvudsak detsamma som för 2025, men det finns nu i tabell A.1 med en tydligare åtskillnad mellan kontrollutlåtandet (A.1.2.2) och implementeringsriktlinjerna (B.1.2.2). Se bilaga F:s jämförelsetabell för den fullständiga mappningen.
Varför välja ISMS.online för hantering av behandlingsändamål?
ISMS.online tillhandahåller praktiska verktyg för att dokumentera och hantera bearbetningsändamål:
- Register över bearbetningsaktiviteter — Dokumentera varje behandlingsaktivitet med dess angivna syfte, kategorier av personuppgifter och rättslig grund
- Hantering av integritetsmeddelande — Upprätthålla versionsstyrda integritetsmeddelanden kopplade till behandlingsändamål
- Ändringsspårning — Logga när syften läggs till, ändras eller tas bort med fullständig revisionslogg
- Korsreferenser — Koppla syften till samtyckesregister, konsekvensbedömningar för integritetsskydd och begäranden från registrerade
- Revisionsbevis — Dokumentation för exportändamål som en del av ert dokumentationspaket för efterlevnad
Vanliga frågor
Hur detaljerad bör syftesdokumentationen vara?
Tillräckligt tydlig och detaljerad så att den kan användas som en del av den information som lämnas till PII-huvudpersoner och som grund för att inhämta samtycke. Vaga syften som "affärsverksamhet" eller "förbättra tjänster" uppfyller sannolikt inte standarden. Varje syfte bör beskriva det specifika resultatet av behandlingen.
Vad händer om syftet ändras efter insamlingen?
Alla nya syften måste dokumenteras och bedömas för att säkerställa förenlighet med det ursprungliga syftet. Om det nya syftet inte är förenligt krävs vanligtvis ytterligare samtycke eller en separat rättslig grund. Ändringen bör återspeglas i uppdaterade integritetsmeddelanden och behandlingsregister.
Gäller detta även för PII-processorer?
A.1.2.2 är en kontroll för personuppgiftsansvariga. Personuppgiftsbiträden har en relaterad men annan skyldighet enligt A.2.2.3 Organisationens syften (Organisationens syften), vilket kräver att de endast behandlar personuppgifter för de syften som dokumenterats i kundens instruktioner.
Dokumentera hur denna kontroll gäller för din organisation i din tillämplighetsförklaring.
Se vår guide om krav på revisionsbevis för vad revisorer förväntar sig vid bedömning av denna kontroll.
