Vad kräver kontroll A.1.2.6?
Organisationen ska bedöma behovet av, och vid behov genomföra, en konsekvensbedömning för integritetsskydd närhelst ny behandling av personuppgifter eller ändringar av befintlig behandling av personuppgifter planeras.
Denna kontroll ligger inom målet Villkor för insamling och behandling (A.1.2). Till skillnad från de föregående kontrollerna som fokuserar på laglig grund och samtycke inför A.1.2.6 ett krav på riskbedömning . Den föreskriver en tvåstegsmetod: först bedöms om en konsekvensbedömning (PIA) behövs (ett screeningsteg), och sedan, om det behövs, genomförs den innan behandlingen påbörjas.
Vad säger implementeringsriktlinjerna?
Bilaga B (avsnitt B.1.2.6) ger följande vägledning:
- Timing är kritisk — Konsekvensbedömningar bör genomföras innan bearbetningen påbörjas. De är en förebyggande åtgärd, inte en retroaktiv motivering
- Konsekvensbedömningen bör bedöma:
- Nödvändighet och proportionalitet — Är behandlingen nödvändig för det angivna ändamålet, och är mängden insamlad personlig information proportionell mot vad som behövs?
- Risker för PII-huvudpersoner — Vilka potentiella skador kan uppstå till följd av behandlingen, inklusive obehörig åtkomst, förlust, diskriminering eller skadat anseende?
- Föreslagna begränsningar — Vilka kontroller, skyddsåtgärder eller designval kommer att minska de identifierade riskerna till en acceptabel nivå?
- Se även A.1.2.4: Bestäm när och hur samtycke ska inhämtas för relaterade krav
- Se även A.1.2.5: Inhämta och registrera samtycke för relaterade krav
- Resultaten bör vara dokumenterat och används för att underbygga beslut om behandling – konsekvensbedömningen är inte en övning med kryssrutor utan ett beslutsfattande verktyg
- Referenserna till vägledningen ISO / IEC 29134 (Riktlinjer för konsekvensbedömning av integritetsskydd) som den detaljerade metodstandarden för att genomföra konsekvensbedömningar gällande integritetsskydd
I praktiken innebär detta att organisationer behöver både en screeningprocess (för att avgöra när en konsekvensbedömning (PIA) krävs) och en PIA-metod (för att genomföra bedömningen när den initieras).
Hur kopplas detta till GDPR?
Kontroll A.1.2.6 kopplas till ett betydande antal GDPR- bestämmelser:
- Artikel 35(1)–(11) — Kraven på konsekvensbedömning avseende dataskydd (DPIA). GDPR föreskriver DPIA där behandling "sannolikt kommer att resultera i en hög risk för fysiska personers rättigheter och friheter" och anger minimikrav på innehåll, inklusive: en systematisk beskrivning av behandlingen, bedömning av nödvändighet och proportionalitet, bedömning av risker och åtgärder för att hantera risker
- Artikel 36(1) (ej kartlagd i bilaga D men nära relaterad)–(5) — Förhandssamråd med tillsynsmyndigheten. Om en konsekvensbedömning av dataskydd indikerar hög kvarvarande risk som inte kan minskas, måste den registeransvarige samråda med tillsynsmyndigheten innan behandlingen påbörjas.
GDPR:s krav på DPIA är mer föreskrivande än ISO 27701-kontrollen – den föreskriver bedömning för högriskbehandling, medan A.1.2.6 kräver att organisationer bedömer behovet av en PIA för alla nya eller ändrade behandlingar. I praktiken kommer implementeringen av A.1.2.6 att uppfylla GDPR:s krav på DPIA, förutsatt att screeningkriterierna fångar alla utlösande scenarier enligt artikel 35.
Hur relaterar detta till ISO 29100:s integritetsprinciper?
Den här kontrollen stöder flera ISO 29100-sekretessprinciper:
- Samtycke och val — Konsekvensbedömningar hjälper till att identifiera var samtyckesmekanismer behöver utformas eller stärkas
- Insamlingsbegränsning — Nödvändighets- och proportionalitetsbedömningen tar direkt upp huruvida för mycket personligt skyddsinformation samlas in
- Sekretessefterlevnad — PIA:er är en mekanism för att verifiera och visa efterlevnad av integritetskrav innan behandlingen påbörjas
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.1.2.6 letar revisorer vanligtvis efter:
- PIA-screeningskriterier — Ett dokumenterat tröskelvärde eller en checklista som används för att avgöra om en fullständig konsekvensbedömning krävs för en given behandlingsaktivitet eller ändring
- Screeningregister — Bevis på att screeningprocessen tillämpades på nya och ändrade behandlingsaktiviteter, inklusive fall där en fullständig konsekvensbedömning (PIA) genomfördes inte anses nödvändig (med dokumenterad motivering)
- Färdigställda PIA-rapporter — Fullständiga bedömningsdokument som täcker nödvändighet, proportionalitet, riskanalys och föreslagna begränsningar.
- Beslut om riskhantering — Bevis på att konsekvensbedömningsresultat har vidtagits — riskreducerande åtgärder har implementerats, bearbetning har ändrats eller i vissa fall bearbetning har avbrutits
- Signeringsregister — Godkännande från berörda intressenter (t.ex. dataskyddsombud, ledning) att konsekvensbedömningen (PIA) granskades och att den kvarvarande risken accepterades
- Tidigare konsultationsprotokoll — Om kvarvarande risk förblev hög efter begränsning, bevis på att tillsynsmyndigheten har konsulterats (GDPR artikel 36)
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.1.2.2 Identifiera och dokumentera syfte | Syftesdokumentation är ett input till konsekvensbedömningen – man kan inte bedöma nödvändighet utan att känna till syftet |
| A.1.2.3 Identifiera rättslig grund | Konsekvensbedömningsorganet bör kontrollera att det finns en giltig rättslig grund för den planerade behandlingen. |
| A.1.4.3 Begränsa bearbetningen | Proportionalitetsbedömningen i konsekvensbedömningen ligger till grund för beslut om dataminimering |
| A.1.4.6 Avidentifiering och radering av personliga uppgifter | PIA:er kan identifiera avidentifiering eller radering som en riskreducerande åtgärd |
| A.1.2.7 Avtal med personuppgiftsbehandlare | När behandling involverar tredjepartsbiträden bör konsekvensbedömningen bedöma biträdesrelaterade risker |
| ISO / IEC 29134 | Den refererade standarden som tillhandahåller detaljerad metodik och riktlinjer för konsekvensbedömning |
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva fanns detta krav med som klausul 7.2.5 (konsekvensbedömning av integritetsskydd). Kärnkravet är oförändrat – bedöm behovet av en konsekvensbedömning av integritetsskydd och genomför en där så är lämpligt. Omstruktureringen från 2025 till tabell A.1 ger en tydligare åtskillnad mellan kontrollutlåtandet (A.1.2.6) och vägledningen (B.1.2.6). Hänvisningen till ISO/IEC 29134 som den detaljerade metodstandarden för konsekvensbedömning har behållits, vilket förstärker att organisationer bör följa en strukturerad metod snarare än en ad hoc-bedömning. Se jämförelsetabellen i bilaga F för en fullständig kartläggning.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Varför välja ISMS.online för konsekvensbedömningar för integritetsskydd?
ISMS.online erbjuder ett heltäckande PIA-arbetsflöde som tar dig från screening till godkännande:
- PIA-granskningsverktyg — Ett inbyggt frågeformulär som avgör om en fullständig bedömning behövs, med dokumenterad motivering för varje beslut
- Strukturerade PIA-mallar — Färdiga bedömningsmallar anpassade till ISO/IEC 29134, som vägleder bedömare genom nödvändighet, proportionalitet, riskidentifiering och riskreduceringsplanering.
- Riskpoängsättning och värmekartor — Visuell riskanalys med sannolikhets- och konsekvensbedömning, vilket gör det enkelt att prioritera åtgärder mot åtgärder och kommunicera resultat till intressenter
- Spårning av riskreducerande åtgärder — Tilldela riskhanteringsåtgärder till ägare med deadlines och spåra implementeringsframstegen inom samma plattform
- Arbetsflöden för godkännande — Skicka ifyllda konsekvensbedömningar till dataskyddsombudet eller den högre ledningen för granskning och godkännande, med fullständig revisionslogg för godkännandeprocessen
- Länkade bevis — Koppla PIA:er till de behandlingsaktiviteter, lagliga grunder och samtyckesregister som de avser, vilket skapar en komplett bild av efterlevnaden
Vanliga frågor
När är en konsekvensbedömning för integritetsskydd obligatorisk?
Enligt ISO 27701:2025 är en konsekvensbedömning (PIA) inte automatiskt obligatorisk för varje behandlingsaktivitet – kontrollen kräver att du bedömer behovet av en. Enligt artikel 35 i GDPR är dock en DPIA obligatorisk där behandling sannolikt leder till en hög risk för enskilda personers rättigheter. Europeiska dataskyddsstyrelsen har publicerat kriterier som inkluderar: systematisk utvärdering av personliga aspekter (profilering), storskalig behandling av särskilda kategorier och systematisk övervakning av offentligt tillgängliga områden. Organisationer bör bygga in dessa utlösare i sina urvalskriterier.
Kan en konsekvensbedömning (PIA) göras efter att handläggningen redan har påbörjats?
Både standarden och GDPR förväntar sig att konsekvensbedömningar (PIA) genomförs innan behandlingen påbörjas. Om du dock upptäcker att en PIA borde ha gjorts men inte gjordes, är det bättre att genomföra en retrospektivt än att inte göra någon alls. Den retrospektiva PIA-en kan identifiera risker som kräver omedelbar begränsning eller till och med upphörande av behandlingen. Revisorer kommer att notera tidsgapet men kommer att se mer positivt på en sen PIA än ingen PIA alls.
Hur ofta bör befintliga konsekvensbedömningar (PIA) granskas?
Konsekvensbedömningar (PIA) bör granskas närhelst det sker en väsentlig förändring av den behandling de omfattar – såsom nya datakategorier, nya mottagare, teknikförändringar eller förändringar i regelverket. Bästa praxis är också att fastställa ett regelbundet granskningsschema (t.ex. årligen) för att upptäcka stegvisa förändringar som kanske inte har utlöst en enskild granskning. Granskningen bör bedöma om den ursprungliga riskanalysen och begränsningsåtgärderna fortfarande är giltiga.
Se vår guide om krav på revisionsbevis för vad revisorer förväntar sig vid bedömning av denna kontroll.
En gapanalys kan hjälpa dig att bedöma om din nuvarande PIA-process uppfyller kraven från 2025.
