Vad kräver kontroll A.1.2.8?
Organisationen ska fastställa respektive roller och ansvar för behandling av PII (inklusive PII-skydd och säkerhetskrav) med alla gemensamt PII-registeransvariga.
Denna kontroll ligger inom målet Villkor för insamling och behandling (A.1.2). Den behandlar ett specifikt men allt vanligare scenario: där två eller flera organisationer gemensamt bestämmer syftena och medlen för behandling av personuppgifter. Till skillnad från förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde som regleras av A.1.2.7 Avtal med personuppgiftsbiträden innebär gemensamt personuppgiftstagande delad beslutsbehörighet – och därmed delad ansvarsskyldighet.
Gemensamt ansvar uppstår när organisationer samarbetar kring aktiviteter som involverar PII – till exempel gemensamma marknadsföringskampanjer, delade plattformar, forskningspartnerskap eller integrerade tjänster där båda parter påverkar vilka uppgifter som samlas in och hur de används.
Vad säger implementeringsriktlinjerna?
Bilaga B (avsnitt B.1.2.8) ger följande vägledning:
- Kom överens om respektive ansvarsområden — Gemensamma personuppgiftsansvariga måste komma överens om vilken organisation som är ansvarig för varje skyldighet som uppstår vid behandling av personuppgifter, särskilt avseende:
- Utövande av huvudrättigheter gällande PII (åtkomstförfrågningar, radering, rättelse, portabilitet)
- Tillhandahålla nödvändig information till PII-ansvariga (integritetsmeddelanden, transparensskyldigheter)
- Genomförande av säkerhetsåtgärder
- Brott anmälan
- Se även A.1.2.2: Identifiera och dokumentera syfte för relaterade krav
- Se även A.1.2.3: Identifiera laglig grund för relaterade krav
- Gör arrangemanget tillgängligt för PII-ansvariga — Kärnan i avtalet om gemensamt personuppgiftsskydd bör göras tillgänglig för de personer vars personuppgifter behandlas, så att de vet vilken organisation de ska kontakta för vad
- Dokumentera arrangemanget formellt — Även om kontrollen inte använder ordet ”kontrakt”, innebär kravet att ”fastställa” roller och ansvarsområden ett formellt, dokumenterat avtal mellan parterna.
Vägledningen erkänner att en gemensam registeransvarig i praktiken kan ta ledningen för vissa skyldigheter (som att vara primär kontaktpunkt för registrerades förfrågningar), men detta befriar inte de andra registeransvariga från deras ansvar.
Hur kopplas detta till GDPR?
Kontroll A.1.2.8 kopplas direkt till GDPR artikel 26:
- Artikeln 26 (1) — Om två eller flera registeransvariga gemensamt fastställer ändamålen och medlen för behandlingen, ska de på ett öppet sätt fastställa sina respektive ansvarsområden för att uppfylla skyldigheterna enligt GDPR, särskilt vad gäller utövandet av de registrerades rättigheter och deras respektive skyldigheter att lämna information
- Artikeln 26 (2) — Avtalet ska vederbörligen återspegla de gemensamt registeransvarigas respektive roller och relationer i förhållande till de registrerade. Avtalets innehåll ska göras tillgängligt för den registrerade.
- Artikeln 26 (3) — Oavsett villkoren i avtalet kan registrerade utöva sina rättigheter enligt GDPR gentemot och mot var och en av de personuppgiftsansvariga. Detta är en avgörande punkt – interna avtal kan inte begränsa rättigheterna för huvudmännen gällande personuppgifter.
Artikel 26(3) är särskilt viktig: även om de gemensamt personuppgiftsansvariga är överens om att organisation A hanterar alla förfrågningar från registrerade, kan en person fortfarande rikta sin begäran till organisation B, som sedan antingen måste hantera den eller vidarebefordra den på lämpligt sätt. Båda organisationerna förblir ansvariga.
Hur relaterar detta till ISO 29100:s integritetsprinciper?
Denna kontroll stöder ansvarsprincipen i ISO 29100. Ansvarsskyldighet kräver att behandlingen av personuppgifter ansvarar för tydligt identifierade parter som kan hållas ansvariga för sina handlingar. Gemensam kontroll skapar en situation där ansvarsskyldighet måste fördelas uttryckligen – utan ett formellt avtal kan det vara oklart vilken organisation som är ansvarig för vilken skyldighet, vilket undergräver hela ansvarsramverket.
Påbörja din gratis provperiod
Vill du utforska?
Registrera dig för din kostnadsfria provperiod idag och få praktiska tillgångar med alla efterlevnadsfunktioner som ISMS.online har att erbjuda
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.1.2.8 letar revisorer vanligtvis efter:
- Gemensamt register över registeransvariga — En dokumenterad lista över alla gemensamma registeransvariga som organisationen är part i, med identiteten på varje gemensamt registeransvarig och de behandlingsaktiviteter som omfattas
- Avtal om gemensamma kontrollanter — Undertecknade, skriftliga avtal som anger ansvarsfördelningen mellan parterna
- Ansvarsmatris — En tydlig kartläggning av vilken personuppgiftsansvarig hanterar vilken skyldighet (den registrerades rättigheter, anmälan av intrång, säkerhet, transparens)
- Primär kommunikation med PII — Bevis på att kärnan i avtalet om gemensamt kontrollansvar kommuniceras till PII-huvudpersoner, vanligtvis genom integritetsmeddelanden eller särskilda informationssidor.
- Kontaktpunktsbeteckning — En dokumenterad enda kontaktpunkt för PII-ansvariga, även där ansvaret är uppdelat mellan personuppgiftsansvariga
- Operativa rutiner — Processer för att hantera scenarier där en PII-ansvarig kontaktar ”fel” personuppgiftsansvarig (t.ex. vidarebefordringsförfaranden, avtal om svarstid)
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.1.2.7 Avtal med personuppgiftsbehandlare | Olika avtalskrav gäller beroende på om en relation är gemensam registeransvarig eller registeransvarig-personuppgiftsbehandlare. |
| A.1.3.3 Information för PII-huvudpersoner | Gemensamma personuppgiftsansvariga måste komma överens om vem som lämnar vilken information och hur |
| A.1.3.2 Skyldigheter gentemot PII-uppdragsgivare | Ansvaret för att hantera förfrågningar från registrerade måste fördelas mellan gemensamma personuppgiftsansvariga. |
| A.1.2.6 Konsekvensbedömning för integritetsskydd | Gemensamma behandlingsavtal kan utlösa PIA-krav |
| A.1.5.2 Grund för överföring av personuppgifter mellan jurisdiktioner | Delning av personligt identifierbar information mellan gemensamma personuppgiftsansvariga måste regleras |
| A.1.2.9 Register över behandling av personuppgifter | Behandlingsregister bör identifiera gemensamma registeransvariga |
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva fanns detta krav med som klausul 7.2.7 (gemensam PII-registeransvarig). Kärnkravet är oförändrat – gemensamma registeransvariga måste komma överens om sina respektive ansvarsområden. Omstruktureringen från 2025 till tabell A.1 ger en tydligare åtskillnad mellan kontrollutlåtandet (A.1.2.8) och vägledningen (B.1.2.8). Betoningen på att göra arrangemanget tillgängligt för PII-huvudmän har bibehållits, vilket återspeglar de transparenskrav som är grundläggande för både ISO 27701 och GDPR. Se jämförelsetabellen i bilaga F för en fullständig mappning.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Varför välja ISMS.online för att hantera gemensamma registeransvariga?
ISMS.online hjälper dig att formalisera, spåra och operationalisera gemensamt kontrollansvar med tydlighet:
- Gemensamt register över registeransvariga — Dokumentera varje gemensamt registeransvarigavtal med de inblandade parterna, behandlingsaktiviteter som omfattas och avtalets status
- Mallar för ansvarsfördelning — Färdiga ansvarsmatriser som täcker den registrerades rättigheter, anmälan av intrång, säkerhet och transparens, så att ingenting faller mellan stolarna
- Avtalshantering — Lagra, versionskontrollera och granska avtal för gemensamma personuppgiftsansvariga tillsammans med er annan efterlevnadsdokumentation
- Länkade integritetsmeddelanden — Koppla gemensamma registeransvariga till de integritetsmeddelanden som informerar PII-ansvariga, och säkerställ att transparenskraven uppfylls
- Arbetsflöden över hela organisationen — Definiera och spåra rutiner för vidarebefordran av registrerade förfrågningar mellan gemensamma personuppgiftsansvariga med SLA-övervakning
- Revisionsklara bevis — Generera dokumentationspaket för efterlevnad som visar ansvarsfördelningen och deras operativa implementering
Vanliga frågor
Hur avgör vi om en relation är gemensam registeransvarig eller registeransvarig och personuppgiftsbiträde?
Den viktigaste frågan är vem som bestämmer ändamålen och medlen för behandlingen. Om båda organisationerna påverkar varför och hur PII behandlas, är det gemensamt personuppgiftsansvarigt. Om den ena organisationen bestämmer ändamålet och den andra bara agerar på instruktioner, är det en personuppgiftsansvarig-personuppgiftsbiträdesrelation. I praktiken faller många relationer inom en gråzon. Tänk på: har den andra parten ett eget intresse av behandlingsresultatet? Bestämmer den vilka uppgifter som ska samlas in eller hur de ska användas? Om ja, är det sannolikt en gemensam personuppgiftsansvarig snarare än ett personuppgiftsbiträde.
Kan en gemensamt registeransvarig hållas ansvarig för den andras fel?
Enligt artikel 26(3) i GDPR kan huvudmän för personuppgifter utöva sina rättigheter mot vilken som helst av de gemensamt personuppgiftsansvariga, oavsett interna avtal. Detta innebär att om en personuppgiftsansvarig underlåter att hantera en begäran från en registrerad personuppgiftsansvarig kan den andra hållas ansvarig. Tillsynsmyndigheter kan också vidta verkställighetsåtgärder mot någon eller alla gemensamt personuppgiftsansvariga. Interna avtal kan fördela ekonomiskt ansvar mellan parterna, men de kan inte begränsa huvudmännens rättigheter för personuppgifter eller tillsynsmyndigheters befogenheter.
Vad ska vi berätta för PII-huvudpersoner om det gemensamma kontrollansvaret?
Kärnan i avtalet måste göras tillgängligt för huvudmän som ansvarar för personuppgifter. Detta bör åtminstone innefatta: identiteten på varje gemensamt personuppgiftsansvarig, de typer av behandlingar som var och en ansvarar för och hur huvudmän som ansvarar för personuppgifter kan utöva sina rättigheter (inklusive en kontaktpunkt). Denna information anges vanligtvis i integritetsmeddelandet. Det behöver inte avslöja varje detalj i det interna avtalet – bara tillräckligt för att individer ska förstå vem som är ansvarig och hur de ska kontakta dem.
Se vår guide om krav på revisionsbevis för vad revisorer förväntar sig vid bedömning av denna kontroll.
