Vilka är PII-processorkontrollerna i ISO 27701:2025?
Tabell A.2 i ISO 27701:2025 bilaga A definierar 18 kontroller som gäller för alla organisationer som agerar som personuppgiftsbehandlare. En personuppgiftsbehandlare behandlar personuppgifter på uppdrag av och enligt instruktioner från en personuppgiftsansvarig.
Dessa kontroller är grupperade i fyra mål:
- Villkor för insamling och bearbetning (A.2.2) — 6 kontroller som omfattar kundavtal, ändamålsbegränsningar, marknadsföringsrestriktioner och register
- Skyldigheter gentemot PII-huvudmän (A.2.3) — 1 kontroll som omfattar compliance-assistans till kunden
- Inbyggd integritet och integritet som standard (A.2.4) — 3 kontroller som täcker temporära filer, retur/kassering av personligt identifierbar information och överföring
- Delning, överföring och utlämnande av personligt skydd (A.2.5) — 8 kontroller som omfattar överföringar, upplysningar och hantering av underleverantörer
Implementeringsvägledning för varje kontroll finns i bilaga B avsnitt B.2 (t.ex. vägledning för A.2.2.2 Kundavtal finns i B.2.2.2).
Komplett lista över kontroller i tabell A.2
| kontroll | Titel | Sammanfattning |
|---|---|---|
| A.2.2.2 Kundavtal | Kundavtal | Säkerställ att kontrakten tar hänsyn till personuppgiftsbehandlarens roll i att bistå med kundskyldigheter |
| A.2.2.3 Organisationens syften | Organisationens syften | Behandla endast personligt identifierbar information för de ändamål som anges i kundens dokumenterade instruktioner |
| A.2.2.4 Marknadsföring och reklam | Marknadsförings- och reklamanvändning | Använd inte avtalad personligt identifierbar information för marknadsföring utan lämpligt samtycke från huvudmannen |
| A.2.2.5 Intrångsinstruktion | Instruktion som kränker upphovsrätten | Informera kunden om en behandlingsinstruktion bryter mot tillämplig lag |
| A.2.2.6 Kundens skyldigheter | Kundens skyldigheter | Ge kunden information för att visa att de följer reglerna |
| A.2.2.7 Register över behandling av personuppgifter | Register relaterade till behandling av personuppgifter | Föra register som visar att de avtalsenliga skyldigheter gällande personligt ansvar efterlevs |
| A.2.3.2 Skyldigheter gentemot PII-uppdragsgivare | Följa skyldigheter gentemot PII-huvudmän | Ge kunden möjlighet att uppfylla sina huvudskyldigheter gällande personuppgifter |
| A.2.4.2 Tillfälliga filer | Tillfälliga filer | Kassera temporära filer från PII-behandling inom en dokumenterad tidsperiod |
| A.2.4.3 Retur, överföring eller avyttring | Retur, överföring eller bortskaffande av personligt skydd | Returnera, överföra eller kassera personligt identifierbar information på ett säkert sätt och gör policyn tillgänglig |
| A.2.4.4 PII-överföringskontroller | PII-överföringskontroller | Ämnesspecifik personlig information som överförs via nätverk till lämpliga kontroller |
| A.2.5.2 Grund för överföring av personuppgifter | Grund för överföring av personuppgifter mellan jurisdiktioner | Informera kunden i god tid om grunderna för internationella PII-överföringar |
| A.2.5.3 Länder för överföring av personligt identifierbar information | Länder och internationella organisationer för överföring av personligt identifierbar information | Specificera och dokumentera länder och organisationer som personligt identifierbar information kan överföras till |
| A.2.5.4 Register över PII-utlämnanden | Register över utlämnande av personuppgifter till tredje part | Registrera PII-upplysningar inklusive vad som lämnades ut, till vem och när |
| A.2.5.5 Begäran om utlämnande av personuppgifter | Meddelande om begäran om utlämnande av personuppgifter | Meddela kunden om alla rättsligt bindande begäranden om utlämnande |
| A.2.5.6 Rättsligt bindande upplysningar | Rättsligt bindande PII-upplysningar | Avvisa icke-bindande förfrågningar och rådfråga kunden innan du lämnar ut information |
| A.2.5.7 Upplysningar om underleverantörer | Upplysning om underleverantörer som används för att behandla personuppgifter | Informera kunden om huruvida underleverantörer används innan användning |
| A.2.5.8 Anlita underleverantörer | Anlita en underleverantör för att behandla personuppgifter | Anlita endast underleverantörer enligt kundavtalet |
| A.2.5.9 Byte av underleverantör | Byte av underleverantör för att behandla personuppgifter | Informera kunden om planerade förändringar hos underleverantörer och tillåta invändningar |
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Hur relaterar registeransvariga till GDPR?
Tabell A.2 avser huvudsakligen artikel 28 i GDPR (personuppgiftsbehandlares skyldigheter) och artikel 30 (register över behandlingar). Viktiga kopplingar:
- A.2.2.2 Kundavtal–3 (Avtal och syften) → Artikel 28(3)(a), artikel 29 — behandling under registeransvarigs behörighet
- A.2.2.7 Register över behandling av personuppgifter (Uppgifter) → Artikel 30(2–5) — personuppgiftsbiträdesregister över behandlingsaktiviteter
- A.2.4.3 Retur, överföring eller avyttring (Retur/avfallshantering) → Artikel 28(3)(g) — radering eller återlämnande efter att tjänsten avslutats
- A.2.5.7 Upplysningar om underleverantörer–9 (Underleverantörer) → Artikel 28(2–4) — godkännande av underbiträden och ändringar
Vad gäller mer för PII-behandlare?
Tabell A.2 är inte den fullständiga uppsättningen krav för PII-behandlare. Du måste också implementera de tillämpliga kontrollerna från tabell A.3 (delade säkerhetskontroller) , som täcker grundläggande informationssäkerhet som åtkomstkontroll, incidenthantering, kryptografi och loggning.
Varför välja ISMS.online för efterlevnad av PII-processorer?
ISMS.online hjälper dig att implementera och bevisa varje kontroll i tabell A.2:
- Kontraktshantering — Spåra kundavtal, behandlingsändamål och efterlevnadsskyldigheter
- Underleverantörsregister — Dokumentera underleverantörer, deras platser och processen för kundmeddelanden
- Överföra poster — Föra register över internationella överföringar med dokumentation av rättslig grund
- Loggning av offentliggörande — Registrera alla PII-rapporter med information om vad, till vem och när
- Rutiner vid tjänstens slut — Dokumentera och spåra processer för retur, överföring eller bortskaffande av personligt ansvarstagande
- Stöd för dubbla roller — Om du agerar som både personuppgiftsansvarig och personuppgiftsbehandlare, hantera båda Tabell A.1 och A.2 på ett ställe
Vanliga frågor
Varför finns det bara 18 processorkontroller jämfört med 31 styrenheter?
Personuppgiftsbehandlare agerar enligt instruktioner från den personuppgiftsansvarige, så många integritetsbeslut (rättslig grund, samtycke, registrerades rättigheter) är den personuppgiftsansvariges ansvar. Personuppgiftsbehandlarkontroller fokuserar på avtalsenlighet, behandlingsbegränsningar, hantering av underleverantörer och hantering av utlämnande av information.
Kan en organisation vara både personuppgiftsansvarig och personuppgiftsbehandlare?
Ja. Många organisationer agerar som personuppgiftsansvariga för vissa behandlingsaktiviteter och personuppgiftsbiträden för andra. I det här fallet gäller både tabell A.1 och tabell A.2, med separata roller fastställda för varje behandlingsaktivitet. ISO 27701:2025 klausul 4.1 kräver att du fastställer din roll för varje instans av PII-behandling.
Behöver jag även tabell A.3 som processor?
Ja. Tabell A.3 (delade säkerhetskontroller) gäller både personuppgiftsansvariga och personuppgiftsbehandlare. Som personuppgiftsbehandlare behöver du både tabell A.2 (personuppgiftsbehandlarspecifika) och tabell A.3 (delade säkerhetskontroller) i din tillämplighetsförklaring.
SaaS-organisationer hittar skräddarsydd vägledning för processorer i vår guide för SaaS-plattformar.
Se hur upphandlingsteam använder ISO 27701 för att utvärdera bearbetare i vår guide för leverantörsutvärdering och guide för upphandlingskrav .
