Vad kräver kontroll A.2.2.3?
Organisationen ska säkerställa att PII som behandlas för en kunds räkning endast behandlas för de ändamål som anges i kundens dokumenterade instruktioner.
Denna kontroll finns inom bilagan om kontroller för personuppgiftsberättigade (A.2) och fastställer den mest grundläggande skyldigheten för personuppgiftsberättaren: ändamålsbegränsning. En personuppgiftsberättare finns för att utföra den personuppgiftsansvariges instruktioner, inte för att uppnå sina egna mål med uppgifterna. All behandling utöver vad kunden har dokumenterat och instruerat utgör ett brott mot denna kontroll och potentiellt ett brott mot dataskyddslagen.
Vad står det i implementeringsriktlinjerna i bilaga B?
Bilaga B (avsnitt B.2.2.3) ger följande vägledning:
- Dokumentera tjänstens mål och tidsram — Avtalet mellan organisationen och kunden bör inkludera, men inte begränsas till, målet och tidsramen som tjänsten ska uppnå
- Tillåt tekniskt utrymme för skönsmässig bedömning inom allmänna instruktioner — Det kan finnas tekniska skäl till varför det är lämpligt för organisationen att bestämma metoden för behandling av personuppgifter, i enlighet med kundens allmänna instruktioner men utan kundens uttryckliga instruktioner. Till exempel att allokera specifika behandlingsresurser beroende på vissa egenskaper hos den personuppgifter som uppdragsgivaren ska behandla.
- Aktivera kundverifiering — Organisationen bör ge kunden möjlighet att verifiera att den följer principerna för ändamålsspecificering och begränsning.
- Utöka till underleverantörer — Detta säkerställer också att ingen personligt identifierbar information behandlas av organisationen eller någon av dess underleverantörer för andra ändamål än de som anges i kundens dokumenterade instruktioner.
- Se även A.2.2.6: Kundens skyldigheter för relaterade krav
Vägledningen har en pragmatisk balansgång: personuppgiftsbehandlare får fatta tekniska beslut om hur data ska behandlas effektivt, men de får inte ändra syftet med behandlingen. Kunden måste kunna kontrollera att denna gräns respekteras.
Hur kopplas detta till GDPR?
Kontroll A.2.2.3 mappas till följande GDPR- artiklar:
- Artikel 5 (1) (a) — Principen om laglighet, rättvisa och öppenhet
- Artikel 5 (1) (b) — Principen om ändamålsbegränsning, som kräver att personuppgifter samlas in för uttryckligt angivna och berättigade ändamål och inte behandlas vidare på ett sätt som är oförenligt med dessa ändamål.
- Artikel 28 (3) (a) — Personuppgiftsbehandlaren får endast behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige.
- Artikel 29 — Personuppgiftsbehandlaren får inte behandla personuppgifter annat än på instruktioner från den personuppgiftsansvarige
- Artikeln 32 (4) — En person som agerar under registerförarens överinseende och som har tillgång till personuppgifter får inte behandla dem annat än på instruktioner från den registeransvarige.
Enligt GDPR riskerar ett personuppgiftsbiträde som behandlar uppgifter utöver kundens dokumenterade instruktioner att omklassificeras som personuppgiftsansvarig för den behandlingen, med alla de rättsliga skyldigheter som det medför.
Vad har ändrats från ISO 27701:2019?
För en stegvis metod, se Övergången från 2019 till 2025.
I 2019 års utgåva åtgärdades detta krav inom den bredare klausulstrukturen. 2025 års utgåva tillhandahåller A.2.2.3 som en fristående kontroll med implementeringsvägledning i B.2.2.3 som förtydligar gränsen mellan legitimt tekniskt utrymme för skönsmässig bedömning och obehörig syftesutvidgning. Se bilaga F:s jämförelsetabell för den fullständiga mappningen.
Hantera all din efterlevnad, allt på ett ställe
ISMS.online stöder över 100 standarder och föreskrifter, vilket ger dig en enda plattform för alla dina efterlevnadsbehov.
Vilka bevis förväntar sig revisorer?
Vid bedömning av efterlevnaden av A.2.2.3 letar revisorer vanligtvis efter:
- Dokumenterade kundens instruktioner — Tydliga, skriftliga instruktioner från varje kund som specificerar syftena för vilka PII får behandlas
- Bearbetar register — Dokumentation som visar att faktiska bearbetningsaktiviteter överensstämmer med dokumenterade kundinstruktioner
- Verifieringsmekanismer — Bevis på att kunder kan verifiera efterlevnad av syftet, såsom revisionsrättigheter, rapporteringsmöjligheter eller instrumentpaneler för transparens
- Underleverantörskontroller — Bevis på att skyldigheten att begränsa ändamålet överförs till eventuella underleverantörer som är involverade i behandlingen av personuppgifter.
- Personalutbildning — Utbildningsdokument som visar att personalen förstår att de inte får behandla personuppgifter utöver kundens dokumenterade syften.
Vilka är de relaterade kontrollerna?
| kontroll | Förhållande |
|---|---|
| A.2.2.2 Kundavtal | Avtalet ska dokumentera ändamålen och instruktionerna för behandlingen. |
| A.2.2.4 Marknadsföring och reklamanvändning | Ett specifikt förbud mot att använda personuppgifter för marknadsföring utöver kundens instruktioner |
| A.2.2.5 Intrångsinstruktion | Behandlaren måste flagga kundens instruktioner som kan bryta mot lagen. |
| A.2.5.8 Anlitande av underleverantör | Underleverantörer måste också vara bundna av kundens ändamålsbegränsningar |
| A.2.2.7 Register över behandling | Register ska visa att behandlingen överensstämmer med dokumenterade syften. |
Vem gäller denna kontroll?
A.2.2.3 gäller exklusivt för personuppgiftsbehandlare . Det är en implementering av principen om ändamålsbegränsning på bearbetarsidan. Personuppgiftsansvariga definierar ändamålen; bearbetare måste strikt hålla sig inom dessa gränser. All behandling för organisationens egna ändamål (analys, produktförbättring, AI-utbildning) utan uttryckligt godkännande från kunden skulle bryta mot denna kontroll.
Kom igång enkelt med en personlig produktdemo
En av våra introduktionsspecialister kommer att guida dig genom vår plattform för att hjälpa dig komma igång med självförtroende.
Varför välja ISMS.online för efterlevnad av ändamålsbegränsning?
ISMS.online tillhandahåller praktiska verktyg för att demonstrera ändamålsbegränsning som personuppgiftsbiträde:
- Bearbetningsregister — Dokumentera och upprätthålla ett register över behandlingsaktiviteter per kund, kopplat till deras dokumenterade instruktioner och syften
- Spårning av kundinstruktioner — Registrera kundens instruktioner med versionshantering, så att du kan visa vilka instruktioner som gällde vid varje tidpunkt
- Underleverantörshantering — Begränsningar för flödesändamål ner till underleverantörer med kontraktsspårning och efterlevnadsövervakning
- Revisionsstöd — Förse kunderna med bevispaket som visar att syftet uppfylls, vilket stöder deras verifieringsrättigheter
- Policyhantering — Publicera och distribuera policyer för ändamålsbegränsning till personal med bekräftelsespårning
Vanliga frågor
Kan en personuppgiftsbehandlare använda PII för sin egen analys eller produktförbättring?
Inte utan uttryckligt tillstånd från kunden. Att använda kundens personliga information för personuppgiftsbiträdets egna ändamål – såsom att träna maskininlärningsmodeller, benchmarking, produktförbättring eller analys – är en behandling utöver de dokumenterade instruktionerna och bryter mot A.2.2.3. Enligt GDPR kan en personuppgiftsbiträde som ensidigt beslutar att behandla data för sina egna ändamål behandlas som registeransvarig för den behandlingen och ärva alla skyldigheter som registeransvarige och potentiellt ansvar.
Var går gränsen mellan tekniskt utrymme för skönsmässig bedömning och ändamålsutvidgning?
Tekniskt omdöme innebär att processorn kan bestämma hur kundens syfte ska uppnås effektivt – till exempel att välja vilka servrar som ska användas, hur bearbetningsresurser ska allokeras eller vilken cachningsstrategi som ska tillämpas. Ändamålsutökning innebär att processorn använder uppgifterna för ett syfte som kunden inte har instruerat dem om – till exempel att analysera PII-mönster för processorns egna affärsinsikter. Testet är om behandlingen tjänar kundens dokumenterade syfte eller processorns egna intressen.
Hur bör ändamålsbegränsningar kommuniceras till personalen?
All personal som har tillgång till kundens personliga information bör förstå att de endast får behandla den för de ändamål som dokumenterats i kundens instruktioner. Detta bör behandlas i introduktionsutbildning, förstärkas i regelbundna medvetenhetssessioner och återspeglas i rollbaserade åtkomstkontroller. Tekniska kontroller bör också tillämpa ändamålsbegränsning där det är möjligt – till exempel att begränsa dataexport, förhindra massnedladdningar och logga all åtkomst för revisionsändamål.
SaaS-organisationer står inför unika processorutmaningar – se vår guide för SaaS-plattformar.
Vår guide till krav på revisionsbevis täcker de bevis som revisorer förväntar sig för processorkontroller.
