Wat zijn de PII-controllercontroles in ISO 27701:2025?
Tabel A.1 van bijlage A van ISO 27701:2025 definieert 31 beheersmaatregelen die van toepassing zijn op elke organisatie die optreedt als verwerkingsverantwoordelijke voor persoonsgegevens. Een verwerkingsverantwoordelijke voor persoonsgegevens is een organisatie die de doeleinden en middelen bepaalt voor de verwerking van persoonsgegevens.
Deze beheersmaatregelen zijn onderverdeeld in vier doelstellingen:
- Voorwaarden voor verzameling en verwerking (A.1.2) — 8 beheersmaatregelen met betrekking tot wettelijke grondslag, toestemming, privacy-effectbeoordeling, contracten en gegevens
- Verplichtingen jegens PII-principals (A.1.3) — 10 beheersmaatregelen met betrekking tot transparantie, rechten van betrokkenen, geautomatiseerde besluitvorming en de afhandeling van verzoeken.
- Privacy door ontwerp en privacy standaard (A.1.4) — 9 beheersmaatregelen met betrekking tot dataminimalisatie, -bewaring, -verwijdering en -overdracht
- Delen, overdragen en openbaar maken van persoonsgegevens (A.1.5) — 4 controles met betrekking tot grensoverschrijdende overdrachten en openbaarmakingsgegevens
Voor elke beheersmaatregel zijn er bijbehorende implementatierichtlijnen in Bijlage B (sectie B.1). Zo zijn de richtlijnen voor beheersmaatregel A.1.2.2 Doel identificeren en documenteren te vinden in B.1.2.2.
Voorwaarden voor verzameling en verwerking (A.1.2)
Doelstelling: Aantonen dat de verwerking rechtmatig is, een wettelijke basis heeft volgens de toepasselijke wetgeving en duidelijke en legitieme doeleinden dient.
| Controleer: | Onderwerp | Samenvatting |
|---|---|---|
| A.1.2.2 Doel identificeren en documenteren | Identificeer en documenteer het doel | Identificeer en documenteer de specifieke doeleinden waarvoor persoonsgegevens zullen worden verwerkt. |
| A.1.2.3 Identificeer de wettelijke grondslag | Identificeer de wettelijke grondslag | Bepaal, documenteer en toon aan dat aan de relevante wettelijke grondslag is voldaan. |
| A.1.2.4 Vaststellen van toestemming | Bepaal wanneer en hoe toestemming verkregen moet worden. | Beschrijf een proces om aan te tonen of, wanneer en hoe toestemming is verkregen. |
| A.1.2.5 Toestemming verkrijgen en vastleggen | Verkrijg en leg toestemming vast. | Verkrijg en registreer toestemming van de betrokkenen bij de verwerking van persoonsgegevens volgens de gedocumenteerde procedures. |
| A.1.2.6 Privacy-impactbeoordeling | Beoordeling van de impact op de privacy | Beoordeel de noodzaak van en voer privacy-impactbeoordelingen uit voor nieuwe of gewijzigde verwerkingen. |
| A.1.2.7 Contracten met PII-verwerkers | Contracten met verwerkers van persoonsgegevens | Zorg ervoor dat schriftelijke contracten met verwerkers van persoonsgegevens de juiste bepalingen bevatten. bijlage A controles |
| A.1.2.8 Gezamenlijke PII-controller | Gezamenlijke PII-controller | Bepaal de rollen en verantwoordelijkheden met eventuele gezamenlijke verwerkingsverantwoordelijken voor persoonsgegevens. |
| A.1.2.9 Registraties van de verwerking van persoonsgegevens | Gegevens met betrekking tot de verwerking van persoonsgegevens | Bepaal en bewaar op veilige wijze gegevens ter ondersteuning van de verplichtingen met betrekking tot de verwerking van persoonsgegevens. |
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Verplichtingen jegens PII-principals (A.1.3)
Doelstelling: Ervoor zorgen dat betrokkenen de juiste informatie ontvangen over de verwerking van hun persoonsgegevens en dat aan alle andere toepasselijke verplichtingen wordt voldaan.
| Controleer: | Onderwerp | Samenvatting |
|---|---|---|
| A.1.3.2 Verplichtingen jegens PII-principals | Het vaststellen en nakomen van verplichtingen jegens opdrachtgevers met betrekking tot persoonsgegevens. | Bepaal en documenteer de wettelijke, regelgevende en zakelijke verplichtingen ten aanzien van persoonsgegevens. |
| A.1.3.3 Informatie voor PII-hoofdpersonen | Informatie voor persoonsgegevens vaststellen | Bepaal en documenteer welke informatie aan de betrokkenen moet worden verstrekt en wanneer. |
| A.1.3.4 Informatie verstrekken | Informatie verstrekken aan persoonsgegevens | Verstrek duidelijke, toegankelijke informatie over de verwerkingsverantwoordelijke en beschrijf de verwerking. |
| A.1.3.5 Toestemming wijzigen of intrekken | Een mechanisme bieden om toestemming te wijzigen of in te trekken | Bied een mechanisme waarmee betrokkenen hun toestemming kunnen wijzigen of intrekken. |
| A.1.3.6 Bezwaar tegen de verwerking van persoonsgegevens | Een mechanisme bieden om bezwaar te maken tegen de verwerking van persoonsgegevens. | Bied een mechanisme waarmee betrokkenen bezwaar kunnen maken tegen de verwerking van persoonsgegevens. |
| A.1.3.7 Toegang, correctie of verwijdering | Toegang, correctie of verwijdering | Implementeer beleid en mechanismen om te voldoen aan de verplichtingen met betrekking tot toegang, correctie of verwijdering van gegevens. |
| A.1.3.8 Derden informeren | Verplichtingen van verantwoordelijken voor persoonsgegevens om derden te informeren | Informeer derden over wijzigingen, intrekkingen of bezwaren met betrekking tot gedeelde persoonsgegevens. |
| A.1.3.9 Het verstrekken van een kopie van persoonsgegevens | Het verstrekken van een kopie van de verwerkte persoonsgegevens. | Verstrek een kopie van de verwerkte persoonsgegevens wanneer de betrokkene daarom verzoekt. |
| A.1.3.10 Verzoeken afhandelen | Verzoeken afhandelen | Definieer en documenteer beleid voor het afhandelen van legitieme verzoeken van betrokkenen met betrekking tot persoonsgegevens. |
| A.1.3.11 Geautomatiseerde besluitvorming | Geautomatiseerde besluitvorming | Identificeer verplichtingen die voortvloeien uit beslissingen die uitsluitend gebaseerd zijn op geautomatiseerde verwerking van persoonsgegevens. |
Privacy door ontwerp en privacy standaard (A.1.4)
Doelstelling: Ervoor zorgen dat processen en systemen zodanig zijn ontworpen dat het verzamelen en verwerken van persoonsgegevens beperkt blijft tot wat noodzakelijk is voor het beoogde doel.
| Controleer: | Onderwerp | Samenvatting |
|---|---|---|
| A.1.4.2 Limietverzameling | Beperk de verzameling | Beperk de verzameling van persoonsgegevens tot het minimum dat relevant, proportioneel en noodzakelijk is. |
| A.1.4.3 Beperkte verwerking | Beperk de verwerking | Beperk de verwerking tot wat adequaat, relevant en noodzakelijk is voor de vastgestelde doeleinden. |
| A.1.4.4 Nauwkeurigheid en kwaliteit | Nauwkeurigheid en kwaliteit | Zorg ervoor dat persoonsgegevens gedurende hun hele levenscyclus nauwkeurig, volledig en actueel zijn. |
| A.1.4.5 PII-minimalisatie | doelstellingen voor het minimaliseren van persoonsgegevens | Definieer en documenteer de doelstellingen en mechanismen voor dataminimalisatie. |
| A.1.4.6 De-identificatie en verwijdering | PII-anonimisering en -verwijdering | Verwijder persoonsgegevens of maak ze onherkenbaar wanneer ze niet langer nodig zijn. |
| A.1.4.7 Tijdelijke bestanden | Tijdelijke bestanden | Verwijder tijdelijke bestanden van de verwerking van persoonsgegevens binnen een gedocumenteerde periode. |
| A.1.4.8 Retentie | Retentie | Bewaar persoonsgegevens niet langer dan nodig is voor de verwerking. |
| A.1.4.9 Afvalverwerking | Beschikking | Beschik over gedocumenteerd beleid, procedures en mechanismen voor de verwijdering van persoonsgegevens. |
| A.1.4.10 PII-transmissiebesturing | PII-transmissiecontroles | Persoonsgegevens van de betrokkene worden via netwerken naar de juiste controleorganen verzonden. |
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Delen, overdragen en openbaar maken van persoonsgegevens (A.1.5)
Doel: Vaststellen of en documenteren wanneer persoonsgegevens worden gedeeld, overgedragen of openbaar gemaakt in overeenstemming met de toepasselijke verplichtingen.
| Controleer: | Onderwerp | Samenvatting |
|---|---|---|
| A.1.5.2 Grondslag voor PII-overdracht | Bepaal de grondslag voor de overdracht van persoonsgegevens tussen rechtsgebieden. | Identificeer en documenteer de grondslag voor internationale overdrachten van persoonsgegevens. |
| A.1.5.3 Landen voor de overdracht van persoonsgegevens | Landen en internationale organisaties voor de overdracht van persoonsgegevens. | Specificeer en documenteer naar welke landen en organisaties persoonsgegevens kunnen worden overgedragen. |
| A.1.5.4 Registraties van PII-overdracht | Registraties van de overdracht van persoonsgegevens | Registreer de overdracht van persoonsgegevens van en naar derden en zorg voor samenwerking. |
| A.1.5.5 Registraties van openbaarmakingen van persoonsgegevens | Registraties van openbaarmakingen van persoonsgegevens aan derden | Leg de openbaarmakingen vast, inclusief wat er is openbaar gemaakt, aan wie en wanneer. |
Hoe verhouden deze controles zich tot de AVG?
De beheersmaatregelen voor persoonsgegevens sluiten grotendeels aan op de vereisten van de AVG . Belangrijke verbanden zijn onder meer:
- A.1.2 (Verzameling en verwerking) Dit komt overeen met de artikelen 5-6 van de AVG (beginselen en wettelijke grondslag), artikel 7 (toestemming) en artikelen 8-9 (kinderen en bijzondere categorieën).
- A.1.3 (Verplichtingen jegens PII-principaalpersonen) Dit komt overeen met de artikelen 12-22 van de AVG (rechten van de betrokkene, waaronder inzage, correctie, verwijdering, gegevensoverdracht en geautomatiseerde besluitvorming).
- A.1.4 (Privacy door ontwerp) sluit aan op artikel 25 van de AVG (gegevensbescherming door ontwerp en standaardinstellingen) en artikel 5(1)(c-e) (minimalisering, nauwkeurigheid, beperking van de opslag).
- A.1.5 (Overdrachten) Dit verwijst naar de artikelen 44-49 van de AVG (internationale overdrachten, adequaatheid, waarborgen, BCR's).
Waarom kiezen voor ISMS.online voor naleving van de PII-regelgeving?
ISMS.online helpt u bij het implementeren en onderbouwen van elke controle uit Tabel A.1:
- Voorgebouwd besturingskader — Alle 31 controllerbedieningselementen zijn in kaart gebracht en klaar voor uw toepassingsverklaring.
- Toestemmingsbeheer — Documenteer toestemmingsprocedures, registraties en intrekkingsmechanismen
- PIA-workflow — Voer privacy-impactbeoordelingen uit en houd de resultaten bij met behulp van sjabloonformulieren.
- Registratie van verzoeken van betrokkenen — Registreer en beheer toegangs-, correctie- en verwijderingsverzoeken met SLA-tracking.
- Overdrachtsgegevens — Houd een register bij van internationale overboekingen met documentatie van de wettelijke grondslag.
- Contractbeheer voor processoren — Houd contracten, due diligence-onderzoeken en nalevingsverplichtingen bij voor elke verwerker.
Veelgestelde vragen
Zijn alle 31 besturingselementen van toepassing op elke PII-controller?
Niet per se. U moet alle van toepassing zijnde beheersmaatregelen in uw toepassingsverklaring opnemen, maar beheersmaatregelen kunnen worden uitgesloten als uit uw risicobeoordeling blijkt dat ze niet nodig zijn of als ze niet vereist zijn door de toepasselijke wetgeving. Elke uitsluiting moet worden gemotiveerd.
Wat is het verschil tussen tabel A.1 en tabel A.3?
Tabel A.1 bevat beheersmaatregelen die specifiek zijn voor verantwoordelijken voor persoonsgegevens (bijv. toestemming, rechten van de betrokkene, privacy-effectbeoordelingen). Tabel A.3 bevat informatiebeveiligingsmaatregelen die van toepassing zijn op zowel verantwoordelijken als verwerkers van persoonsgegevens (bijv. toegangscontrole, logging, cryptografie). Als verantwoordelijke voor persoonsgegevens zijn beide tabellen op u van toepassing.
Waar vind ik de implementatiehandleiding voor deze controles?
Bijlage B, sectie B.1, bevat implementatierichtlijnen voor elke controle in Tabel A.1. De nummering komt direct overeen: de richtlijnen voor A.1.2.2 Doel identificeren en documenteren staan bij B.1.2.2, de richtlijnen voor A.1.3.7 Toegang, correctie of verwijdering staan bij B.1.3.7, enzovoort.
Leg uw keuzes voor de controllercontrole vast in een Verklaring van Toepasselijkheid om uw onderbouwing aan auditors te kunnen toelichten.
Functionarissen voor gegevensbescherming (DPO's) kunnen een beknopt overzicht van hun verplichtingen als verwerkingsverantwoordelijke vinden in onze handleiding voor DPO's.
Raadpleeg onze handleiding met vereisten voor auditbewijs om te zien wat auditors verwachten met betrekking tot deze controles.
