Wat vereist controle A.1.2.2?
De organisatie dient de specifieke doeleinden waarvoor de persoonsgegevens worden verwerkt te identificeren en te documenteren.
Deze controle valt onder de doelstelling 'Voorwaarden voor verzameling en verwerking' (A.1.2), die erop gericht is aan te tonen dat de verwerking rechtmatig is, een wettelijke basis heeft volgens de toepasselijke jurisdicties en duidelijke en legitieme doeleinden dient.
Wat staat er in de implementatierichtlijnen?
Bijlage B (sectie B.1.2.2) bevat de volgende richtlijnen:
- De organisatie moet ervoor zorgen dat de betrokkenen begrijpen voor welk doel hun persoonsgegevens worden verwerkt.
- Het is de verantwoordelijkheid van de organisatie om dit duidelijk te documenteren en te communiceren aan de betrokkenen.
- Zonder een duidelijke doelstelling kunnen toestemming en keuzevrijheid niet adequaat worden gewaarborgd.
- De documentatie van de doeleinden moet voldoende duidelijk en gedetailleerd zijn om de informatie te onderbouwen die aan de betrokkenen bij de verwerking van persoonsgegevens wordt verstrekt (zie A.1.3.3 Informatie voor PII-hoofdpersonen)
- De doeldocumentatie moet de informatie bevatten die nodig is om toestemming te verkrijgen (zie A.1.2.4 Vaststellen van toestemming) en gedocumenteerde informatie over beleid en procedures (zie A.1.2.9 Registraties van de verwerking van persoonsgegevens)
- Zie ook A.1.2.5: Toestemming verkrijgen en vastleggen voor gerelateerde vereisten
- Zie ook A.1.3.5: Toestemming wijzigen of intrekken voor gerelateerde vereisten
De richtlijn vermeldt tevens dat de taxonomie en definities in ISO/IEC 19944-1 nuttig kunnen zijn voor het beschrijven van verwerkingsdoeleinden in cloudcomputingcontexten.
Hoe verhoudt dit zich tot de AVG?
Controle A.1.2.2 komt overeen met artikel 5(1)(b) van de AVG (beginsel van doelbinding) en artikel 32(4) (waarin wordt gewaarborgd dat personen die onder een autoriteit handelen, alleen op instructie handelen). De AVG vereist dat persoonsgegevens worden verzameld voor specifieke, expliciete en legitieme doeleinden en niet verder worden verwerkt op een wijze die onverenigbaar is met die doeleinden.
Hoe verhoudt dit zich tot de privacybeginselen van ISO 29100?
Deze controle ondersteunt twee privacyprincipes van ISO 29100:
- Instemming en keuze — Duidelijke doelomschrijving maakt zinvolle toestemming mogelijk
- Doel, legitimiteit en specificatie — Voldoet direct aan de eis voor specifieke, legitieme doeleinden
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Welk bewijsmateriaal verwachten auditors?
Bij het beoordelen van de naleving van A.1.2.2 zullen auditors doorgaans letten op:
- Register voor verwerkingsdoeleinden — Een gedocumenteerde lijst van alle activiteiten met betrekking tot de verwerking van persoonsgegevens, met vermelding van de bijbehorende doeleinden.
- Privacykennisgevingen — Bewijs dat de doelen op een duidelijke en begrijpelijke manier aan de betrokkenen worden gecommuniceerd.
- Registratie van verwerkingsactiviteiten — Gedocumenteerde gegevens waaruit de doeleinden voor elke categorie van verwerkte persoonsgegevens blijken
- Verandermanagement — Bewijs dat nieuwe verwerkingsdoeleinden worden beoordeeld en gedocumenteerd voordat de verwerking begint.
- Afstemming met toestemmingsregistraties — Dat de in de toestemmingsformulieren vastgelegde doeleinden overeenkomen met de daadwerkelijk uitgevoerde verwerking.
Welke besturingselementen zijn hierbij betrokken?
| Controleer: | Verhouding |
|---|---|
| A.1.2.3 Identificeer de wettelijke grondslag | Zodra de doelen zijn vastgesteld, moet de wettelijke grondslag voor elk doel worden geïdentificeerd. |
| A.1.2.4 Bepaal toestemming | Toestemmingsprocedures zijn afhankelijk van duidelijk gedocumenteerde doelen. |
| A.1.2.9 Registraties van de verwerking van persoonsgegevens | Doelgerichte documentatie vormt de basis voor de verwerkingsregistratie. |
| A.1.3.3 Informatie voor PII-hoofdpersonen | Doelstellingen moeten worden gecommuniceerd aan de betrokkenen. |
| A.1.3.4 Informatie verstrekken | Duidelijke en toegankelijke doelomschrijvingen in privacyverklaringen |
| A.1.4.3 Beperk de verwerking | De verwerking moet beperkt blijven tot wat noodzakelijk is voor de gedocumenteerde doeleinden. |
Wat is er veranderd ten opzichte van ISO 27701:2019?
Voor een stapsgewijze aanpak, zie de overgang van 2019 naar 2025.
In de editie van 2019 maakte deze eis deel uit van clausule 7.2.1 (doel identificeren en documenteren). De inhoud van de controle is in wezen hetzelfde in de editie van 2025, maar is nu opgenomen in tabel A.1 met een duidelijkere scheiding tussen de controleverklaring (A.1.2.2) en de implementatierichtlijnen (B.1.2.2). Zie de correspondentietabel in bijlage F voor de volledige mapping.
Waarom kiezen voor ISMS.online voor verwerkingsdoeleinden?
ISMS.online biedt praktische hulpmiddelen voor het documenteren en beheren van verwerkingsdoeleinden:
- Verwerkingsactiviteitenregister — Documenteer elke verwerkingsactiviteit met het vermelde doel, de categorieën persoonsgegevens en de wettelijke grondslag.
- Beheer van privacyverklaringen — Zorg voor versiebeheer van privacyverklaringen die gekoppeld zijn aan de doeleinden van de verwerking.
- Wijzigingen bijhouden — Registreer wanneer doelen worden toegevoegd, gewijzigd of verwijderd, met een volledig auditspoor.
- Kruisverwijzingen — Koppel doeleinden aan toestemmingsregistraties, privacy-effectbeoordelingen en verzoeken van betrokkenen
- Controlebewijs — Documentatie over het exportdoel als onderdeel van uw bewijsmateriaalpakket
Veelgestelde vragen
Hoe gedetailleerd moet de doelstellingdocumentatie zijn?
Voldoende duidelijk en gedetailleerd, zodat het kan worden gebruikt als onderdeel van de informatie die aan betrokkenen wordt verstrekt en als basis voor het verkrijgen van toestemming. Vage doelen zoals 'bedrijfsvoering' of 'verbetering van de dienstverlening' voldoen waarschijnlijk niet aan deze norm. Elk doel moet het specifieke resultaat van de verwerking beschrijven.
Wat gebeurt er als het doel verandert nadat de collectie is verzameld?
Elk nieuw doel moet worden gedocumenteerd en beoordeeld op compatibiliteit met het oorspronkelijke doel. Als het nieuwe doel niet compatibel is, is doorgaans aanvullende toestemming of een aparte wettelijke grondslag vereist. De wijziging moet worden doorgevoerd in bijgewerkte privacyverklaringen en verwerkingsgegevens.
Geldt dit ook voor PII-verwerkers?
A.1.2.2 is een controlemaatregel voor de verwerking van persoonsgegevens. Verwerkers van persoonsgegevens hebben een verwante, maar andere verplichting onder A.2.2.3 Doelstellingen van de organisatie (Organisatiedoelen), die vereist dat zij persoonsgegevens alleen verwerken voor de doeleinden die zijn vastgelegd in de instructies van de klant.
Beschrijf in uw toepassingsverklaring hoe deze controle van toepassing is op uw organisatie.
Raadpleeg onze handleiding met vereisten voor auditbewijs om te zien wat auditors verwachten bij de beoordeling van deze controle.
