Wat vereist controle A.1.4.2?
De organisatie beperkt de verzameling van persoonsgegevens tot het minimum dat relevant, proportioneel en noodzakelijk is voor de vastgestelde doeleinden.
Deze controle valt onder de doelstelling van PII-minimalisatie (A.1.4), die ervoor zorgt dat organisaties alleen de persoonsgegevens verzamelen en verwerken die ze daadwerkelijk nodig hebben. A.1.4.2 behandelt specifiek het moment van verzameling en vereist dat organisaties elk gegevensveld dat ze verzamelen kritisch beoordelen aan de hand van de doeleinden die ze hebben vastgelegd onder A.1.2.2.
Wat staat er in de implementatierichtlijnen?
Bijlage B (sectie B.1.4.2) bevat de volgende richtlijnen:
- Definieer en documenteer de databehoeften. — Voor elk verwerkingsdoel moet de organisatie duidelijk definiëren en documenteren welke persoonsgegevens precies nodig zijn, waardoor een direct verband ontstaat tussen het doel en de gegevensvelden.
- Evalueer periodiek de incassopraktijken. — De procedures voor gegevensverzameling mogen niet statisch blijven; ze moeten regelmatig worden herzien om ervoor te zorgen dat ze nog steeds aansluiten op de werkelijke verwerkingsbehoeften.
- Verzamel geen geld "voor het geval dat". De organisatie mag geen persoonsgegevens verzamelen op basis van de veronderstelling dat deze in de toekomst wellicht nuttig kunnen zijn.
- Overweeg alternatieven — Voordat u persoonsgegevens verzamelt, overweeg dan of het doel kan worden bereikt met minder persoonsgegevens of met geanonimiseerde gegevens.
- Zie ook A.1.4.4: Nauwkeurigheid en kwaliteit voor gerelateerde vereisten
- Zie ook A.1.4.7: Tijdelijke bestanden voor gerelateerde vereisten
Het praktische gevolg hiervan is dat elk formulierveld, elk gegevensinvoerpunt en elk intake-proces moet worden gerechtvaardigd aan de hand van een gedocumenteerd doel. Als een veld niet aan een specifiek, gedocumenteerd doel kan worden gekoppeld, mogen de gegevens niet worden verzameld.
Hoe verhoudt dit zich tot de AVG?
Controle A.1.4.2 verwijst naar twee belangrijke artikelen van de AVG :
- Artikel 5 (1) (b) — Doelbinding: persoonsgegevens moeten worden verzameld voor specifieke, expliciete en legitieme doeleinden.
- Artikel 5, lid 1, onder c) — Dataminimalisatie: persoonsgegevens moeten adequaat, relevant en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt.
Gezamenlijk vereisen deze GDPR- principes dat gegevensverzameling doelgericht en tot een minimum beperkt is, wat precies is wat A.1.4.2 operationaliseert binnen het ISO 27701-raamwerk.
Hoe verhoudt dit zich tot de privacybeginselen van ISO 29100?
Deze controle ondersteunt direct het ISO 29100- principe van beperking van de gegevensverzameling , dat stelt dat de verzameling van persoonsgegevens beperkt moet blijven tot wat binnen de grenzen van de toepasselijke wetgeving valt en strikt noodzakelijk is voor het beoogde doel. Het principe benadrukt dat organisaties moeten evalueren of de verzameling van persoonsgegevens werkelijk noodzakelijk is voordat ze deze implementeren.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Welk bewijsmateriaal verwachten auditors?
Bij het beoordelen van de naleving van A.1.4.2 zullen auditors doorgaans letten op:
- documenten ter rechtvaardiging van gegevensverzameling — Documentatie waaruit blijkt dat elk verzameld persoonsgegevensveld is gekoppeld aan een specifiek verwerkingsdoel.
- Formulier- en intakebeoordelingen — Bewijs van periodieke controles van gegevensverzamelingsformulieren, webformulieren en intake-processen om onnodige velden te verwijderen.
- Beoordelingen van gegevensminimalisatie — Verslagen van beoordelingen waarbij werd overwogen of geanonimiseerde of gepseudonimiseerde gegevens wellicht geschikter zouden zijn.
- Verander controle — Bewijs dat nieuwe gegevensverzamelingsvelden goedkeuring en onderbouwing vereisen voordat ze kunnen worden toegevoegd.
- Verslagen van trainingen — Bewijs dat medewerkers die betrokken zijn bij het ontwerpen van dataverzamelingsprocessen de minimaliseringsvereisten begrijpen.
Welke besturingselementen zijn hierbij betrokken?
| Controleer: | Verhouding |
|---|---|
| A.1.2.2 Doel identificeren en documenteren | De limieten voor het verzamelen van gegevens zijn gebaseerd op gedocumenteerde doeleinden. |
| A.1.4.3 Beperk de verwerking | Verwerkingslimieten vullen de verzamelingslimieten aan gedurende de gehele levenscyclus van de gegevens. |
| A.1.4.5 Doelstellingen voor het minimaliseren van PII | Definieert de overkoepelende minimaliseringsmechanismen die de beperking van de verzameling ondersteunen. |
| A.1.4.6 De-identificatie en verwijdering | Wanneer verzamelde persoonsgegevens niet langer nodig zijn, moeten ze worden geanonimiseerd of verwijderd. |
| A.1.2.4 Bepaal toestemming | Toestemming mag alleen betrekking hebben op persoonsgegevens die daadwerkelijk nodig zijn. |
Wat is er veranderd ten opzichte van ISO 27701:2019?
Voor een stapsgewijze aanpak, zie de overgang van 2019 naar 2025.
In de editie van 2019 werd de beperking van de gegevensverzameling behandeld onder clausule 7.4.1 (beperking van de gegevensverzameling). De controle van 2025 is inhoudelijk hetzelfde wat betreft de vereisten, maar de herziene opzet van bijlage A en bijlage B zorgt voor een duidelijkere scheiding tussen de normatieve controleverklaring en de implementatierichtlijnen. De formulering rond proportionaliteit is iets aangescherpt. Zie de correspondentietabel in bijlage F voor de volledige mapping.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Waarom kiezen voor ISMS.online voor het beheren van limieten voor het verzamelen van persoonsgegevens?
ISMS.online biedt u de structuur om beperkingen op het gebied van gegevensverzameling binnen uw organisatie af te dwingen en aan te tonen:
- Gegevensinventarisatie in kaart brengen — Koppel elk PII-veld aan het gedocumenteerde doel ervan, zodat direct duidelijk is welke velden gerechtvaardigd zijn en welke voor verwijdering in aanmerking komen.
- Werkprocessen voor het beoordelen van collecties — Plan periodieke evaluaties van de gegevensverzamelingspraktijken in met geautomatiseerde herinneringen en goedkeuringsworkflows.
- Wijzigingsverzoek volgen — Vereis een rechtvaardiging en goedkeuring voordat nieuwe PII-velden worden toegevoegd aan een verzamelproces.
- Doelkoppeling — Vergelijk automatisch verzamelpunten met uw register voor verwerkingsdoeleinden om hiaten of overmatige verzameling te identificeren.
- Controlespoor — Houd een volledig overzicht bij van incassobeslissingen, beoordelingen en wijzigingen als bewijsmateriaal voor de auditor.
Veelgestelde vragen
Hoe bepaal je welke persoonsgegevens "noodzakelijk" zijn voor een bepaald doel?
Vraag jezelf af of het verwerkingsdoel kan worden bereikt zonder elk afzonderlijk gegevensveld. Als het verwijderen van een veld het bereiken van het beoogde doel niet in de weg staat, is het waarschijnlijk niet nodig. Overweeg of het doel kan worden bereikt met minder gedetailleerde gegevens (bijvoorbeeld leeftijdsbereik in plaats van geboortedatum) of met geanonimiseerde gegevens. Documenteer de redenen voor elk veld dat je behoudt.
Kunnen optionele velden in formulieren nog steeds aan deze controle voldoen?
Optionele velden zijn niet automatisch niet-conform, maar ze vereisen wel controle. Elk optioneel veld moet nog steeds gekoppeld zijn aan een gedocumenteerd doel, en de organisatie moet kunnen uitleggen waarom het veld bestaat, zelfs als het niet verplicht is. Als een optioneel veld geen gedocumenteerd doel dient, moet het worden verwijderd, ongeacht of het verplicht of optioneel is.
Hoe vaak moeten de incassoprocedures worden geëvalueerd?
De norm schrijft geen specifieke beoordelingsfrequentie voor. Het is echter aan te raden om de procedures voor gegevensverzameling minstens jaarlijks te evalueren als onderdeel van uw PIMS-managementevaluatie, en bovendien telkens wanneer een nieuw verwerkingsdoel wordt geïntroduceerd, een bestaand doel verandert of een gegevensbeschermingseffectbeoordeling wordt uitgevoerd.
Raadpleeg onze handleiding met vereisten voor auditbewijs voor het specifieke bewijsmateriaal dat auditors verwachten met betrekking tot gegevenskwaliteit en controles ter minimalisering van gegevensverlies.
Neem deze beheersmaatregel op in uw Verklaring van Toepasselijkheid, inclusief uw onderbouwing voor de toepasbaarheid ervan.
