Miksi GDPR:n artiklalla 27 on merkitystä: EU:n ulkopuolisten yritysten vaatimustenmukaisuuden varmistaminen
GDPR Artikla 27 käsittelee suurelta osin Yhdistyneen kuningaskunnan (tai EU:n) kansalaisten oikeuksien suojaamista, jos heidän tietojaan käsittelevät organisaatiot heidän kotimaansa ulkopuolella (tai heidän asuinpaikkansa poliittisen liiton ulkopuolella), suurelta osin nimeämällä muodollinen edustaja.
GDPR artiklan 27 lakiteksti
EU:n GDPR-versio
Rekisterinpitäjien tai henkilötietojen käsittelijöiden edustajat, jotka eivät ole sijoittautuneet unioniin
- Jos sovelletaan 3 artiklan 2 kohtaa, rekisterinpitäjän tai henkilötietojen käsittelijän on nimettävä kirjallisesti edustaja unionissa.
- Tämän artiklan 1 kohdassa säädettyä velvollisuutta ei sovelleta:
- Käsittely, joka on satunnaista, ei sisällä laajamittaista 9 artiklan 1 kohdassa tarkoitettua erityisten tietoluokkien käsittelyä tai 10 artiklassa tarkoitettuihin rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittelyä, ja se ei todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, kun otetaan huomioon käsittelyn luonne, asiayhteys, laajuus ja tarkoitukset; tai
- Julkinen viranomainen tai elin.
- Edustajan on oltava sijoittautunut johonkin niistä jäsenvaltioista, joissa rekisteröidyt, joiden henkilötietoja käsitellään tavaroiden tai palveluiden tarjoamisen yhteydessä tai joiden käyttäytymistä seurataan, ovat.
- Rekisterinpitäjän tai henkilötietojen käsittelijän on valtuutettava ottamaan edustajan puoleen rekisterinpitäjän tai henkilötietojen käsittelijän lisäksi tai sijasta erityisesti valvontaviranomaiset ja rekisteröidyt kaikissa käsittelyyn liittyvissä kysymyksissä tämän säännösten noudattamisen varmistamiseksi. Säätö.
- Rekisterinpitäjän tai henkilötietojen käsittelijän nimeämä edustaja ei rajoita oikeustoimia, jotka voidaan aloittaa rekisterinpitäjää tai käsittelijää itseään vastaan.
Yhdistyneen kuningaskunnan GDPR-versio
Rekisterinpitäjien tai käsittelijöiden edustajat, jotka eivät ole sijoittautuneet Yhdistyneeseen kuningaskuntaan
- Jos sovelletaan 3 artiklan 2 kohtaa, rekisterinpitäjän tai henkilötietojen käsittelijän on nimettävä kirjallisesti edustaja Yhdistyneessä kuningaskunnassa.
- Tämän artiklan 1 kohdassa säädettyä velvollisuutta ei sovelleta:
- Käsittely, joka on satunnaista, ei sisällä laajamittaista 9 artiklan 1 kohdassa tarkoitettua erityisten tietoluokkien käsittelyä tai 10 artiklassa tarkoitettuihin rikostuomioihin ja rikoksiin liittyvien henkilötietojen käsittelyä, ja se ei todennäköisesti aiheuttaa riskin luonnollisten henkilöiden oikeuksille ja vapauksille, kun otetaan huomioon käsittelyn luonne, asiayhteys, laajuus ja tarkoitukset; tai
- Julkinen viranomainen tai elin.
- Rekisterinpitäjän tai henkilötietojen käsittelijän on valtuutettava ottamaan edustajan puoleen rekisterinpitäjän tai henkilötietojen käsittelijän lisäksi tai sijasta erityisesti komissaari ja rekisteröidyt kaikissa käsittelyyn liittyvissä kysymyksissä tämän säännösten noudattamisen varmistamiseksi. Säätö.
- Rekisterinpitäjän tai henkilötietojen käsittelijän nimeämä edustaja ei rajoita oikeustoimia, jotka voidaan aloittaa rekisterinpitäjää tai käsittelijää itseään vastaan.
Tekninen kommentti
Jatkuvaa noudattamista mitataan GDPR:n artiklan 27 mukaan neljällä pääalueella:
- Soveltamisedellytykset – eli kuka voi edustaa rekisterinpitäjää, olipa kyseessä sitten asianajotoimisto, konsulttitoimisto tai yksityinen yritys;
- Poikkeukset;
- missä edustajien tulisi sijaita;
- Edustajan velvollisuudet ja vastuut.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
ISO 27701 -lauseke 6.3.1.1 (Tietoturvaroolit ja -vastuut) ja EU:n GDPR:n artikla 27
Tässä osiossa puhumme GDPR-artikkeleista 27 (1), (2) (a), (2) (b), (3), (4) ja (5).
Organisaatioiden tulee määritellä roolit ja vastuut, jotka liittyvät yksityisyyden suojakäytäntöihin sisältyviin yksittäisiin toimintoihin – sekä yleisiin että aihekohtaisiin käytäntöihinsä.
Henkilöiden, joilla on erityisiä vastuita, tulee olla riittävän taitavia suorittamaan yksityisyyteen liittyviä tehtäviä, joihin tulisi kuulua:
- Henkilökohtaisten tunnistetietojen ja kaiken yksityisyyteen liittyvän omaisuuden suojaaminen;
- Yksityisyyden suojamenettelyjen toteuttaminen;
- Henkilökohtaisiin tietoihin liittyvät riskinhallintatoimet, mukaan lukien korjaavat toimet;
- Jokainen, joka käyttää organisaation tietoja, mukaan lukien ICT-omaisuuden käyttö;
- Yksityisyyden suojasta ylimmän tason vastuulla olevat henkilöt, jotka delegoivat tehtäviä muille.
ISO tunnustaa, että jokainen organisaatio on ainutlaatuinen tapa käsitellä tietoja. Edellä mainittuihin vastuualueisiin tulee liittää toimipaikka- ja toimitilakohtaiset ohjeet, joissa otetaan huomioon organisaation PII-käsittelyn toimintaan vaikuttavat todelliset tekijät.
Kaikki edellä mainitut vastuut ja turvallisuusalueet tulee dokumentoida selkeästi ja asettaa kaikkien asianomaisten henkilöstön jäsenten saataville.
Organisaatioiden tulee nimetä henkilö, jota asiakkaat (ja ulkopuoliset viranomaiset) voivat käyttää yhteyshenkilönä kaikissa henkilökohtaisiin tietoihin liittyvissä asioissa (katso ISO 27701, kohta 7.3.2).
Lisäksi organisaatioiden tulee siirtää vastuu yhdelle tai useammalle henkilölle sellaisen organisaation yksityisyyden hallintaohjelman luomisesta, joka tukee paikallisten ja kansallisten henkilökohtaisia tunnistetietoja koskevien lakien ja määräysten noudattamista.
Tukee ISO 27701 -lausekkeita
- ISO 27701, kohta 7.3.2
Hakemisto linkitetyistä EU:n GDPR-artikkeleista ja ISO 27701 -lausekkeista
| GDPR-artikkeli | ISO 27701 -lauseke | ISO 27701 -tukilausekkeet |
|---|---|---|
| EU:n GDPR:n artiklat 27 (1)–(5) | ISO 27701 6.3.1.1 | ISO 27701 7.3.2 |
Miten ISMS.online auttaa
Meillä on helppokäyttöisiä ominaisuuksia, joiden avulla voit aloittaa tietosuojan parissa työskentelemisen heti kirjautuessasi sisään riippumatta siitä, oletko aloittelija vai asiantuntija, joka haluaa integroida useita standardeja ja säädöksiä.
Tietojen kartoitus on helppoa PIMS-ratkaisumme avulla. Valmiiksi määritettyjen dynaamisten käsittelytoimintojen tietueet -työkalumme avulla voit helposti tallentaa ja tarkistaa kaiken.
Jos työskentelet tietosuojastandardien tai määräysten parissa, sinun on osoitettava, että hallitset Data Subject Rights Requests (DRR) -pyyntöjä hyvin. Suojattu DRR-tilamme pitää kaiken yhdessä paikassa ja tukee sitä automaattisella raportoinnilla ja oivalluksilla.
Ota selvää, kuinka voimme auttaa sinua saavuta GDPR-tavoitteesi varaamalla 30 minuutin demo.
