Mitä kohta A.1.3.4 edellyttää?
Organisaation on annettava henkilötietojen rekisterinpitäjille selkeät ja helposti saatavilla olevat tiedot, joissa yksilöidään henkilötietojen rekisterinpitäjä ja kuvataan heidän henkilötietojensa käsittely.
Tämä ohjaus sijaitsee Velvollisuudet henkilövakuutuksen haltijaa kohtaan tavoite (A.1.3). Missä A.1.3.3 Tietoja henkilötietojen käsittelijöille määrittää, mitä tietoja annetaan ja milloin, A.1.3.4 keskittyy toimitukseen: miten tiedot esitetään, muotoillaan ja miten ne tehdään niitä tarvitsevien ihmisten saataville.
Mitä käyttöönotto-ohjeissa sanotaan?
Liite B (kohta B.1.3.4) antaa ohjeita tiedon laadusta ja toimittamisesta PII-päämiehille:
- Ytimekäs ja läpinäkyvä — Tiedon tulisi olla vapaata tarpeettomasta ammattikielestä ja esitetty helposti ymmärrettävällä tavalla
- Ymmärrettävä — Kirjoitettu kohdeyleisölle ottaen huomioon tekijät, kuten ikä, kieli ja lukutaito
- Helposti saavutettavissa — Henkilötietojen vastuuhenkilöiden ei pitäisi joutua etsimään tietoja laajasti. Niiden tulisi olla näkyvästi sijoitettuja ja esteettömästi saatavilla.
- Selkeä ja selkeä kieli — Vältä laki- tai teknistä kieltä aina kun mahdollista. Jos teknisiä termejä on tarpeen, anna selitykset.
- Kerrostetut ilmoitukset — Harkitse monimutkaiseen käsittelyyn kerrostetun lähestymistavan käyttöä, jossa lyhyt yhteenvetokerros linkittää yksityiskohtaisempiin tietoihin
- Nimetty yhteyspiste — Tarjoa erityinen yhteyshenkilö yksityisyyteen liittyviä tiedusteluja varten, jotta henkilötietojen käsittelystä vastaavien on helppo esittää kysymyksiä tai käyttää oikeuksiaan
- Katso myös A.1.3.7: Tietojen saaminen, korjaaminen tai poistaminen asiaankuuluvia vaatimuksia varten
- Katso myös A.1.3.8: Velvollisuus ilmoittaa kolmansille osapuolille asiaankuuluvia vaatimuksia varten
Ohjeistuksessa tunnustetaan, että yksittäinen muoto ei välttämättä toimi kaikille yleisöille, ja kannustetaan organisaatioita harkitsemaan useita jakelukanavia ja -muotoja.
Miten tämä vastaa GDPR:ää?
Kontrolli A.1.3.4 kohdistuu useisiin GDPR avoimuuden muotoon ja laatuun liittyvät määräykset:
- Article 12 (1) — Läpinäkyvyysvaatimus: tiedon on oltava ytimekästä, läpinäkyvää, ymmärrettävää ja helposti saatavilla, ja sen on oltava selkeää ja yksinkertaista.
- Article 12 (7) — Tietoja voidaan antaa yhdessä standardoitujen kuvakkeiden kanssa mielekkään yleiskuvan saamiseksi.
- Article 11 (2) — Säännökset tilanteisiin, joissa rekisterinpitäjä ei voi tunnistaa rekisteröityä
- Article 13 (3) — Vaatimus ilmoittaa käyttötarkoituksen muutoksista
- Article 21 (4) — Vastustamisoikeus on nimenomaisesti tuotava esiin ja esitettävä selkeästi
GDPR Artikla 12(1) on avoimuussäännöksen kulmakivi. Sääntelyviranomaiset ovat määränneet merkittäviä sakkoja tietosuojailmoituksista, jotka eivät läpäise selkeys- ja saavutettavuustestejä, vaikka vaaditut tiedot olisivat teknisesti saatavilla.
Miten tämä liittyy ISO 29100 -standardin mukaisiin yksityisyyden suojaa koskeviin periaatteisiin?
Tämä ohjausobjekti tukee kahta ISO 29100 -standardin mukaista tietosuojaperiaatetta:
- Avoimuus, läpinäkyvyys ja ilmoitusvelvollisuus — Vastaa suoraan vaatimukseen selkeästä ja helposti saatavilla olevasta viestinnästä käsittelykäytännöistä
- Yksilöllinen osallistuminen ja pääsy — Nimetyn yhteyspisteen tarjoaminen antaa yksilöille mahdollisuuden osallistua yksityisyytensä hallintaan
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.1.3.4 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Julkaistut tietosuojailmoitukset — Henkilövastuuvakuutusten päämiehille saatavilla olevat tosiasialliset ilmoitukset, joiden selkeys, saatavuus ja täydellisyys on arvioitu
- Luettavuuden arviointi — Todiste siitä, että ilmoituksia on tarkistettu selkeäkielisyyden osalta kohdeyleisö huomioon ottaen
- Kerrostettu ilmoitusrakenne — Jos käsittely on monimutkaista, näyttöä kerroksellisesta tai progressiivisesta tiedonantotavasta
- Monimuotoinen toimitus — Tietosuojatiedot saatavilla asiaankuuluvissa kanavissa (verkkosivusto, sovellus, myymälä, puhelin)
- Nimetyt yhteystiedot — Selkeästi julkaistu tietosuojayhteyshenkilö tai tietosuojavastaavan yhteystiedot
- Käyttäjätestaus tai palaute — Kaikki todisteet siitä, että PII-päälliköt voivat todella löytää ja ymmärtää annetut tiedot
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.1.3.3 Henkilötietojen määrittäminen päämiehille | Määrittää sisällön; A.1.3.4 ohjaa sen esittämistä ja toimittamista |
| A.1.3.2 Velvollisuudet henkilövakuutuksen haltijaa kohtaan | Yleiset velvoitteet, jotka ohjaavat tiedonantovaatimuksia |
| A.1.3.5 Suostumuksen muuttaminen tai peruuttaminen | Suostumuksen peruuttamismekanismit tulee tiedottaa selkeästi osana annettuja tietoja. |
| A.1.3.6 Vastusta henkilötietojen käsittelyä | Vastustamisoikeus on esitettävä selkeästi ja erillään muista tiedoista |
| A.1.3.10 Pyyntöjen käsittely | Yhteystietojen ja pyyntömenettelyjen tulisi sisältyä annettuihin tietoihin. |
| A.1.2.4 Suostumuksen määrittäminen | Suostumuksen keräämispisteet ovat keskeisiä hetkiä tietosuojatietojen toimittamisessa |
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tämä vaatimus oli osa kohtaa 7.3.3 (Tietojen antaminen henkilövakuutuksen vastuuhenkilöille). Vuoden 2025 painoksessa on säilytetty samat periaatteet, mutta siinä on etua selkeämmästä erottelusta seuraavien välillä: A.1.3.3 Tietoja henkilötietojen käsittelijöille (mitä tiedottaa) ja A.1.3.4 (miten tiedotetaan). Kerrostettujen ilmoitusten ja selkeän kielen painottaminen on edelleen keskeistä. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Aloita helposti henkilökohtaisella tuote-esittelyllä
Yksi perehdytysasiantuntijoistamme opastaa sinua alustamme läpi ja auttaa sinua alkuun luottavaisin mielin.
Miksi valita ISMS.online yksityisyystietojen toimittamisesta?
ISMS.online tukee tietosuojatietojen toimituksen koko elinkaarta:
- Tietosuojailmoituksen mallit — Aloita ammattimaisesti jäsennellyistä malleista, jotka on suunniteltu selkeiksi ja täydellisiksi ja joissa on selkeät ohjeet jokaiselle osiolle
- Kerrostettujen ilmoitusten tuki — Luo yhteen linkitettyjä yhteenveto- ja yksityiskohtaisia ilmoituskerroksia, mikä helpottaa monimutkaisten käsittelyjen kommunikointia
- Hyväksyntätyönkulut — Ohjaa luonnosilmoitukset oikeudellisten, vaatimustenmukaisuus- ja markkinointitarkastusten läpi ennen julkaisemista varmistaaksesi laadun ja johdonmukaisuuden
- Muutosilmoitukset — Kun käsittelytoiminnot muuttuvat, saat kehotteita päivittää vastaavat tietosuojailmoitukset ennen muutosten voimaantuloa
- Keskitetty yhteystietojen hallinta — Säilytä tietosuojaan liittyvät yhteystietosi yhdessä paikassa, linkitettynä kaikkiin ilmoituksiin ja pyyntölomakkeisiin
- Tarkastusrata — Osoita tilintarkastajille tarkalleen, mitä tietoja julkaistiin, milloin niitä päivitettiin ja kuka hyväksyi kunkin version
UKK
Mikä tekee tietosuojailmoituksesta "helposti saatavilla olevan"?
Helposti saatavilla oleva tarkoittaa, että henkilötietojen käsittelijöiden ei pitäisi joutua etsimään tietoja. Verkkosivustolla tämä tarkoittaa tyypillisesti näkyvää linkkiä jokaisen sivun alatunnisteessa tai otsikossa. Mobiilisovelluksissa se tarkoittaa, että tiedot ovat saatavilla sovelluksen sisältä ilman ulkoista navigointia. Offline-keruussa se tarkoittaa tulostettuja ilmoituksia, jotka ovat saatavilla keruupisteessä. Testinä on, voisiko kohtuullinen henkilö löytää tiedot vaikeuksitta.
Milloin kannattaa käyttää kerrostettua ilmoitusmenetelmää?
Kerrostetut ilmoitukset ovat erityisen hyödyllisiä silloin, kun käsittely on monimutkaista, siihen liittyy useita tarkoituksia tai henkilötietojen luokkia tai kun tilaa on rajoitetusti (kuten mobiililaitteissa tai fyysisissä keräyspisteissä). Lyhyt kerros tarjoaa tärkeimmät tiedot yhdellä silmäyksellä (kuka olet, mitä keräät ja miksi, tärkeimmät oikeudet) ja selkeän linkin koko ilmoitukseen. Tämä lähestymistapa tasapainottaa täydellisyyden tarpeen ja sen käytännön todellisuuden, että useimmat ihmiset eivät lue pitkää asiakirjaa.
Voiko tietosuojaselosteissa käyttää kuvakkeita tai visuaalisia elementtejä?
Kyllä, ja GDPR nimenomaisesti kannustaa siihen. Artikla 12(7) sallii tietojen antamisen yhdessä standardoitujen kuvakkeiden kanssa, jotta saadaan mielekäs yleiskuva helposti näkyvällä, ymmärrettävällä ja luettavalla tavalla. Kuvakkeet voivat auttaa välittämään keskeiset viestit nopeasti, mutta niiden tulisi täydentää tekstiä sen sijaan, että ne korvaisivat sen. Käytettyjen kuvakkeiden tulee olla johdonmukaisia ja kohdeyleisön helposti ymmärrettäviä.
Yhtiömme tarkastusevidenssivaatimusten opas yksityiskohdat, joita dokumentaation tarkastajat odottavat rekisteröityjen oikeuksien valvonnalta.
Näitä velvoitteita hallinnoivien tietosuojavastaavien tulisi lukea opas tietosuojavastaaville saadaksesi täydellisen yleiskatsauksen.
