Mitä kohta A.1.4.4 edellyttää?
Organisaation on varmistettava ja dokumentoitava, että henkilötiedot ovat niin tarkkoja, täydellisiä ja ajantasaisia kuin on tarpeen niiden käsittelytarkoitusten kannalta, henkilötietojen koko elinkaaren ajan.
Tämä ohjaus sijaitsee Henkilökohtaisten tietojen minimointi tavoite (A.1.4) ja käsittelee datan laatuun liittyvää ulottuvuutta, joka ulottuu määrää pidemmälle. Vaikka keräisit vain tarvittavan vähimmäismäärän henkilötietoja (A.1.4.2), että tietojen on pysyttävä tarkoituksenmukaisina koko elinkaarensa ajan. Virheelliset henkilötiedot voivat johtaa vääriin päätöksiin, palvelujen epäämiseen tai yksilölle aiheutuvaan vahinkoon, erityisesti silloin, kun automatisoitu päätöksenteko (A.1.3.11) on mukana.
Mitä käyttöönotto-ohjeissa sanotaan?
Liitteessä B (kohta B.1.4.4) annetaan seuraavat ohjeet:
- Tarkista tarkkuus keräyksen yhteydessä — Toteuta menettelyt henkilötietojen paikkansapitävyyden tarkistamiseksi keräysvaiheessa, kuten validointisäännöt, varmennustarkastukset ja vahvistusvaiheet
- Säilytä tarkkuus säilytyksen aikana — Ota käyttöön prosessit henkilötietojen pitämiseksi ajan tasalla niiden tallentamisen aikana, mukaan lukien säännölliset tietojen laadun tarkastukset ja päivityskehotteet
- Salli PII-päähenkilöiden tietojen päivittäminen — Tarjota yksilöille helppokäyttöisiä mekanismeja omien henkilötietojensa tarkistamiseen ja korjaamiseen, tukien oikaisuoikeuksia A.1.3.7 Tietojen saaminen, korjaaminen tai poistaminen
- Määrittele "riittävän tarkka" — Määritä, mikä tarkkuustaso on sopiva kullekin käsittelytarkoitukselle, ottaen huomioon, että eri tarkoitukset saattavat edellyttää erilaisia tarkkuustasoja
- Katso myös A.1.4.3: Raja-arvojen käsittely asiaankuuluvia vaatimuksia varten
- Katso myös A.1.4.5: Henkilökohtaisesti tunnistettujen tietojen minimointitavoitteet asiaankuuluvia vaatimuksia varten
Keskeinen havainto on, että tarkkuus riippuu käyttötarkoituksesta. Markkinointipostituslista saattaa sietää pienen prosenttiosuuden vanhentuneista osoitteista, mutta potilastietojärjestelmä vaatii lähes täydellistä tarkkuutta. Organisaation on määriteltävä ja dokumentoitava tarkkuuskynnys kullekin käsittelytarkoitukselle.
Miten tämä vastaa GDPR:ää?
Kontrollin A.1.4.4 kohdennus GDPR Artikla 5(1)(d), tarkkuusperiaate: henkilötietojen on oltava oikeita ja tarvittaessa ajan tasalla. On toteutettava kaikki kohtuulliset toimenpiteet sen varmistamiseksi, että käsittelyn tarkoituksiin nähden virheelliset henkilötiedot poistetaan tai oikaistaan viipymättä.
Tämä GDPR Periaate on suoraan toiminnallistettu A.1.4.4 kohdan vaatimuksilla, jotka koskevat todentamis-, ylläpito- ja korjausmekanismeja.
Miten tämä liittyy ISO 29100 -standardin mukaisiin yksityisyyden suojaa koskeviin periaatteisiin?
Tämä ohjaus tukee suoraan ISO 29100 periaate Tarkkuus ja laatu, joka edellyttää, että käsiteltävien henkilötietojen on oltava tarkkoja, täydellisiä, ajantasaisia, riittäviä ja käyttötarkoitukseen nähden olennaisia. Periaate edellyttää myös, että henkilötietojen luotettavuus on varmistettava koko niiden elinkaaren ajan.
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Mitä todisteita tilintarkastajat odottavat?
Arvioidessaan kohdan A.1.4.4 vaatimustenmukaisuutta tilintarkastajat etsivät tyypillisesti seuraavia seikkoja:
- Tietojen laatupolitiikka — Dokumentoitu käytäntö, jossa määritellään tarkkuusvaatimukset kullekin henkilötietojen luokalle, mukaan lukien hyväksyttävät tarkkuuskynnykset käyttötarkoitusta kohden
- Vahvistuskontrollit — Tekniset kontrollit keräyspisteissä (muodon validointi, vahvistusvaiheet, vahvistussähköpostit), jotka auttavat varmistamaan tarkkuuden alusta alkaen
- Tiedon laadun tarkastustietueet — Todisteet säännöllisistä tiedonlaatutarkastuksista, mukaan lukien käytetyt mittarit, löydetyt tulokset ja toteutetut korjaavat toimenpiteet
- Itsepalvelumekanismit — Todiste siitä, että henkilötietojen käsittelijät voivat käyttää ja korjata omia tietojaan, kuten tiliprofiilisivut, päivityspyyntölomakkeet tai asiakasportaalit
- Korjauslokit — Tiedot tehdyistä tarkkuuskorjauksista, riippumatta siitä, onko ne tehty organisaation vai PII-päälliköiden aloitteesta
Mitä asiaan liittyviä ohjausobjekteja on?
| Valvonta: | Yhteys |
|---|---|
| A.1.3.7 Tietojen saaminen, korjaaminen tai poistaminen | Mahdollistaa yksilöiden omien henkilötietojensa tarkistamisen ja korjaamisen |
| A.1.3.11 Automaattinen päätöksenteko | Syöttötietojen tarkkuus on kriittistä oikeudenmukaisten automatisoitujen päätösten kannalta |
| A.1.4.2 Rajakeräys | Vähemmän hallittavaa dataa tarkoittaa helpompaa tarkkuuden ylläpitoa |
| A.1.4.8 Säilytys | Lyhyempi säilytysaika lyhentää ikkunaa, jonka aikana datasta tulee epätarkkaa |
| A.1.4.10 PII-lähetysohjaimet | Tiedon eheys lähetyksen aikana suojaa tarkkuutta |
| A.1.2.9 Käsittelyn tiedot | Käsittelytietojen tulee heijastaa kunkin toiminnon tarkkuusvaatimuksia |
Mikä muuttui standardista ISO 27701:2019?
Vaiheittaisen lähestymistavan löydät kohdasta Siirtymäkausi vuodesta 2019 vuoteen 2025.
Vuoden 2019 painoksessa tarkkuutta ja laatua käsiteltiin kohdassa 7.4.3 (PII-tietojen tarkkuus ja laatu). Vuoden 2025 kontrolli säilyttää saman ydinvaatimuksen, mutta lisää nimenomaisen painotuksen tarkkuuden dokumentoinnille koko PII-tietojen "elinkaaren" ajan. Myös B.1.4.4 kohdan täytäntöönpano-ohjeet ovat jäsennellympiä ja niissä on selkeämpi ero keräysajan ja säilytysajan tarkkuusmittareiden välillä. Katso Liitteen F vastaavuustaulukko koko kartoitusta varten.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miksi valita ISMS.online henkilötietojen tarkkuuden ja laadun hallintaan?
ISMS.online tukee tietojen laatuun liittyviä velvoitteitasi käytännön työkaluilla, jotka on sisäänrakennettu yksityisyyden hallintajärjestelmääsi:
- Tietojen laatukehys — Määrittele tarkkuuskynnykset kullekin henkilötietojen luokalle ja käsittelytarkoitukselle ja luo dokumentoitu standardi, jonka tilintarkastajat voivat todentaa
- Arviointien ajoitus — Määritä säännöllisiä tiedonlaadun tarkistuksia automaattisilla muistutuksilla, jotta tarkkuustarkastukset tapahtuvat aikataulun mukaisesti
- Korjausten seuranta — Kirjaa kaikki korjauspyynnöt ja tehdyt toimenpiteet, jotta tilintarkastajat voivat odottaa niiden olevan kunnossa.
- Linkitetyt ohjausobjektit — Yhdistä tarkkuusvaatimukset käyttö- ja korjausoikeuksiin, automatisoituun päätöksentekoon ja säilytysaikatauluihin yhdessä järjestelmässä
- Todisteiden vienti — Luo datan laatua koskevia raportteja ja oikaisulokeja osana sertifiointitodistepakettiasi
UKK
Mitä "niin tarkka kuin on tarpeen" tarkoittaa käytännössä?
Standardi välttää tarkoituksella täydellisyyden vaatimuksia. Sen sijaan tarkkuuden on oltava oikeassa suhteessa tarkoitukseen. Asiakkaan markkinointiviesteissä käytettävä postiosoite voi sietää pieniä epätarkkuuksia, kun taas luottopäätöksissä käytettävät saman asiakkaan taloudelliset tiedot edellyttävät ehdotonta tarkkuutta. Organisaation tulisi dokumentoida, mitä "riittävän tarkka" tarkoittaa kunkin käsittelytarkoituksen osalta, ja ottaa käyttöön tähän kynnysarvoon nähden oikeassa suhteessa olevat kontrollit.
Miten organisaatioiden tulisi käsitellä henkilötietoja, joiden epäillään olevan virheellisiä?
Jos epäillään epätarkkuutta, organisaation tulisi ryhtyä kohtuullisiin toimiin tietojen varmentamiseksi joko tarkistamalla tiedot luotettavasta lähteestä tai ottamalla yhteyttä henkilötietojen käsittelystä vastaavaan henkilöön. Vahvistuksen ollessa kesken tiedot tulisi merkitä varmentamattomiksi ja mahdollisuuksien mukaan tietojen oikeellisuudesta riippuva käsittely tulisi keskeyttää. Jos henkilötietojen käsittelystä vastaava henkilö on pyytänyt oikaisua, tämä tulisi käsitellä viipymättä korjausmenettelyjenne mukaisesti.
Edellyttääkö tämä kontrolli automaattista tietojen validointia?
Standardi ei vaadi erityisiä teknisiä toimenpiteitä. Automaattinen validointi (muototarkistukset, vaihteluvälitarkistukset, kaksoiskappaleiden tunnistus) on kuitenkin vahvasti suositeltava käytännön keinona varmistaa tarkkuus laajassa mittakaavassa. Kontrollien valinnan tulisi olla oikeassa suhteessa henkilötietojen määrään ja arkaluontoisuuteen sekä käsittelytarkoituksen tarkkuusvaatimuksiin.
Katso tarkastusevidenssivaatimusten opas tarkastajien odottamaa erityistä evidenssiä tiedon laadun ja minimoinnin kontrollien osalta.
