Miten ISO 27701:2025 käsittelee rajat ylittäviä tiedonsiirtoja?
Henkilötietojen (PII) kansainväliset siirrot ovat todellisuutta useimmille organisaatioille. Käytitpä sitten ulkomailla isännöityjä pilvipalveluita, jaat tietoja kansainvälisten kumppaneiden kanssa tai palvelet asiakkaita useissa eri lainkäyttöalueissa, tarvitset jäsennellyn lähestymistavan PII:n rajojen ylittämisen hallintaan.
ISO 27701:2025 käsittelee rajat ylittäviä siirtoja sen kautta Liitteen A tietosuoja-asetukset, jotka sisältävät erityisvaatimuksia kansainvälisten PII-virtojen tunnistamiseksi, dokumentoimiseksi ja valvomiseksi. Standardi ei määrää, mitä laillista siirtomekanismia käytetään – se riippuu sovellettavista säännöksistä – mutta se tarjoaa hallintakehyksen sen varmistamiseksi, että siirtoja hallinnoidaan asianmukaisesti.
Kuten itsenäinen sertifioitava standardiISO 27701:2025 tarjoaa organisaatioille kattavan yksityisyyden hallintajärjestelmän, joka sisältää siirtojen hallinnan osana laajempaa hallintokehystä.
Mitkä liitteen A mukaiset valvontatoimet koskevat kansainvälisiä siirtoja?
Useat liitteen A mukaiset valvontatoimet ovat suoraan relevantteja rajat ylittävän tiedonsiirron hallintaan. Sovellettavat erityiset valvontatoimet riippuvat siitä, toimiiko organisaatiosi henkilötietojen rekisterinpitäjänä, käsittelijänä vai molempina.
| Valvonta -alue | Pätee | Mitä se kattaa |
|---|---|---|
| Henkilötietojen siirtojen tunnistaminen | Rekisterinpitäjät ja käsittelijät | Kaikkien maiden ja kansainvälisten järjestöjen, joille henkilötietoja voidaan siirtää, tunnistaminen ja kirjaaminen |
| Maat ja siirtomekanismit | Rekisterinpitäjät ja käsittelijät | Kunkin kansainvälisen siirron oikeusperustan ja siirtomekanismin dokumentointi |
| Henkilötietojen siirtojen tiedot | Rekisterinpitäjät ja käsittelijät | Henkilötietojen siirtojen kirjanpito, mukaan lukien vastaanottaja, tarkoitus, henkilötietojen tyyppi ja sovelletut suojatoimet |
| Alihankkijoiden hallinta | Prosessorit | Varmistaa, että alihankkijoilla, jotka käsittelevät henkilötietoja muissa lainkäyttöalueissa, on riittävät siirtosuojatoimet |
| Kolmannen osapuolen paljastaminen | ohjaimet | Henkilötietojen luovuttamisen valvonta kolmansille osapuolille muissa lainkäyttöalueissa ja tällaisten luovutusten laillisen valtuutuksen kirjaaminen |
Sinun Ilmoitus soveltuvuudesta tulee ilmoittaa, mitkä näistä valvontatoimista soveltuvat organisaatiosi roolin ja käsittelytoimien perusteella. 6 §:n suunnitteluvaatimukset varmistaa, että siirtoriskit arvioidaan ja hoitosuunnitelmat laaditaan.
Miten ISO 27701:2025 tukee GDPR:n siirtomekanismeja?
GDPR rajoittaa henkilötietojen siirtoa Euroopan talousalueen (ETA) ulkopuolelle, ellei riittäviä suojatoimia ole käytössä. ISO 27701:2025 -standardi ei korvaa GDPR:n siirtomekanismeja, mutta se tarjoaa operatiivisen kehyksen niiden tehokkaalle toteuttamiselle ja todentamiselle.
GDPR-liitteen D kartoitus osoittaa, miten standardin kontrollit ovat yhdenmukaisia GDPR-vaatimusten kanssa, mukaan lukien 44–49 artiklan siirtosäännökset.
| GDPR:n siirtomekanismi | Miten ISO 27701:2025 tukee sitä |
|---|---|
| Tietosuojan riittävyyttä koskevat päätökset (45 artikla) | PIMS-laajuuden määritelmä edellyttää, että tunnistat, missä henkilötietoja käsitellään ja siirretään, jotta tiedät, mitkä siirrot edellyttävät tietosuojan riittävyyspäätösten tekemistä. |
| Vakiosopimuslausekkeet (46 artikla) | Toimittajien ja käsittelijöiden hallintajärjestelmät varmistavat, että sopimukset sisältävät asianmukaiset tietojenkäsittely- ja siirtolausekkeet |
| Sitovat yrityssäännöt (47 artikla) | Johtamisjärjestelmän viitekehys tukee BCR-sääntöjen edellyttämiä hallinto-, valvonta- ja tarkastusvaatimuksia. |
| Siirtovaikutusten arvioinnit | Kohdan 6 riskinarviointimenetelmä tarjoaa jäsennellyn lähestymistavan siirtoriskien arviointiin ja suojatoimien dokumentointiin. |
| Poikkeukset (49 artikla) | Käsittely- ja siirtovalvonnan kirjanpito varmistaa, että poikkeusten käyttö dokumentoidaan ja perustellaan. |
Järjestöt, jotka pyrkivät GDPR-vaatimustenmukaisuus ISO 27701 -standardin mukaisesti voivat käyttää PIMS-järjestelmäänsä operatiivisena selkärankana siirtojen vaatimustenmukaisuuden hallinnassa laajempien yksityisyyden suojaa koskevien velvoitteiden ohella.
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Mitä käytännön toimia sinun tulisi ottaa?
Rajatylittävien siirtojen hallinta ISO 27701:2025 -standardin mukaisesti vaatii systemaattista lähestymistapaa. Seuraavat vaiheet auttavat sinua rakentamaan siirtojen hallinnan tehokkaasti PIMS-järjestelmääsi.
Vaihe 1: Kartoita kansainväliset tietovirrat
Ennen kuin voit hallita siirtoja, sinun on tiedettävä, minne henkilötiedot menevät. Luo kattava tietovuokartta, joka tunnistaa seuraavat tiedot:
- Kaikki maat, joissa henkilötietoja tallennetaan, käsitellään tai käytetään
- Kunkin siirron yhteydessä käytetyt henkilötietojen luokat
- Kunkin siirron tarkoitus
- Ovatko vastaanottajat rekisterinpitäjiä, käsittelijöitä vai alihankkijoita
- Siirretyn tiedon määrä ja arkaluontoisuus
Vaihe 2: Määritä kunkin siirron oikeusperusta
Dokumentoi jokaisen kansainvälisen siirron osalta sen salliva oikeudellinen mekanismi. Tämä voi olla tietosuojan riittävyyttä koskeva päätös, mallisopimuslausekkeet, sitovat yrityssäännöt tai muu sovellettavan lainsäädännön mukainen tunnustettu mekanismi.
Vaihe 3: Arvioi ja käsittele siirtoriskit
Käytä PIMS-järjestelmässäsi (kohta 6) määriteltyä riskinarviointimenetelmää arvioidaksesi kuhunkin siirtoon liittyvät riskit. Ota huomioon kohdemaan lainsäädäntö, tietojen luonne, vastaanottajan turvallisuuskäytännöt ja mahdolliset tarvittavat lisätoimenpiteet.
Vaihe 4: Sopimusteknisten suojatoimien toteuttaminen
Varmista, että vastaanottajien kanssa tehdyt sopimukset sisältävät asianmukaiset tietojenkäsittelyehdot, turvallisuusvaatimukset ja siirtolausekkeet. Käsittelijöille ja alihankkijaSopimuksissa tulisi käsitellä tarkastusoikeuksia, rikkomusilmoitusvelvollisuuksia sekä tietojen palautus- tai poistovaatimuksia.
Vaihe 5: Seuranta ja tarkastelu
Tietojensiirtoriskit eivät ole staattisia. Sääntelyympäristö muuttuu, tietosuojan riittävyyttä koskevat päätökset voidaan mitätöidä (kuten kävi EU:n ja Yhdysvaltojen välisen Privacy Shield -järjestelyn kanssa) ja uudet käsittelytoimet voivat tuoda mukanaan uusia siirtoja. Sisällytä PIMS-järjestelmääsi säännölliset tarkastukset pitääksesi siirtojen valvonnan ajan tasalla.
Entä siirrot GDPR:n ulkopuolelle?
Vaikka GDPR on merkittävin tiedonsiirtoa koskeva asetus, monet muut lainkäyttöalueet asettavat rajoituksia henkilötietojen rajat ylittäville siirroille. Näitä ovat:
- Brasilia (LGPD) — Rajoittaa siirtoja maihin, joissa ei ole riittävää suojaa, ellei suojatoimia ole käytössä
- Kiina (PIPL) — Edellyttää turvallisuusarviointeja merkittävien henkilötietomäärien siirroille
- Etelä-Korea (PIPA) — Edellyttää rekisteröidyn suostumusta tai vastaavia suojatoimia kansainvälisiä siirtoja varten
- Intia (DPDP-laki) — Sallii siirrot useimpiin lainkäyttöalueisiin, mutta voi rajoittaa tiettyjä maita ilmoituksella
- Lähi-itä ja Afrikka — Useilla mailla, kuten Saudi-Arabialla, Etelä-Afrikalla ja Kenialla, on tietojen sijaintia tai siirtorajoituksia koskevia vaatimuksia
ISO 27701:2025 on lainkäyttöalueriippumaton. Sen siirtojen valvontaa ja riskinarviointikehystä voidaan soveltaa riippumatta siitä, mitä säädöstä siirtojasi säätelee, mikä tekee siitä erityisen arvokkaan organisaatioille, jotka toimivat useilla eri alueilla. säädiny-ympäristöissä.
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miten ISMS.online auttaa hallitsemaan rajat ylittäviä siirtoja?
ISMS.online tarjoaa työkalut, joita tarvitset kansainvälisten henkilötietojen siirtojesi tunnistamiseen, dokumentointiin, hallintaan ja todentamiseen osana ISO 27701:2025 -standardin mukaista henkilötietojen hallintajärjestelmääsi.
- Tietovuon kartoitus — Dokumentoi ja visualisoi kansainväliset tietovirrat, mukaan lukien vastaanottajat, tarkoitukset, henkilötietojen luokat ja siirtomekanismit
- Riskien arviointi — Suorita siirtokohtaisia riskinarviointeja alustan sisäänrakennetun riskienhallintakehyksen avulla, joka on linkitetty suoraan hoitosuunnitelmiisi
- Toimittajien hallinta — Seuraa kaikkia käsittelijän ja alihankkijan välisiä suhteita, hallinnoi sopimuksia, suorita due diligence -tarkastuksia ja aikatauluta tarkastuksia
- Politiikan ja menettelyjen hallinta — Luo ja ylläpidä siirtokäytäntöjä versionhallinnalla, hyväksyntätyönkuluilla ja henkilöstön kuittausten seurannalla
- Todisteiden kerääminen — Kerää automaattisesti siirtoihin liittyvien toimien tarkastuslokeja sertifiointitarkastusta varten
- Sääntelykartoitus — Yhdistä kontrollisi useisiin sääntelykehyksiin samanaikaisesti, mukaan lukien GDPR, LGPD ja muut siirtosäännökset
Aloita siirtokontrollien rakentaminen laajempaan PIMS-järjestelmään oppaastamme. ISO 27701:2025 -standardin käyttöönoton aloittaminen.
Miksi valita ISMS.online rajat ylittävien siirtojen vaatimustenmukaisuuden varmistamiseksi?
- Integroitu tietovirtojen hallinta — Kartoita, dokumentoi ja hallitse kaikkia kansainvälisiä siirtoja yhdellä alustalla laajemman PIMS-järjestelmäsi rinnalla
- Sisäänrakennettu riskinarviointikehys — Arvioi siirtoriskejä käyttämällä ISO 27701:2025 -standardin kohdan 6 vaatimusten mukaista strukturoitua menetelmää
- Usean sääntelyn tuki — Hallitse GDPR:n, LGPD:n ja muiden siirtoa koskevien säännösten noudattamista yhdestä paikasta välttäen päällekkäisyyksiä
- Toimittajien ja käsittelijöiden valvonta — Seuraa sopimuksia, due diligence -tarkastustietoja ja tarkastusaikatauluja jokaisen henkilötietojesi vastaanottajan osalta
- Auditointivalmiit todisteet — Jokainen siirtotietue, riskinarviointi ja toimittajan tarkistus aikaleimataan ja versioidaan puolestasi tilintarkastaja
- Valmiiksi rakennetut kehykset ja mallit — Aloita siirtokäytännöillä, riskinarviointimalleilla ja kontrollien kartoituksilla, jotka on jo yhdenmukaistettu standardin kanssa
- Luotettu organisaatioiden toimesta maailmanlaajuisesti - ISMS.online tukee useiden eri lainkäyttöalueiden yrityksiä ISO 27701 -sertifioinnin saavuttamisessa ja ylläpitämisessä
UKK
Kerrotko standardissa ISO 27701:2025, mitä siirtomekanismia tulisi käyttää?
Ei. ISO 27701:2025 on lainkäyttöalueriippumaton. Se edellyttää kansainvälisten siirtojen tunnistamista, dokumentointia ja valvontaa, mutta laillisen siirtomekanismin valinta riippuu sovellettavasta säännöksestä (esim. GDPR, LGPD, PIPL). Standardi tarjoaa kehyksen käyttämällesi mekanismille.
Tarvitsemmeko jokaiselle siirrolle siirtovaikutusten arvioinnin?
GDPR:n mukaan siirtovaikutusten arvioinnit ovat pakollisia, kun käytetään vakiosopimuslausekkeita tai vastaavia suojatoimia. ISO 27701:2025 -standardi tukee tätä kohdan 6 riskinarviointivaatimusten kautta, joita voidaan käyttää siirtovaikutusten arvioinnin suorittamiseen ja dokumentointiin osana laajempaa yksityisyyden suojaa koskevien riskien hallintaa.
Miten pilvipalvelut sopivat rajat ylittävien siirtojen valvontaan?
Pilvipalveluihin liittyy usein henkilötietojen käsittelyä useissa maissa. ISO 27701:2025 -standardin mukaisesti sinun on tunnistettava kaikki sijainnit, joissa pilvipalveluntarjoajasi (ja heidän alihankkijansa) käsittelevät henkilötietoja, arvioitava siirtoriskit ja varmistettava, että asianmukaiset sopimus- ja tekniset suojatoimet ovat käytössä.
Mitä jos maa menettää riittävän suojan statuksensa?
PIMS-järjestelmässäsi tulisi olla prosessi sääntelymuutosten seurantaan. Jos tietosuojan riittävyyttä koskeva päätös mitätöidään, sinun on otettava käyttöön vaihtoehtoinen siirtomekanismi (kuten vakiosopimuslausekkeet) ja päivitettävä riskinarviointisi. ISMS.online auttaa sinua seuraamaan näitä muutoksia ja käynnistämään tarkastuksia, kun määräykset muuttuvat.
Voiko ISO 27701:2025 auttaa datan lokalisointivaatimusten kanssa?
Vaikka ISO 27701:2025 -standardi ei käsittele suoraan datan lokalisointivaatimuksia, sen tietovirtojen kartoitus- ja riskinarviointikehys auttaa tunnistamaan, missä lokalisointivaatimukset soveltuvat, ja toteuttamaan asianmukaiset kontrollit. Tämä on erityisen hyödyllistä organisaatioille, jotka toimivat eri lainkäyttöalueilla, joilla on erilaiset lokalisointisäännöt.
