Kontext und interessierte Parteien (4.1 und 4.2)
Neben den üblichen Faktoren verlangt die Norm, das geltende Datenschutzrecht, die Entscheidungen der Aufsichtsbehörden und vertragliche Zusagen gegenüber Kunden zu berücksichtigen, die Bedingungen für die Daten festlegen. Die betroffenen Personen selbst – Kunden, Beschäftigte, Patienten – sind interessierte Parteien, nicht nur die Aufsichtsbehörden.
Die Rolle bei jeder Verarbeitung
Ein und dasselbe Unternehmen ist meist Verantwortlicher für die Lohnabrechnung seiner Belegschaft und Auftragsverarbeiter für die Daten, die ihm seine Kunden anvertrauen. Diese Unterscheidung entscheidet, welche Maßnahmen aus Anhang A gelten, und muss vor der Risikobeurteilung geklärt sein.
Anwendungsbereich des Systems (4.3)
Der Anwendungsbereich grenzt die einbezogenen Verarbeitungen, Standorte, Systeme und Prozesse samt ihren Schnittstellen zu Dritten ab. Ein Anwendungsbereich, der ausgerechnet die riskanteste Verarbeitung ausklammert, kostet das Zertifikat Glaubwürdigkeit.
Was Auditoren typischerweise sehen wollen
- Verzeichnis der Verarbeitungen mit der Rolle der Organisation bei jeder einzelnen
- Liste der Gesetze, behördlichen Entscheidungen und Verträge, die die Daten betreffen
- Interessierte Parteien mit ihren Datenschutzerwartungen
- Dokumentierte Festlegung des PIMS-Anwendungsbereichs
So decken Sie den Kontext in Kimobox ab
- 1Dokumentieren Sie den Kontext des Datenschutzsystems als weiteren versionierten Datensatz.
- 2Erfassen Sie die interessierten Parteien und ihre Anforderungen in einer Tabelle mit jährlicher Überprüfung.
- 3Gehen Sie vom Verzeichnis von Verarbeitungstätigkeiten aus, um den Anwendungsbereich abzugrenzen.
Der Anwendungsbereich stützt sich auf das Verarbeitungsverzeichnis, nicht auf eine separate Liste, die von allein veraltet.
Vorlagen und Aufzeichnungen zu ISO 27701 aus diesem Kapitel
- Vorlage für das Inventar personenbezogener Daten nach ISO 27701 · Bewährte Praxis