מה דורשת בקרה A.1.2.6?
על הארגון להעריך את הצורך בהערכת השפעה על הפרטיות, וליישום במידת הצורך, בכל פעם שמתוכנן עיבוד חדש של מידע אישי מזהה או שינויים בעיבוד קיים של מידע אישי מזהה.
בקרה זו נמצאת במסגרת מטרת התנאים לאיסוף ועיבוד (A.1.2). בניגוד לבקרות הקודמות המתמקדות בבסיס חוקי ובהסכמה, A.1.2.6 מציג דרישת הערכת סיכונים . היא מחייבת גישה דו-שלבית: ראשית, הערכה האם נדרשת PIA (שלב סינון), ושנית, אם יש צורך בכך, ביצועה לפני תחילת העיבוד.
מה אומרים בהנחיית היישום?
נספח ב' (סעיף ב'.1.2.6) מספק את ההנחיות הבאות:
- תזמון הוא קריטי — יש לבצע בדיקות מחקר (PIA) לפני תחילת העיבוד. הם מהווים אמצעי מניעה, לא הצדקה רטרואקטיבית
- על ה-PIA להעריך:
- נחיצות ומידתיות — האם העיבוד נחוץ למטרה המוצהרת, והאם כמות המידע המזהה הנאספת פרופורציונלית למה שנדרש?
- סיכונים למנהלי PII — אילו נזקים פוטנציאליים עלולים לנבוע מהעיבוד, כולל גישה בלתי מורשית, אובדן, אפליה או נזק למוניטין?
- אמצעי הפחתה מוצעים — אילו בקרות, אמצעי הגנה או בחירות עיצוב יפחיתו את הסיכונים שזוהו לרמה מקובלת?
- ראה גם A.1.2.4: קביעת מתי וכיצד יש לקבל הסכמה עבור דרישות קשורות
- ראה גם A.1.2.5: קבלת הסכמה ורישום עבור דרישות קשורות
- התוצאות צריכות להיות מְתוֹעָד ומשמשים למידע על החלטות עיבוד - ה-PIA אינו תרגיל סימון אלא כלי קבלת החלטות
- הפניות להנחיות ISO / IEC 29134 (הנחיות להערכת השפעה על הפרטיות) כסטנדרט מתודולוגי מפורט לביצוע PIAs
באופן מעשי, משמעות הדבר היא שארגונים זקוקים הן לתהליך סינון (כדי להחליט מתי נדרשת PIA) והן למתודולוגיה של PIA (כדי לבצע את ההערכה כאשר היא מופעלת).
איך זה מתיישב עם תקנות ה-GDPR?
בקרה A.1.2.6 מתאימה לקבוצה משמעותית של סעיפי GDPR :
- סעיף 35(1)–(11) — דרישות הערכת ההשפעה על הגנת המידע (DPIA). GDPR מחייב בדיקות DPIA במקרים בהם עיבוד "עשוי לגרום לסיכון גבוה לזכויותיהם וחירויותיהם של אנשים פרטיים" וקובע דרישות תוכן מינימליות, כולל: תיאור שיטתי של העיבוד, הערכת נחיצות ומידתיות, הערכת סיכונים ואמצעים להתמודדות עם סיכונים.
- סעיף 36(1) (לא ממופה בנספח ד' אך קשור קשר הדוק)-(5) — התייעצות מוקדמת עם הרשות המפקחת. כאשר בדיקת DPIA מצביעה על סיכון שיורי גבוה שלא ניתן לצמצם, על הבקר להתייעץ עם הרשות המפקחת לפני תחילת העיבוד.
דרישת DPIA של ה-GDPR היא יותר מדרישת בקרת ISO 27701 - היא מחייבת הערכה עבור עיבודים בסיכון גבוה, בעוד ש-A.1.2.6 דורש מארגונים להעריך את הצורך ב-PIA עבור כל עיבוד חדש או שונה. בפועל, יישום A.1.2.6 יעמוד בדרישת DPIA של ה-GDPR בתנאי שקריטריוני הסינון יכילו את כל תרחישי ההפעלה של סעיף 35.
כיצד זה קשור לעקרונות הפרטיות של ISO 29100?
בקרה זו תומכת במספר עקרונות פרטיות של ISO 29100:
- הסכמה ובחירה — PIAs מסייעים בזיהוי היכן יש צורך לתכנן או לחזק מנגנוני הסכמה
- מגבלת איסוף — הערכת הנחיצות והמידתיות מתייחסת ישירות לשאלה האם נאסף יותר מדי מידע אישי מזהה
- תאימות לפרטיות — PIAs הם מנגנון לאימות והדגמה של עמידה בדרישות הפרטיות לפני תחילת העיבוד
התחל בקלות עם הדגמת מוצר אישית
אחד ממומחי הקליטה שלנו ידריך אותך בפלטפורמה שלנו כדי לעזור לך להתחיל בביטחון.
אילו ראיות מצפים רואי החשבון?
בעת הערכת עמידה בדרישות A.1.2.6, מבקרים בדרך כלל יחפשו:
- קריטריוני סינון PIA — סף או רשימת תיוג מתועדים המשמשים לקביעת האם נדרשת PIA מלאה עבור פעילות עיבוד או שינוי נתון
- רישומי סינון — ראיות לכך שתהליך הסינון יושם על פעילויות עיבוד חדשות ומשתנות, כולל מקרים בהם בוצעה PIA מלא לֹא ייחשב נחוץ (עם נימוק מתועד)
- דוחות PIA שהושלמו — מסמכי הערכה מלאים המכסים נחיצות, מידתיות, ניתוח סיכונים והצעת אמצעי הפחתה
- החלטות טיפול בסיכונים — ראיות לכך שננקטו פעולות בהתאם לממצאי PIA — יושמו אמצעי הפחתה, שינויים בעיבוד, או במקרים מסוימים נטישת העיבוד
- רשומות חתימה — אישור מצד בעלי העניין המתאימים (למשל, DPO, הנהלה בכירה) כי ה-PIA נבדק וכי הסיכון השיורי התקבל
- רישומי ייעוץ קודמים — במקרים בהם הסיכון השיורי נותר גבוה לאחר הפחתת הסיכון, יש להוכיח כי התייעצה עם הרשות המפקחת (סעיף 36 בתקנות ה-GDPR)
מהן הבקרות הרלוונטיות?
| שליטה | קשר |
|---|---|
| A.1.2.2 זיהוי ותיעוד המטרה | תיעוד המטרה הוא קלט להערכה מבוססת ה-PIA - לא ניתן להעריך את הצורך מבלי לדעת את המטרה |
| A.1.2.3 זיהוי הבסיס החוקי | על רשות ההערכות לוודא כי קיים בסיס חוקי תקף לעיבוד המתוכנן |
| A.1.4.3 הגבלת עיבוד | הערכת המידתיות ב-PIA משפיעה על החלטות מזעור נתונים |
| A.1.4.6 הסרת זיהוי ומחיקה של מידע אישי מזהה | ייתכן ש-PIAs יזהו ביטול זיהוי או מחיקה כאמצעי להפחתת סיכונים |
| A.1.2.7 חוזים עם מעבדי מידע אישי | כאשר עיבוד כולל מעבדים חיצוניים, על רשות ההערכות להעריך את הסיכונים הקשורים למעבדים. |
| ISO / IEC 29134 | התקן המופיע במסמך המספק מתודולוגיה והנחיות מפורטות ל-PIA |
מה השתנה מ-ISO 27701:2019?
לגישה שלב אחר שלב, עיינו במעבר מ-2019 ל-2025.
במהדורת 2019, דרישה זו הופיעה כסעיף 7.2.5 (הערכת השפעה על הפרטיות). הדרישה המרכזית נותרה ללא שינוי - להעריך את הצורך בהערכת השפעה על הפרטיות (PIA) ולבצע אחת במידת הצורך. ארגון מחדש של 2025 לטבלה A.1 מספק הפרדה ברורה יותר בין הצהרת הבקרה (A.1.2.6) להנחיות (B.1.2.6). ההתייחסות ל-ISO/IEC 29134 כתקן המתודולוגיה המפורט של PIA נשמרה, מה שמחזק את העובדה שארגונים צריכים לנקוט בגישה מובנית ולא בהערכה אד-הוק. ראה טבלת ההתאמה בנספח F לקבלת המיפוי המלא.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
למה לבחור ISMS.online עבור הערכת השפעה על הפרטיות?
ISMS.online מספקת תהליך עבודה מקיף של PIA, שלוקח אותך מהסינון ועד לאישור:
- כלי סינון PIA — שאלון מובנה הקובע האם יש צורך בהערכה מלאה, עם נימוק מתועד לכל החלטה
- תבניות PIA מובנות — תבניות הערכה מוכנות מראש, המותאמות לתקן ISO/IEC 29134, ומנחות מעריכים בתכנון נחיצות, מידתיות, זיהוי סיכונים ותכנון הפחתה.
- ניקוד סיכונים ומפות חום — ניתוח סיכונים חזותי עם ניקוד סבירות והשפעה, המקל על קביעת סדרי עדיפויות להפחתת נזקים והעברת הממצאים לבעלי העניין
- מעקב אחר הפחתות — הקצאת פעולות לטיפול בסיכונים לבעלים עם מועדים אחרונים, ומעקב אחר התקדמות היישום באותה פלטפורמה
- תהליכי עבודה של אישור — להעביר את תוצאות המחקר הפוטנציאלי שהושלמו ל-DPO או להנהלה הבכירה לבדיקה ואישור, עם נתיב ביקורת מלא של תהליך האישור
- ראיות מקושרות — לחבר את רישומי ה-PIA לפעילויות העיבוד, לבסיסים החוקיים ולרישומי ההסכמה אליהם הם מתייחסים, וליצור תמונה מלאה של תאימות
שאלות נפוצות
מתי נדרשת הערכת השפעה על הפרטיות?
לפי תקן ISO 27701:2025, הערכה אישית (PIA) אינה חובה באופן אוטומטי עבור כל פעילות עיבוד - הבקרה דורשת ממך להעריך את הצורך בכך. עם זאת, לפי סעיף 35 בתקנת הגנת המידע הכללית (GDPR), הערכה אישית של זכויות אדם (DPIA) חובה כאשר עיבוד צפוי לגרום לסיכון גבוה לזכויותיהם של אנשים. המועצה האירופית להגנת מידע פרסמה קריטריונים הכוללים: הערכה שיטתית של היבטים אישיים (יצירת פרופילים), עיבוד בקנה מידה גדול של קטגוריות מיוחדות וניטור שיטתי של אזורים נגישים לציבור. ארגונים צריכים לשלב טריגרים אלה בקריטריוני הסינון שלהם.
האם ניתן לבצע PIA לאחר שהעיבוד כבר התחיל?
התקן וגם ה-GDPR מצפים שביצוע בדיקות PIA (הוכחת פוטנציאל נזק) יבוצעו לפני תחילת העיבוד. עם זאת, אם תגלו שביצוע בדיקות PIA היה צריך להתבצע ולא בוצעו, ביצוען רטרואקטיבי עדיף על אי ביצוען כלל. בדיקות PIA רטרואקטיביות עשויות לזהות סיכונים הדורשים הפחתה מיידית או אפילו הפסקת העיבוד. רואי חשבון ישימו לב לפער התזמון, אך יתייחסו ל-PIA מאוחר בחיוב רב יותר מאשר אי ביצוען.
באיזו תדירות יש לבחון את תוצאות המחקר הקיימות (PIA)?
יש לבחון מחדש את ניתוח הסיכונים (PIA) בכל פעם שיש שינוי מהותי בעיבוד שהם מכסים - כגון קטגוריות נתונים חדשות, נמענים חדשים, שינויים בטכנולוגיה או שינויים בסביבה הרגולטורית. נוהג מומלץ הוא גם לקבוע לוח זמנים לבדיקה תקופתי (למשל, שנתי) כדי לזהות שינויים הדרגתיים שייתכן שלא היו מפעילים בדיקה פרטנית. הבדיקה צריכה להעריך האם ניתוח הסיכונים המקורי וההפחתות נותרו תקפים.
עיין במדריך דרישות ראיות הביקורת שלנו לקבלת מידע על מה שמבקרים מצפים לו בעת הערכת בקרה זו.
ניתוח פערים יכול לעזור לכם להעריך האם תהליך ה-PIA הנוכחי שלכם עומד בדרישות 2025.
