מה דורשת בקרה A.1.2.8?
הארגון יקבע את התפקידים והאחריות המתאימים לעיבוד מידע אישי מזהה (כולל דרישות הגנה ואבטחה של מידע אישי מזהה) עם כל בקר מידע אישי משותף.
בקרה זו נמצאת במסגרת מטרת התנאים לאיסוף ועיבוד (A.1.2). היא מתייחסת לתרחיש ספציפי אך נפוץ יותר ויותר: כאשר שני ארגונים או יותר קובעים במשותף את המטרות והאמצעים של עיבוד מידע אישי מזהה. בניגוד ליחסי בקר-מעבד הנשלטים על ידי A.1.2.7 חוזים עם מעבדי מידע אישי מזהה , שליטה משותפת כרוכה בסמכות קבלת החלטות משותפת - ולכן באחריות משותפת.
בקרה משותפת מתעוררת כאשר ארגונים משתפים פעולה בפעילויות הכרוכות במידע אישי מזהה - לדוגמה, קמפיינים שיווקיים משותפים, פלטפורמות משותפות, שותפויות מחקר או שירותים משולבים שבהם שני הצדדים משפיעים על אילו נתונים נאספים וכיצד הם משמשים.
מה אומרים בהנחיית היישום?
נספח ב' (סעיף ב'.1.2.8) מספק את ההנחיות הבאות:
- הסכמה על תחומי האחריות השונים — על בקרי מידע משותפים להסכים איזה ארגון אחראי לכל חובה הנובעת מעיבוד מידע מזהה אישי, ובפרט בנוגע ל:
- מימוש זכויות עיקריות של מידע אישי מזהה (בקשות גישה, מחיקה, תיקון, ניידות)
- מתן מידע נדרש למנהלי מערכות מידע אישיות (הודעות פרטיות, התחייבויות שקיפות)
- יישום אמצעי אבטחה
- הודעת הפרה
- ראה גם A.1.2.2: זיהוי ותיעוד המטרה עבור דרישות קשורות
- ראה גם A.1.2.3: זיהוי הבסיס החוקי עבור דרישות קשורות
- הפכו את ההסדר לזמין למנהלי זיהוי אישי — יש להנגיש את מהות הסדר הבקרה המשותפת לאנשים אשר המידע האישי שלהם מעובד, כך שיידעו לאיזה ארגון לפנות ולקבל את המידע הרלוונטי.
- לתעד את ההסדר באופן רשמי — בעוד שהבקרה אינה משתמשת במילה "חוזה", הדרישה "לקבוע" תפקידים ואחריות מרמזת על הסכם רשמי ומתועד בין הצדדים.
ההנחיות מכירות בכך שבפועל, בקר משותף אחד עשוי להוביל את ההתחייבויות המסוימות (כגון להיות נקודת הקשר העיקרית לבקשות של נושאי מידע), אך אין בכך כדי לפטור את הבקרים האחרים מאחריותם.
איך זה מתיישב עם תקנות ה-GDPR?
בקרה A.1.2.8 מופנית ישירות לסעיף 26 בתקנת ה-GDPR :
- סעיף 26 (1) — כאשר שני בקרים או יותר קובעים במשותף את מטרות ואמצעי העיבוד, הם יקבעו באופן שקוף את אחריותם כל אחד לעמידה בחובות לפי חוק GDPR, בפרט בנוגע למימוש זכויות נושאי המידע וחובותיהם לספק מידע
- סעיף 26 (2) — ההסדר ישקף כראוי את התפקידים והיחסים של בעלי המידע המשותפים ביחס לנושאי המידע. מהות ההסדר תועבר לנושא המידע.
- סעיף 26 (3) — ללא קשר לתנאי ההסדר, נושאי נתונים רשאים לממש את זכויותיהם במסגרת ה-GDPR ביחס לכל אחד מהבקרים וכנגדם. זוהי נקודה מכרעת — הסכמים פנימיים אינם יכולים להגביל את זכויותיהם של בעלי מידע אישי (PII).
סעיף 26(3) חשוב במיוחד: גם אם בעלי המידע המשותפים מסכימים שארגון א' מטפל בכל בקשות נושא המידע, אדם עדיין יכול להפנות את בקשתו לארגון ב', אשר לאחר מכן חייב לטפל בה או להעביר אותה כראוי. שני הארגונים נשארים אחראים.
כיצד זה קשור לעקרונות הפרטיות של ISO 29100?
בקרה זו תומכת בעיקרון האחריותיות בתקן ISO 29100. אחריותיות דורשת שעיבוד המידע האישי יהיה באחריותם של גורמים מזוהים בבירור אשר ניתן להטיל עליהם דין וחשבון על מעשיהם. שליטה משותפת יוצרת מצב שבו יש להקצות דין וחשבון במפורש - ללא הסכם רשמי, עלול להיות לא ברור איזה ארגון אחראי על איזו התחייבות, דבר שיפגע בכל מסגרת האחריותיות.
התחל את תקופת הניסיון בחינם
רוצה לחקור?
הירשם לגרסת הניסיון החינמית שלך עוד היום וקבל יד על כל תכונות התאימות שיש ל-ISMS.online להציע
אילו ראיות מצפים רואי החשבון?
בעת הערכת עמידה בדרישות A.1.2.8, מבקרים בדרך כלל יחפשו:
- רישום בקרים משותף — רשימה מתועדת של כל הסדרי הבקרה המשותפים שהארגון צד להם, עם זהות כל בקר משותף ופעילויות העיבוד המכוסות
- הסכמי בקרה משותפים — הסכמים חתומים בכתב הקובעים את חלוקת האחריות בין הצדדים
- מטריצת אחריות — מיפוי ברור של איזה בקר מטפל באיזו חובה (זכויות נושא המידע, דיווח על הפרות, אבטחה, שקיפות)
- תקשורת עיקרי של PII — ראיות לכך שמהות הסדר הבקרה המשותפת מועברת למנהלי מידע מזהה אישי, בדרך כלל באמצעות הודעות פרטיות או דפי מידע ייעודיים
- ייעוד נקודת קשר — נקודת קשר יחידה ומתועדת עבור מנהלי מידע אישי, גם במקרים בהם האחריות מפוצלת בין בקרים
- תהליכים תפעוליים — תהליכים לטיפול בתרחישים שבהם גורם ראשי של מידע אישי יוצר קשר עם הגורם ה"לא נכון" (למשל, נהלי העברה, הסכמי זמן תגובה)
מהן הבקרות הרלוונטיות?
| שליטה | קשר |
|---|---|
| A.1.2.7 חוזים עם מעבדי מידע אישי | דרישות חוזיות שונות חלות בהתאם לשאלה האם מדובר בקשר של בקר משותף או בקר-מעבד |
| A.1.3.3 מידע עבור מנהלי פרטים אישיים מזהים | בקרים משותפים חייבים להסכים על מי מספק איזה מידע וכיצד |
| A.1.3.2 התחייבויות כלפי ספקי מידע אישי | יש להקצות את האחריות לטיפול בבקשות של נושאי נתונים בין בקרי מידע משותפים |
| A.1.2.6 הערכת השפעה על הפרטיות | הסדרי עיבוד משותפים עשויים להפעיל דרישות PIA |
| A.1.5.2 בסיס להעברת מידע אישי בין תחומי שיפוט | יש להסדיר את שיתוף המידע האישי בין בקרי מידע משותפים |
| A.1.2.9 רישומי עיבוד של מידע אישי | רישומי עיבוד צריכים לזהות הסדרי בקרה משותפים |
מה השתנה מ-ISO 27701:2019?
לגישה שלב אחר שלב, עיינו במעבר מ-2019 ל-2025.
במהדורת 2019, דרישה זו הופיעה כסעיף 7.2.7 (בקר משותף של מידע אישי). הדרישה המרכזית נותרה ללא שינוי - בקרים משותפים חייבים להסכים על תחומי האחריות שלהם. ארגון מחדש של 2025 לטבלה A.1 מספק הפרדה ברורה יותר בין הצהרת הבקרה (A.1.2.8) להנחיות (B.1.2.8). הדגש על הפיכת ההסדר לזמין למנהלי מידע אישי נשמר, ומשקף את דרישות השקיפות שהן בסיסיות הן לתקן ISO 27701 והן לתקנת ה-GDPR. ראה טבלת ההתאמה בנספח F לקבלת המיפוי המלא.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
למה לבחור ISMS.online לניהול הסדרי בקרה משותפים?
ISMS.online עוזר לך למסד, לעקוב ולתפעל את ניהול הבקרה המשותפת בבהירות:
- רישום בקרים משותף — לתעד כל הסדר שליטה משותף עם הצדדים המעורבים, פעילויות העיבוד המכוסות וסטטוס ההסכם
- תבניות להקצאת אחריות — מטריצות אחריות מוכנות מראש המכסות את זכויות נושאי הנתונים, דיווח על הפרות, אבטחה ושקיפות, כך ששום דבר לא ייפול בין הכיסאות
- ניהול הסכמים — אחסן, מנהל גרסאות ובדוק הסכמי בקר משותפים לצד תיעוד תאימות אחר שלך
- הודעות פרטיות מקושרות — לחבר הסדרי בקרה משותפים להודעות הפרטיות המודיעות למנהלי מידע אישי, תוך הבטחת עמידה בדרישות השקיפות
- זרימות עבודה חוצי ארגון — הגדרה ומעקב אחר נהלים להעברת בקשות של נושאי נתונים בין בקרים משותפים עם ניטור SLA
- ראיות מוכנות לביקורת — יצירת ערכות ראיות תאימות המדגימות את הקצאת האחריות ואת יישומן התפעולי
שאלות נפוצות
כיצד ניתן לקבוע אם מערכת יחסים היא של בקר משותף או של בקר ומעבד?
השאלה המרכזית היא מי קובע את מטרות ואמצעי העיבוד. אם שני הארגונים משפיעים על הסיבות והאופן שבו מעובדים פרטים אישיים מזהים, מדובר בשליטה משותפת. אם ארגון אחד קובע את המטרה והשני פועל רק על פי הוראות, מדובר ביחסי בקר-מעבד. בפועל, מערכות יחסים רבות נופלות באזור אפור. יש לקחת בחשבון: האם לצד השני יש עניין משלו בתוצאת העיבוד? האם הוא מחליט אילו נתונים לאסוף או כיצד להשתמש בהם? אם כן, סביר להניח שמדובר בשליטה משותפת ולא במעבד.
האם ניתן להטיל אחריות על בקר משותף אחד למחדלים של האחר?
לפי סעיף 26(3) בתקנת ה-GDPR, מנהלי מידע מזהה אישי יכולים לממש את זכויותיהם כנגד כל אחד מהבקרים המשותפים, ללא קשר להסכמים פנימיים. משמעות הדבר היא שאם בקר אחד אינו מטפל בבקשת נושא מידע, האחר יכול להיות אחראי. רשויות פיקוח יכולות גם לנקוט בפעולות אכיפה כנגד כל אחד מהבקרים המשותפים או כל הבקרים המשותפים. הסכמים פנימיים יכולים להקצות אחריות כספית בין הצדדים, אך הם אינם יכולים להגביל את זכויותיהם של מנהלי מידע מזהה אישי או את סמכויותיהם של הרגולטורים.
מה עלינו לומר למנהלי PII בנוגע לבעלות משותפת על השליטה?
יש להנגיש את מהות ההסכם למנהלי הפרטיות. לכל הפחות, על ההסכם לכלול: זהות כל בקר משותף, סוגי העיבוד שכל אחד מהם אחראי עליהם, וכיצד מנהלי הפרטיות יכולים לממש את זכויותיהם (כולל נקודת קשר). מידע זה מסופק בדרך כלל בהודעת הפרטיות. אין צורך לחשוף כל פרט בהסכם הפנימי - מספיק כדי שאנשים יבינו מי אחראי וכיצד ליצור קשר.
עיין במדריך דרישות ראיות הביקורת שלנו לקבלת מידע על מה שמבקרים מצפים לו בעת הערכת בקרה זו.
