מהם בקרות מעבד ה-PII בתקן ISO 27701:2025?
טבלה A.2 של נספח A לתקן ISO 27701:2025 מגדירה 18 בקרות החלות על כל ארגון הפועל כמעבד מידע אישי. מעבד מידע אישי מעבד מידע אישי מטעם ובהנחיותיו של בקר מידע אישי.
בקרות אלו מקובצות לארבע מטרות:
- תנאים לאיסוף ועיבוד (A.2.2) — 6 בקרות המכסות הסכמי לקוחות, מגבלות מטרה, מגבלות שיווק ורישומים
- התחייבויות כלפי ספקי מידע אישי (A.2.3) — בקרה אחת המכסה סיוע בתאימות ללקוח
- פרטיות מעוצבת ופרטיות כברירת מחדל (A.2.4) — 3 בקרות המכסות קבצים זמניים, החזרה/סילוק של מידע אישי ושידור
- שיתוף, העברה וגילוי של פרטים אישיים מזהים (A.2.5) — 8 בקרות המכסות העברות, גילויים וניהול קבלני משנה
הנחיות יישום עבור כל בקרה נמצאות בנספח ב' סעיף B.2 (לדוגמה, הנחיות עבור A.2.2.2 הסכם לקוח נמצאות ב-B.2.2.2).
רשימה מלאה של בקרות טבלה A.2
| שליטה | כותרת | <br> סיכום |
|---|---|---|
| א.2.2.2 הסכם לקוח | הסכם לקוח | ודא שהחוזים מתייחסים לתפקיד המעבד בסיוע למילוי התחייבויות הלקוח. |
| א.2.2.3 מטרות הארגון | מטרות הארגון | עבדו מידע אישי רק למטרות המפורטות בהוראות המתועדות של הלקוח. |
| A.2.2.4 שיווק ופרסום | שימוש בשיווק ופרסום | אין להשתמש במידע אישי מזהה מחוזה למטרות שיווק ללא הסכמתו של המנהל המתאים |
| A.2.2.5 הוראה מפרה | הוראה מפרה | ליידע את הלקוח אם הוראת עיבוד מפרה את החוק החל |
| A.2.2.6 התחייבויות הלקוח | התחייבויות הלקוח | לספק ללקוח מידע כדי להוכיח את עמידתו בדרישות |
| A.2.2.7 רישומי עיבוד של מידע אישי | רשומות הקשורות לעיבוד מידע אישי מזהה | שמור רישומים המדגימים עמידה בהתחייבויות חוזיות בנוגע למידע אישי מזהה |
| A.2.3.2 התחייבויות כלפי ספקי מידע אישי | לעמוד בהתחייבויות כלפי מנהלי מידע אישי | לספק ללקוח את האמצעים לעמוד בהתחייבויות העיקריות של מידע אישי מזהה |
| A.2.4.2 קבצים זמניים | קבצים זמניים | סילוק קבצים זמניים מעיבוד מידע אישי בתוך פרק זמן מתועד |
| A.2.4.3 החזרה, העברה או סילוק | החזרה, העברה או סילוק של מידע אישי | להחזיר, להעביר או להיפטר מהמידע המזהה באופן מאובטח ולהנגיש את הפוליסה |
| A.2.4.4 בקרות שידור PII | בקרות שידור PII | מידע אישי מועבר דרך רשתות לבקרות מתאימות |
| A.2.5.2 בסיס להעברת מידע אישי | בסיס להעברת מידע אישי בין תחומי שיפוט | ליידע את הלקוח על הבסיס להעברות מידע אישי בינלאומיות בצורה יעילה ובזמן. |
| A.2.5.3 מדינות להעברת מידע אישי | מדינות וארגונים בינלאומיים להעברת מידע אישי | ציין ותעד מדינות וארגונים שאליהם ניתן להעביר את המידע האישי האישי |
| A.2.5.4 רישומי גילוי מידע אישי | רישומי גילוי מידע אישי (PII) לצדדים שלישיים | רישום גילויים של פרטים אישיים מזהים, כולל מה נחשף, למי ומתי |
| A.2.5.5 בקשות לגילוי מידע אישי מזהה | הודעה על בקשות גילוי מידע מזהה אישי | ליידע את הלקוח על כל בקשת גילוי מחייבת מבחינה משפטית |
| A.2.5.6 גילויים מחייבים מבחינה משפטית | גילוי מידע אישי מחייב מבחינה משפטית | דחו בקשות לא מחייבות והתייעצו עם הלקוח לפני גילוי |
| A.2.5.7 גילוי קבלני משנה | גילוי קבלני משנה המשמשים לעיבוד מידע אישי מזהה | יש לגלות ללקוח האם נעשה שימוש בקבלני משנה לפני השימוש. |
| A.2.5.8 הפעלת קבלני משנה | העסקת קבלן משנה לעיבוד מידע אישי | העסקת קבלני משנה רק בהתאם לחוזה הלקוח |
| A.2.5.9 שינוי קבלן משנה | שינוי קבלן משנה לעיבוד מידע אישי | ליידע את הלקוח על שינויים צפויים בקבלני משנה ולאפשר התנגדויות |
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
כיצד בקרות המעבד קשורות ל-GDPR?
טבלה א.2 מתייחסת בעיקר לסעיף 28 בתקנת ה-GDPR (חובות מעבד) וסעיף 30 (רישומי עיבוד). קשרים עיקריים:
- א.2.2.2 הסכם לקוח–3 (הסכמים ומטרות) סעיף 28(3)(א), סעיף 29 - עיבוד תחת סמכות הבקר
- A.2.2.7 רישומי עיבוד של מידע אישי (רשומות) סעיף 30(2–5) - רישומי פעילויות עיבוד של מעבד →
- A.2.4.3 החזרה, העברה או סילוק (החזרה/סילוק) סעיף 28(3)(ז) - מחיקה או החזרה לאחר סיום השירות
- A.2.5.7 גילוי קבלני משנה–9 (קבלני משנה) סעיף 28(2–4) - אישור ושינויים של מעבד משנה
מה עוד חל על מעבדי PII?
טבלה A.2 אינה הסט המלא של הדרישות עבור מעבדי מידע אישי. עליך גם ליישם את הבקרות הרלוונטיות מטבלה A.3 (בקרות אבטחה משותפות) , המכסה יסודות אבטחת מידע כמו בקרת גישה, ניהול אירועים, קריפטוגרפיה ורישום.
למה לבחור ISMS.online לתאימות מעבדי PII?
ISMS.online עוזר לך ליישם ולהוכיח כל בקרה בטבלה A.2:
- ניהול חוזים — מעקב אחר הסכמי לקוחות, מטרות עיבוד וחובות תאימות
- רישום קבלני משנה — תיעוד קבלני משנה, מיקומם ותהליך ההודעה ללקוחות
- העברת רשומות — ניהול רישום של העברות בינלאומיות עם תיעוד בסיסי
- רישום גילוי נאות — לתעד את כל גילויי המידע האישי עם פרטים על מה, למי ומתי
- נהלי סיום שירות — תיעוד ומעקב אחר תהליכי החזרה, העברה או סילוק של מידע מזהה אישי
- תמיכה כפולת תפקידים — אם אתה פועל גם כבקר וגם כמעבד, נהל את שניהם טבלה א.1 ו-A.2 במקום אחד
שאלות נפוצות
מדוע יש רק 18 בקרות מעבד לעומת 31 בקרות בקר?
מעבדי מידע אישי (PII) פועלים על פי הוראות הבקר, ולכן החלטות פרטיות רבות (בסיס חוקי, הסכמה, זכויות נושא המידע) הן באחריות הבקר. בקרות המעבד מתמקדות בעמידה בחוזה, הגבלות עיבוד, ניהול קבלני משנה וטיפול בגילוי.
האם ארגון יכול להיות גם בקר וגם מעבד?
כן. ארגונים רבים משמשים כבקרים עבור פעילויות עיבוד מסוימות וכמעבדים עבור אחרות. במקרה זה, גם טבלה A.1 וגם טבלה A.2 חלות, כאשר תפקידים נפרדים נקבעים עבור כל פעילות עיבוד. סעיף 4.1 בתקן ISO 27701:2025 דורש שתקבעו את תפקידכם עבור כל מופע של עיבוד מידע אישי.
האם אני צריך גם את טבלה A.3 כמעבד?
כן. טבלה A.3 (בקרות אבטחה משותפות) חלה הן על בקרים והן על מעבדים. כמעבד, אתה זקוק הן לבקרות טבלה A.2 (ספציפיות למעבד) והן לבקרות טבלה A.3 (אבטחה משותפת) בהצהרת הישימות שלך.
ארגוני SaaS ימצאו הדרכה מותאמת אישית למעבדים במדריך שלנו לפלטפורמות SaaS.
ראו כיצד צוותי רכש משתמשים בתקן ISO 27701 כדי להעריך מעבדים במדריך להערכת ספקים ובמדריך לדרישות הרכש שלנו.
