Przejdź do głównej zawartości

5.34 Prywatność i ochrona danych osobowych

W skrócie: organizacja zna wymagania prawne dotyczące danych osobowych, które przetwarza, i stosuje środki pozwalające je spełnić.

Cel: zapewnienie zgodności z wymaganiami prawnymi, ustawowymi, regulacyjnymi i umownymi dotyczącymi ochrony danych osobowych.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Identify (identyfikacja), #Protect (ochrona)
Zdolności operacyjne#Information_protection (ochrona informacji), #Legal_and_compliance (prawo i zgodność)
Domeny bezpieczeństwa#Protection (ochrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Organizacja ustanawia politykę tematyczną prywatności i ochrony danych osobowych i informuje o niej zainteresowane strony.
  • Opracowuje procedury zachowania prywatności i ochrony danych osobowych i przekazuje je osobom, które przetwarzają dane.
  • Odpowiedzialność za ochronę danych powinna być jasno przypisana — np. przez wyznaczenie osoby odpowiedzialnej za prywatność, która doradza kierownictwu, użytkownikom i dostawcom.
  • Organizacja wdraża odpowiednie środki techniczne i organizacyjne ochrony danych.
  • Uwzględnia przepisy różnych jurysdykcji, gdy dane trafiają za granicę.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • W UE podstawą jest RODO: rejestr czynności przetwarzania, inspektor ochrony danych tam, gdzie wymagany, ocena skutków (DPIA), umowy powierzenia, zgłaszanie naruszeń.
  • Pseudonimizacja i minimalizacja danych w systemach (zob. 8.11).
  • Mapa przepływów danych osobowych, łącznie z transferami poza EOG i podstawą prawną transferu.

Powiązania​