Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

A.12.2
ISO 27018

Intended destination of PII

A.7.4.9
ISO 27701

PII transmission controls

A.8.4.3
ISO 27701

PII transmission controls

Other tasks from the same security theme

Appointment, tasks and position of a Data Protection Officer (DPO)

Critical
High
Normal
Low

Our organization has determined whether a data protection officer should be appointed and, if so, made an appointment.

The Data Protection Officer shall be appointed if:

  • the organization handles sensitive information on a large scale
  • the organization monitors people on an extensive, regular, and systematic basis
  • the organization is a public administration actor

In addition to the appointment, it is essential to regularly assess whether the Data Protection Officer is acting in the role and performing the tasks required by the Data Protection Regulation.

37. Designation of the data protection officer
GDPR
38. Position of the data protection officer
GDPR
39. Tasks of the data protection officer
GDPR
18.1.4: Privacy and protection of personally identifiable information
ISO27 Full
6.6: Yleiset
Self-monitoring

Passing client requirements on to relevant partner organizations

Critical
High
Normal
Low

The organization must make sure that contractual obligations set by clients are passed to the used subcontractors and other partners (sub processors).

The compliance of of partner organizations with the set obligations must be reviewed regularly. Each partner must have named contact person and the necessary contact information must be up-to-date.

9.5.2: Management of contractual obligations with partners
TISAX

Vaikutustenarviointiin liittyvä tietosuojaviranomaisen ennakkokuuleminen

Critical
High
Normal
Low

Organisaation on kuultava relevanttia tietosuojaviranomaista ennen henkilötietojen käsittelyn aloittamista, kun vaikutustenarviointi osoittaa, että käsittely aiheuttaisi korkean riskin rekisteröidylle, eikä rekisterinpitäjä ole omilla toimenpiteillään saanut riskiä alhaisemmaksi.

Tietosuojaviranomaista on kuultava esimerkiksi silloin, kun rekisteröidyt voisivat joutua kärsimään huomattavista tai peruuttamattomista seurauksista, joita he eivät välttämättä pysty torjumaan.

TSU-17.1: Tietosuojan vaikutustenarviointi - Ennakkokuuleminen
Julkri

Käsittelyn turvallisuuden lisätoimenpiteet erityisiä henkilötietoja käsiteltäessä

Critical
High
Normal
Low

Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia tai rikostuomioihin ja rikoksiin liittyviä henkilötietoja organisaatio toteuttaa asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.

Näitä erityisiä toimenpiteitä voivat olla mm.:

  • käsittelyn tarkempi lokitus
  • erityisiä henkilötietoja käsittelevän henkilöstön tarkempi ohjeistaminen
  • tarkempi pääsynhallinta liittyviin henkilötietoihin
  • henkilötietojen pseudonymisointi liittyvissä käsittelytoimissa
  • henkilötietojen salaus liittyvissä käsittelytoimissa
  • käsittelyyn liittyvien järjestelmien tietoturvatarkistukset
  • tietosuojan vaikutustenarvioinnin toteuttaminen
  • muut tietojen turvallisuutta parantavat toimenpiteet
TSU-13: Käsittelyn turvallisuus
Julkri
6.11: Alusta- ja verkkopalvelujen tietoturvallinen käyttö tietosuojan ja varautumisen kannalta
Tietoturvasuunnitelma

Organisaation rooli käsiteltyjen henkilötietojen osalta

Critical
High
Normal
Low

Organisaatio määrittelee käsittelemiensä henkilötietojen osalta, toimiiko organisaatio rekisterinpitäjänä, yhteisrekisterinpitäjänä vai henkilötietojen käsittelijänä.

Digiturvamallissa tietovarannot, joiden osalta organisaatio toimii rekisterinpitäjänä, dokumentoidaan Tietovarannot-listaan. Ulkoiset tietovarannot -listassa on tarkoitus dokumentoida tietovarannot, joiden osalta organisaatio toimii itse henkilötietojen käsittelijänä.

TSU-02: Organisaation roolit
Julkri
56: Organisaation roolin tunnistaminen
Sec overview

Joint controller identification and responsibilities

Critical
High
Normal
Low

The organisation should clearly define roles and responsibilities related to processing personal data together with a joint controller. Definition must include requirements for protecting and processing data.

The organisation can for example make a contract with joint controllers or document procedures for joint controllers and publish them on the website and make them available at offices

A.7.2.7: Joint PII controller
ISO 27701
TSU-03: Yhteisrekisterinpitäjät
Julkri
58: Yhteisrekisterinpitäjyystilanteiden tunnistaminen
Sec overview

Controls for ensuring the proper recipient of personal data transfer

Critical
High
Normal
Low

When personal data is transmitted through a network, organization should have designed appropriate controls for ensuring that the data reaches its intended destination.

A.12.2: Intended destination of PII
ISO 27018
A.7.4.9: PII transmission controls
ISO 27701
A.8.4.3: PII transmission controls
ISO 27701

Safe re-use of data storage space for cloud service customers

Critical
High
Normal
Low

Cloud services may not always explicitly erase all the data deleted by users, e.g. due to performance issues.

Organization should have implemented technical controls for ensuring that whenever a data storage space is assigned for a customer, any previously residing data on this storage is not visible to the new customer.

A.11.13: Access to data on pre-used data storage space
ISO 27018

Tietosuojan seuranta ja valvontasuunnitelma

Critical
High
Normal
Low

Organisaation on määriteltävä, miten tehdään säännöllistä henkilötietojen käytön seurantaa (esim. tietoja voivat katsella ja käsitellä vain siihen oikeutetut henkilöt) ja miten toimitaan, jos väärinkäytöksiä ilmenee.

6.6.1: Tietoturvan ja tietosuojan seuranta ja valvonta
Self-monitoring
12: Digiturvan tilan seuraaminen
Sec overview
P8.1: Periodic monitoring of privacy compliance
SOC 2
6.8: Asiakas- ja potilastietojärjestelmien pääsynhallinnan ja käytön seurannan käytännöt
Tietoturvasuunnitelma
9.2.1: Data protection responsibilities
TISAX

Notification of the Data Protection Officer

Critical
High
Normal
Low

The organization shall publish the contact details of the data protection officer (e.g. on the organisation's website) and inform the supervisory authority.

37. Designation of the data protection officer
GDPR
6.1.1: Information security roles and responsibilities
ISO27 Full
18.1.4: Privacy and protection of personally identifiable information
ISO27 Full
18.2.2: Compliance with security policies and standards
ISO27 Full
TSU-05.1: Tehtävät ja vastuut - Tietosuojavastaava
Julkri

Handling of instructions from controller regarding the processing of personal data

Critical
High
Normal
Low

The organization must have in place a procedure to handle instructions coming from data controller regarding the processing of personal data. The procedure must make sure:

  • Received instructions are documented
  • Instructions are implemented and the implementation is maintained
  • Data is separated by client, project or other specific grouping
9.8: Instructions
TISAX
9.8.1: Instructions for data processing
TISAX

Partners' data protection commitments and its monitoring

Critical
High
Normal
Low

Data protection commitments are collected from partners who process personal data, through which they assure the correct processing of personal data. These commitments may be part of an agreement on the processing of personal data.

The organization itself has also defined operating methods for monitoring these commitments with regard to partners and for taking the necessary measures.

P6.4: Obtaining privacy commitments from third parties and assesment of compliance
SOC 2

Appointment of a representative in the Union

Critical
High
Normal
Low

The Data Protection Regulation applies to the processing of personal data of EU data subjects by an organization not established in the EU, if the processing involves

  • the supply of goods or services to those data subjects in the Union, whether or not the data subject is required to pay; or
  • monitoring the behavior of these data subjects insofar as their behavior takes place in the Union

In such cases, the organization shall appoint a representative in writing for the territory of the Union, provided that the processing of personal data is not incidental.

The representative must be established in one of the Member States where the data subjects whose personal data are processed are located. The representative shall be empowered to contact the representative, in particular the supervisory authorities and the data subject, on any matter relating to the processing of personal data.

27. Representatives of controllers or processors not established in the Union
GDPR