Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

No items found.

Other tasks from the same security theme

Appointment, tasks and position of a Data Protection Officer (DPO)

Critical
High
Normal
Low

Our organization has determined whether a data protection officer should be appointed and, if so, made an appointment.

The Data Protection Officer shall be appointed if:

  • the organization handles sensitive information on a large scale
  • the organization monitors people on an extensive, regular, and systematic basis
  • the organization is a public administration actor

In addition to the appointment, it is essential to regularly assess whether the Data Protection Officer is acting in the role and performing the tasks required by the Data Protection Regulation.

38. Position of the data protection officer
GDPR
39. Tasks of the data protection officer
GDPR
37. Designation of the data protection officer
GDPR
18.1.4: Privacy and protection of personally identifiable information
5.34: Privacy and protection of PII
ISO 27001

Vaikutustenarviointiin liittyvä tietosuojaviranomaisen ennakkokuuleminen

Critical
High
Normal
Low

Organisaation on kuultava relevanttia tietosuojaviranomaista ennen henkilötietojen käsittelyn aloittamista, kun vaikutustenarviointi osoittaa, että käsittely aiheuttaisi korkean riskin rekisteröidylle, eikä rekisterinpitäjä ole omilla toimenpiteillään saanut riskiä alhaisemmaksi.

Tietosuojaviranomaista on kuultava esimerkiksi silloin, kun rekisteröidyt voisivat joutua kärsimään huomattavista tai peruuttamattomista seurauksista, joita he eivät välttämättä pysty torjumaan.

No items found.

Käsittelyn turvallisuuden lisätoimenpiteet erityisiä henkilötietoja käsiteltäessä

Critical
High
Normal
Low

Käsiteltäessä erityisiin henkilötietoryhmiin kuuluvia tai rikostuomioihin ja rikoksiin liittyviä henkilötietoja organisaatio toteuttaa asianmukaiset ja erityiset toimenpiteet rekisteröidyn oikeuksien suojaamiseksi.

Näitä erityisiä toimenpiteitä voivat olla mm.:

  • käsittelyn tarkempi lokitus
  • erityisiä henkilötietoja käsittelevän henkilöstön tarkempi ohjeistaminen
  • tarkempi pääsynhallinta liittyviin henkilötietoihin
  • henkilötietojen pseudonymisointi liittyvissä käsittelytoimissa
  • henkilötietojen salaus liittyvissä käsittelytoimissa
  • käsittelyyn liittyvien järjestelmien tietoturvatarkistukset
  • tietosuojan vaikutustenarvioinnin toteuttaminen
  • muut tietojen turvallisuutta parantavat toimenpiteet
No items found.

Organisaation rooli käsiteltyjen henkilötietojen osalta

Critical
High
Normal
Low

Organisaatio määrittelee käsittelemiensä henkilötietojen osalta, toimiiko organisaatio rekisterinpitäjänä, yhteisrekisterinpitäjänä vai henkilötietojen käsittelijänä.

Digiturvamallissa tietovarannot, joiden osalta organisaatio toimii rekisterinpitäjänä, dokumentoidaan Tietovarannot-listaan. Ulkoiset tietovarannot -listassa on tarkoitus dokumentoida tietovarannot, joiden osalta organisaatio toimii itse henkilötietojen käsittelijänä.

No items found.

Joint controller identification and responsibilities

Critical
High
Normal
Low

The organisation should clearly define roles and responsibilities related to processing personal data together with a joint controller. Definition must include requirements for protecting and processing data.

The organisation can for example make a contract with joint controllers or document procedures for joint controllers and publish them on the website and make them available at offices

A.7.2.7: Joint PII controller
ISO 27701

Controls for ensuring the proper recipient of personal data transfer

Critical
High
Normal
Low

When personal data is transmitted through a network, organization should have designed appropriate controls for ensuring that the data reaches its intended destination.

A.12.2: Intended destination of PII
ISO 27018
A.7.4.9: PII transmission controls
ISO 27701
A.8.4.3: PII transmission controls
ISO 27701

Safe re-use of data storage space for cloud service customers

Critical
High
Normal
Low

Cloud services may not always explicitly erase all the data deleted by users, e.g. due to performance issues.

Organization should have implemented technical controls for ensuring that whenever a data storage space is assigned for a customer, any previously residing data on this storage is not visible to the new customer.

A.11.13: Access to data on pre-used data storage space
ISO 27018

Tietosuojan seuranta ja valvontasuunnitelma

Critical
High
Normal
Low

Organisaation on määriteltävä, miten tehdään säännöllistä henkilötietojen käytön seurantaa (esim. tietoja voivat katsella ja käsitellä vain siihen oikeutetut henkilöt) ja miten toimitaan, jos väärinkäytöksiä ilmenee.

No items found.

Notification of the Data Protection Officer

Critical
High
Normal
Low

The organization shall publish the contact details of the data protection officer (e.g. on the organisation's website) and inform the supervisory authority.

37. Designation of the data protection officer
GDPR
6.1.1: Information security roles and responsibilities
ISO 27001
18.1.4: Privacy and protection of personally identifiable information
18.2.2: Compliance with security policies and standards
ISO 27001

Partners' data protection commitments and its monitoring

Critical
High
Normal
Low

Data protection commitments are collected from partners who process personal data, through which they assure the correct processing of personal data. These commitments may be part of an agreement on the processing of personal data.

The organization itself has also defined operating methods for monitoring these commitments with regard to partners and for taking the necessary measures.

No items found.

Appointment of a representative in the Union

Critical
High
Normal
Low

The Data Protection Regulation applies to the processing of personal data of EU data subjects by an organization not established in the EU, if the processing involves

  • the supply of goods or services to those data subjects in the Union, whether or not the data subject is required to pay; or
  • monitoring the behavior of these data subjects insofar as their behavior takes place in the Union

In such cases, the organization shall appoint a representative in writing for the territory of the Union, provided that the processing of personal data is not incidental.

The representative must be established in one of the Member States where the data subjects whose personal data are processed are located. The representative shall be empowered to contact the representative, in particular the supervisory authorities and the data subject, on any matter relating to the processing of personal data.

27. Representatives of controllers or processors not established in the Union
GDPR