(EN) ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.
Here is the relevant paragraph to article 5(1)(a) GDPR:
7.2.2 Identify lawful basis
Control
The organization should determine, document and comply with the relevant lawful basis for the processing of PII for the identified purposes.
Implementation guidance
Some jurisdictions require the organization to be able to demonstrate that the lawfulness of processing was duly established before the processing.
…
Sisään
pääset käsiksi koko tekstiin
(EN) EDPB, Guidelines 8/2020 on the targeting of social media users (2020).
(39) Kwalunkwe pproċessar ta' data personali għandu jkun legali u ġust. Għandu jkun trasparenti għall-persuni fiżiċi li fir-rigward tagħhom qiegħda tinġabar, tintuża, tiġi kkonsultata jew b'xi mod ieħor ipproċessata data personali u l-punt sa fejn id-data personali qiegħda tiġi pproċessata jew ser tiġi pproċessata. Il-prinċipju tat-trasparenza jeħtieġ li kwalunkwe informazzjoni u komunikazzjoni marbuta mal-ipproċessar ta' dik id-data personali tkun aċċessibbli faċilment u li tinftiehem faċilment, u li jintuża lingwaġġ ċar u sempliċi. Dak il-prinċipju jikkonċerna, b'mod partikolari, l-informazzjoni tas-suġġetti tad-data dwar l-identità tal-kontrollur u l-finijiet tal-ipproċessar u informazzjoni ulterjuri biex jiġi żgurat ipproċessar ġust u trasparenti fir-rigward tal-persuni fiżiċi kkonċernati u d-dritt tagħhom li jiksbu konferma u komunikazzjoni tad-data personali li tikkonċernahom u li tkun qiegħda tiġi pproċessata. Għandha tinġibed l-attenzjoni tal-persuni fiżiċi fir-rigward tar-riskji, ir-regoli, is-salvagwardji u d-drittijiet b'rabta mal-ipproċessar ta' data personali u kif għandhom jeżerċitaw id-drittijiet tagħhom b'rabta ma' tali pproċessar. B'mod partikolari, il-finijiet speċifiċi li għalihom tiġi pproċessata data personali għandhom ikunu espliċiti u leġittimi u stabbiliti fil-mument meta tinġabar id-data personali. Id-data personali għandha tkun adegwata, rilevanti u limitata għal dak li huwa neċessarju għall-finijiet li għalihom hija tkun qiegħda tiġi pproċessata. Dan jeħtieġ, b'mod partikolari, li jiġi żgurat li l-perijodu li matulu tinħażen id-data personali jkun limitat strettament għall-inqas possibbli. Id-data personali għandha tkun ipproċessata biss jekk il-fini tal-ipproċessar ma jkunx jista' jintlaħaq mod ieħor b'mod raġonevoli. Sabiex ikun żgurat li d-data personali ma tinżammx għal aktar żmien minn kemm meħtieġ, il-kontrollur għandu jistabbilixxi limiti ta' żmien għat-tħassir jew għal eżami perjodiku. Għandu jittieħed kull pass raġonevoli sabiex ikun żgurat li data personali li ma tkunx preċiża tiġi rettifikata jew titħassar. Id-data personali għandha tiġi pproċessata b'mod li jiżgura sigurtà u kunfidenzjalità adatti tad-data personali, inkluż għall-prevenzjoni ta' aċċess mhux awtorizzat għad-data personali u t-tagħmir użat għall-ipproċessar jew l-użu tagħhom.
(EN) Example of lawful processing:
Source: EDPB, Guidelines 4/2019 on Article 25 – Data Protection by Design and by Default (Version for public consultation) (2019).
(EN) Example of transparency measures:
Source: EDPB, Guidelines 4/2019 on Article 25 – Data Protection by Design and by Default (Version for public consultation) (2019).
(EN) Examples of fairness considerations:
Example 1
Source: EDPB, Guidelines 4/2019 on Article 25 – Data Protection by Design and by Default (Version for public consultation) (2019).