ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27002, section 5.1.1.
Here is the relevant paragraph to article 24(2) GDPR:
6.2.1.1 Policies for information security
Implementation guidance
Either by the development of separate privacy policies, or by the augmentation of information security policies, the organization should produce a statement concerning support for and commitment to achieving compliance with applicable PII protection legislation and/or regulation and with the contractual terms agreed between the organization and its partners, its subcontractors and its applicable third parties (customers, suppliers etc.), which should clearly allocate responsibilities between them.
[…]
Sign in
to read the full text
ISO/IEC 27701, adopted in 2019, added a requirement additional to ISO/IEC 27001, section 4.1.
Here is the relevant paragraph to article 24(3) GDPR:
5.2.1 Understanding the organization and its context
The organization shall include among its interested parties (see ISO/IEC 27001:2013, 4.2), those parties having interests or responsibilities associated with the processing of PII, including the PII principals.
[…]
Sign in
to read the full text
Source: http://www.pipc.go.kr/cmt/not/ntc/selectBoardArticle.do?nttId=5969&bbsId=BBSMSTR_000000000121&bbsTyCode=BBST03&bbsAttrbCode=BBSA03&authFlag=Y&pageIndex=6
A controller is a person or an organization that determines the personal data to process and the purposes and means of the processing (Article 4(7)). The definition rightly points to the decision-making capacity of the entity that “decides why and how data will be processed” (ULD Schleswig-Holstein/Wirtschaftsakademie, Opinion of Advocate General).
[…]
Sign in
to read the full text
(74) 컨트롤러가 수행하는 개인정보 처리나 컨트롤러를 대신하여 수행하는 개인정보의 처리에 대한 컨트롤러의 책임(responsibility and liability)이 수립되어야 한다. 특히 컨트롤러는 적절하고 효과적인 조치를 시행할 의무를 지녀야하며 조치의 효력 등, 본 규정에 따라 처리활동을 하고 있음을 입증할 수 있어야 한다. 이러한 조치는 개인정보처리의 성격, 범위, 상황, 목적 그리고 개인의 권리와 자유에 초래되는 위험요소를 고려해야 한다.
(75) 개인의 권리와 자유에 초래되는 위험은, 다양한 발생가능성과 심각성으로 나타나는데 이는, 개인정보 처리로 인해 발생할 수 있으며, 이는 신체적(physical), 물질적(material) 혹은 비-물질적(non-material) 손해를 초래할 수 있다. 특히, 처리로 인해 차별, 신용도용 및 사기, 재정적 손실, 명예훼손, 직무상의 기밀로 보호되던 개인정보의 기밀성 상실, 가명정보에 대한 무단 재식별 처리, 또는 기타의 심각한 경제적 또는 사회적 불이익이 초래될 수 있는 경우 그러하다. 또한, 정보주체가 본인의 권리와 자유를 빼앗길 수 있는 경우나, 본인의 개인정보에 대한 자기결정권(right to control) 행사하지 못하게 되는 경우, 혹은 개인정보가 인종 및 민족의 출신, 정견, 종교 및 철학적 신념, 노동조합의 가입여부와 유전자정보, 건강정보 또는 성생활 관련 정보나 범죄 기소 및 범죄관련 개인정보에 대한 처리 또는 관련한 보안 조치를 드러내는 방식으로 처리되는 경우. 또는 개인적인 측면에 평가되는 경우로 특히 업무능력, 경제적 상황, 건강상태, 개인의 성향 및 관심사, 신뢰성이나 행동, 위치 및 이동경로와 관련된 측면을 개인프로필 생성 및 이용을 위해 분석하거나 예측하는 경우. 혹은 아동 등 취약한 개인의 개인정보가 처리되는 경우나 처리가 방대한 양의 개인정보와 관련 있거나, 수많은 정보주체에게 영향을 미치는 경우가 그러하다.
(76) 정보주체의 권리와 자유에 초래될 수 있는 위험 가능성과 심각성은 해당 처리의 성격, 범위, 상황 및 목적을 참고하여 결정되어야 한다. 위험성은 개인정보 처리 작업(operation)이 위험요소 또는 높은 수준의 위험요소에 관련되었는지를 입증 하기위한 객관적인 평가에 근거하여 평가되어야 한다.
(77) 컨트롤러나 프로세서의 적절한 조치시행 및 법률 준수여부 입증에 대한 지침, 특히 처리와 관련된 위험에 대한 식별, 위험요소의 출처·성격·가능성·심각성을 고려한 평가, 그리고 위험을 완화하는 모범 방침의 모색에 대한 지침은 인가된 행동강령(approved code of conducts) 및 인증서(certificates), 또는 EDPB에서 제공하는 가이드라인이나 DPO가 제공하는 지표를 통해 제공될 수 있다. EDPB는 개인의 권리와 자유에 고위험을 초래하지 않을 것으로 간주되는 처리 작업에 대한 가이드라인을 발간할 수 있으며, 어떠한 조치로 이러한 위험요소를 충분히 해결할 수 있는 지 설명할 수 있다.
(83) 보안을 유지하고 이 규정을 위반하는 처리를 예방하기 위해, 컨트롤러 또는 프로세서는 처리에 내재된 위험요소를 평가하고, 해당 위험요소를 완화할 수 있는 암호처리 등의 조치를 시행해야 한다. 이러한 조치는 보호되어야 할 개인정보의 성격과 위험에 비례하여 (조치) 시행의 수준(state of the art)과 비용을 고려한 후 기밀성 보장 등, 적절한 보안 수준을 보장해야 한다. 개인정보의 보안위험요소를 평가할 때, 개인정보 처리로 초래되는 위험에 대해 고려해보아야 하며, 예를 들면 특히 신체적, 물질적 그리고 비-물질적 피해를 초래할 수 있는 위험으로, 이전되거나 저장된 개인정보 혹은 다르게 처리된 개인정보의 사고적 혹은 불법적 파기, 손실, 변경, 무단 제공 혹은 무단 열람 등이 있다.
CJEU, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein/Wirtschaftsakademie Schleswig-Holstein GmbH, Opinion of Advocate General, C‑210/16 (2018).
CJEU, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein/Wirtschaftsakademie Schleswig-Holstein GmbH, C‑210/16 (2018).
Belgian DPA Fines Belgian Telecommunications Provider for Several Data Protection Infringements, (2020). Brief description in English.
Article 29 Working Party, Opinion 1/2010 on the concepts of “controller” and “processor” (2010).
EDPB, Guidelines on the Concepts of Controller, Processor and Joint Controllership Under Regulation (EU) 2018/1725 (2019).
EDPB, Guidelines 7/2020 on the Concepts of Controller and Processor in the GDPR (2021).
ISO/IEC 27701, adopted in 2019, added additional ISO/IEC 27002 guidance for PII controllers.
Here is the relevant paragraph to article 24(1) GDPR:
7.2.8 Records related to processing PII
Control
The organization should determine and securely maintain the necessary records in support of its obligations for the processing of PII.
Implementation guidance
A way to maintain records of the processing of PII is to have an inventory or list of the PII processing activities that the organization performs.
[…]
Sign in
to read the full text