Yleiskatsaus
Täydellinen operatiivinen PIMS-politiikkakokonaisuus, jota tukevat REG01–REG12-rekisterit ja lauseketason toteutussuunnitelma. Se yhdistää tietosuojan hallinnoinnin, riskit, DPIA:n, oikeudet, toimittajat, siirrot, poikkeamat, koulutuksen, todentavan aineiston, auditoinnin ja jatkuvan parantamisen yhdeksi auditoitavaksi viitekehykseksi.
Täysi PIMS-politiikkaviitekehys
Täydellinen tietosuojan hallintapolitiikkojen kokonaisuus, joka kattaa hallinnoinnin, riskit, DPIA:n, oikeudet, toimittajat, poikkeamat, tietoturvan, todentavan aineiston ja parantamisen.
Rekisteriperusteinen toteutus
Politiikat on kytketty kanonisiin näyttöobjekteihin REG01–REG12 jäljitettävyyden, osoitusvelvollisuuden ja toteutuksen seurannan tukemiseksi.
Valmius auditointia varten toimintamallina
Viitekehys yhdistää lausekkeet, roolit, rekisterit, todentavan aineiston, seurannan, korjaavat toimenpiteet ja johdon katselmoinnin yhdeksi PIMS-elinkaareksi.
▾ Lue koko yleiskatsaus (click to expand)
Käytäntökaavio
Napsauta kaaviota nähdäksesi sen täydessä koossa
Sisältö
Täysi ISO/IEC 27701 -PIMS-politiikkakokonaisuus
Kanoniset rekisterit REG01–REG12
Toteutussuunnitelma ja lauseketason toimenpiteiden seuranta
Roolipohjainen omistajuus- ja osoitusvelvollisuusmalli
Vaatimustenmukaisuuskartoitukset tietosuoja-, tietoturva- ja auditointistandardeihin
Seurannan, auditoinnin, poikkeamien ja jatkuvan parantamisen työnkulku
Kehysmääräysten noudattaminen
🛡️ Tuetut standardit ja kehykset
Tämä tuote on linjassa seuraavien vaatimustenmukaisuuskehysten kanssa, yksityiskohtaisilla lauseke- ja valvontamappingeillä.
| Kehys | Katetut lausekkeet / Kontrollit |
|---|---|
| ISO/IEC 27701:2025 |
Clause 4.1Clause 4.2Clause 4.3Clause 4.4Clause 5.1Clause 5.2Clause 5.3Clause 6.1.1Clause 6.1.2Clause 6.1.3Clause 6.2Clause 6.3Clause 7.1Clause 7.2Clause 7.3Clause 7.4Clause 7.5Clause 8.1Clause 8.2Clause 8.3Clause 9.1Clause 9.2Clause 9.3Clause 10.1Clause 10.2Annex A.1.2.2Annex A.1.2.3Annex A.1.2.6Annex A.1.2.7Annex A.1.2.8Annex A.1.2.9Annex A.1.3.2Annex A.1.3.3Annex A.1.3.4Annex A.1.3.6Annex A.1.3.7Annex A.1.3.8Annex A.1.3.9Annex A.1.3.10Annex A.1.3.11Annex A.1.4.2Annex A.1.4.3Annex A.1.4.5Annex A.1.4.6Annex A.1.4.7Annex A.1.4.8Annex A.1.4.9Annex A.2.2.2Annex A.2.2.3Annex A.2.2.5Annex A.2.2.6Annex A.2.2.7Annex A.2.3.2Annex A.2.4.3Annex A.2.5.4Annex A.2.5.5Annex A.2.5.6Annex A.2.5.7Annex A.2.5.8Annex A.2.5.9Annex A.3.8Annex A.3.9Annex A.3.11Annex A.3.12Annex A.3.13Annex A.3.14Annex A.3.15Annex A.3.16Annex A.3.17Annex A.3.22Annex A.3.23Annex A.3.25Annex A.3.26Annex A.3.28Annex A.3.29
|
| EU GDPR |
Article 5(1)(a)Article 5(1)(f)Article 5(2)Article 11Article 12Article 15Article 16Article 17Article 18Article 19Article 20Article 21Article 22Article 24Article 26Article 28Article 30Article 32Article 33Article 34Article 39Article 47Article 48Article 49
|
| ISO/IEC 29100:2020 |
Clause 4.7Clause 5.1Clause 5.6Clause 5.8Clause 5.9Clause 5.10Clause 5.11Clause 5.12
|
| ISO/IEC 29151:2022 |
Clause 4.1Clause 4.2Clause 9.4.2Clause 9.4.3Clause 9.4.4Clause 9.4.5Clause 10.1.2Clause 10.1.3Clause 12.1.5Clause 15.1.2Clause 15.2.2Clause 15.2.3Clause 16.1.2Clause 16.1.3Clause 18.1.4Clause 18.1.5Clause 18.2.2Clause 18.2.3Clause 18.2.4Annex A.2Annex A.3Annex A.4Annex A.5Annex A.7Annex A.8Annex A.10
|
| ISO/IEC 27001:2022 | |
| ISO/IEC 27002:2022 | |
| ISO/IEC 29134:2020 |
Clause 1Clause 5.1Clause 6.2Clause 6.3
|
| ISO/IEC 27557:2022 |
Clause 4Clause 5.2Clause 5.3Clause 5.4.1Clause 6.4Clause 6.5Clause 6.6Clause 6.7
|
| ISO/IEC 27035-1:2023 |
Clause 5.2
|
| ISO/IEC 27035-3:2020 |
Clause 7Clause 8Clause 9Clause 10Clause 11Clause 12
|
Liittyvät käytännöt
Rekisteröidyn oikeuksien hallintapolitiikka
Määrittää toimintamallin rekisteröidyn oikeuksia koskevien pyyntöjen vastaanotolle, varmennukselle, vastaamiselle, eskaloinnille, kieltäytymiselle, jatkoajalle ja sulkemisnäytölle.
Henkilötietojen hallintajärjestelmän politiikka
Määrittää koko PIMS:n soveltamisalan, hallinnointirakenteen, tavoitteet, rekisterimallin ja osoitusvelvollisuuden perustan täydelle politiikkakokonaisuudelle.
Tietosuojaroolien, vastuiden ja osoitusvelvollisuuden politiikka
Määrittää roolipohjaisen osoitusvelvollisuusmallin, jota käytetään politiikan toteutuksessa, todentavan aineiston omistajuudessa, katselmoinnissa ja hyväksyntätoiminnoissa.
Henkilötietojen käsittelytoimien luettelon ja oikeusperusteen politiikka
Tarjoaa käsittelytoimien luettelon ja oikeusperustetta koskevan näyttörakenteen, joka tukee tietosuojan hallinnointia, riskien arviointia ja vaatimustenmukaisuustallenteita.
Tietosuojaselosteen ja läpinäkyvyyden politiikka
Yhdistää käsittelytoimien tallenteet, tietosuojaselosteet, informointivelvoitteet ja viestinnän rekisteröidyille laajempaan PIMS-näyttömalliin.
Suostumuksen ja valinta-asetusten hallinnan politiikka
Tukee suostumus-, valinta-asetus-, peruuttamis- ja valtuutusnäyttöä silloin, kun käsittely perustuu suostumukseen tai valinta-asetuksiin perustuviin kontrolleihin.
Tietosuojariskien arvioinnin ja DPIA:n politiikka
Tarjoaa tietosuojariskien ja DPIA:n menetelmän, jota käytetään uuden tai muuttuneen käsittelyn arviointiin ja käsittelypäätösten ohjaamiseen.
Sisäänrakennetun ja oletusarvoisen tietosuojan politiikka
Yhdistää tietosuojavaatimukset suunnitteluun, oletusasetuksiin, järjestelmämuutokseen, operatiiviseen valmiuteen ja tuotantokäyttöönoton kontrollinäyttöön.
Henkilötietojen keräämisen, käytön, luovutuksen ja jakamisen politiikka
Kontrolloi hyväksyttyä keräämistä, käyttöä, luovutusta, jakamista ja siirtoreititystä koskevia päätöksiä rekisterinpitäjän ja henkilötietojen käsittelijän konteksteissa.
Henkilötietojen säilytys-, poistamis- ja hävityspolitiikka
Määrittää henkilötietojen käsittelytoimien säilytystä, poistamista, hävitystä, lopputoimenpidettä ja elinkaarinäyttöä koskevat vaatimukset.
Henkilötietojen täsmällisyys- ja laatupolitiikka
Tukee täsmällisyyttä, korjaamista, laadun katselmointia ja tietojen laatua koskevaa näyttöä silloin, kun henkilötietojen laatu vaikuttaa käsittelyyn tai oikeuksia koskeviin tuloksiin.
Henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojahallinnan politiikka
Määrittää toimittajien, henkilötietojen käsittelijöiden, alikäsittelijöiden, kolmansien osapuolten, huolellisuuden, sopimusten, varmentamisen, seurannan ja päättämisvaiheen hallinnoinnin.
Henkilötietojen kansainvälisten siirtojen politiikka
Tarjoaa siirtojen hallinnointimallin henkilötietojen kansainvälisille siirroille, suojatoimille, siirtoperusteille, tietojen edelleen siirtämiselle ja poikkeuksille.
Henkilötietojen tietoturva- ja pääsynhallintapolitiikka
Yhdistää tietosuojan hallinnoinnin henkilötietokohtaiseen tietoturvaan, pääsynhallintaan, todennukseen, lokitukseen, kryptografiseen ja tekniseen suojausnäyttöön.
Henkilötietopoikkeamien ja tietoturvaloukkausten hallintapolitiikka
Määrittää henkilötietopoikkeamien ja henkilötietojen tietoturvaloukkausten vastaanoton, arvioinnin, eskaloinnin, ilmoittamisen, todentavan aineiston, opit ja sulkemisvaatimukset.
Finanssialan henkilötietopoikkeamien ja tietoturvaloukkausten hallintapolitiikka
Tarjoaa finanssialan poikkeama- ja tietoturvaloukkausmuunnelman säänneltyihin konteksteihin, joissa sovelletaan lisätoiminnallisia tai sääntelyvelvoitteita.
Tietosuojakoulutuksen, tietoisuuden ja pätevyyden politiikka
Määrittää tietosuojakoulutusta, tietoisuutta, pätevyyttä, suoritusnäyttöä ja roolipohjaisia osaamisvaatimuksia PIMS-toimintaa varten.
PIMS:n dokumentoidun tiedon ja todentavan aineiston hallintapolitiikka
Kontrolloi PIMS:n dokumentoitua tietoa, politiikkatallenteita, hyväksyntöjä, versiointia, käännöksiä, todentavan aineiston eheyttä ja hakua.
PIMS:n seuranta-, auditointi- ja parantamispolitiikka
Määrittää PIMS:n seurannan, mittarit, sisäisen tarkastuksen, johdon katselmoinnin, poikkeamat, korjaavat toimenpiteet ja jatkuvan parantamisen.
Työntekijöiden tietosuojapolitiikka
Laajentaa PIMS-viitekehyksen työntekijöiden henkilötietoihin ja HR-käsittelyyn, henkilöstölle annettaviin tietosuojaselosteisiin, valvontaan, HR-toimittajiin ja työntekijöiden tietosuojanäyttöön.
Lasten tietosuojapolitiikka
Laajentaa PIMS-viitekehyksen lapsiin liittyvään käsittelyyn, vanhempainvastuunkantajan valtuutukseen, lasten oikeuksiin, suojatoimiin ja lasten tietosuojanäyttöön.
Tekoälyn ja automaattisen päätöksenteon tietosuojapolitiikka
Kontrolloi tekoälyn, profiloinnin ja automaattisen päätöksenteon tietosuojariskejä, läpinäkyvyyttä, oikeuksia, DPIA-reititystä ja käsittelynäyttöä.
Markkinoinnin tietosuoja- ja evästepolitiikka
Laajentaa PIMS-viitekehyksen markkinointiin, evästeisiin, suostumukseen, valinta-asetuksiin, läpinäkyvyyteen, seurantaan ja siihen liittyvään käsittelynäyttöön.
Pilvipalvelujen henkilötietojen käsittelijän politiikka
Tukee pilviympäristöjen henkilötietojen käsittelijän hallinnointia silloin, kun pilvipohjainen henkilötietojen käsittely, asiakkaan ohjeet, toimittajavelvoitteet tai säännellyt pilvivaatimukset kuuluvat soveltamisalaan.
Kameravalvonnan ja fyysisen valvonnan tietosuojapolitiikka
Laajentaa PIMS-viitekehyksen kameravalvonnan ja fyysisen valvonnan toimintoihin, mukaan lukien läpinäkyvyys, oikeusperuste, pääsy, säilytys ja valvontanäyttö.
Tietoa Clarysecin käytännöistä - Täydellinen ISO/IEC 27701 -henkilötietojen hallintajärjestelmän (PIMS) paketti
Tämä täysi politiikkakokonaisuus on rakennettu operatiiviseksi henkilötietojen hallintajärjestelmäksi eikä staattiseksi dokumentaatiopaketiksi. Se yhdistää politiikkalausekkeet nimettyihin rooleihin, kanonisiin rekistereihin, toteutustehtäviin, todentavan aineiston vaatimuksiin ja katselmointisykleihin. Viitekehys käyttää REG01–REG12-rekistereitä todentavan aineiston selkärankana soveltamisalalle, käsittelytoimien luettelolle, kontrollien soveltuvuudelle, tietosuojariskille ja DPIA:lle, suostumukselle, oikeuksille, täsmällisyydelle, toimittajahallinnalle, siirroille, poikkeamille, koulutukselle, dokumentoidulle tiedolle, seurannalle, auditoinnille ja parantamiselle. Se tukee rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toimintaympäristöjä ja osoittaa vastuut ylimmälle johdolle, tietosuojasta vastaavalle henkilölle / PIMS-päällikölle, tietosuojavastaavalle / tietosuojaneuvonantajalle, prosessien omistajille, järjestelmäomistajille, toimittaja- / hankintaomistajille, tietoturvatoiminnolle, tietoturvapoikkeamiin reagoinnille ja sisäiselle tarkastukselle. Toteutussuunnitelma muuntaa politiikkalausekkeet seurattaviksi toimenpiteiksi, joilla on omistajat, päivämäärät ja valmistumistila, samalla kun rekisterimalli säilyttää valmiuden auditointia varten tarvittavan todentavan aineiston sertifiointivalmiutta, varmentamiskatselmuksia ja jatkuvaa parantamista varten.
Politiikasta rekisteriin ulottuva jäljitettävyys
Jokainen politiikka-alue kytkeytyy REG01–REG12-rekistereihin, jotta velvoitteet voidaan todentaa kanonisten tallenteiden eikä irrallisten tiedostojen avulla.
Roolipohjainen osoitusvelvollisuus
Vastuut osoitetaan operatiivisille rooleille, mukaan lukien tietosuoja-, tietoturva-, prosessi-, järjestelmä-, hankinta-, poikkeama- ja auditointiomistajat.
Toteutuksen seuranta
Lauseketason toimenpiteitä voidaan seurata omistajan, tilan, määräpäivän, näyttöobjektin ja valmistumismerkintöjen perusteella.
Näyttöön perustuva hallinnointi
Viitekehys tukee valmiutta auditointia varten todentavan aineiston tallenteiden, katselmointisyklien, korjaavien toimenpiteiden ja johdon katselmoinnin syötteiden avulla.
Monikontekstinen PIMS-kattavuus
Kokonaisuus tukee rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän tietosuojan hallinnan konteksteja.
Usein kysytyt kysymykset
Suunniteltu johtajille, johtajien toimesta
Tämän käytännön on laatinut tietoturvajohtaja, jolla on yli 25 vuoden kokemus ISMS-viitekehysten käyttöönotosta ja auditoinnista globaaleissa organisaatioissa. Se ei ole pelkkä asiakirja, vaan puolustettava viitekehys, joka kestää auditorin tarkastelun.
