Hvad kræver kontrol A.1.4.4?
Organisationen skal sikre og dokumentere, at personoplysningerne er så nøjagtige, fuldstændige og opdaterede som nødvendigt til de formål, hvortil de behandles, i hele personoplysningernes livscyklus.
Denne kontrol ligger inden for Minimering af personligt identificerbare oplysninger mål (A.1.4) og adresserer en dimension af datakvalitet, der går ud over mængden. Selv hvis du kun indsamler det minimale nødvendige PII (A.1.4.2), at data skal forblive formålstjenlige i hele deres livscyklus. Unøjagtige personoplysninger kan føre til forkerte beslutninger, nægtet service eller skade på den enkelte, især hvor automatiseret beslutningstagning (A.1.3.11) er involveret.
Hvad siger implementeringsvejledningen?
Bilag B (afsnit B.1.4.4) indeholder følgende vejledning:
- Bekræft nøjagtighed ved afhentning — Implementer procedurer til at kontrollere, at personoplysninger er nøjagtige på indsamlingstidspunktet, såsom valideringsregler, verifikationskontroller og bekræftelsestrin
- Oprethold nøjagtighed under opbevaring — Indfør processer for at holde personoplysninger opdaterede, mens de opbevares, herunder regelmæssige datakvalitetskontroller og opdateringsanmodninger
- Giv PII-principaler mulighed for at opdatere deres data — Tilvejebringe tilgængelige mekanismer for enkeltpersoner til at gennemgå og korrigere deres egne personoplysninger, der understøtter retten til berigtigelse i henhold til A.1.3.7 Adgang, rettelse eller sletning
- Definer "præcis nok" — Bestem hvilket nøjagtighedsniveau der er passende for hvert behandlingsformål, idet man erkender, at forskellige formål kan kræve forskellige præcisionsniveauer
- Se også A.1.4.3: Begræns behandling for relaterede krav
- Se også A.1.4.5: Mål for minimering af personoplysninger for relaterede krav
Den vigtigste indsigt er, at nøjagtighed er formålsafhængig. En marketingmailingliste kan tolerere en lille procentdel af forældede adresser, men et patientjournalsystem kræver næsten perfekt nøjagtighed. Organisationen skal definere og dokumentere nøjagtighedstærsklen for hvert behandlingsformål.
Hvordan relaterer dette sig til GDPR?
Kontrol A.1.4.4 knytter sig til GDPR Artikel 5(1)(d), princippet om nøjagtighed: Personoplysninger skal være nøjagtige og, hvor det er nødvendigt, ajourførte. Der skal træffes alle rimelige foranstaltninger for at sikre, at personoplysninger, der er urigtige i forhold til de formål, hvortil de behandles, slettes eller berigtiges straks.
Denne GDPR Princippet er direkte operationaliseret af A.1.4.4-kravene til verifikations-, vedligeholdelses- og korrektionsmekanismer.
Hvordan hænger dette sammen med ISO 29100-principperne for privatlivsbeskyttelse?
Denne kontrol understøtter direkte ISO 29100 princippet om Nøjagtighed og kvalitet, hvilket kræver, at behandlede personoplysninger skal være nøjagtige, fuldstændige, opdaterede, tilstrækkelige og relevante i forhold til formålet. Princippet kræver også, at pålideligheden af personoplysninger skal sikres gennem hele livscyklussen.
Start din gratis prøveperiode
Vil du udforske?
Tilmeld dig din gratis prøveperiode i dag, og få fat i alle de overholdelsesfunktioner, som ISMS.online har at tilbyde
Hvilken dokumentation forventer revisorer?
Ved vurdering af overholdelse af A.1.4.4 vil revisorer typisk se efter:
- Politik for datakvalitet — En dokumenteret politik, der definerer nøjagtighedskrav for hver kategori af personoplysninger, herunder acceptable nøjagtighedsgrænser pr. formål
- Valideringskontroller — Tekniske kontroller på indsamlingssteder (formatvalidering, verifikationstrin, bekræftelsesmails), der er med til at sikre nøjagtighed fra starten
- Datakvalitetsgennemgangsregistre — Dokumentation for periodiske datakvalitetsrevisioner, herunder de anvendte metrikker, fundne resultater og trufne korrigerende handlinger
- Selvbetjeningsmekanismer — Dokumentation for, at PII-principaler kan tilgå og rette deres egne data, såsom kontoprofilsider, opdateringsanmodningsformularer eller kundeportaler
- Rettelseslogfiler — Registreringer af foretagne nøjagtighedskorrektioner, uanset om de er initieret af organisationen eller af PII-opdragsgivere
Hvad er de relaterede kontroller?
| kontrol | Relationship |
|---|---|
| A.1.3.7 Adgang, rettelse eller sletning | Gør det muligt for enkeltpersoner at verificere og rette deres egne personoplysninger |
| A.1.3.11 Automatiseret beslutningstagning | Nøjagtighed af inputdata er afgørende for retfærdige automatiserede beslutninger |
| A.1.4.2 Begrænsning af indsamling | Færre data at administrere betyder nemmere vedligeholdelse af nøjagtighed |
| A.1.4.8 Tilbageholdelse | Kortere opbevaring reducerer vinduet for, at data bliver unøjagtige |
| A.1.4.10 PII-transmissionskontroller | Dataintegritet under transmission beskytter nøjagtigheden |
| A.1.2.9 Forarbejdningsregistre | Behandlingsregistre bør afspejle nøjagtighedskravene for hver aktivitet |
Hvad har ændret sig fra ISO 27701:2019?
For en trinvis fremgangsmåde, se Overgangen fra 2019 til 2025.
I 2019-udgaven blev nøjagtighed og kvalitet behandlet under punkt 7.4.3 (PII-nøjagtighed og -kvalitet). 2025-kontrollen bevarer det samme kernekrav, men lægger eksplicit vægt på at dokumentere nøjagtighed gennem hele PII'ens "livscyklus". Implementeringsvejledningen i B.1.4.4 er også mere struktureret med en klarere adskillelse mellem nøjagtighedsmål for indsamlingstidspunkt og opbevaringstidspunkt. Se Bilag F korrespondancetabel for den fulde kortlægning.
Administrer al din compliance, alt på ét sted
ISMS.online understøtter over 100 standarder og regler, hvilket giver dig en enkelt platform til alle dine overholdelsesbehov.
Hvorfor vælge ISMS.online til styring af PII-nøjagtighed og -kvalitet?
ISMS.online understøtter dine forpligtelser til datakvalitet med praktiske værktøjer indbygget i dit privatlivsstyringssystem:
- Datakvalitetsramme — Definer nøjagtighedsgrænser for hver kategori af personoplysninger og behandlingsformål, og opret en dokumenteret standard, som revisorer kan verificere
- Gennemgå planlægning — Opsæt tilbagevendende datakvalitetsgennemgange med automatiske påmindelser, der sikrer, at nøjagtighedskontroller sker til tiden
- Sporing af rettelser — Registrer alle anmodninger om korrektion og udførte handlinger, og vedligehold det revisionsspor, som revisorer forventer
- Forbundne kontroller — Forbind nøjagtighedskrav med adgangs- og rettelsesrettigheder, sikkerhedsforanstaltninger for automatiseret beslutningstagning og opbevaringsplaner i et enkelt system
- Eksport af bevismateriale — Generer datakvalitetsrapporter og rettelseslogfiler som en del af din certificeringsdokumentationspakke
Ofte Stillede Spørgsmål
Hvad betyder "så præcist som nødvendigt" i praksis?
Standarden undgår bevidst at kræve perfektion. I stedet skal nøjagtighed stå i forhold til formålet. En kundes postadresse, der bruges til markedsføringsforsendelser, kan tolerere mindre unøjagtigheder, mens den samme kundes økonomiske oplysninger, der bruges til kreditbeslutninger, kræver streng nøjagtighed. Organisationen bør dokumentere, hvad "nøjagtig nok" betyder for hvert behandlingsformål, og implementere kontroller, der står i forhold til denne tærskel.
Hvordan skal organisationer håndtere personoplysninger, som de har mistanke om er unøjagtige?
Hvor der er mistanke om unøjagtigheder, bør organisationen tage rimelige skridt til at verificere dataene, enten ved at kontrollere mod en pålidelig kilde eller ved at kontakte den personoplysninger, der er ansvarlige for dem. Mens verifikationen afventer, bør dataene markeres som ubekræftede, og hvor det er muligt, bør behandling, der afhænger af deres nøjagtighed, sættes på pause. Hvis den personoplysninger, der er ansvarlige for dem, har anmodet om berigtigelse, bør dette håndteres omgående i henhold til jeres korrektionsprocedurer.
Kræver denne kontrol automatisk datavalidering?
Standarden kræver ikke specifikke tekniske foranstaltninger. Automatiseret validering (formatkontrol, intervalkontrol, duplikatdetektion) anbefales dog kraftigt som en praktisk måde at håndhæve nøjagtighed i stor skala. Valget af kontroller bør stå i forhold til mængden og følsomheden af de personoplysninger, der er indsamlet i data, samt nøjagtighedskravene til behandlingsformålet.
Se vores vejledning om krav til revisionsbeviser for den specifikke dokumentation, som revisorer forventer i forbindelse med datakvalitets- og minimeringskontroller.
