Hvad kræver paragraf 10?
Klausul 10 lukker PDCA-løkken ved at kræve, at din organisation løbende forbedrer Privacy Information Management System (PIMS) og håndterer afvigelser effektivt, når de opstår. Den har to underklausuler: en om løbende forbedring og en om processen for afvigelser og korrigerende handlinger.
Korrigerende handlinger kan kræve en genvurdering af Bilag A kontrollerer og opdatering af anvendelighedserklæringen.
10.1 Kontinuerlig forbedring
Organisationen skal løbende forbedre PIMS' egnethed, tilstrækkelighed og effektivitet.
Kontinuerlig forbedring er et grundlæggende princip i alle ISO-ledelsesstandarder. For et PIMS betyder det systematisk at identificere og implementere muligheder for at forbedre privatlivsbeskyttelsen. Kilder til forbedringsmuligheder omfatter:
- resultater fra overvågning og måling (Klausul 9.1)
- Resultater af intern revision (punkt 9.2)
- Beslutninger om ledelsesgennemgang (punkt 9.3)
- Ændringer i privatlivsrisici, regler eller teknologi
- Feedback fra PII-principper, kunder og andre interesserede parter
- Lektioner fra privatlivshændelser
- Bedste praksis og benchmarking i branchen
Forbedring betyder ikke altid store ændringer. Små, trinvise forbedringer af processer, kontroller og dokumentation over tid kan styrke din privatlivspolitik betydeligt.
10.2 Uoverensstemmelse og korrigerende handling
Når der opstår en afvigelse, skal organisationen:
- Reager på uoverensstemmelsen — Tag skridt til at kontrollere og korrigere det, og håndter konsekvenserne
- Vurder behovet for handling — Afgør, om der er behov for handling for at eliminere årsagen, så den ikke gentager sig eller forekommer andre steder, ved at gennemgå afvigelsen, fastslå årsagerne og afgøre, om lignende afvigelser findes eller potentielt kan forekomme
- Implementer alle nødvendige handlinger — Iværksæt korrigerende handlinger for at håndtere de grundlæggende årsager
- Gennemgå effektiviteten — Kontroller, at de korrigerende handlinger, der blev truffet, var effektive til at forhindre gentagelse
- Foretag ændringer i PIMS — Opdater om nødvendigt ledelsessystemet for at afspejle de indhøstede erfaringer
Korrigerende handlinger skal være passende i forhold til virkningerne af de konstaterede afvigelser. Et mindre proceduremæssigt hul kræver ikke samme niveau af reaktion som et væsentligt brud på privatlivets fred.
Frigør dig selv fra et bjerg af regneark
Integrer, udvid og skaler din compliance uden besvær. IO giver dig robustheden og selvtilliden til at vokse sikkert.
Dokumenterede informationskrav
Organisationen skal opbevare dokumenterede oplysninger som bevis for:
- Afvigelsernes art og eventuelle efterfølgende handlinger
- Resultaterne af enhver korrigerende handling
Det betyder at føre tydelige optegnelser, der viser, at du har en systematisk proces til at håndtere problemer, ikke blot ved at løse det umiddelbare problem, men også ved at forstå, hvorfor det skete, og forhindre, at det sker igen.
Hvordan hænger dette sammen med GDPR?
- artikel 33 — Underretning af et brud på persondatasikkerheden til tilsynsmyndigheden. Hændelser vedrørende privatlivets fred, der udgør manglende overholdelse af reglerne, kan også kræve underretning om brud.
- artikel 34 — Underretning af et brud på persondatasikkerheden til den registrerede, hvilket kan være en korrigerende handling som følge af hændelsesundersøgelsen
- Artikel 5 (2) — Ansvarlighedsprincippet, understøttet af dokumenteret bevis for korrigerende handlinger og forbedringer
- artikel 24 — Controllerens ansvar for at gennemgå og opdatere foranstaltninger, hvor det er nødvendigt, i overensstemmelse med løbende forbedringer
For den komplette kortlægning, se Vejledning til overholdelse af GDPR.
Hvad har ændret sig fra ISO 27701:2019?
- Selvstændige krav — I 2019 supplerede paragraf 5.8 ISO 27001 paragraf 10. Nu er forbedringskravene komplette og uafhængige.
- Privatlivsspecifikt fokus — Processen for manglende overensstemmelse og korrigerende handlinger fungerer nu eksplicit inden for PIMS-konteksten i stedet for at udvide en ISMS-proces
- Tydeligere struktur — Den femtrins korrigerende handlingsproces (reagere, evaluere, implementere, gennemgå, ændre) er mere tydeligt formuleret
For et bredere overblik, se Hvad er nyt i ISO 27701:2025.
se Bilag F korrespondancetabel for den fulde kortlægning.
Hvilken dokumentation forventer revisorer?
- Afvigelsesregister — En log over alle identificerede afvigelser fra enhver kilde (revisioner, hændelser, klager, overvågning)
- Root årsag analyse — Bevis for, at årsager blev undersøgt, ikke kun symptomer blev behandlet
- Optegnelser om korrigerende handlinger — Dokumenterede handlinger, der er truffet, med tildelte ejere, deadlines og dokumentation for færdiggørelse
- Effektivitetsvurderinger — Dokumentation for, at der blev fulgt op på korrigerende handlinger for at verificere, at de virkede
- PIMS-ændringer — Optegnelser over ændringer foretaget i ledelsessystemet som følge af indhøstede erfaringer
- Bevis for forbedring — Påviselige forbedringer over tid, såsom faldende hændelsesrater, hurtigere responstider eller forbedrede revisionsresultater
Hændelsesdrevne forbedringer forbinder sig til A.3.11 Hændelseshåndtering i de delte kontroller.
Relaterede klausuler
| Klausul | Relationship |
|---|---|
| Punkt 6: Planlægning | Korrigerende handlinger kan føre til opdateringer af risikovurderingen eller behandlingsplanen |
| Punkt 8: Betjening | Operationelle afvigelser er en primær kilde til input til korrigerende handlinger |
| Punkt 9: Præstationsevaluering | Revisionsresultater og resultater fra ledelsens gennemgang driver både korrigerende handlinger og forbedringer |
Se også Klausul 4 (Kontekst), Klausul 5 (Ledelse) og Klausul 7 (Support).
Kom nemt i gang med en personlig produktdemo
En af vores onboarding-specialister vil guide dig gennem vores platform for at hjælpe dig med at komme godt i gang med selvtillid.
Hvorfor vælge ISMS.online for overholdelse af paragraf 10?
ISMS.online giver værktøjerne til at drive løbende forbedringer i dit PIMS:
- Afvigelseshåndtering — Log, kategorisér og spor afvigelser fra enhver kilde med skabeloner til rodårsagsanalyse
- Arbejdsgange for korrigerende handlinger — Tildel handlinger til ejere med deadlines, spor fremskridt og planlæg effektivitetsevalueringer
- Trendanalyse — Visualiser afvigelser og hændelsestendenser over tid for at identificere systemiske problemer
- Forbedringsregister — Indfang og prioritér forbedringsmuligheder fra alle kilder med implementeringssporing
- Revisionsintegration — Automatisk link af revisionsresultater til korrigerende handlinger og spor dem frem til afslutning og verifikation
Ofte Stillede Spørgsmål
Hvad er forskellen mellem en afvigelse og en observation?
En afvigelse er en manglende opfyldelse af et krav i standarden, en juridisk forpligtelse eller organisationens egne PIMS-krav. Det kræver korrigerende handling. En observation (undertiden kaldet en "mulighed for forbedring") er en konstatering, der ikke udgør en fejl, men fremhæver et område, hvor PIMS kan styrkes. Observationer kræver ikke formel korrigerende handling, men bør betragtes som forbedringsinput.
Hvordan demonstrerer du løbende forbedringer for revisorer?
Gennem objektiv dokumentation for, at PIMS bliver bedre over tid. Dette kan omfatte faldende afvigelsesrater, forbedrede privatlivsmålinger, hurtigere responstider på hændelser, mere modne risikostyringsprocesser, forbedrede kontroller, opdaterede politikker, der afspejler indhøstede erfaringer, og gennemførte forbedringsinitiativer. Revisorer søger en systematisk tilgang, ikke perfektion.
Skal enhver afvigelse resultere i en korrigerende handling?
Enhver afvigelse skal reageres på (kontrolleres og korrigeres), men standarden siger, at organisationen skal "evaluere behovet" for handling for at eliminere årsagen. I praksis kræver de fleste afvigelser korrigerende handlinger, men der kan være tilfælde, hvor den øjeblikkelige korrektion er tilstrækkelig, og sandsynligheden for gentagelse er ubetydelig. Evalueringen skal dokumenteres under alle omstændigheder.
Lær af andre ved at gennemgå de mest almindelige implementeringsfejl og hvordan man undgår dem.
Almindelig mangelanalyse Øvelser hjælper med at identificere forbedringsmuligheder og opretholde certificeringsparathed.
