Czym jest ISO 27701?
ISO/IEC 27701:2019 to rozszerzenie ISO 27001 i ISO 27002, które dodaje wymagania i kontrole specyficzne dla zarządzania prywatnością danych osobowych (PII). Standard nie zastępuje ISO 27001, lecz buduje na nim: organizacja musi posiadać ISMS zgodny z ISO 27001 jako warunek wstępny wdrożenia ISO 27701.
Standard definiuje dodatkowe wymagania dla klauzul 4-10 systemu zarządzania i wprowadza dwa zestawy kontroli: jeden dla administratorów danych (PII Controllers) i jeden dla podmiotów przetwarzających (PII Processors). To dopasowanie do terminologii RODO nie jest przypadkowe — ISO 27701 został zaprojektowany z myślą o wspieraniu zgodności z przepisami o ochronie danych.
Jak ISO 27701 wspiera RODO
Załącznik D ISO 27701 zapewnia bezpośrednie mapowanie między kontrolami standardu a artykułami RODO. To mapowanie obejmuje fundamentalne zasady rozporządzenia:
- Zgodność z prawem, rzetelność i przejrzystość (Art. 5.1.a): Kontrole ISO 27701 wymagają, aby organizacje identyfikowały i dokumentowały podstawy prawne przetwarzania, zapewniały jasne informacje o prywatności i prowadziły rejestry czynności przetwarzania.
- Ograniczenie celu (Art. 5.1.b): Standard wymaga, aby dane osobowe były zbierane tylko w określonych, wyraźnych i prawnie uzasadnionych celach.
- Minimalizacja danych (Art. 5.1.c): Kontrole wymagają, aby przetwarzanie było ograniczone do tego, co niezbędne do zadeklarowanych celów.
- Prawidlowość (Art. 5.1.d): Wymagane są procesy utrzymania dokładności danych osobowych i ich sprostowania w razie potrzeby.
- Ograniczenie przechowywania (Art. 5.1.e): Standard wymaga polityk retencji danych i procesów usuwania lub anonimizacji danych, gdy nie są już potrzebne.
- Prawa osób, których dane dotyczą (Art. 15-22): ISO 27701 wymaga procesów obsługi żądań osób, których dane dotyczą, w tym prawa dostępu, sprostowania, usunięcia, przenoszenia i sprzeciwu.
Certyfikacja ISO 27701 nie gwarantuje automatycznie zgodności z RODO, ale dostarcza istotny dowód ustrukturyzowanego podejścia do ochrony danych, które regulatorzy i klienci uznają za znaczące.
Korzyści z certyfikacji
Poza zgodnością regulacyjną, certyfikacja ISO 27701 oferuje konkretne korzyści biznesowe. Wiele organizacji, zwłaszcza w sektorze technologicznym i finansowym, wymaga od swoich dostawców wykazania ustrukturyzowanego zarządzania prywatnością. Certyfikacja ISO 27701 spełnia to wymaganie efektywnie, eliminując powtarzające się audyty i kwestionariusze od każdego klienta z osobna.
W przypadku naruszenia ochrony danych zdolność wykazania certyfikowanego systemu zarządzania prywatnością może być czynnikiem łagodzącym w decyzjach sankcyjnych organów nadzorczych.
Ścieżka wdrożenia
Dla organizacji już certyfikowanych według ISO 27001, wdrożenie ISO 27701 jest naturalnym rozszerzeniem. Główne etapy obejmują: identyfikację czynności przetwarzania danych osobowych, analizę luk względem wymagań ISO 27701, wdrożenie dodatkowych kontroli dla administratorów i/lub podmiotów przetwarzających, aktualizację dokumentacji systemu zarządzania i przeprowadzenie audytu certyfikacyjnego.
Dla organizacji, które nie posiadają jeszcze ISO 27001, możliwe jest jednoczesne wdrożenie obu standardów, uzyskując zintegrowany system zarządzania obejmujący zarówno bezpieczeństwo informacji, jak i prywatność od samego początku.
Jak BALTUM wspiera Państwa proces
Sieć BALTUM oferuje kompleksowe usługi wdrożenia i certyfikacji ISO 27701, od wstępnej analizy luk po przygotowanie do audytu. Nasi konsultanci posiadają specjalistyczne doświadczenie zarówno ze standardem ISO 27701, jak i z RODO, zapewniając zintegrowane podejście spełniające wymogi certyfikacyjne i regulacyjne.