Ce Este ISO 27701
ISO/IEC 27701:2019 — Extensia ISO/IEC 27001 și ISO/IEC 27002 pentru Managementul Informațiilor de Confidențialitate — nu este un standard de sine stătător. Funcționează ca o extensie a SMSI-ului existent, adăugând cerințe și controale specifice pentru protecția datelor cu caracter personal. Aceasta înseamnă că certificarea ISO 27701 presupune o certificare ISO 27001 validă ca precondiție.
Standardul definește cerințe atât pentru operatorii de date cu caracter personal (PII controllers), cât și pentru persoanele împuternicite (PII processors), utilizând terminologia ISO în loc de termenii specifici fiecărei legislații. Această abordare neutră din punct de vedere jurisdicțional este exact ceea ce face ISO 27701 valoroasă ca instrument de conformitate multi-regulamentară.
Maparea ISO 27701 și GDPR
GDPR (Regulamentul General privind Protecția Datelor) stabilește un set cuprinzător de drepturi ale persoanelor vizate, obligații ale operatorilor și persoanelor împuternicite și principii pentru prelucrarea datelor cu caracter personal. ISO 27701 a fost dezvoltată cu un mapaj explicit către GDPR în Anexa D. Principalele puncte de mapare includ:
| Cerință GDPR | Control ISO 27701 |
|---|---|
| Baza legală pentru prelucrare (Art. 6) | A.7.2.2 — Identificarea bazei legale |
| Consimțământ (Art. 7) | A.7.2.3 — Determinarea modului de obținere a consimțământului |
| Drepturile persoanelor vizate (Arts. 15-22) | A.7.3 — Obligații către persoanele vizate |
| Transfer internațional (Art. 44-49) | A.7.5 — Partajare, transfer și divulgare |
| Evaluarea impactului (Art. 35) | A.7.2.5 — Evaluarea impactului asupra confidențialității |
| Securitatea prelucrării (Art. 32) | Controale ISO 27001 + extensii 27701 |
| Responsabilul cu protecția datelor (Art. 37-39) | A.7.2.8 — Înregistrări de contact DPO |
PIMS: Sistemul de Management al Informațiilor de Confidențialitate
PIMS (Privacy Information Management System) definit de ISO 27701 extinde SMSI-ul cu procese specifice pentru confidențialitate. În practică, aceasta înseamnă adăugarea la SMSI-ul existent a:
- Inventar de date cu caracter personal: Identificarea și documentarea tuturor activităților de prelucrare, inclusiv categorii de date, scopuri, baze legale și perioade de retenție.
- Evaluarea impactului asupra confidențialității: Proces sistematic pentru evaluarea impactului noilor activități de prelucrare asupra drepturilor și libertăților persoanelor vizate.
- Gestionarea drepturilor persoanelor vizate: Procese documentate pentru primirea, verificarea și răspunsul la solicitările persoanelor vizate în termenele legale stabilite de GDPR.
- Gestionarea incidentelor de confidențialitate: Extensia procesului de gestionare a incidentelor pentru a include proceduri de notificare către ANSPDCP și persoanele vizate afectate, conform cerințelor GDPR.
- Gestionarea terților: Controale suplimentare pentru a asigura că persoanele împuternicite prelucrează datele doar conform instrucțiunilor documentate ale operatorului.
Beneficii Specifice pentru Contextul Românesc
Pentru organizațiile din România, certificarea ISO 27701 oferă beneficii care depășesc conformitatea tehnică cu GDPR:
- Dovadă obiectivă pentru ANSPDCP: În cazul unui control sau incident, certificarea demonstrează că organizația a implementat controale recunoscute internațional pentru protecția datelor cu caracter personal.
- Facilitarea transferurilor internaționale: GDPR permite transferuri internaționale către țări cu nivel adecvat de protecție sau pe baza unor garanții corespunzătoare. ISO 27701, ca standard recunoscut global, poate servi ca dovadă a garanțiilor corespunzătoare.
- Diferențiere competitivă: Pe piața românească, unde maturitatea în domeniul confidențialității este încă în evoluție, certificarea ISO 27701 poziționează organizația ca referință în protecția datelor.
- Atenuarea sancțiunilor: GDPR prevede că adoptarea unor bune practici și a unor mecanisme de certificare poate fi considerată ca circumstanță atenuantă în aplicarea sancțiunilor.
Articolul 42 din GDPR prevede mecanisme de certificare în domeniul protecției datelor. ISO 27701 este cel mai matur candidat pentru recunoaștere ca astfel de mecanism, iar organizațiile care o dețin deja vor fi bine poziționate.
Foaie de Parcurs pentru Implementare
Precondiție: Asigurați-vă că organizația dvs. deține o certificare ISO 27001 validă. ISO 27701 nu poate fi implementată independent.
Etapa 1: Realizați un inventar complet al activităților de prelucrare a datelor cu caracter personal, mapând fluxurile de date, bazele legale și perioadele de retenție.
Etapa 2: Efectuați o analiză de gap comparând controalele actuale cu cerințele ISO 27701, considerând rolul dvs. ca operator, persoană împuternicită sau ambele.
Etapa 3: Implementați controalele suplimentare identificate, cu accent pe procesele de gestionare a drepturilor persoanelor vizate și notificarea incidentelor.
Etapa 4: Actualizați documentația SMSI-ului pentru a include elementele PIMS.
Etapa 5: Realizați un audit intern integrat (SMSI + PIMS) și o analiză de management înainte de a solicita auditul de certificare.
Cum Vă Poate Ajuta BALTUM
BALTUM oferă servicii specializate în implementarea și certificarea ISO 27701, cu accent specific pe maparea cu GDPR și legislația română de protecție a datelor. Consultanții noștri au experiență atât în standarde ISO, cât și în cerințele ANSPDCP, oferind o abordare integrată care adresează atât cerințele tehnice ale standardului, cât și obligațiile regulamentare.