Zaštita podataka prema standardu: sinergija GDPR-a i ISO 27701

7 min čitanja · Službenici za zaštitu podataka, pravni savjetnici, menadžeri usklađenosti, CISO-i, direktori

Svi članci

Uvod: stalni pritisak dokazivanja u zaštiti podataka

Od stupanja na snagu Opće uredbe o zaštiti podataka (GDPR) u evropskom privrednom prostoru važi strogo načelo obaveze polaganja računa (accountability, čl. 5 st. 2 GDPR): preduzeća ne samo da moraju postupati u skladu sa zaštitom podataka, nego to u svakom trenutku moraju moći potpuno dokazati nadzornim organima i licima na koja se podaci odnose.

U praksi to često vodi ka haotičnim izolovanim rješenjima: evidencije aktivnosti obrade u zastarjelim tabelama, neusklađeni ugovori o obradi podataka i nejasni koncepti brisanja.

Tu pomaže međunarodni standard ISO/IEC 27701. Kao proširenje ISO 27001 koje se može certificirati, gradi most između tehničke informacione bezbjednosti i pravne zaštite podataka. Uspostavlja sveobuhvatan Privacy Information Management System (PIMS).

Šta je ISO/IEC 27701?

ISO 27701 je zamišljen kao dodatak uz ISO 27001. To znači: temelj čini postojeći ili istovremeno uveden sistem menadžmenta informacionom bezbjednošću. ISO 27701 taj sistem dopunjava posebnim zahtjevima za zaštitu ličnih podataka (Personally Identifiable Information – PII).

Standard jasno razlikuje dvije uloge:

PII Controllers (rukovaoci podacima): organizacije koje odlučuju o svrhama i sredstvima obrade podataka.
PII Processors (obrađivači podataka): pružaoci usluga (npr. SaaS pružaoci, data centri, BPO pružaoci) koji lične podatke obrađuju po nalogu trećih lica.

Za obje uloge standard daje prilagođene kontrole, smjernice i standarde dokumentovanja.

Kako ISO 27701 operativno pretvara zahtjeve GDPR-a

GDPR formuliše pravna načela – ISO 27701 ih prevodi u procese menadžmenta primjenjive u praksi:

Načelo / zahtjev GDPR-a	Provedba kroz ISO 27701 (PIMS)
Privacy by Design i by Default (čl. 25)	Čvrsto ugrađivanje procjena uticaja na zaštitu podataka (DPIA) u ciklus razvoja i nabavke.
Prava lica na koja se podaci odnose (čl. 12–22)	Standardizovani procesi i rokovi odgovora za pristup, ispravku, prenosivost podataka i brisanje („pravo na zaborav“).
Obrada po nalogu i lanac dobavljača (čl. 28)	Sistemska provjera i audit podizvođača u pogledu usklađenosti zaštite podataka.
Obaveza prijave povreda podataka (čl. 33 i 34)	Uspostavljeni procesi upravljanja incidentima za otkrivanje, dokumentovanje i blagovremenu prijavu u roku od 72 sata.
Obaveza polaganja računa (čl. 5 st. 2)	Potpun trag audita kroz certificirane procese i redovne nezavisne kontrole.

Odlučujuće poslovne prednosti PIMS-a

Zašto sve više B2B preduzeća ulaže u certifikaciju ISO 27701?

Konkurentska prednost u međunarodnoj prodaji: posebno kupci i koncerni van Evrope traže pružaoce koji dokazivo vladaju evropskim standardima zaštite podataka. Certifikat ISO 27701 je globalno razumljiv znak kvaliteta.
Drastično manje procjena dobavljača: umjesto da ručno popunjavaju stotine pojedinačnih upitnika o bezbjednosti i zaštiti podataka, certificirana preduzeća predaju izvještaj o certifikatu.
Zaštita od novčanih kazni i štete po ugled: organi u slučaju incidenta cijene dokazive sisteme menadžmenta i tretiraju ih kao olakšavajući dokaz pažljivog upravljanja rizicima.
Neposredne sinergije: ko je već certificiran prema ISO 27001, pri uvođenju ISO 27701 uštedi i do 60 % truda, jer su struktura dokumentacije i model rizika isti.

Put do dvostruke certifikacije (ISO 27001 + ISO 27701)

Certifikacija prema ISO 27701 uvijek ide zajedno sa ISO 27001:

Zajednički audit: oba standarda mogu se provjeriti u jednom, kombinovanom auditu. To štedi vrijeme, interne resurse i naknade za provjeru.
Proširena izjava o primjenjivosti (SoA): izjava o primjenjivosti proširuje se kontrolama zaštite podataka iz ISO 27701 (prilozi A i B).
Fokus na tokove PII: auditor detaljno analizira kako se lični podaci prikupljaju, pohranjuju, prenose i neopozivo brišu.

Zaključak

Zaštita podataka nije dosadna obaveza za pravnike, nego središnji faktor povjerenja u B2B poslovanju. Uz ISO 27701 pravne neizvjesnosti pretvarate u čvrst, certificiran sistem menadžmenta.

Želite li zaštitu podataka certificirati prema ISO 27701?
Pogledajte naše usluge za ISO 27001 i ISO 27701 ili zatražite ponudu audita po mjeri preko naše stranice cijena.