Ochrana osobních údajů podle standardu: synergie GDPR a ISO 27701

Úvod: Trvalý tlak na prokazování v ochraně osobních údajů

Od nabytí účinnosti obecného nařízení o ochraně osobních údajů (GDPR) platí v evropském hospodářském prostoru přísná zásada odpovědnosti (accountability, čl. 5 odst. 2 GDPR): společnosti musí nejen jednat v souladu s ochranou osobních údajů, ale musí to kdykoli bez mezer prokázat dozorovým orgánům i subjektům údajů.

V praxi to často vede k chaotickým izolovaným řešením: záznamy o činnostech zpracování v zastaralých tabulkách, nekoordinované smlouvy o zpracování a vágní koncepty výmazu.

Zde pomáhá mezinárodní norma ISO/IEC 27701. Jako certifikovatelné rozšíření ISO 27001 staví most mezi technickou bezpečností informací a právní ochranou osobních údajů. Zavádí komplexní systém managementu ochrany soukromí (PIMS).

Co je ISO/IEC 27701?

ISO 27701 je koncipována jako doplněk k ISO 27001. To znamená: základem je stávající nebo souběžně zaváděný systém managementu bezpečnosti informací. ISO 27701 tento systém doplňuje o specifické požadavky na ochranu osobních údajů (Personally Identifiable Information – PII).

Norma jasně rozlišuje dvě role:

1. Správci PII (PII Controllers): organizace, které rozhodují o účelech a prostředcích zpracování údajů.
2. Zpracovatelé PII (PII Processors): poskytovatelé služeb (například poskytovatelé SaaS, datová centra, poskytovatelé BPO), kteří zpracovávají osobní údaje jménem třetích stran.

Pro obě role norma poskytuje opatření na míru, vodítka a standardy dokumentace.

Jak ISO 27701 převádí požadavky GDPR do praxe

GDPR formuluje právní zásady – ISO 27701 je převádí do použitelných procesů managementu:

Rozhodující obchodní přínosy PIMS

Proč stále více společností B2B investuje do certifikace ISO 27701?

1. Konkurenční výhoda v mezinárodním prodeji: Zejména zákazníci a koncerny mimo Evropu hledají poskytovatele, kteří prokazatelně ovládají evropské standardy ochrany údajů. Certifikát ISO 27701 je celosvětově srozumitelná pečeť kvality.
2. Výrazné snížení počtu vendor assessmentů: Místo ručního vyplňování stovek individuálních dotazníků k bezpečnosti a ochraně údajů předloží certifikované společnosti zprávu o certifikátu.
3. Ochrana před pokutami a poškozením pověsti: Úřady při případných incidentech oceňují prokazatelné systémy managementu a berou je jako polehčující doklad pečlivého řízení rizik.
4. Plynulé synergie: Kdo je již certifikován podle ISO 27001, ušetří při zavádění ISO 27701 až 60 % úsilí, protože struktura dokumentace a model rizik jsou totožné.

Cesta k dvojí certifikaci (ISO 27001 + ISO 27701)

Certifikace podle ISO 27701 probíhá vždy ve spojení s ISO 27001:

• Společný audit: Oba standardy lze posoudit v jediném kombinovaném auditu. Šetří to čas, interní zdroje i poplatky za audit.
• Rozšířené prohlášení o aplikovatelnosti (SoA): Prohlášení o aplikovatelnosti se rozšiřuje o opatření ochrany osobních údajů podle ISO 27701 (přílohy A a B).
• Zaměření na toky PII: Auditor podrobně analyzuje, jak se osobní údaje získávají, ukládají, předávají a nevratně mažou.

Závěr

Ochrana osobních údajů není nepříjemná povinnost pro právníky, ale ústřední faktor důvěry v obchodě B2B. S ISO 27701 proměníte právní nejistotu v pevný, certifikovaný systém managementu.

Chcete nechat certifikovat ochranu osobních údajů podle ISO 27701?
Objevte naše služby k ISO 27001 a ISO 27701 nebo si vyžádejte audit na míru prostřednictvím naší stránky s cenami.