Databeskyttelse efter standard: Synergien mellem GDPR og ISO 27701

7 min. læsetid · Databeskyttelsesrådgivere (DPO), juridiske rådgivere, compliance-managere, CISO'er, CEO'er

Alle artikler

Indledning: Det evige dokumentationspres i databeskyttelsen

Siden databeskyttelsesforordningen (GDPR) trådte i kraft, gælder der i det europæiske økonomiske samarbejdsområde det strikse princip om ansvarlighed (accountability, art. 5, stk. 2, GDPR): Virksomheder skal ikke blot handle i overensstemmelse med databeskyttelsesreglerne, men til enhver tid kunne dokumentere det fuldstændigt over for tilsynsmyndigheder og registrerede.

I praksis fører det ofte til kaotiske ø-løsninger: Fortegnelser over behandlingsaktiviteter i forældede regneark, ukoordinerede databehandleraftaler og vage slettekoncepter.

Her skaber den internationale standard ISO/IEC 27701 klarhed. Som certificerbar udvidelse af ISO 27001 bygger den en bro mellem teknisk informationssikkerhed og juridisk databeskyttelse. Den etablerer et omfattende Privacy Information Management System (PIMS).

Hvad er ISO/IEC 27701?

ISO 27701 er udformet som et tillæg til ISO 27001. Det betyder: Et eksisterende eller samtidig indført informationssikkerhedsledelsessystem udgør fundamentet. ISO 27701 supplerer dette system med specifikke krav til beskyttelse af personoplysninger (Personally Identifiable Information – PII).

Standarden skelner klart mellem to roller:

PII Controllers (dataansvarlige): Organisationer, der træffer beslutning om formål og hjælpemidler ved behandlingen af data.
PII Processors (databehandlere): Leverandører (for eksempel SaaS-udbydere, datacentre og BPO-leverandører), der behandler personoplysninger på vegne af tredjemand.

For begge roller leverer standarden skræddersyede kontrolmekanismer, retningslinjer og dokumentationsstandarder.

Hvordan ISO 27701 operationaliserer kravene i GDPR

GDPR formulerer retlige principper – ISO 27701 omsætter dem til ledelsesprocesser, der kan bruges i praksis:

GDPR-princip / krav	Gennemførelse med ISO 27701 (PIMS)
Privacy by Design og by Default (art. 25)	Fast implementering af konsekvensanalyser vedrørende databeskyttelse (DPIA) i udviklings- og indkøbscyklussen.
De registreredes rettigheder (art. 12–22)	Standardiserede processer og svartider for indsigt, berigtigelse, dataportabilitet og sletning (»retten til at blive glemt«).
Databehandling og leverandørkæden (art. 28)	Systematisk kontrol og audit af underleverandører med henblik på overholdelse af databeskyttelsen.
Anmeldelsespligt ved brud på persondatasikkerheden (art. 33 og 34)	Etablerede processer for incident management til opdagelse, dokumentation og rettidig anmeldelse inden for 72 timer.
Ansvarlighed (art. 5, stk. 2)	Fuldstændigt revisionsspor gennem certificerede processer og regelmæssig uafhængig kontrol.

De afgørende forretningsmæssige fordele ved et PIMS

Hvorfor investerer stadig flere B2B-virksomheder i en ISO 27701-certificering?

Konkurrencefordel i det internationale salg: Især kunder og koncerner uden for Europa søger leverandører, der dokumenterbart behersker europæiske databeskyttelsesstandarder. Et ISO 27701-certifikat er et kvalitetsstempel, der forstås globalt.
Markant færre vendor assessments: I stedet for manuelt at udfylde hundredvis af individuelle spørgeskemaer om sikkerhed og databeskyttelse fremlægger certificerede virksomheder deres certifikatrapport.
Beskyttelse mod bøder og omdømmeskader: Myndigheder anerkender dokumenterbare ledelsessystemer ved eventuelle hændelser og tillægger dem vægt som formildende bevis for omhyggelig risikostyring.
Sømløse synergier: Den, der allerede er certificeret efter ISO 27001, sparer op til 60 % af indsatsen ved implementering af ISO 27701, fordi dokumentationsstruktur og risikomodel er identiske.

Vejen til dobbeltcertificering (ISO 27001 + ISO 27701)

Certificering efter ISO 27701 sker altid i forbindelse med ISO 27001:

Fælles audit: Begge standarder kan prøves i ét samlet, kombineret audit. Det sparer tid, interne ressourcer og auditgebyrer.
Udvidet erklæring om anvendelighed (SoA): Erklæringen om anvendelighed udvides med databeskyttelsescontrols i ISO 27701 (bilag A og B).
Fokus på PII-flows: Auditoren analyserer i detaljer, hvordan personoplysninger indsamles, lagres, overføres og slettes uigenkaldeligt.

Konklusion

Databeskyttelse er ikke en besværlig pligtøvelse for jurister, men en central tillidsfaktor i B2B-forretningen. Med ISO 27701 forvandler I juridisk usikkerhed til et robust, certificeret ledelsessystem.

Vil I have jeres databeskyttelse certificeret efter ISO 27701?
Se vores ydelser inden for ISO 27001 og ISO 27701, eller indhent et skræddersyet audit-tilbud via vores prisside.