Andmekaitse standardi järgi: GDPRi ja ISO 27701 sünergia

7 min lugemist · Andmekaitsevolinikud, õigusnõustajad, vastavusjuhid, infoturbejuhid (CISO), tegevjuhid

Kõik artiklid

Sissejuhatus: lõputu tõendamissurve andmekaitses

Alates isikuandmete kaitse üldmääruse (GDPR) jõustumisest kehtib Euroopa majandusruumis range vastutuse põhimõte (Accountability, GDPR art 5 lg 2): ettevõtted ei pea mitte ainult tegutsema andmekaitse nõuete kohaselt, vaid suutma seda igal ajal järelevalveasutustele ja andmesubjektidele lünkadeta tõendada.

Praktikas viib see sageli kaootiliste saarelahendusteni: töötlemistoimingute registrid vananenud tabelites, kooskõlastamata volitatud töötleja lepingud ja ebamäärased kustutamiskontseptsioonid.

Siin tuleb appi rahvusvaheline standard ISO/IEC 27701. Sertifitseeritava laiendusena standardile ISO 27001 ehitab see silla tehnilise infoturbe ja õigusliku andmekaitse vahele. See loob tervikliku Privacy Information Management Systemi (PIMS).

Mis on ISO/IEC 27701?

ISO 27701 on kavandatud lisana standardile ISO 27001. See tähendab, et vundamendiks on olemasolev või samaaegselt juurutatud infoturbe juhtimissüsteem. ISO 27701 täiendab seda süsteemi konkreetsete nõuetega isikuandmete (Personally Identifiable Information – PII) kaitseks.

Standard eristab selgelt kahte rolli:

PII Controllers (vastutavad töötlejad): organisatsioonid, kes otsustavad andmetöötluse eesmärkide ja vahendite üle.
PII Processors (volitatud töötlejad): teenuseosutajad (näiteks SaaS-pakkujaid, andmekeskused, äriprotsesside allhankijad), kes töötlevad isikuandmeid kolmandate isikute nimel.

Mõlema rolli jaoks annab standard kohandatud kontrollimehhanismid, suunised ja dokumenteerimisstandardid.

Kuidas ISO 27701 muudab GDPRi nõuded igapäevaseks tööks

GDPR sõnastab õiguslikud põhimõtted – ISO 27701 tõlgib need praktikakõlblikeks juhtimisprotsessideks:

GDPRi põhimõte / nõue	Rakendamine ISO 27701 kaudu (PIMS)
Privacy by Design ja by Default (art 25)	Andmekaitse mõjuhinnangute (DPIA) kindel lõimimine arendus- ja hanketsüklisse.
Andmesubjekti õigused (art 12–22)	Standarditud protsessid ja reageerimisajad juurdepääsuks, parandamiseks, andmete ülekandmiseks ja kustutamiseks („õigus olla unustatud“).
Volitatud töötlemine ja tarnijaahel (art 28)	Allteenuseosutajate süstemaatiline kontroll ja auditeerimine andmekaitse nõuetele vastavuse osas.
Andmekaitse rikkumistest teatamise kohustus (art 33 ja 34)	Väljakujunenud intsidentide halduse protsessid avastamiseks, dokumenteerimiseks ja õigeaegseks teatamiseks 72 tunni jooksul.
Vastutuse põhimõte (art 5 lg 2)	Lünkadeta auditijälg sertifitseeritud protsesside ja regulaarsete sõltumatute kontrollide kaudu.

PIMSi otsustavad ärilised eelised

Miks investeerib üha rohkem B2B-ettevõtteid ISO 27701 sertifitseerimisse?

Konkurentsieelis rahvusvahelises müügis: eriti Euroopa-välised kliendid ja kontsernid otsivad teenuseosutajaid, kes tõendatult valdavad Euroopa andmekaitse standardeid. ISO 27701 sertifikaat on ülemaailmselt mõistetav kvaliteedimärk.
Tarnijahinnangute järsk vähenemine: selle asemel et täita käsitsi sadu individuaalseid turbe- ja andmekaitse küsimustikke, esitavad sertifitseeritud ettevõtted oma sertifikaadiaruande.
Kaitse trahvide ja mainekahju eest: ametiasutused hindavad tõendatavaid juhtimissüsteeme võimalike intsidentide korral ja käsitlevad neid leevendava tõendina hoolsa riskijuhtimise kohta.
Sujuvad sünergiad: kes on juba sertifitseeritud ISO 27001 järgi, säästab ISO 27701 juurutamisel kuni 60% tööst, sest dokumentatsiooni struktuur ja riskimudel on samad.

Tee topeltsertifitseerimiseni (ISO 27001 + ISO 27701)

ISO 27701 sertifitseerimine toimub alati koos standardiga ISO 27001:

Ühine audit: mõlemat standardit saab kontrollida ühes kombineeritud auditis. See säästab aega, sisemisi ressursse ja audititasusid.
Laiendatud rakendatavuse deklaratsioon (SoA): rakendatavuse deklaratsiooni täiendatakse ISO 27701 andmekaitse kontrollimeetmetega (lisad A ja B).
Fookus isikuandmete voogudel: audiitor analüüsib üksikasjalikult, kuidas isikuandmeid kogutakse, säilitatakse, edastatakse ja pöördumatult kustutatakse.

Kokkuvõte

Andmekaitse ei ole juristide tüütu kohustus, vaid keskne usaldustegur B2B-äris. ISO 27701 abil muudate õigusliku ebakindluse usaldusväärseks, sertifitseeritud juhtimissüsteemiks.

Kas soovite lasta oma andmekaitse sertifitseerida ISO 27701 järgi?
Tutvuge meie teenustega ISO 27001 ja ISO 27701 ümber või küsige kohandatud auditipakkumist meie hinnalehe kaudu.