Tietosuoja standardin mukaan: GDPR:n ja ISO 27701:n synergia

7 min lukuaika · Tietosuojavastaavat, juristit, compliance-päälliköt, tietoturvajohtajat ja toimitusjohtajat

Kaikki artikkelit

Johdanto: Tietosuojan jatkuva näyttövelvollisuus

Tietosuoja-asetuksen (GDPR) voimaantulosta lähtien Euroopan talousalueella on ollut voimassa tiukka osoitusvelvollisuuden periaate (Accountability, GDPR:n 5 artiklan 2 kohta): yritysten on paitsi toimittava tietosuojan mukaisesti myös pystyttävä milloin tahansa osoittamaan tämä aukottomasti valvontaviranomaisille ja rekisteröidyille.

Käytännössä tämä johtaa usein kaoottisiin erillisratkaisuihin: käsittelytoimien rekisterit vanhentuneissa taulukoissa, koordinoimattomat henkilötietojen käsittelysopimukset ja epämääräiset poistosuunnitelmat.

Kansainvälinen standardi ISO/IEC 27701 tuo tähän ratkaisun. Sertifioitavana ISO 27001 -standardin laajennuksena se rakentaa sillan teknisen tietoturvallisuuden ja oikeudellisen tietosuojan välille. Se vakiinnuttaa kattavan yksityisyystietojen hallintajärjestelmän (PIMS).

Mikä on ISO/IEC 27701?

ISO 27701 on suunniteltu ISO 27001 -standardin lisäosaksi. Tämä tarkoittaa, että olemassa oleva tai samanaikaisesti käyttöön otettu tietoturvallisuuden hallintajärjestelmä muodostaa perustan. ISO 27701 täydentää tätä järjestelmää erityisillä vaatimuksilla henkilötietojen (Personally Identifiable Information – PII) suojaamiseksi.

Standardi erottaa selvästi kaksi roolia:

PII-rekisterinpitäjät (PII Controllers): Organisaatiot, jotka päättävät tietojenkäsittelyn tarkoituksista ja keinoista.
PII-käsittelijät (PII Processors): Palveluntarjoajat (esimerkiksi SaaS-toimittajat, konesalit ja BPO-palveluntarjoajat), jotka käsittelevät henkilötietoja kolmannen osapuolen lukuun.

Molemmille rooleille standardi tarjoaa räätälöidyt kontrollit, suuntaviivat ja dokumentointistandardit.

Miten ISO 27701 muuttaa GDPR-vaatimukset käytännön prosesseiksi

GDPR muotoilee oikeudelliset periaatteet – ISO 27701 kääntää ne käytäntöön soveltuviksi hallintaprosesseiksi:

GDPR-periaate / vaatimus	Toteutus ISO 27701 -standardin (PIMS) avulla
Sisäänrakennettu ja oletusarvoinen tietosuoja (Privacy by Design & by Default, 25 artikla)	Tietosuojaa koskevien vaikutustenarviointien (DPIA) kiinteä sisällyttäminen kehitys- ja hankintasykliin.
Rekisteröidyn oikeudet (12–22 artikla)	Vakioidut prosessit ja vasteajat tiedonsaantiin, oikaisuun, siirrettävyyteen ja poistamiseen (”oikeus tulla unohdetuksi”).
Henkilötietojen käsittely ja toimitusketju (28 artikla)	Alipalveluntarjoajien järjestelmällinen tarkastus ja auditointi tietosuojanmukaisuuden osalta.
Ilmoitusvelvollisuus tietoturvaloukkauksissa (33 ja 34 artikla)	Vakiintuneet poikkeamienhallintaprosessit havaitsemiseen, dokumentointiin ja määräajassa ilmoittamiseen 72 tunnin kuluessa.
Osoitusvelvollisuus (5 artiklan 2 kohta)	Aukoton auditointijälki sertifioitujen prosessien ja säännöllisten riippumattomien tarkastusten avulla.

PIMS:n ratkaisevat liiketoimintahyödyt

Miksi yhä useampi B2B-yritys investoi ISO 27701 -sertifiointiin?

Kilpailuetu kansainvälisessä myynnissä: Erityisesti Euroopan ulkopuoliset asiakkaat ja konsernit etsivät palveluntarjoajia, jotka hallitsevat eurooppalaiset tietosuojastandardit todennettavasti. ISO 27701 -sertifikaatti on maailmanlaajuisesti ymmärrettävä laatuleima.
Toimittaja-arviointien jyrkkä väheneminen: Sen sijaan että täyttäisivät manuaalisesti satoja yksittäisiä turvallisuus- ja tietosuojakyselyitä, sertifioidut yritykset esittävät sertifikaattiraporttinsa.
Suoja seuraamuksilta ja mainehaitoilta: Viranomaiset arvostavat osoitettavissa olevia hallintajärjestelmiä mahdollisissa poikkeamissa ja pitävät niitä lieventävänä näyttönä huolellisesta riskienhallinnasta.
Saumattomat synergiat: Organisaatio, joka on jo sertifioitu ISO 27001 -standardin mukaan, säästää jopa 60 prosenttia ISO 27701:n käyttöönoton työstä, koska dokumentaatiorakenne ja riskimalli ovat samat.

Tie kaksoissertifiointiin (ISO 27001 + ISO 27701)

ISO 27701 -sertifiointi tapahtuu aina yhdessä ISO 27001 -standardin kanssa:

Yhteinen auditointi: Molemmat standardit voidaan tarkastaa yhdessä yhdistetyssä auditoinnissa. Tämä säästää aikaa, sisäisiä resursseja ja tarkastusmaksuja.
Laajennettu soveltuvuuslausunto (SoA): Soveltuvuuslausuntoa laajennetaan ISO 27701 -standardin tietosuojakontrolleilla (Annex A ja B).
Painopiste PII-virroissa: Auditoija analysoi yksityiskohtaisesti, miten henkilötietoja kerätään, tallennetaan, siirretään ja poistetaan peruuttamattomasti.

Yhteenveto

Tietosuoja ei ole juristeille kuuluva ikävä velvollisuus, vaan keskeinen luottamustekijä B2B-liiketoiminnassa. ISO 27701 -standardin avulla muutat oikeudelliset epävarmuudet kestäväksi, sertifioiduksi hallintajärjestelmäksi.

Haluatteko sertifioida tietosuojanne ISO 27701 -standardin mukaan?
Tutustukaa ISO 27001- ja ISO 27701 -palveluihimme tai pyytäkää räätälöity auditointitarjous hintasivultamme.