Persónuvernd samkvæmt staðli: Samlegð GDPR og ISO 27701

7 mín. lestur · Persónuverndarfulltrúar, lögfræðingar, regluvörslustjórar, CISO, framkvæmdastjórar

Allar greinar

Inngangur: Sífelldur sönnunarþrýstingur í persónuvernd

Frá gildistöku almennu persónuverndarreglugerðarinnar (GDPR) gildir á evrópska efnahagssvæðinu hin stranga meginregla um ábyrgðarskyldu (accountability, 5. gr. 2. mgr. GDPR): Fyrirtæki verða ekki aðeins að vinna með persónuupplýsingar í samræmi við reglurnar heldur einnig að geta sýnt eftirlitsstofnunum og skráðum einstaklingum fram á það án eyða hvenær sem er.

Í reynd leiðir þetta oft til óreiðukenndra eyjalausna: skrár yfir vinnsluaðgerðir í úreltum töflum, ósamræmdir vinnslusamningar og óljósar eyðingaráætlanir.

Hér kemur alþjóðlegi staðallinn ISO/IEC 27701 til bjargar. Sem vottunarhæf viðbót við ISO 27001 brúar hann bilið milli tæknilegs upplýsingaöryggis og lagalegrar persónuverndar. Hann kemur á heildstæðu Privacy Information Management System (PIMS).

Hvað er ISO/IEC 27701?

ISO 27701 er hannaður sem viðbót við ISO 27001. Það þýðir: Núverandi stjórnunarkerfi upplýsingaöryggis, eða kerfi sem er innleitt samhliða, myndar grunninn. ISO 27701 bætir við kerfinu sértækum kröfum um vernd persónugreinanlegra upplýsinga (Personally Identifiable Information – PII).

Staðallinn gerir skýran greinarmun á tveimur hlutverkum:

PII Controllers (ábyrgðaraðilar): Stofnanir sem ákveða tilgang og aðferðir vinnslunnar.
PII Processors (vinnsluaðilar): Þjónustuaðilar (t.d. SaaS-veitendur, gagnaver og BPO-þjónustuaðilar) sem vinna persónuupplýsingar fyrir hönd þriðja aðila.

Fyrir bæði hlutverk gefur staðallinn sértækar stýringar, leiðbeiningar og skjölunarstaðla.

Hvernig ISO 27701 gerir kröfur GDPR að daglegum ferlum

GDPR setur fram lagalegar meginreglur – ISO 27701 þýðir þær yfir í raunhæf stjórnunarferli:

GDPR-meginregla / krafa	Framkvæmd með ISO 27701 (PIMS)
Privacy by Design og by Default (25. gr.)	Föst innleiðing áhrifamats á persónuvernd (DPIA) í þróunar- og innkaupaferlinu.
Réttindi skráðra einstaklinga (12.–22. gr.)	Stöðluð ferli og viðbragðstími vegna aðgangs, leiðréttingar, flutnings gagna og eyðingar („réttur til að gleymast“).
Vinnsla og aðfangakeðja (28. gr.)	Kerfisbundin yfirferð og úttekt á undirverktökum með tilliti til samræmis við persónuvernd.
Tilkynningarskylda við öryggisbrot (33. og 34. gr.)	Innleidd atvikastjórnunarferli til að greina, skjalfesta og tilkynna innan frests, á 72 klukkustundum.
Ábyrgðarskylda (5. gr. 2. mgr.)	Úttektarslóð án eyða með vottuðum ferlum og reglulegu óháðu eftirliti.

Afgerandi viðskiptaávinningur PIMS

Hvers vegna fjárfesta sífellt fleiri B2B-fyrirtæki í vottun samkvæmt ISO 27701?

Samkeppnisforskot í alþjóðlegri sölu: Einkum viðskiptavinir og samsteypur utan Evrópu leita að þjónustuaðilum sem geta sýnt fram á að þeir ráði við evrópska persónuverndarstaðla. Vottorð samkvæmt ISO 27701 er gæðastimpill sem skilinn er um allan heim.
Veruleg fækkun birgjamats: Í stað þess að fylla út hundruð einstakra spurningalista um öryggi og persónuvernd afhenda vottuð fyrirtæki vottunarskýrslu sína.
Vörn gegn sektum og orðsporsskaða: Yfirvöld meta sýnileg stjórnunarkerfi þegar atvik koma upp og líta á þau sem sönnun sem styður að vandvirkri áhættustjórnun hafi verið beitt.
Órofin samlegð: Sá sem þegar er vottaður samkvæmt ISO 27001 sparar allt að 60% af fyrirhöfninni við innleiðingu ISO 27701, því skjölunarskipan og áhættulíkan eru þau sömu.

Leiðin að tvöfaldri vottun (ISO 27001 + ISO 27701)

Vottun samkvæmt ISO 27701 fer alltaf fram í tengslum við ISO 27001:

Sameiginleg úttekt: Báða staðlana má taka út í einni sameinaðri úttekt. Það sparar tíma, innri úrræði og úttektargjöld.
Útvíkkuð yfirlýsing um notkun (SoA): Yfirlýsingin um notkun er útvíkkuð með persónuverndarstýringum ISO 27701 (Annex A og viðauka B).
Áhersla á flæði PII: Úttektarmaðurinn greinir í smáatriðum hvernig persónuupplýsingum er safnað, þær geymdar, þær fluttar og þeim eytt óafturkræft.

Niðurstaða

Persónuvernd er ekki þreytandi skylda fyrir lögfræðinga heldur lykilþáttur trausts í B2B-viðskiptum. Með ISO 27701 breytið þið lagalegri óvissu í haldbært, vottað stjórnunarkerfi.

Viljið þið láta votta persónuverndina samkvæmt ISO 27701?
Skoðið þjónustu okkar í kringum ISO 27001 og ISO 27701 eða óskið eftir sérsniðnu úttektartilboði á verðsíðunni.