Datu aizsardzība pēc standarta: GDPR un ISO 27701 sinerģija

7 min lasīšana · Datu aizsardzības speciālisti, juristi, atbilstības vadītāji, CISO, izpilddirektori

Visi raksti

Ievads: nemitīgais pierādīšanas spiediens datu aizsardzībā

Kopš Vispārīgās datu aizsardzības regulas (GDPR) stāšanās spēkā Eiropas ekonomiskajā telpā darbojas stingrs atbildības princips (accountability, GDPR 5. panta 2. punkts): uzņēmumiem ne tikai jārīkojas atbilstoši datu aizsardzības prasībām, bet tas jebkurā brīdī pilnībā jāspēj pierādīt uzraudzības iestādēm un datu subjektiem.

Praksē tas bieži noved pie haotiskiem atsevišķiem risinājumiem: apstrādes darbību reģistri novecojušās tabulās, nesaskaņoti apstrādes līgumi un neskaidras dzēšanas koncepcijas.

Šeit palīdz starptautiskais standarts ISO/IEC 27701. Kā sertificējams ISO 27001 paplašinājums tas būvē tiltu starp tehnisko informācijas drošību un juridisko datu aizsardzību. Tas izveido visaptverošu privātuma informācijas vadības sistēmu (PIMS).

Kas ir ISO/IEC 27701?

ISO 27701 ir veidots kā ISO 27001 papildinājums. Tas nozīmē: pamatu veido jau esoša vai vienlaikus ieviesta informācijas drošības vadības sistēma. ISO 27701 šo sistēmu papildina ar specifiskām prasībām personas datu (Personally Identifiable Information – PII) aizsardzībai.

Standarts skaidri nošķir divas lomas:

PII pārzini (PII Controllers): organizācijas, kas lemj par datu apstrādes nolūkiem un līdzekļiem.
PII apstrādātāji (PII Processors): pakalpojumu sniedzēji (piemēram, SaaS nodrošinātāji, datu centri, BPO pakalpojumu sniedzēji), kas apstrādā personas datus trešo personu uzdevumā.

Abām lomām standarts sniedz pielāgotus kontroles mehānismus, vadlīnijas un dokumentēšanas standartus.

Kā ISO 27701 pārvērš GDPR prasības darbībā

GDPR formulē juridiskus principus – ISO 27701 tos pārvērš praksē lietojamos vadības procesos:

GDPR princips / prasība	Īstenošana ar ISO 27701 (PIMS)
Privacy by Design un by Default (25. pants)	Datu aizsardzības ietekmes novērtējumu (DPIA) pastāvīga iekļaušana izstrādes un iepirkuma ciklā.
Datu subjektu tiesības (12.–22. pants)	Standartizēti procesi un reaģēšanas termiņi piekļuvei, labošanai, datu pārnesamībai un dzēšanai („tiesības tikt aizmirstam”).
Apstrāde un piegādātāju ķēde (28. pants)	Sistemātiska apakšuzņēmēju pārbaude un audits attiecībā uz datu aizsardzības atbilstību.
Paziņošanas pienākums datu aizsardzības pārkāpumu gadījumā (33. un 34. pants)	Iedibināti incidentu pārvaldības procesi atklāšanai, dokumentēšanai un savlaicīgai paziņošanai 72 stundu laikā.
Pārskatatbildība (5. panta 2. punkts)	Pilnīga audita pēda, ko nodrošina sertificēti procesi un regulāras neatkarīgas pārbaudes.

Izšķirošās PIMS biznesa priekšrocības

Kāpēc arvien vairāk B2B uzņēmumu iegulda ISO 27701 sertifikācijā?

Konkurences priekšrocība starptautiskajā pārdošanā: jo īpaši klienti un koncerni ārpus Eiropas meklē pakalpojumu sniedzējus, kas pierādāmi pārvalda Eiropas datu aizsardzības standartus. ISO 27701 sertifikāts ir globāli saprotama kvalitātes zīme.
Krasa piegādātāju novērtējumu samazināšana: tā vietā, lai manuāli aizpildītu simtiem individuālu drošības un datu aizsardzības anketu, sertificēti uzņēmumi iesniedz savu sertifikāta ziņojumu.
Aizsardzība pret naudassodiem un reputācijas kaitējumu: iestādes iespējamu incidentu gadījumā novērtē pierādāmas vadības sistēmas un tās uzskata par atvieglojošu pierādījumu rūpīgai risku pārvaldībai.
Nemanāma sinerģija: kas jau ir sertificēts saskaņā ar ISO 27001, ISO 27701 ieviešanā ietaupa līdz 60 % darba, jo dokumentācijas struktūra un riska modelis ir identiski.

Ceļš uz dubulto sertifikāciju (ISO 27001 + ISO 27701)

Sertifikācija saskaņā ar ISO 27701 vienmēr notiek saistībā ar ISO 27001:

Kopīgs audits: abus standartus var pārbaudīt vienā kombinētā auditā. Tas ietaupa laiku, iekšējos resursus un pārbaudes maksas.
Paplašināta piemērojamības deklarācija (SoA): piemērojamības deklarācija tiek papildināta ar ISO 27701 datu aizsardzības kontrolēm (A un B pielikumi).
Fokuss uz PII plūsmām: auditors detalizēti analizē, kā personas dati tiek ievākti, glabāti, pārsūtīti un neatgriezeniski dzēsti.

Secinājums

Datu aizsardzība nav apgrūtinošs pienākums juristiem, bet centrāls uzticības faktors B2B biznesā. Ar ISO 27701 jūs pārvēršat juridisko nenoteiktību noturīgā, sertificētā vadības sistēmā.

Vai vēlaties sertificēt savu datu aizsardzību saskaņā ar ISO 27701?
Iepazīstiet mūsu pakalpojumus saistībā ar ISO 27001 un ISO 27701 vai pieprasiet pielāgotu audita piedāvājumu mūsu cenu lapā.