Ochrana údajov podľa štandardu: synergia GDPR a ISO 27701

Úvod: Trvalý tlak na preukazovanie v ochrane údajov

Od nadobudnutia účinnosti všeobecného nariadenia o ochrane údajov (GDPR) platí v európskom hospodárskom priestore prísna zásada zodpovednosti (accountability, čl. 5 ods. 2 GDPR): podniky musia nielen konať v súlade s ochranou údajov, ale to musia kedykoľvek vedieť bez medzier preukázať dozorným orgánom aj dotknutým osobám.

V praxi to často vedie k chaotickým ostrovným riešeniam: záznamy o spracovateľských činnostiach v zastaraných tabuľkách, nekoordinované zmluvy so sprostredkovateľmi a hmlisté koncepcie vymazávania.

Tu pomáha medzinárodná norma ISO/IEC 27701. Ako certifikovateľné rozšírenie ISO 27001 stavia most medzi technickou informačnou bezpečnosťou a právnou ochranou údajov. Zavádza komplexný Privacy Information Management System (PIMS).

Čo je ISO/IEC 27701?

ISO 27701 je koncipovaná ako doplnok k ISO 27001. To znamená: základom je existujúci alebo súbežne zavedený systém manažérstva informačnej bezpečnosti. ISO 27701 tento systém dopĺňa o špecifické požiadavky na ochranu osobných údajov (Personally Identifiable Information – PII).

Norma jasne rozlišuje dve roly:

1. PII Controllers (prevádzkovatelia): organizácie, ktoré rozhodujú o účeloch a prostriedkoch spracúvania údajov.
2. PII Processors (sprostredkovatelia): poskytovatelia služieb (napr. poskytovatelia SaaS, dátové centrá, poskytovatelia BPO), ktorí spracúvajú osobné údaje v mene tretích strán.

Pre obe roly norma poskytuje prispôsobené kontrolné mechanizmy, usmernenia a štandardy dokumentácie.

Ako ISO 27701 prevádza požiadavky GDPR do praxe

GDPR formuluje právne zásady – ISO 27701 ich prekladá do v praxi použiteľných procesov manažérstva:

Rozhodujúce obchodné výhody PIMS

Prečo čoraz viac podnikov B2B investuje do certifikácie ISO 27701?

1. Konkurenčná výhoda v medzinárodnom predaji: Najmä zákazníci a koncerny mimo Európy hľadajú poskytovateľov, ktorí preukázateľne ovládajú európske štandardy ochrany údajov. Certifikát ISO 27701 je celosvetovo zrozumiteľná pečať kvality.
2. Výrazné zníženie hodnotení dodávateľov: Namiesto ručného vypĺňania stoviek individuálnych dotazníkov o bezpečnosti a ochrane údajov predložia certifikované podniky správu z certifikácie.
3. Ochrana pred pokutami a poškodením dobrého mena: Orgány pri prípadných incidentoch oceňujú preukázateľné systémy manažérstva a považujú ich za poľahčujúci dôkaz starostlivého riadenia rizík.
4. Plynulé synergie: Kto je už certifikovaný podľa ISO 27001, ušetrí pri zavádzaní ISO 27701 až 60 % náročnosti, pretože štruktúra dokumentácie a model rizík sú totožné.

Cesta k dvojitej certifikácii (ISO 27001 + ISO 27701)

Certifikácia podľa ISO 27701 prebieha vždy v spojení s ISO 27001:

• Spoločný audit: Oba štandardy možno preveriť v jedinom kombinovanom audite. Šetrí to čas, interné zdroje aj poplatky za audit.
• Rozšírené vyhlásenie o aplikovateľnosti (SoA): Vyhlásenie o aplikovateľnosti sa rozšíri o opatrenia ochrany údajov podľa ISO 27701 (Annex A a Annex B).
• Zameranie na toky PII: Audítor podrobne analyzuje, ako sa osobné údaje získavajú, ukladajú, prenášajú a nezvratne vymazávajú.

Záver

Ochrana údajov nie je otravná povinná jazda pre právnikov, ale ústredný faktor dôvery v obchode B2B. S ISO 27701 premeníte právnu neistotu na spoľahlivý, certifikovaný systém manažérstva.

Chcete si dať certifikovať ochranu údajov podľa ISO 27701?
Objavte naše služby v oblasti ISO 27001 a ISO 27701 alebo si vyžiadajte audit na mieru prostredníctvom našej stránky s cenami.