Varstvo podatkov po standardu: sinergija GDPR in ISO 27701

7 min branja · Pooblaščene osebe za varstvo podatkov, pravni svetovalci, vodje skladnosti, vodje informacijske varnosti, generalni direktorji

Vsi članki

Uvod: Nenehni pritisk dokazovanja pri varstvu podatkov

Od začetka veljavnosti Splošne uredbe o varstvu podatkov (GDPR) v evropskem gospodarskem prostoru velja strogo načelo odgovornosti (accountability, 5. člen, 2. odstavek GDPR): podjetja ne smejo le ravnati skladno z varstvom podatkov, temveč morajo to kadar koli brez vrzeli dokazati nadzornim organom in posameznikom, na katere se podatki nanašajo.

V praksi to pogosto vodi v kaotične otočne rešitve: evidence dejavnosti obdelave v zastarelih preglednicah, neusklajene pogodbe o obdelavi in ohlapni koncepti brisanja.

Tu pomaga mednarodni standard ISO/IEC 27701. Kot razširitev ISO 27001, ki jo je mogoče certificirati, gradi most med tehnično informacijsko varnostjo in pravnim varstvom podatkov. Vzpostavlja celovit Privacy Information Management System (PIMS).

Kaj je ISO/IEC 27701?

ISO 27701 je zasnovan kot dodatek k ISO 27001. To pomeni: temelj je obstoječi ali sočasno uveden sistem upravljanja informacijske varnosti. ISO 27701 ta sistem dopolni s posebnimi zahtevami za varstvo osebnih podatkov (Personally Identifiable Information – PII).

Standard jasno razlikuje med dvema vlogama:

PII Controllers (upravljavci): organizacije, ki odločajo o namenih in sredstvih obdelave podatkov.
PII Processors (obdelovalci): izvajalci (na primer ponudniki SaaS, podatkovni centri, ponudniki zunanjega izvajanja poslovnih procesov), ki osebne podatke obdelujejo v imenu tretjih.

Za obe vlogi standard ponuja prilagojene kontrolne mehanizme, smernice in standarde dokumentiranja.

Kako ISO 27701 operativno uresničuje zahteve GDPR

GDPR oblikuje pravna načela – ISO 27701 jih prevede v v praksi uporabne procese upravljanja:

Načelo oziroma zahteva GDPR	Uresničitev z ISO 27701 (PIMS)
Privacy by Design in by Default (25. člen)	Trdna vključitev ocen učinka na varstvo podatkov (DPIA) v razvojni in nabavni cikel.
Pravice posameznikov (12.–22. člen)	Standardizirani procesi in odzivni roki za seznanitev, popravek, prenosljivost podatkov in izbris (»pravica do pozabe«).
Pogodbena obdelava in veriga dobaviteljev (28. člen)	Sistematično preverjanje in presoja podizvajalcev glede skladnosti z varstvom podatkov.
Obveznost prijave kršitev varstva podatkov (33. in 34. člen)	Uveljavljeni procesi obvladovanja incidentov za odkrivanje, dokumentiranje in pravočasno prijavo v 72 urah.
Načelo odgovornosti (5. člen, 2. odstavek)	Popolna revizijska sled s certificiranimi procesi in rednimi neodvisnimi kontrolami.

Odločilne poslovne prednosti PIMS

Zakaj vse več podjetij B2B vlaga v certificiranje ISO 27701?

Konkurenčna prednost v mednarodni prodaji: Zlasti stranke in korporacije zunaj Evrope iščejo izvajalce, ki dokazljivo obvladajo evropske standarde varstva podatkov. Certifikat ISO 27701 je globalno razumljiv znak kakovosti.
Občutno zmanjšanje ocen dobaviteljev: Namesto da ročno izpolnjujejo stotine posameznih varnostnih vprašalnikov in vprašalnikov o varstvu podatkov, certificirana podjetja predložijo poročilo o certifikatu.
Zaščita pred globami in škodo za ugled: Organi ob morebitnih incidentih upoštevajo dokazljive sisteme upravljanja in jih vrednotijo kot olajševalni dokaz skrbnega upravljanja tveganj.
Nemotene sinergije: Kdor je že certificiran po ISO 27001, pri uvedbi ISO 27701 prihrani do 60 % napora, saj sta struktura dokumentacije in model tveganja enaka.

Pot do dvojnega certificiranja (ISO 27001 + ISO 27701)

Certificiranje po ISO 27701 vedno poteka v povezavi z ISO 27001:

Skupna presoja: Oba standarda je mogoče preveriti v eni sami, združeni presoji. To prihrani čas, notranje vire in pristojbine za presojo.
Razširjena izjava o uporabnosti (SoA): Izjava o uporabnosti se razširi s kontrolami varstva podatkov iz ISO 27701 (Annex A in Annex B).
Osredotočenost na tokove PII: Presojevalec podrobno analizira, kako se osebni podatki zajemajo, shranjujejo, prenašajo in nepreklicno brišejo.

Sklep

Varstvo podatkov ni nadležna obveznost za pravnike, temveč osrednji dejavnik zaupanja v poslovanju B2B. Z ISO 27701 pravne negotovosti spremenite v trden, certificiran sistem upravljanja.

Želite certificirati svoje varstvo podatkov po ISO 27701?
Odkrijte naše storitve v zvezi z ISO 27001 in ISO 27701 ali zahtevajte presojo po meri prek naše strani s cenami.