ISO/IEC 27701:2019
Το ISO/IEC 27701:2019 επεκτείνει το ISMS και εισάγει απαιτήσεις για διαχείριση προσωπικών δεδομένων, ρόλους υπευθύνου/εκτελούντος και έλεγχο κινδύνων ιδιωτικότητας.
Σε ποιους απευθύνεται
- Οργανισμούς που επεξεργάζονται προσωπικά δεδομένα πελατών ή εργαζομένων
- Παρόχους υπηρεσιών που λειτουργούν ως εκτελούντες επεξεργασία
- Επιχειρήσεις με ανάγκη αποδείξιμης διακυβέρνησης ιδιωτικότητας
Κύριες απαιτήσεις
- Σύνδεση ιδιωτικότητας με ISMS και αποτίμηση κινδύνων PII
- Καταγραφή σκοπών επεξεργασίας, νομικών βάσεων και ελέγχων
- Διαδικασίες δικαιωμάτων υποκειμένων και διαχείρισης συμβάντων
Πρακτική εστίαση προτύπου
Το ISO/IEC 27701:2019 επεκτείνει το ISMS σε διακυβέρνηση προσωπικών δεδομένων με σαφείς ρόλους controller/processor. Η ουσία είναι η τεκμηριωμένη λογοδοσία σε όλο τον κύκλο ζωής των δεδομένων.
Βήματα υλοποίησης
- Εξέταση υφιστάμενων πρακτικών προστασίας δεδομένων
- Ενσωμάτωση απαιτήσεων ιδιωτικότητας σε πολιτικές και διαδικασίες
- Επαλήθευση εφαρμογής με εσωτερική αξιολόγηση
Διαδρομή επιθεώρησης και πιστοποίησης
- Αρχικός τεχνικός έλεγχος πεδίου εφαρμογής, στόχων και κανονιστικών απαιτήσεων.
- Προετοιμασία τεκμηρίωσης και επιβεβαίωση εφαρμογής σε πραγματικές διεργασίες.
- Εσωτερική επιθεώρηση, διορθωτικές ενέργειες και τεκμηριωμένο κλείσιμο ευρημάτων.
- Εξωτερική επιθεώρηση (στάδιο 1/2), επιτήρηση και ετήσια διατήρηση συστήματος.
Οφέλη για την επιχείρηση
- Καλύτερη οργανωτική ετοιμότητα για ζητήματα ιδιωτικότητας
- Σαφέστερος έλεγχος ρόλων και ευθυνών επεξεργασίας
- Ενισχυμένη εμπιστοσύνη πελατών και επιχειρηματικών εταίρων
Συνήθης διάρκεια υλοποίησης: 8-14 εβδομάδες.
Τεκμήρια και αρχεία που ζητούνται συνήθως
- Καταγραφές δραστηριοτήτων επεξεργασίας και ρόλων ευθύνης.
- Διαδικασίες δικαιωμάτων υποκειμένων, διατήρησης/διαγραφής και privacy incident response.
- Αξιολόγηση κινδύνων ιδιωτικότητας και τεκμηρίωση μέτρων μείωσης.
Συνήθη κενά ετοιμότητας πριν την επιθεώρηση
- Ατελής οριοθέτηση ρόλων μεταξύ υπευθύνου και εκτελούντος επεξεργασία.
- Απουσία ενοποίησης privacy controls με το ISMS του ISO 27001.
- Περιορισμένη τεκμηρίωση σε νόμιμες βάσεις και ενημέρωση υποκειμένων.
Συχνές ερωτήσεις
Μπορεί να εφαρμοστεί χωρίς ISO 27001;
Το πρότυπο έχει σχεδιαστεί ως επέκταση του ISO 27001, άρα στην πράξη απαιτεί υφιστάμενο ή παράλληλο ISMS.
Είναι πιστοποίηση GDPR;
Όχι. Παρέχει όμως οργανωμένο πλαίσιο ιδιωτικότητας που βοηθά σημαντικά στη συμμόρφωση με κανονιστικές απαιτήσεις.