ISO 27701: propojte řízení ochrany soukromí a bezpečnost

Řízení ochrany soukromí funguje nejlépe, když do sebe zapadají rozhodnutí o zpracování, ochranná opatření, vyřizování žádostí subjektů údajů a odpovědnosti dodavatelů. ISO/IEC 27701 pro tuto práci poskytuje přístup založený na systému řízení: systém řízení informací o soukromí (PIMS).

Pro CTO je výzvou propojit zdokumentované povinnosti s chováním systémů. Politika uchovávání se musí stát procesem mazání; závazek zpracovatele musí omezovat přístup a opětovné použití; revize ochrany soukromí musí ovlivňovat vydání. Bezpečnostní kontroly tyto výsledky podporují, ale nemohou určit, zda je zpracování odůvodněné.

Zvolte správné vydání a vztah ke svému ISMS

ISO/IEC 27701:2025 je druhé vydání a stanoví požadavky na PIMS jako samostatná norma. Starší vydání z roku 2019 bylo rozšířením ISO 27001 a ISO 27002. Nestavte novou implementaci na předpokladu, že certifikace ISO 27001 je vždy podmínkou. Platné vydání a přechodná ustanovení si ověřte u svého certifikačního orgánu.

Stávající ISMS podle ISO 27001 zůstává užitečný. Správa, procesy řízení rizik, řízení dokumentů, interní audity a přezkoumání vedením mohou podporovat oba systémy. ISO 27002 poskytuje pokyny k opatřením bezpečnosti informací.

Cíle však držte odděleně. Bezpečnost zkoumá důvěrnost, integritu a dostupnost. Ochrana soukromí zkoumá také účely, přiměřenost, transparentnost a důsledky pro jednotlivce. Šifrovaná databáze může stále obsahovat zbytečně shromážděné informace. Opětovné využití bezpečnostních důkazů je rozumné; považovat je za důkaz souladu v oblasti ochrany osobních údajů nikoli.

Rozsah definujte podle zpracování, nejen podle infrastruktury

Začněte službami a činnostmi, které PIMS pokrývá. Zahrňte podpůrné systémy, týmy, dodavatele a rozhraní. Hranice jako „produkční cloudové prostředí“ nestačí, pokud zákaznická podpora exportuje osobní údaje do samostatného tiketovacího systému.

U každé činnosti zdokumentujte:

• Účel, kategorie osobních údajů a dotčené skupiny osob.
• Roli správce nebo zpracovatele, včetně činností, kde se role liší.
• Zdroje získávání, příjemce, místa uložení a cesty předávání.
• Pravidla uchovávání, chování při mazání, vlastníky a platné povinnosti.

Role závisejí na činnosti zpracování, nikoli jen na identitě společnosti. Poskytovatel softwaru může zpracovávat data nahraná zákazníky podle jejich pokynů a zároveň být správcem vlastních fakturačních záznamů. Tyto činnosti potřebují různé rozhodovací cesty.

Odpovědnosti inženýrů, produktu, oddělení ochrany osobních údajů, nákupu a provozu přidělte výslovně. Pokud je pověřenec pro ochranu osobních údajů vyžadován nebo jmenován, zachovejte jeho nezávislou poradní a monitorovací roli, místo abyste jej činili odpovědným za volbu účelů zpracování. Příslušné povinnosti správce, zpracovatele a pověřence stanoví GDPR.

Posuzujte rizika pro soukromí spolu s bezpečnostními riziky

Pomocí soupisu činností zpracování identifikujte újmy pro jednotlivce i expozici organizace. Neoprávněný přístup je důležitý, ale stejně tak nadměrný sběr, neočekávané opětovné použití, nepřesné záznamy, nedostupné postupy pro uplatnění práv a uchovávání nad rámec stanovené potřeby.

Praktické posouzení by mělo každé riziko propojit s činností, důsledkem, stávajícím ochranným opatřením, ošetřením, odpovědným vlastníkem a spouštěčem revize. Zaznamenejte, proč je zbývající riziko akceptováno nebo proč je nutná další práce.

Vezměme reportovací funkci, která exportuje údaje o výkonnosti zaměstnanců. Autentizace a logování přístupů řeší bezpečnostní otázky. Analýza ochrany soukromí však musí také zvážit, zda export obsahuje zbytečná pole, odhaluje citlivé odvozené informace nebo umožňuje použití neslučitelná s uvedeným účelem.

Posouzení v rámci PIMS může podpořit právní posouzení, ale automaticky nesplňuje požadavky každé jurisdikce. Podle článku 35 GDPR vyžaduje zpracování, které pravděpodobně povede k vysokému riziku, posouzení vlivu na ochranu osobních údajů (DPIA). Tento práh vyhodnoťte samostatně a uchovejte rozhodnutí i případné požadované posouzení.

Převeďte povinnosti do testovatelných kontrol

Vyhněte se politice ochrany soukromí, kterou inženýři nedokážou implementovat. U každé povinnosti určete očekávané chování systému a důkazy, které je prokazují. Následující přehled obsahuje praktické příklady implementace, nikoli univerzální povinnou sadu kontrol.

Šifrování, nejnižší oprávnění, logování a obnova zůstávají důležitými sdílenými ochrannými opatřeními. Opatření volte podle rizika: článek 32 GDPR neukládá plošné šifrování v každé situaci. Zdokumentujte přístup ke klíčům, obnovu a omezení mazání tam, kde ovlivňují výsledky ochrany soukromí. Implementační úvahy popisuje článek šifrování a správa klíčů.

Vytvořte provozní postupy, které obstojí ve skutečných případech

Vyřizování žádostí subjektů údajů potřebuje cestu pro přijetí žádosti, vlastnictví, přiměřené ověření totožnosti, vyhledávání v systémech, revizi údajů třetích stran a bezpečné předání. Podle GDPR je odpověď obvykle splatná do jednoho měsíce; povolená prodloužení vyžadují oznámení během tohoto prvního měsíce. Veďte záznamy o případech, které vysvětlují rozhodnutí, nikoli jen počty uzavřených tiketů. Postup pro žádosti o přístup subjektů údajů by měl pokrývat i manuální systémy a součinnost dodavatelů.

Řešení incidentů musí odlišovat technické omezení od rozhodnutí o ohlášení porušení zabezpečení osobních údajů. Podle GDPR zpracovatelé ohlašují porušení správcům bez zbytečného odkladu. Správci posuzují ohlášení dozorovému úřadu bez zbytečného odkladu, a pokud je to možné, do 72 hodin od okamžiku, kdy se o porušení dozvěděli, ledaže je nepravděpodobné, že by porušení mělo za následek riziko pro práva a svobody fyzických osob. Zaznamenejte zdůvodnění neohlášení a posuďte, zda vysoké riziko vyžaduje oznámení subjektům údajů.

Postupy pro dodavatele by měly zkoumat pokyny, dílčí zpracovatele, součinnost při žádostech a incidentech, vrácení nebo výmaz a přístup k důkazům. Pokud se uplatní GDPR, mají smlouvy podle článku 28 specifické povinné náležitosti. Certifikát dodavatele je podpůrným ujištěním, nikoli náhradou těchto podmínek.

Mezinárodní předávání vyžaduje samostatné právní posouzení. Certifikace ISO 27701 jej neopravňuje ani neneutralizuje rizika sledování. Zdokumentujte příslušný mechanismus, posuďte jeho podmínky a tam, kde je to nutné, implementujte doplňková opatření. Samotné umístění dat soulad nezakládá.

Modelový příklad: služba zákaznické podpory

Předpokládejme pro ilustraci, že poskytovatel SaaS zpracovává zprávy zákaznické podpory podle pokynů zákazníků a je správcem vlastních záznamů o kontaktech k účtům. Obě činnosti používají stejnou platformu podpory.

Tým zmapuje obsah zpráv, přílohy, identifikátory účtů, přístup dodavatelů a cíle exportů. Zjistí, že ladicí export kopíruje celé zprávy do inženýrského pracovního prostoru s delší dobou uchovávání.

Ošetření je konkrétní: nahradit exporty celých zpráv minimalizovanými diagnostickými poli, omezit výjimečný přístup, uplatnit schválenou dobu uchovávání a zaznamenávat, kdo výjimky schvaluje. Otestujte, že běžné exporty vynechávají těla zpráv a že diagnostické záznamy po uplynutí doby uchovávání jsou odstraněny.

Balíček důkazů obsahuje záznam o činnosti zpracování, posouzení rolí, podmínky dodavatele, rozhodnutí o riziku, konfiguraci, výsledky testů a historii schválení. Sdílená revize řízení přístupu podporuje bezpečnost i ochranu soukromí, zatímco rozhodnutí o účelu exportu zůstává specifické pro ochranu soukromí.

Připravte se na certifikaci s provozními důkazy

Certifikaci provádí nezávislý certifikační orgán, nikoli ISO. Než naplánujete posouzení, ověřte rozsah, vydání, přístup k auditu a očekávání ohledně důkazů. Typický proces prvotní certifikace zahrnuje revizi připravenosti a dokumentace, po níž následuje posouzení implementace; podrobnosti si ověřte u zvoleného orgánu.

Proveďte interní audit oproti platným požadavkům a vlastním postupům. Vybírejte vzorky činností zpracování, případů žádostí subjektů údajů, rozhodnutí o dodavatelích, provádění uchovávání a změn produktu. Odlišujte chybějící dokument od kontroly, která existuje, ale v provozu selhává.

Přezkoumání vedením by mělo zvážit zjištění, nevyřešená rizika, změny, výkonnost a zdroje. Nápravná opatření potřebují vlastníky, důkazy o dokončení a kontroly účinnosti. Certifikace může poskytnout ujištění o systému řízení v daném rozsahu, ale nezakládá soulad s GDPR, nevytváří právní základ a nepokrývá činnosti mimo tento rozsah.

Začněte jednou dohledatelnou činností zpracování

Zvolte jednu činnost, sledujte její data přes propojené systémy a dodavatele a každou podstatnou povinnost propojte s vlastníkem, ochranným opatřením a historií rozhodnutí. Revidujte ji po relevantních změnách, místo abyste čekali na další audit.

Secani tuto práci s důkazy podporuje propojením požadavků, kontrol, systémů, důkazů a rozhodnutí z revizí. Týmy mohou uchovávat sdílené důkazy z ISMS vedle rozhodnutí specifických pro ochranu soukromí, z mezer vytvářet přidělené úkoly a zachovat lidské schválení návrhů s podporou AI. Prvním užitečným výstupem je zrevidovaný řetězec od účelu zpracování k implementovanému ochrannému opatření a podpůrným důkazům.