ISO 27701: forbind privatlivsstyring og sikkerhed

Privatlivsstyring fungerer bedst, når beslutninger om behandling, sikkerhedsforanstaltninger, håndtering af rettigheder og leverandørernes ansvar passer sammen. ISO/IEC 27701 giver en ledelsessystemtilgang til dette arbejde: et ledelsessystem for privatlivsinformation, eller PIMS (privacy information management system).

For en CTO er udfordringen at forbinde dokumenterede forpligtelser med systemernes adfærd. En opbevaringspolitik skal blive til en sletningsproces; et tilsagn som databehandler skal begrænse adgang og genbrug; et privatlivsreview skal påvirke udgivelser. Sikkerhedskontroller understøtter disse resultater, men kan ikke afgøre, om en behandling er berettiget.

Vælg den korrekte udgave og relation til jeres ISMS

ISO/IEC 27701:2025 er anden udgave og fastlægger krav til et PIMS som en selvstændig standard. Den ældre udgave fra 2019 var en udvidelse af ISO 27001 og ISO 27002. Byg ikke en ny implementering op omkring antagelsen om, at ISO 27001-certificering altid er en forudsætning. Bekræft den gældende udgave og overgangsordningerne med jeres certificeringsorgan.

Et eksisterende ISO 27001-ISMS er fortsat nyttigt. Governance, risikoprocesser, dokumentstyring, interne audits og ledelsens evaluering kan understøtte begge systemer. ISO 27002 giver vejledning om informationssikkerhedskontroller.

Hold målene adskilt. Sikkerhed undersøger fortrolighed, integritet og tilgængelighed. Privatliv undersøger også formål, proportionalitet, gennemsigtighed og konsekvenser for enkeltpersoner. En krypteret database kan stadig indeholde unødvendigt indsamlede oplysninger. Det er fornuftigt at genbruge sikkerhedsevidens; at behandle den som bevis for overholdelse af databeskyttelsesreglerne er det ikke.

Definér omfanget ud fra behandlingen, ikke kun infrastrukturen

Begynd med de tjenester og aktiviteter, som PIMS'et dækker. Medtag understøttende systemer, teams, leverandører og grænseflader. En afgrænsning som »produktionsmiljø i cloud« er utilstrækkelig, hvis kundesupporten eksporterer personoplysninger til et separat sagssystem.

Dokumentér for hver aktivitet:

• Formål, kategorier af personoplysninger og berørte grupper af personer.
• Rolle som dataansvarlig eller databehandler, herunder aktiviteter, hvor rollerne er forskellige.
• Indsamlingskilder, modtagere, opbevaringssteder og overførselsveje.
• Opbevaringsregler, sletningsadfærd, ejere og gældende forpligtelser.

Rollerne afhænger af behandlingsaktiviteten, ikke blot af virksomhedens identitet. En softwareudbyder kan behandle data, som kunder har uploadet, efter kundens instruks og samtidig være dataansvarlig for sine egne faktureringsregistreringer. Disse aktiviteter kræver forskellige beslutningsveje.

Tildel ansvar for udvikling, produkt, databeskyttelse, indkøb og drift eksplicit. Hvor en databeskyttelsesrådgiver (DPO) er påkrævet eller udpeget, skal vedkommendes uafhængige rådgivende og overvågende rolle bevares i stedet for at gøre vedkommende ansvarlig for at vælge formålene med behandlingen. Databeskyttelsesforordningen (GDPR) fastsætter de relevante forpligtelser for dataansvarlige, databehandlere og DPO'er.

Vurdér privatlivsrisici sammen med sikkerhedsrisici

Brug fortegnelsen over behandlinger til at identificere skader for enkeltpersoner såvel som organisationens eksponering. Uautoriseret adgang betyder noget, men det gør overdreven indsamling, uventet genbrug, ukorrekte registreringer, utilgængelige procedurer for rettigheder og opbevaring ud over et fastlagt behov også.

En praktisk vurdering bør forbinde hver risiko med en aktivitet, en konsekvens, en eksisterende sikkerhedsforanstaltning, en behandling, en ansvarlig ejer og en anledning til review. Registrér, hvorfor den resterende risiko accepteres, eller hvorfor der kræves yderligere arbejde.

Tag en rapporteringsfunktion, der eksporterer data om medarbejderes præstationer. Autentificering og logning af adgang håndterer sikkerhedshensynene. Privatlivsanalysen skal også overveje, om eksporten indeholder unødvendige felter, afslører følsomme slutninger eller muliggør anvendelser, der er uforenelige med det angivne formål.

En PIMS-vurdering kan understøtte det juridiske vurderingsarbejde, men opfylder ikke automatisk alle jurisdiktioners krav. Efter GDPR artikel 35 kræver behandling, der sandsynligvis indebærer en høj risiko, en konsekvensanalyse vedrørende databeskyttelse. Vurdér denne tærskel separat, og bevar beslutningen og en eventuel påkrævet analyse.

Omsæt forpligtelser til testbare kontroller

Undgå en privatlivspolitik, som udviklingsteamet ikke kan implementere. Angiv for hver forpligtelse den forventede systemadfærd og den evidens, der demonstrerer den. Det følgende er praktiske implementeringseksempler, ikke et universelt obligatorisk kontrolsæt.

Kryptering, mindste privilegium, logning og genopretning er fortsat vigtige fælles sikkerhedsforanstaltninger. Vælg foranstaltninger efter risiko: GDPR artikel 32 pålægger ikke generel kryptering i alle situationer. Dokumentér begrænsninger i adgang til nøgler, genopretning og sletning, hvor de påvirker privatlivsresultaterne. Se kryptering og nøglehåndtering for overvejelser om implementering.

Byg driftsprocedurer, der holder i virkelige sager

Håndtering af rettigheder kræver en modtagelsesvej, ejerskab, forholdsmæssig identitetsverifikation, søgninger i systemer, gennemgang af tredjepartsoplysninger og sikker levering. Efter GDPR skal svar normalt gives inden for en måned; tilladte forlængelser kræver underretning inden for den første måned. Før sagsregistreringer, der forklarer beslutningerne, ikke blot antal lukkede sager. Et workflow for indsigtsanmodninger bør også dække manuelle systemer og bistand fra leverandører.

Hændelseshåndtering skal skelne mellem teknisk inddæmning og beslutninger om anmeldelse af brud på persondatasikkerheden. Efter GDPR underretter databehandlere de dataansvarlige uden unødig forsinkelse. Dataansvarlige vurderer anmeldelse til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med bruddet, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Registrér begrundelsen for ikke at anmelde, og vurdér, om en høj risiko kræver underretning af de registrerede.

Leverandørprocedurer bør undersøge instrukser, underdatabehandlere, bistand ved anmodninger og hændelser, tilbagelevering eller sletning og adgang til evidens. Hvor GDPR gælder, har kontrakter efter artikel 28 specifikke påkrævede elementer. Et leverandørcertifikat er understøttende assurance, ikke en erstatning for disse vilkår.

Internationale overførsler kræver en separat juridisk vurdering. ISO 27701-certificering hverken tillader dem eller neutraliserer overvågningsrisici. Dokumentér den gældende overførselsmekanisme, vurdér dens betingelser, og implementér supplerende foranstaltninger, hvor det er nødvendigt. Dataenes placering alene fastslår ikke overholdelse.

Gennemregnet eksempel: en kundesupporttjeneste

Antag illustrativt, at en SaaS-udbyder behandler kundesupportbeskeder efter kundernes instruks og selv er dataansvarlig for sine egne registreringer af kontaktpersoner på konti. Begge aktiviteter bruger den samme supportplatform.

Teamet kortlægger beskedindhold, vedhæftninger, kontoidentifikatorer, leverandøradgang og eksportdestinationer. Det opdager, at en eksport til fejlfinding kopierer hele beskeder ind i et udviklingsworkspace med længere opbevaring.

Behandlingen er specifik: Erstat eksport af hele beskeder med minimerede diagnosefelter, begræns ekstraordinær adgang, anvend en godkendt opbevaringsperiode, og registrér, hvem der godkender undtagelser. Test, at rutinemæssige eksporter udelader beskedtekster, og at udløbne diagnoseregistreringer fjernes.

Evidenspakken indeholder fortegnelsen over behandlingen, rollevurderingen, leverandørvilkårene, risikobeslutningen, konfigurationen, testresultaterne og godkendelseshistorikken. Den fælles gennemgang af adgangskontroller understøtter både sikkerhed og privatliv, mens beslutningen om eksportens formål forbliver privatlivsspecifik.

Forbered certificering med operationel evidens

Certificering foretages af et uafhængigt certificeringsorgan, ikke af ISO. Før en vurdering planlægges, skal I bekræfte omfang, udgave, auditmetode og forventninger til evidens. En typisk første certificeringsproces omfatter en gennemgang af parathed og dokumentation efterfulgt af en vurdering af implementeringen; bekræft ordningerne med det valgte organ.

Gennemfør en intern audit op mod de gældende krav og jeres egne procedurer. Tag stikprøver af behandlingsaktiviteter, sager om rettigheder, leverandørbeslutninger, gennemførelse af opbevaringsregler og produktændringer. Skeln mellem et manglende dokument og en kontrol, der findes, men svigter i driften.

Ledelsens evaluering bør tage stilling til fund, uafklarede risici, ændringer, præstationer og ressourcer. Korrigerende handlinger kræver ejere, evidens for gennemførelse og kontrol af effektivitet. Certificering kan give assurance om det afgrænsede ledelsessystem, men den fastslår ikke overholdelse af GDPR, skaber ikke et retsgrundlag og dækker ikke aktiviteter uden for omfanget.

Begynd med én sporbar behandlingsaktivitet

Vælg én aktivitet, følg dens data gennem forbundne systemer og leverandører, og knyt hver væsentlig forpligtelse til en ejer, en sikkerhedsforanstaltning og en beslutningshistorik. Gennemgå den efter relevante ændringer i stedet for at vente på næste audit.

Secani understøtter dette evidensworkflow ved at forbinde krav, kontroller, systemer, evidens og reviewbeslutninger. Teams kan bevare fælles ISMS-evidens sammen med privatlivsspecifikke beslutninger, gøre mangler til tildelte opgaver og bevare den menneskelige godkendelse af AI-assisterede forslag. Den første nyttige leverance er en gennemgået kæde fra behandlingsformål til implementeret sikkerhedsforanstaltning og understøttende evidens.