ISO 27701: συνδέστε τη διαχείριση της ιδιωτικότητας με την ασφάλεια

Η διαχείριση της ιδιωτικότητας λειτουργεί καλύτερα όταν οι αποφάσεις επεξεργασίας, οι διασφαλίσεις, ο χειρισμός των δικαιωμάτων και οι αρμοδιότητες των προμηθευτών ταιριάζουν μεταξύ τους. Το ISO/IEC 27701 παρέχει μια προσέγγιση συστήματος διαχείρισης για αυτή την εργασία: ένα σύστημα διαχείρισης πληροφοριών ιδιωτικότητας (PIMS).

Για έναν CTO, η πρόκληση είναι να συνδέσει τις τεκμηριωμένες υποχρεώσεις με τη συμπεριφορά των συστημάτων. Μια πολιτική διατήρησης πρέπει να γίνει διαδικασία διαγραφής· μια δέσμευση του εκτελούντος την επεξεργασία πρέπει να περιορίζει την πρόσβαση και την επαναχρησιμοποίηση· μια επισκόπηση ιδιωτικότητας πρέπει να επηρεάζει τις εκδόσεις. Οι δικλίδες ασφάλειας υποστηρίζουν αυτά τα αποτελέσματα, αλλά δεν μπορούν να κρίνουν αν η επεξεργασία είναι δικαιολογημένη.

Επιλέξτε τη σωστή έκδοση και τη σχέση με το ΣΔΑΠ σας

Το ISO/IEC 27701:2025 είναι η δεύτερη έκδοση και θεσπίζει τις απαιτήσεις για το PIMS ως αυτοτελές πρότυπο. Η παλαιότερη έκδοση του 2019 ήταν επέκταση των ISO 27001 και ISO 27002. Μη στηρίζετε μια νέα υλοποίηση στην παραδοχή ότι η πιστοποίηση ISO 27001 είναι πάντα προαπαιτούμενη. Επιβεβαιώστε την εφαρμοστέα έκδοση και τις μεταβατικές ρυθμίσεις με τον φορέα πιστοποίησής σας.

Ένα υφιστάμενο ΣΔΑΠ κατά ISO 27001 παραμένει χρήσιμο. Η διακυβέρνηση, οι διαδικασίες διαχείρισης κινδύνων, ο έλεγχος εγγράφων, οι εσωτερικοί έλεγχοι και η ανασκόπηση από τη διοίκηση μπορούν να υποστηρίζουν και τα δύο συστήματα. Το ISO 27002 παρέχει καθοδήγηση για τις δικλίδες ασφάλειας πληροφοριών.

Κρατήστε τους στόχους διακριτούς. Η ασφάλεια εξετάζει την εμπιστευτικότητα, την ακεραιότητα και τη διαθεσιμότητα. Η ιδιωτικότητα εξετάζει επίσης τους σκοπούς, την αναλογικότητα, τη διαφάνεια και τις συνέπειες για τα φυσικά πρόσωπα. Μια κρυπτογραφημένη βάση δεδομένων μπορεί να περιέχει πληροφορίες που συλλέχθηκαν χωρίς λόγο. Η επαναχρησιμοποίηση των τεκμηρίων ασφάλειας είναι λογική· η αντιμετώπισή τους ως απόδειξης συμμόρφωσης για την ιδιωτικότητα δεν είναι.

Ορίστε το πεδίο μέσω της επεξεργασίας, όχι μόνο της υποδομής

Ξεκινήστε με τις υπηρεσίες και τις δραστηριότητες που καλύπτει το PIMS. Συμπεριλάβετε τα υποστηρικτικά συστήματα, τις ομάδες, τους προμηθευτές και τις διεπαφές. Ένα όριο όπως «παραγωγικό περιβάλλον νέφους» είναι ανεπαρκές αν η υποστήριξη πελατών εξάγει δεδομένα προσωπικού χαρακτήρα σε ένα χωριστό σύστημα διαχείρισης αιτημάτων.

Για κάθε δραστηριότητα, τεκμηριώστε:

• Τον σκοπό, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα και τις επηρεαζόμενες ομάδες προσώπων.
• Τον ρόλο του υπευθύνου ή του εκτελούντος την επεξεργασία, συμπεριλαμβανομένων των δραστηριοτήτων όπου οι ρόλοι διαφέρουν.
• Τις πηγές συλλογής, τους αποδέκτες, τις τοποθεσίες αποθήκευσης και τις διαδρομές διαβίβασης.
• Τους κανόνες διατήρησης, τη συμπεριφορά διαγραφής, τους υπευθύνους και τις εφαρμοστέες υποχρεώσεις.

Οι ρόλοι εξαρτώνται από τη δραστηριότητα επεξεργασίας, όχι απλώς από την ταυτότητα της εταιρείας. Ένας πάροχος λογισμικού μπορεί να επεξεργάζεται δεδομένα που μεταφορτώνουν οι πελάτες σύμφωνα με τις οδηγίες τους, ενώ ενεργεί ως υπεύθυνος επεξεργασίας για τα δικά του αρχεία χρεώσεων. Αυτές οι δραστηριότητες χρειάζονται διαφορετικές διαδρομές αποφάσεων.

Αναθέστε ρητά τις αρμοδιότητες μηχανικής, προϊόντος, ιδιωτικότητας, προμηθειών και λειτουργιών. Όπου απαιτείται ή έχει οριστεί ΥΠΔ, διατηρήστε τον ανεξάρτητο συμβουλευτικό και εποπτικό του ρόλο αντί να τον καθιστάτε υπεύθυνο για την επιλογή των σκοπών επεξεργασίας. Ο ΓΚΠΔ προβλέπει τις σχετικές υποχρεώσεις του υπευθύνου επεξεργασίας, του εκτελούντος την επεξεργασία και του ΥΠΔ.

Αξιολογήστε τους κινδύνους για την ιδιωτικότητα μαζί με τους κινδύνους ασφάλειας

Χρησιμοποιήστε την απογραφή των δραστηριοτήτων επεξεργασίας για να εντοπίσετε τις βλάβες για τα φυσικά πρόσωπα καθώς και την έκθεση του οργανισμού. Η μη εξουσιοδοτημένη πρόσβαση έχει σημασία, αλλά το ίδιο και η υπερβολική συλλογή, η απρόσμενη επαναχρησιμοποίηση, οι ανακριβείς εγγραφές, οι μη προσβάσιμες διαδικασίες άσκησης δικαιωμάτων και η διατήρηση πέρα από μια τεκμηριωμένη ανάγκη.

Μια πρακτική αξιολόγηση πρέπει να συνδέει κάθε κίνδυνο με μια δραστηριότητα, μια συνέπεια, μια υφιστάμενη διασφάλιση, μια αντιμετώπιση, έναν υπόλογο υπεύθυνο και ένα έναυσμα επισκόπησης. Καταγράψτε γιατί ο υπολειπόμενος κίνδυνος γίνεται αποδεκτός ή γιατί απαιτείται περαιτέρω εργασία.

Ας εξετάσουμε μια λειτουργία αναφορών που εξάγει δεδομένα για τις επιδόσεις των εργαζομένων. Η αυθεντικοποίηση και η καταγραφή της πρόσβασης αντιμετωπίζουν τα ζητήματα ασφάλειας. Η ανάλυση ιδιωτικότητας πρέπει επίσης να εξετάσει αν η εξαγωγή περιλαμβάνει περιττά πεδία, αν εκθέτει ευαίσθητα συμπεράσματα ή αν επιτρέπει χρήσεις ασυμβίβαστες με τον δηλωμένο σκοπό.

Μια αξιολόγηση στο πλαίσιο του PIMS μπορεί να υποστηρίξει τη νομική αξιολόγηση, αλλά δεν ικανοποιεί αυτόματα τις απαιτήσεις κάθε δικαιοδοσίας. Σύμφωνα με το άρθρο 35 του ΓΚΠΔ, η επεξεργασία που ενδέχεται να προκαλέσει υψηλό κίνδυνο απαιτεί εκτίμηση αντικτύπου σχετικά με την προστασία δεδομένων. Αξιολογήστε χωριστά αυτό το κατώφλι και διατηρήστε την απόφαση και κάθε απαιτούμενη εκτίμηση.

Μετατρέψτε τις υποχρεώσεις σε δικλίδες που μπορούν να δοκιμαστούν

Αποφύγετε μια πολιτική ιδιωτικότητας που η ομάδα μηχανικών δεν μπορεί να υλοποιήσει. Για κάθε υποχρέωση, προσδιορίστε την αναμενόμενη συμπεριφορά του συστήματος και τα τεκμήρια που την αποδεικνύουν. Τα παρακάτω είναι πρακτικά παραδείγματα υλοποίησης, όχι ένα καθολικό υποχρεωτικό σύνολο δικλίδων.

Η κρυπτογράφηση, τα ελάχιστα απαραίτητα δικαιώματα, η καταγραφή και η ανάκαμψη παραμένουν σημαντικές κοινές διασφαλίσεις. Επιλέξτε μέτρα ανάλογα με τον κίνδυνο: το άρθρο 32 του ΓΚΠΔ δεν επιβάλλει γενική κρυπτογράφηση σε κάθε περίπτωση. Τεκμηριώστε την πρόσβαση στα κλειδιά, την ανάκαμψη και τους περιορισμούς διαγραφής όπου επηρεάζουν τα αποτελέσματα για την ιδιωτικότητα. Δείτε το άρθρο Κρυπτογράφηση και διαχείριση κλειδιών για ζητήματα υλοποίησης.

Δημιουργήστε λειτουργικές διαδικασίες που αντέχουν σε πραγματικές περιπτώσεις

Ο χειρισμός των δικαιωμάτων χρειάζεται διαδρομή υποβολής αιτημάτων, υπευθύνους, αναλογική επαλήθευση ταυτότητας, αναζητήσεις στα συστήματα, επισκόπηση πληροφοριών τρίτων και ασφαλή παράδοση. Σύμφωνα με τον ΓΚΠΔ, οι απαντήσεις δίνονται κατά κανόνα εντός ενός μηνός· οι επιτρεπόμενες παρατάσεις απαιτούν ενημέρωση εντός του πρώτου μήνα. Τηρήστε εγγραφές υποθέσεων που εξηγούν τις αποφάσεις, όχι απλώς αριθμούς κλεισμένων αιτημάτων. Μια ροή εργασιών για αιτήματα πρόσβασης υποκειμένων πρέπει να καλύπτει επίσης τα χειροκίνητα συστήματα και τη συνδρομή των προμηθευτών.

Ο χειρισμός περιστατικών πρέπει να διακρίνει τον τεχνικό περιορισμό από τις αποφάσεις γνωστοποίησης για την ιδιωτικότητα. Σύμφωνα με τον ΓΚΠΔ, οι εκτελούντες την επεξεργασία ενημερώνουν τους υπευθύνους επεξεργασίας αμελλητί. Οι υπεύθυνοι επεξεργασίας αξιολογούν τη γνωστοποίηση στην εποπτική αρχή αμελλητί και, αν είναι δυνατόν, εντός 72 ωρών από την απόκτηση γνώσης, εκτός εάν η παραβίαση δεν ενδέχεται να προκαλέσει κίνδυνο για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων. Καταγράψτε το σκεπτικό της μη γνωστοποίησης και αξιολογήστε αν ο υψηλός κίνδυνος απαιτεί ανακοίνωση στα πρόσωπα.

Οι διαδικασίες για τους προμηθευτές πρέπει να εξετάζουν τις οδηγίες, τους υπεργολάβους επεξεργασίας, τη συνδρομή σε αιτήματα και περιστατικά, την επιστροφή ή τη διαγραφή και την πρόσβαση σε τεκμήρια. Όπου εφαρμόζεται ο ΓΚΠΔ, οι συμβάσεις του άρθρου 28 έχουν συγκεκριμένα απαιτούμενα στοιχεία. Ένα πιστοποιητικό του προμηθευτή είναι υποστηρικτική διασφάλιση, όχι υποκατάστατο αυτών των όρων.

Οι διεθνείς διαβιβάσεις απαιτούν χωριστή νομική αξιολόγηση. Η πιστοποίηση ISO 27701 δεν τις επιτρέπει ούτε εξουδετερώνει τους κινδύνους παρακολούθησης. Τεκμηριώστε τον εφαρμοστέο μηχανισμό, αξιολογήστε τις προϋποθέσεις του και εφαρμόστε συμπληρωματικά μέτρα όπου χρειάζεται. Η τοποθεσία των δεδομένων από μόνη της δεν αποδεικνύει συμμόρφωση.

Παράδειγμα: μια υπηρεσία υποστήριξης πελατών

Ας υποθέσουμε, ενδεικτικά, ότι ένας πάροχος SaaS επεξεργάζεται μηνύματα υποστήριξης πελατών σύμφωνα με τις οδηγίες των πελατών και ελέγχει ο ίδιος τις εγγραφές επαφών των λογαριασμών του. Και οι δύο δραστηριότητες χρησιμοποιούν την ίδια πλατφόρμα υποστήριξης.

Η ομάδα χαρτογραφεί το περιεχόμενο των μηνυμάτων, τα συνημμένα, τα αναγνωριστικά λογαριασμών, την πρόσβαση των προμηθευτών και τους προορισμούς των εξαγωγών. Ανακαλύπτει ότι μια εξαγωγή για αποσφαλμάτωση αντιγράφει ολόκληρα μηνύματα σε έναν χώρο εργασίας μηχανικών με μεγαλύτερη διατήρηση.

Η αντιμετώπιση είναι συγκεκριμένη: αντικατάσταση των εξαγωγών ολόκληρων μηνυμάτων με ελαχιστοποιημένα διαγνωστικά πεδία, περιορισμός της έκτακτης πρόσβασης, εφαρμογή εγκεκριμένης περιόδου διατήρησης και καταγραφή του ποιος εγκρίνει τις εξαιρέσεις. Δοκιμάστε ότι οι συνήθεις εξαγωγές παραλείπουν το σώμα των μηνυμάτων και ότι οι διαγνωστικές εγγραφές που έχουν λήξει αφαιρούνται.

Το πακέτο τεκμηρίων περιέχει το αρχείο δραστηριοτήτων επεξεργασίας, την αξιολόγηση ρόλων, τους όρους του προμηθευτή, την απόφαση κινδύνου, τη διαμόρφωση, τα αποτελέσματα δοκιμών και το ιστορικό εγκρίσεων. Η κοινή επισκόπηση ελέγχου πρόσβασης υποστηρίζει τόσο την ασφάλεια όσο και την ιδιωτικότητα, ενώ η απόφαση για τον σκοπό της εξαγωγής παραμένει ειδική για την ιδιωτικότητα.

Προετοιμαστείτε για την πιστοποίηση με λειτουργικά τεκμήρια

Η πιστοποίηση διενεργείται από ανεξάρτητο φορέα πιστοποίησης, όχι από τον ISO. Πριν προγραμματίσετε την αξιολόγηση, επιβεβαιώστε το πεδίο, την έκδοση, την προσέγγιση του ελέγχου και τις προσδοκίες για τα τεκμήρια. Μια τυπική διαδικασία αρχικής πιστοποίησης περιλαμβάνει επισκόπηση ετοιμότητας και τεκμηρίωσης, ακολουθούμενη από αξιολόγηση της υλοποίησης· επιβεβαιώστε τις ρυθμίσεις με τον φορέα που επιλέξατε.

Διενεργήστε εσωτερικό έλεγχο έναντι των εφαρμοστέων απαιτήσεων και των δικών σας διαδικασιών. Εξετάστε δείγματα δραστηριοτήτων επεξεργασίας, υποθέσεων δικαιωμάτων, αποφάσεων για προμηθευτές, εκτέλεσης της διατήρησης και αλλαγών προϊόντος. Διακρίνετε ένα έγγραφο που λείπει από μια δικλίδα που υπάρχει αλλά αποτυγχάνει στη λειτουργία.

Η ανασκόπηση από τη διοίκηση πρέπει να εξετάζει ευρήματα, ανεπίλυτους κινδύνους, αλλαγές, επιδόσεις και πόρους. Οι διορθωτικές ενέργειες χρειάζονται υπευθύνους, τεκμήρια ολοκλήρωσης και ελέγχους αποτελεσματικότητας. Η πιστοποίηση μπορεί να παρέχει διασφάλιση για το σύστημα διαχείρισης εντός πεδίου, αλλά δεν αποδεικνύει συμμόρφωση με τον ΓΚΠΔ, δεν δημιουργεί νομική βάση ούτε καλύπτει δραστηριότητες εκτός αυτού του πεδίου.

Ξεκινήστε με μία ιχνηλάσιμη δραστηριότητα επεξεργασίας

Επιλέξτε μία δραστηριότητα, ακολουθήστε τα δεδομένα της μέσα από τα συνδεδεμένα συστήματα και τους προμηθευτές και συνδέστε κάθε ουσιώδη υποχρέωση με έναν υπεύθυνο, μια διασφάλιση και ένα ιστορικό αποφάσεων. Επισκοπήστε την μετά από σχετικές αλλαγές αντί να περιμένετε τον επόμενο έλεγχο.

Η Secani υποστηρίζει αυτή τη ροή εργασιών τεκμηρίων συνδέοντας απαιτήσεις, δικλίδες, συστήματα, τεκμήρια και αποφάσεις επισκόπησης. Οι ομάδες μπορούν να διατηρούν τα κοινά τεκμήρια του ΣΔΑΠ μαζί με τις αποφάσεις που αφορούν ειδικά την ιδιωτικότητα, να μετατρέπουν τα κενά σε ανατεθειμένες εργασίες και να διατηρούν την ανθρώπινη έγκριση των προτάσεων με υποβοήθηση από ΤΝ. Το πρώτο χρήσιμο παραδοτέο είναι μια επισκοπημένη αλυσίδα από τον σκοπό της επεξεργασίας έως την υλοποιημένη διασφάλιση και τα υποστηρικτικά τεκμήρια.