ISO 27701: verbind privacymanagement en security

Privacymanagement werkt het best wanneer verwerkingsbeslissingen, waarborgen, de afhandeling van rechten van betrokkenen en verantwoordelijkheden van leveranciers op elkaar aansluiten. ISO/IEC 27701 biedt voor dat werk een aanpak in de vorm van een managementsysteem: een managementsysteem voor privacy-informatie, oftewel een PIMS.

Voor een CTO ligt de uitdaging in het verbinden van gedocumenteerde verplichtingen met het gedrag van systemen. Een bewaarbeleid moet een verwijderproces worden; een toezegging als verwerker moet toegang en hergebruik beperken; een privacyreview moet invloed hebben op releases. Beveiligingscontrols ondersteunen deze uitkomsten, maar kunnen niet bepalen of een verwerking gerechtvaardigd is.

Kies de juiste editie en de verhouding tot uw ISMS

ISO/IEC 27701:2025 is de tweede editie en legt de PIMS-eisen vast als zelfstandige norm. De oudere editie uit 2019 was een uitbreiding op ISO 27001 en ISO 27002. Bouw een nieuwe implementatie niet op de aanname dat ISO 27001-certificering altijd een voorwaarde is. Bevestig de toepasselijke editie en de overgangsregelingen met uw certificatie-instelling.

Een bestaand ISMS volgens ISO 27001 blijft nuttig. Governance, risicoprocessen, documentbeheer, interne audits en de directiebeoordeling kunnen beide systemen ondersteunen. ISO 27002 biedt richtlijnen voor informatiebeveiligingscontrols.

Houd de doelen gescheiden. Security kijkt naar vertrouwelijkheid, integriteit en beschikbaarheid. Privacy kijkt daarnaast naar doeleinden, evenredigheid, transparantie en gevolgen voor personen. Een versleutelde database kan nog steeds onnodig verzamelde informatie bevatten. Beveiligingsbewijs hergebruiken is verstandig; het behandelen als bewijs van naleving van privacywetgeving is dat niet.

Definieer de scope via verwerkingen, niet alleen via infrastructuur

Begin met de diensten en activiteiten die onder het PIMS vallen. Neem ondersteunende systemen, teams, leveranciers en interfaces op. Een grens als ‘productiecloudomgeving’ volstaat niet als klantenservice persoonsgegevens exporteert naar een afzonderlijk ticketsysteem.

Documenteer voor elke activiteit:

• Doel, categorieën persoonsgegevens en betrokken groepen personen.
• Rol als verwerkingsverantwoordelijke of verwerker, inclusief activiteiten waarbij de rollen verschillen.
• Verzamelbronnen, ontvangers, opslaglocaties en doorgifteroutes.
• Bewaarregels, verwijdergedrag, eigenaren en toepasselijke verplichtingen.

Rollen hangen af van de verwerkingsactiviteit, niet simpelweg van de identiteit van het bedrijf. Een softwareaanbieder kan door klanten geüploade gegevens verwerken volgens instructies van de klant en tegelijk verwerkingsverantwoordelijke zijn voor zijn eigen factuurgegevens. Deze activiteiten hebben verschillende beslispaden nodig.

Wijs verantwoordelijkheden voor engineering, product, privacy, inkoop en operations expliciet toe. Waar een functionaris voor gegevensbescherming (FG) verplicht is of is aangesteld, behoudt u diens onafhankelijke adviserende en toezichthoudende rol in plaats van de FG verantwoordelijk te maken voor het kiezen van verwerkingsdoeleinden. De AVG bevat de relevante verplichtingen voor verwerkingsverantwoordelijken, verwerkers en FG's.

Beoordeel privacyrisico's naast beveiligingsrisico's

Gebruik de inventaris van verwerkingen om zowel schade voor personen als blootstelling van de organisatie te identificeren. Ongeautoriseerde toegang doet ertoe, maar dat geldt ook voor overmatige verzameling, onverwacht hergebruik, onjuiste registraties, ontoegankelijke procedures voor rechten van betrokkenen en bewaring langer dan nodig is.

Een praktische beoordeling verbindt elk risico met een activiteit, een gevolg, een bestaande waarborg, een behandeling, een verantwoordelijke eigenaar en een aanleiding voor herbeoordeling. Leg vast waarom het restrisico wordt geaccepteerd of waarom verder werk nodig is.

Neem een rapportagefunctie die prestatiegegevens van medewerkers exporteert. Authenticatie en toegangslogging pakken de beveiligingsrisico's aan. Een privacyanalyse moet ook nagaan of de export onnodige velden bevat, gevoelige afleidingen blootlegt of gebruik mogelijk maakt dat niet strookt met het vermelde doel.

Een PIMS-beoordeling kan juridisch beoordelingswerk ondersteunen, maar voldoet niet automatisch aan de eisen van elk rechtsgebied. Op grond van artikel 35 AVG vereist een verwerking die waarschijnlijk een hoog risico oplevert een gegevensbeschermingseffectbeoordeling (DPIA). Beoordeel die drempel afzonderlijk en bewaar de beslissing en een eventueel vereiste beoordeling.

Vertaal verplichtingen naar toetsbare controls

Vermijd een privacybeleid dat engineering niet kan implementeren. Specificeer voor elke verplichting het verwachte systeemgedrag en het bewijs dat dit aantoont. Het volgende zijn praktische implementatievoorbeelden, geen universele verplichte set controls.

Versleuteling, least privilege, logging en herstel blijven belangrijke gedeelde waarborgen. Kies maatregelen op basis van risico: artikel 32 AVG legt geen algemene versleutelingsplicht voor elke situatie op. Documenteer beperkingen rond sleuteltoegang, herstel en verwijdering waar die van invloed zijn op privacyuitkomsten. Zie versleuteling en sleutelbeheer voor aandachtspunten bij de implementatie.

Bouw werkprocedures die echte gevallen overleven

De afhandeling van rechten van betrokkenen vraagt om een intakeroute, eigenaarschap, evenredige identiteitsverificatie, zoekacties in systemen, review van informatie over derden en veilige verstrekking. Onder de AVG moet doorgaans binnen een maand worden gereageerd; toegestane verlengingen vereisen een kennisgeving binnen die eerste maand. Houd dossiers bij die beslissingen uitleggen, niet alleen aantallen gesloten tickets. Een workflow voor inzageverzoeken moet ook handmatige systemen en ondersteuning door leveranciers omvatten.

Incidentafhandeling moet technische inperking onderscheiden van beslissingen over privacymeldingen. Onder de AVG melden verwerkers zonder onredelijke vertraging aan verwerkingsverantwoordelijken. Verwerkingsverantwoordelijken beoordelen zonder onredelijke vertraging en, waar mogelijk, binnen 72 uur na kennisname of een melding aan de toezichthoudende autoriteit nodig is, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Leg de redenering vast wanneer niet wordt gemeld en beoordeel of een hoog risico mededeling aan betrokkenen vereist.

Procedures voor leveranciers moeten instructies, subverwerkers, ondersteuning bij verzoeken en incidenten, teruggave of verwijdering en toegang tot bewijs onderzoeken. Waar de AVG van toepassing is, hebben overeenkomsten op grond van artikel 28 specifieke verplichte elementen. Een certificaat van een leverancier is ondersteunende assurance, geen vervanging voor die bepalingen.

Internationale doorgiften vereisen een afzonderlijke juridische beoordeling. ISO 27701-certificering staat ze niet toe en neutraliseert geen risico's van overheidstoezicht. Documenteer het toepasselijke doorgifte-instrument, beoordeel de voorwaarden ervan en implementeer waar nodig aanvullende maatregelen. De locatie van gegevens alleen stelt geen naleving vast.

Uitgewerkt voorbeeld: een klantenservicedienst

Stel ter illustratie dat een SaaS-aanbieder supportberichten van klanten verwerkt volgens instructies van de klant en verwerkingsverantwoordelijke is voor zijn eigen contactgegevens van accounts. Beide activiteiten gebruiken hetzelfde supportplatform.

Het team brengt berichtinhoud, bijlagen, account-ID's, toegang door leveranciers en exportbestemmingen in kaart. Het ontdekt dat een debugexport volledige berichten kopieert naar een engineeringwerkruimte met een langere bewaartermijn.

De behandeling is specifiek: vervang exports van volledige berichten door geminimaliseerde diagnostische velden, beperk uitzonderlijke toegang, pas een goedgekeurde bewaartermijn toe en leg vast wie uitzonderingen autoriseert. Test dat routinematige exports geen berichtteksten bevatten en dat verlopen diagnostische registraties worden verwijderd.

Het bewijspakket bevat het verwerkingsregister, de rolbeoordeling, de bepalingen met de leverancier, de risicobeslissing, de configuratie, testresultaten en de goedkeuringshistorie. De gedeelde review van toegangscontrols ondersteunt zowel security als privacy, terwijl de beslissing over het doel van de export privacyspecifiek blijft.

Bereid certificering voor met operationeel bewijs

Certificering wordt uitgevoerd door een onafhankelijke certificatie-instelling, niet door ISO. Bevestig vóór het inplannen van de beoordeling de scope, de editie, de auditaanpak en de verwachtingen over bewijs. Een gebruikelijk initieel certificeringstraject omvat een gereedheids- en documentatiereview, gevolgd door een beoordeling van de implementatie; bevestig de afspraken met de gekozen instelling.

Voer een interne audit uit tegen de toepasselijke eisen en uw eigen procedures. Neem steekproeven uit verwerkingsactiviteiten, verzoeken van betrokkenen, leveranciersbeslissingen, de uitvoering van bewaartermijnen en productwijzigingen. Onderscheid een ontbrekend document van een control die bestaat maar in de praktijk faalt.

De directiebeoordeling moet bevindingen, openstaande risico's, wijzigingen, prestaties en middelen behandelen. Corrigerende maatregelen hebben eigenaren, bewijs van afronding en controles op effectiviteit nodig. Certificering kan assurance bieden over het afgebakende managementsysteem, maar stelt geen naleving van de AVG vast, creëert geen rechtsgrond en dekt geen activiteiten buiten die scope.

Begin met één herleidbare verwerkingsactiviteit

Kies één activiteit, volg de gegevens ervan door verbonden systemen en leveranciers en koppel elke wezenlijke verplichting aan een eigenaar, een waarborg en een beslissingshistorie. Review haar na relevante wijzigingen in plaats van te wachten op de volgende audit.

Secani ondersteunt deze bewijsworkflow door eisen, controls, systemen, bewijs en reviewbeslissingen met elkaar te verbinden. Teams kunnen gedeeld ISMS-bewijs bewaren naast privacyspecifieke beslissingen, lacunes omzetten in toegewezen taken en menselijke goedkeuring van AI-ondersteunde suggesties vastleggen. Het eerste nuttige resultaat is een gereviewde keten van verwerkingsdoel tot geïmplementeerde waarborg en ondersteunend bewijs.