ISO 27701: połącz zarządzanie prywatnością z bezpieczeństwem

Zarządzanie prywatnością działa najlepiej, gdy decyzje dotyczące przetwarzania, zabezpieczenia, obsługa praw osób i obowiązki dostawców tworzą spójną całość. ISO/IEC 27701 zapewnia dla tej pracy podejście oparte na systemie zarządzania: system zarządzania informacjami dotyczącymi prywatności (PIMS).

Dla CTO wyzwaniem jest powiązanie udokumentowanych obowiązków z działaniem systemów. Polityka przechowywania musi stać się procesem usuwania danych; zobowiązanie podmiotu przetwarzającego musi ograniczać dostęp i ponowne wykorzystanie danych; przegląd prywatności musi wpływać na wydania. Kontrole bezpieczeństwa wspierają te wyniki, ale nie mogą rozstrzygnąć, czy przetwarzanie jest uzasadnione.

Wybierz właściwe wydanie i określ jego relację z SZBI

ISO/IEC 27701:2025 to drugie wydanie, które ustanawia wymagania dla PIMS jako samodzielną normę. Starsze wydanie z 2019 r. było rozszerzeniem ISO 27001 i ISO 27002. Nie buduj nowego wdrożenia na założeniu, że certyfikacja ISO 27001 jest zawsze warunkiem wstępnym. Potwierdź mające zastosowanie wydanie i zasady przejściowe ze swoją jednostką certyfikującą.

Istniejący SZBI zgodny z ISO 27001 nadal jest przydatny. Ład organizacyjny, procesy zarządzania ryzykiem, nadzór nad dokumentacją, audyty wewnętrzne i przegląd zarządzania mogą wspierać oba systemy. ISO 27002 zawiera wytyczne dotyczące zabezpieczeń informacji.

Zachowaj odrębność celów. Bezpieczeństwo dotyczy poufności, integralności i dostępności. Prywatność dotyczy także celów, proporcjonalności, przejrzystości i konsekwencji dla osób fizycznych. Zaszyfrowana baza danych może nadal zawierać informacje zebrane bez potrzeby. Ponowne wykorzystanie dowodów z obszaru bezpieczeństwa ma sens; traktowanie ich jako dowodu zgodności w zakresie prywatności już nie.

Określ zakres poprzez przetwarzanie, a nie tylko infrastrukturę

Zacznij od usług i czynności objętych PIMS. Uwzględnij wspierające systemy, zespoły, dostawców i interfejsy. Granica w rodzaju „produkcyjne środowisko chmurowe” jest niewystarczająca, jeśli dział obsługi klienta eksportuje dane osobowe do odrębnego systemu zgłoszeń.

Dla każdej czynności udokumentuj:

• Cel, kategorie danych osobowych i grupy osób, których dane dotyczą.
• Rolę administratora lub podmiotu przetwarzającego, w tym czynności, w których role się różnią.
• Źródła pozyskania, odbiorców, lokalizacje przechowywania i ścieżki transferu.
• Zasady przechowywania, sposób usuwania, właścicieli i mające zastosowanie obowiązki.

Role zależą od czynności przetwarzania, a nie wyłącznie od tożsamości firmy. Dostawca oprogramowania może przetwarzać dane przesłane przez klienta zgodnie z jego poleceniami, działając jednocześnie jako administrator własnych danych rozliczeniowych. Te czynności wymagają różnych ścieżek decyzyjnych.

Wyraźnie przypisz obowiązki w obszarach inżynierii, produktu, ochrony prywatności, zakupów i operacji. Jeśli inspektor ochrony danych (IOD) jest wymagany lub został wyznaczony, zachowaj jego niezależną rolę doradczą i monitorującą, zamiast czynić go odpowiedzialnym za wybór celów przetwarzania. Odpowiednie obowiązki administratora, podmiotu przetwarzającego i IOD określa RODO.

Oceniaj ryzyka dla prywatności obok ryzyk dla bezpieczeństwa

Wykorzystaj wykaz czynności przetwarzania do identyfikacji szkód dla osób fizycznych, a nie tylko ekspozycji organizacji. Nieuprawniony dostęp ma znaczenie, ale równie istotne są nadmierne zbieranie danych, nieoczekiwane ponowne wykorzystanie, nieprawidłowe zapisy, niedostępne procedury realizacji praw i przechowywanie danych dłużej, niż wymaga tego ustalona potrzeba.

Praktyczna ocena powinna łączyć każde ryzyko z czynnością, konsekwencją, istniejącym zabezpieczeniem, sposobem postępowania, odpowiedzialnym właścicielem i zdarzeniem wymagającym przeglądu. Zapisz, dlaczego pozostałe ryzyko zostaje zaakceptowane lub dlaczego wymagana jest dalsza praca.

Rozważmy funkcję raportowania, która eksportuje dane o wynikach pracy pracowników. Uwierzytelnianie i logowanie dostępu odpowiadają na kwestie bezpieczeństwa. Analiza prywatności musi także uwzględnić, czy eksport zawiera zbędne pola, ujawnia wrażliwe wnioski lub umożliwia zastosowania niezgodne z deklarowanym celem.

Ocena w ramach PIMS może wspierać ocenę prawną, ale nie spełnia automatycznie wymogów każdej jurysdykcji. Zgodnie z art. 35 RODO przetwarzanie, które może powodować wysokie ryzyko, wymaga oceny skutków dla ochrony danych. Oceń ten próg oddzielnie i zachowaj decyzję oraz ewentualną wymaganą ocenę.

Przekładaj obowiązki na testowalne kontrole

Unikaj polityki prywatności, której zespół inżynierów nie jest w stanie wdrożyć. Dla każdego obowiązku określ oczekiwane działanie systemu i dowody, które je wykazują. Poniżej przedstawiono praktyczne przykłady wdrożenia, a nie uniwersalny obowiązkowy zestaw kontroli.

Szyfrowanie, zasada najmniejszych uprawnień, logowanie i odtwarzanie pozostają ważnymi wspólnymi zabezpieczeniami. Dobieraj środki zgodnie z ryzykiem: art. 32 RODO nie nakłada obowiązku powszechnego szyfrowania w każdej sytuacji. Dokumentuj ograniczenia dotyczące dostępu do kluczy, odtwarzania i usuwania tam, gdzie wpływają one na wyniki w zakresie prywatności. Kwestie wdrożeniowe omawia artykuł o szyfrowaniu i zarządzaniu kluczami.

Buduj procedury operacyjne, które sprawdzą się w rzeczywistych przypadkach

Obsługa praw osób wymaga kanału przyjmowania żądań, właściciela, proporcjonalnej weryfikacji tożsamości, przeszukania systemów, przeglądu pod kątem osób trzecich i bezpiecznego przekazania. Zgodnie z RODO odpowiedzi należy co do zasady udzielić w ciągu miesiąca; dopuszczalne przedłużenie wymaga poinformowania o nim w tym pierwszym miesiącu. Prowadź zapisy spraw wyjaśniające decyzje, a nie tylko liczby zamkniętych zgłoszeń. Proces obsługi żądań dostępu do danych powinien obejmować także systemy prowadzone ręcznie i pomoc ze strony dostawców.

Obsługa incydentów musi odróżniać techniczne ograniczanie skutków od decyzji o zgłoszeniu naruszenia ochrony danych. Zgodnie z RODO podmioty przetwarzające zgłaszają naruszenia administratorom bez zbędnej zwłoki. Administratorzy oceniają potrzebę zgłoszenia organowi nadzorczemu bez zbędnej zwłoki i, w miarę możliwości, w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Zapisuj uzasadnienie decyzji o niezgłaszaniu i oceniaj, czy wysokie ryzyko wymaga zawiadomienia osób, których dane dotyczą.

Procedury dotyczące dostawców powinny obejmować polecenia, podmioty podprzetwarzające, pomoc w obsłudze żądań i incydentów, zwrot lub usunięcie danych oraz dostęp do dowodów. Jeśli ma zastosowanie RODO, umowy na podstawie art. 28 muszą zawierać określone wymagane elementy. Certyfikat dostawcy jest pomocniczym zapewnieniem, a nie zamiennikiem tych postanowień.

Transfery międzynarodowe wymagają odrębnej oceny prawnej. Certyfikacja ISO 27701 ich nie autoryzuje ani nie neutralizuje ryzyk związanych z inwigilacją. Udokumentuj mający zastosowanie mechanizm, oceń jego warunki i w razie potrzeby wdroż środki uzupełniające. Sama lokalizacja danych nie przesądza o zgodności.

Przykład: usługa obsługi klienta

Załóżmy dla ilustracji, że dostawca SaaS przetwarza wiadomości kierowane do działu obsługi klienta zgodnie z poleceniami klientów i jednocześnie jest administratorem własnych danych kontaktowych powiązanych z kontami. Obie czynności korzystają z tej samej platformy obsługi klienta.

Zespół mapuje treść wiadomości, załączniki, identyfikatory kont, dostęp dostawców i miejsca docelowe eksportów. Odkrywa, że eksport na potrzeby debugowania kopiuje pełne wiadomości do przestrzeni roboczej zespołu inżynierów z dłuższym okresem przechowywania.

Sposób postępowania jest konkretny: zastąpić eksport pełnych wiadomości zminimalizowanymi polami diagnostycznymi, ograniczyć dostęp wyjątkowy, zastosować zatwierdzony okres przechowywania i zapisywać, kto zatwierdza wyjątki. Przetestować, czy rutynowe eksporty pomijają treść wiadomości i czy wygasłe rekordy diagnostyczne są usuwane.

Pakiet dowodów obejmuje rejestr czynności przetwarzania, ocenę ról, warunki umów z dostawcami, decyzję dotyczącą ryzyka, konfigurację, wyniki testów i historię zatwierdzeń. Wspólny przegląd kontroli dostępu wspiera zarówno bezpieczeństwo, jak i prywatność, natomiast decyzja dotycząca celu eksportu pozostaje kwestią właściwą dla prywatności.

Przygotuj się do certyfikacji z wykorzystaniem dowodów operacyjnych

Certyfikację przeprowadza niezależna jednostka certyfikująca, a nie ISO. Przed zaplanowaniem oceny potwierdź zakres, wydanie, podejście do audytu i oczekiwania dotyczące dowodów. Typowy proces certyfikacji wstępnej obejmuje przegląd gotowości i dokumentacji, a następnie ocenę wdrożenia; potwierdź ustalenia z wybraną jednostką.

Przeprowadź audyt wewnętrzny względem mających zastosowanie wymagań i własnych procedur. Pobierz próbki czynności przetwarzania, spraw dotyczących praw osób, decyzji dotyczących dostawców, realizacji zasad przechowywania i zmian w produktach. Odróżniaj brakujący dokument od kontroli, która istnieje, ale nie działa w praktyce.

Przegląd zarządzania powinien uwzględniać ustalenia, nierozwiązane ryzyka, zmiany, wyniki i zasoby. Działania korygujące wymagają właścicieli, dowodów zakończenia i sprawdzenia skuteczności. Certyfikacja może zapewnić zapewnienie dotyczące systemu zarządzania w określonym zakresie, ale nie przesądza o zgodności z RODO, nie tworzy podstawy prawnej ani nie obejmuje czynności spoza tego zakresu.

Zacznij od jednej identyfikowalnej czynności przetwarzania

Wybierz jedną czynność, prześledź jej dane przez powiązane systemy i dostawców oraz powiąż każdy istotny obowiązek z właścicielem, zabezpieczeniem i historią decyzji. Przeglądaj ją po istotnych zmianach, zamiast czekać na kolejny audyt.

Secani wspiera ten proces zarządzania dowodami, łącząc wymagania, kontrole, systemy, dowody i decyzje z przeglądów. Zespoły mogą przechowywać wspólne dowody SZBI obok decyzji właściwych dla prywatności, przekształcać luki w przypisane zadania i zachowywać zatwierdzanie przez człowieka sugestii wspieranych przez AI. Pierwszym użytecznym produktem jest zweryfikowany łańcuch prowadzący od celu przetwarzania do wdrożonego zabezpieczenia i dowodów pomocniczych.