ISO 27701: koppla ihop dataskyddshantering och säkerhet

Dataskyddshantering fungerar bäst när beslut om behandling, skyddsåtgärder, hantering av de registrerades rättigheter och leverantörers ansvar hänger ihop. ISO/IEC 27701 erbjuder ett ledningssystemsbaserat arbetssätt för detta arbete: ett ledningssystem för integritetsskydd, ett PIMS (privacy information management system).

För en CTO är utmaningen att koppla dokumenterade skyldigheter till hur systemen faktiskt beter sig. En gallringspolicy måste bli en raderingsprocess; ett åtagande som personuppgiftsbiträde måste begränsa åtkomst och vidareanvändning; en dataskyddsgranskning måste påverka releaser. Säkerhetskontroller stöder dessa utfall, men kan inte avgöra om behandlingen är motiverad.

Välj rätt utgåva och förhållande till ert ISMS

ISO/IEC 27701:2025 är den andra utgåvan och fastställer krav på ett PIMS som en fristående standard. Den äldre utgåvan från 2019 var ett tillägg till ISO 27001 och ISO 27002. Bygg inte en ny implementering på antagandet att ISO 27001-certifiering alltid är en förutsättning. Bekräfta tillämplig utgåva och övergångsarrangemang med ert certifieringsorgan.

Ett befintligt ISMS enligt ISO 27001 är fortfarande användbart. Styrning, riskprocesser, dokumentstyrning, internrevisioner och ledningens genomgång kan stödja båda systemen. ISO 27002 ger vägledning om informationssäkerhetskontroller.

Håll målen åtskilda. Säkerhet handlar om konfidentialitet, riktighet och tillgänglighet. Dataskydd handlar också om ändamål, proportionalitet, insyn och konsekvenser för enskilda. En krypterad databas kan fortfarande innehålla information som har samlats in i onödan. Att återanvända säkerhetsunderlag är klokt; att behandla dem som bevis på efterlevnad av dataskyddsreglerna är det inte.

Definiera omfattningen utifrån behandlingar, inte bara infrastruktur

Börja med de tjänster och verksamheter som omfattas av PIMS:et. Ta med stödjande system, team, leverantörer och gränssnitt. En avgränsning som ”molnmiljön för produktion” räcker inte om kundsupporten exporterar personuppgifter till ett separat ärendehanteringssystem.

Dokumentera för varje behandling:

• Ändamål, kategorier av personuppgifter och berörda grupper av registrerade.
• Roll som personuppgiftsansvarig eller personuppgiftsbiträde, inklusive behandlingar där rollerna skiljer sig åt.
• Insamlingskällor, mottagare, lagringsplatser och överföringsvägar.
• Gallringsregler, raderingsbeteende, ägare och tillämpliga skyldigheter.

Rollerna beror på behandlingen, inte bara på vilket företag det gäller. En mjukvaruleverantör kan behandla uppgifter som kunder har laddat upp enligt kundens instruktioner och samtidigt vara personuppgiftsansvarig för sina egna faktureringsuppgifter. Dessa behandlingar behöver olika beslutsvägar.

Fördela ansvaret för teknik, produkt, dataskydd, inköp och drift uttryckligen. Där ett dataskyddsombud krävs eller har utsetts, bevara dennes oberoende rådgivande och övervakande roll i stället för att göra ombudet ansvarigt för att välja ändamål med behandlingen. GDPR innehåller de relevanta skyldigheterna för personuppgiftsansvariga, personuppgiftsbiträden och dataskyddsombud.

Bedöm dataskyddsrisker tillsammans med säkerhetsrisker

Använd förteckningen över behandlingar för att identifiera skador för enskilda såväl som organisationens exponering. Obehörig åtkomst spelar roll, men det gör också överdriven insamling, oväntad vidareanvändning, felaktiga uppgifter, otillgängliga rutiner för de registrerades rättigheter och lagring längre än ett fastställt behov.

En praktisk bedömning bör koppla varje risk till en behandling, en konsekvens, en befintlig skyddsåtgärd, en riskbehandling, en ansvarig ägare och en anledning till omprövning. Registrera varför den kvarvarande risken accepteras eller varför ytterligare arbete krävs.

Tänk på en rapportfunktion som exporterar data om anställdas prestationer. Autentisering och loggning av åtkomst hanterar säkerhetsfrågorna. Dataskyddsanalysen måste också beakta om exporten innehåller onödiga fält, exponerar känsliga slutsatser eller möjliggör användning som är oförenlig med det angivna ändamålet.

En bedömning inom PIMS:et kan stödja det rättsliga bedömningsarbetet, men uppfyller inte automatiskt varje jurisdiktions krav. Enligt artikel 35 i GDPR kräver en behandling som sannolikt leder till en hög risk en konsekvensbedömning avseende dataskydd. Bedöm den tröskeln separat och spara beslutet och eventuell krävd bedömning.

Omvandla skyldigheter till testbara kontroller

Undvik en dataskyddspolicy som tekniken inte kan implementera. Ange för varje skyldighet det förväntade systembeteendet och de underlag som visar det. Följande är praktiska exempel på implementering, inte en universell obligatorisk uppsättning kontroller.

Kryptering, minsta möjliga behörighet, loggning och återställning är fortsatt viktiga gemensamma skyddsåtgärder. Välj åtgärder utifrån risk: artikel 32 i GDPR kräver inte generell kryptering i varje situation. Dokumentera begränsningar i fråga om nyckelåtkomst, återställning och radering där de påverkar dataskyddsutfallen. Se kryptering och nyckelhantering för överväganden vid implementeringen.

Bygg driftsrutiner som håller i verkliga ärenden

Hanteringen av de registrerades rättigheter behöver en mottagningsväg, ägarskap, proportionerlig identitetskontroll, sökningar i system, granskning av tredje parts uppgifter och säker utlämning. Enligt GDPR ska svar normalt lämnas inom en månad; tillåtna förlängningar kräver att den registrerade underrättas inom den första månaden. Spara ärendeposter som förklarar besluten, inte bara antalet stängda ärenden. Ett arbetsflöde för registerutdrag bör även omfatta manuella system och stöd från leverantörer.

Incidenthanteringen måste skilja teknisk begränsning från beslut om anmälan enligt dataskyddsreglerna. Enligt GDPR underrättar personuppgiftsbiträden den personuppgiftsansvarige utan onödigt dröjsmål. Personuppgiftsansvariga bedömer anmälan till tillsynsmyndigheten utan onödigt dröjsmål och, om möjligt, inom 72 timmar efter att ha fått vetskap om incidenten, såvida det inte är osannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Registrera motiveringen för beslut att inte anmäla och bedöm om en hög risk kräver information till de registrerade.

Rutinerna för leverantörer bör granska instruktioner, underbiträden, bistånd vid förfrågningar och incidenter, återlämnande eller radering samt tillgång till underlag. Där GDPR är tillämplig har avtal enligt artikel 28 specifika obligatoriska delar. Ett leverantörscertifikat är en stödjande försäkran, inte en ersättning för dessa villkor.

Internationella överföringar kräver en separat rättslig bedömning. ISO 27701-certifiering ger inget tillstånd till dem och neutraliserar inte risker för övervakning. Dokumentera den tillämpliga överföringsmekanismen, bedöm dess villkor och genomför kompletterande åtgärder där det behövs. Var data lagras fastställer inte ensamt efterlevnad.

Räkneexempel: en kundsupporttjänst

Anta, som illustration, att en SaaS-leverantör behandlar kundsupportmeddelanden enligt kundernas instruktioner och är personuppgiftsansvarig för sina egna kontaktuppgifter för konton. Båda behandlingarna använder samma supportplattform.

Teamet kartlägger meddelandeinnehåll, bilagor, kontoidentifierare, leverantörsåtkomst och exportdestinationer. Det upptäcker att en export för felsökning kopierar fullständiga meddelanden till en arbetsyta för utvecklare med längre lagringstid.

Åtgärden är specifik: ersätt exporter av hela meddelanden med minimerade diagnostikfält, begränsa undantagsåtkomst, tillämpa en godkänd lagringstid och registrera vem som godkänner undantag. Testa att rutinmässiga exporter utelämnar meddelandetexten och att utgångna diagnostikposter tas bort.

Underlagspaketet innehåller registret över behandlingen, rollbedömningen, leverantörsvillkoren, riskbeslutet, konfigurationen, testresultaten och godkännandehistoriken. Den gemensamma granskningen av åtkomstkontroller stöder både säkerhet och dataskydd, medan beslutet om exportens ändamål förblir specifikt för dataskyddet.

Förbered certifieringen med operativa underlag

Certifiering utförs av ett oberoende certifieringsorgan, inte av ISO. Bekräfta omfattning, utgåva, revisionsupplägg och förväntningar på underlag innan bedömningen schemaläggs. En typisk första certifiering omfattar en granskning av beredskap och dokumentation följd av en bedömning av implementeringen; bekräfta arrangemangen med det valda organet.

Genomför en internrevision mot de tillämpliga kraven och era egna rutiner. Gör stickprov på behandlingar, ärenden om rättigheter, leverantörsbeslut, genomförd gallring och produktändringar. Skilj ett saknat dokument från en kontroll som finns men inte fungerar i praktiken.

Ledningens genomgång bör beakta iakttagelser, olösta risker, förändringar, prestanda och resurser. Korrigerande åtgärder behöver ägare, underlag om slutförande och kontroller av effektivitet. Certifiering kan ge försäkran om det avgränsade ledningssystemet, men fastställer inte efterlevnad av GDPR, skapar ingen rättslig grund och omfattar inte verksamheter utanför omfattningen.

Börja med en spårbar behandling

Välj en behandling, följ dess data genom anslutna system och leverantörer och koppla varje väsentlig skyldighet till en ägare, en skyddsåtgärd och en beslutshistorik. Granska den efter relevanta förändringar i stället för att vänta på nästa revision.

Secani stöder detta arbetsflöde för underlag genom att koppla samman krav, kontroller, system, underlag och granskningsbeslut. Team kan behålla gemensamma ISMS-underlag tillsammans med dataskyddsspecifika beslut, omvandla brister till tilldelade uppgifter och bevara mänskligt godkännande av AI-stödda förslag. Den första användbara leveransen är en granskad kedja från behandlingens ändamål till implementerad skyddsåtgärd och stödjande underlag.