Vyspělost ISO 27701 · Ochrana soukromí a rozšíření GDPR na systémy řízení ochrany soukromí
Vaše řízení ochrany soukromí změřené podle ISO 27701, převedené na vyčíslený akční plán.
13 tematických oblastí, 144 otázek, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
13 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost ISO 27701 · Ochrana soukromí a rozšíření GDPR na systémy řízení ochrany soukromí
13 tematických oblastí, 144 otázek, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle ISO/IEC 27701:2019 (revize ISO/IEC 27701:2025) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 13 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je spojuje) mění zjištění v trajektorii.
Jsou žádosti o výkon práv subjektů údajů zpracovávány podle definovaného a sledovaného procesu?
- N1
Žádný identifikovaný proces. Žádosti přicházejí různými kanály a zpracovává je osoba, která je přijme, bez uchované stopy.
- N2
Vstupní bod existuje a postup je sepsán, ale jeho uplatnění závisí na jednotlivých týmech a lhůty se neměří.
- N3
Proces je rozšířen a uplatňován: centralizované přijímání, ověření totožnosti žadatele, odpověď v zákonné lhůtě, sledovatelnost každé žádosti.
- N4
Žádosti jsou sledovány pomocí ukazatelů (objem, typ, lhůta, podíl žádostí po lhůtě), pravidelně přezkoumávaných, a dotčená zpracování jsou identifikována u každé žádosti.
- N5
Mezery a opakující se příčiny vedou k nápravným opatřením přímo v samotných zpracováních, s doloženým sledováním revizí procesu.
Akce pro posun z úrovně 2 na úroveň 3
Centralizovat přijímání žádostí na jediný kanál, zavést sledovací záznam s datem přijetí, datem splatnosti a datem odpovědi, a zařadit přehled probíhajících žádostí na měsíční poradu sekce osobních údajů.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína ISO 27701.
O čem tento referenční rámec je
ISO 27701 je rozšíření ISO 27001 a ISO 27002 o ochranu soukromí. Popisuje PIMS, systém řízení informací o soukromí, a přidává dvě samostatné sady opatření: jednu pro správce údajů, druhou pro zpracovatele. Přebírá zásady ISO 29100: souhlas, minimalizace, omezení účelu, přesnost, transparentnost, účast subjektu údajů. Nelze ji auditovat samostatně: certifikuje se jako rozšíření certifikace ISO 27001, na vymezeném rozsahu.
Jde o náročný referenční rámec k řízení, protože se týká postupů rozložených mezi právní oddělení, bezpečnost, obchodní útvary a nákup. Odráží záznam o činnostech zpracování skutečnou činnost, nebo činnost deklarovanou před třemi lety? Spouštějí se posouzení vlivu podle písemného kritéria, nebo podle intuice pověřence pro ochranu osobních údajů? Jsou žádosti o výkon práv sledovány od začátku do konce, s měřenou lhůtou? Kontrolují se smluvní doložky o zpracování po podpisu, nebo jen zakládají do archivu?
Často se objevuje jedna záměna: ISO 27701 není certifikace GDPR. Nepotvrzuje soulad s nařízením. Dokládá, že systém řízení ochrany soukromí je zaveden a funguje. Zveřejněný soulad mezi opatřeními normy a články GDPR zůstává orientační a certifikovaný rozsah může být užší než skutečný rozsah zpracování v organizaci. Revize normy, která ji odděluje od ISO 27001 a dělá z ní samostatný text požadavků, tuto potřebu jasnosti o skutečně pokrytém rozsahu ještě posiluje.
Diagnostika vyspělosti klade jinou otázku než audit shody. Audit uzavírá hodnocením shoda nebo neshoda, u daného požadavku, k danému datu. Diagnostika zařazuje každý postup na postupnou škálu, podle tematické oblasti, a určuje akci, která umožní posun na vyšší úroveň. Výsledkem není stanovisko, ale vyčíslená trajektorie, srovnatelná mezi obchodními jednotkami i v čase.
V platformě Datamensio je referenční rámec připraven k okamžitému použití. Můžete jej také přizpůsobit: umělá inteligence upraví tematické oblasti, otázky a úrovně podle vašeho odvětví a vaší role, správce údajů nebo zpracovatel, nebo vytvoří vlastní variantu na základě vaší politiky ochrany osobních údajů, vašeho záznamu o činnostech zpracování a vašich stávajících postupů.
Referenční norma: ISO/IEC 27701:2019 (revize ISO/IEC 27701:2025)
Hodnocené tematické oblasti
Řízení PIMS
Politika ochrany soukromí, jmenování a postavení pověřence pro ochranu osobních údajů, role a odpovědnosti, přidělené zdroje, propojení se stávajícím systémem řízení bezpečnosti informací.
Rozsah a role při zpracování
Určení role správce údajů, společného správce nebo zpracovatele, rozsah systému, kontext a zainteresované strany, rozšířené prohlášení o aplikovatelnosti.
Záznam o činnostech zpracování a mapování
Úplnost záznamu, účely, právní základy, kategorie údajů a subjektů údajů, doby uchovávání, frekvence aktualizace.
Posouzení vlivu a privacy by design
Kritéria pro spuštění posouzení vlivu na ochranu osobních údajů, metoda analýzy, začlenění požadavků do projektů a nákupu, minimalizace a pseudonymizace již od návrhu.
Souhlas a informování subjektů údajů
Získávání a doložení souhlasu, jeho odvolání, informační doložky, transparentnost ohledně účelů a příjemců, případ nezletilých a citlivých údajů.
Práva subjektů údajů
Proces přijímání a ověřování žádostí, přístup, oprava, výmaz, přenositelnost, námitka, sledovatelnost a dodržování lhůt pro odpověď.
Zpracovatelé a řetězec zpracování
Výběr a hodnocení zpracovatelů, smlouvy a doložené pokyny, další zpracování, audity a získané důkazy, reverzibilita.
Předávání mimo Evropskou unii
Identifikace toků, zvolené mechanismy předávání, posouzení vlivu předávání, skutečná lokalizace dat a vzdálených přístupů.
Bezpečnost osobních údajů
Technická a organizační opatření spojená se zpracováním, řízení přístupů, šifrování, protokolování, oddělení prostředí.
Porušení zabezpečení údajů a incidenty
Detekce a kvalifikace, postup oznámení úřadu a subjektům údajů, lhůty, záznam o porušeních, poučení z incidentů.
Uchovávání, archivace a výmaz
Skutečné dodržování dob uchovávání, automatizované čištění, přechodná archivace, výmaz u zpracovatelů, důkazy o zničení.
Povědomí a kultura
Školení exponovaných týmů, začlenění do onboardingu, interní komunikace, osvojení obchodními útvary, nejen právním oddělením.
Monitorování, audit a zlepšování
Řídicí ukazatele, interní audity PIMS, přezkoumání vedením, řešení neshod, srovnání v čase.
Zkrácená verze referenčního rámce, s 40 otázkami, je k dispozici pro online sebehodnocení. Úplná verze obsahuje 13 tematických oblastí a 144 otázek.
Často kladené otázky
Znamená ISO 27701 totéž co certifikace GDPR?
Ne. Norma dokládá, že systém řízení informací o soukromí je zaveden a funguje na vymezeném rozsahu. Nepotvrzuje soulad s nařízením, který posuzují dozorové úřady. Datamensio měří vaši vyspělost a připravuje vás na tento krok, aniž by nahrazovalo certifikační orgán.
Musíte být předem certifikováni podle ISO 27001?
Ve verzi 2019 se rozšíření o ISO 27701 opírá o existující certifikaci ISO 27001, nebo o certifikaci prováděnou souběžně. Revize normy posouvá tento bod směrem k samostatnému textu požadavků. Diagnostika pokrývá oba případy a označuje opatření, která se opírají o systém řízení bezpečnosti informací.
Jaký je rozdíl mezi touto diagnostikou a auditem shody?
Audit ověřuje přítomnost požadavků a uzavírá se hodnocením mezera nebo shoda. Diagnostika zařazuje každý postup na škálu vyspělosti a určuje akci, která umožní posun na vyšší úroveň. Obojí se doplňuje: diagnostika připravuje, audit potvrzuje.
Jak dlouho hodnocení trvá?
Krátká verze se vyplní za 20 až 30 minut. Úplná verze, v kolaborativním režimu, zapojuje pověřence pro ochranu osobních údajů, bezpečnost, právní oddělení a nákup: většina času připadá na sběr podkladů od těchto přispěvatelů. Každou otázku lze přiřadit správné osobě.
Lze referenční rámec přizpůsobit naší roli a odvětví?
Ano. Otázky, úrovně a tematické oblasti lze upravovat a můžete oddělit opatření vlastní správci údajů od opatření vlastních zpracovateli. Umělá inteligence vygeneruje vlastní variantu na základě vašich dokumentů: politiky, záznamu o činnostech zpracování, postupů. Kontrolu nad referenčním rámcem máte vy.
Jak srovnat více subjektů skupiny?
Stejný referenční rámec se zadá každé obchodní jednotce, se skóre podle tematické oblasti a společným cílem. Srovnávací přehled porovnává jednotlivé subjekty mezi sebou i s jejich předchozími hodnoceními. Průřezová roadmapa konsoliduje akční plány bez duplikace společných úkolů.
Jak je akční plán vyčíslen?
Mezera mezi skóre a cílem generuje akce. Umělá inteligence je seskupí do prioritizované roadmapy a katalog služeb nabídne řešení ke každé položce, s náklady, lhůtou a očekávaným dopadem na skóre. Rozhodujete na základě srovnatelných položek.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádné předávání mimo Evropskou unii. Použité modely umělé inteligence lze vybírat, včetně evropských řešení.