Dojrzałość ISO 27701 · Ochrona prywatności i rozszerzenie RODO na systemy zarządzania poufnością
Państwa zarządzanie prywatnością ocenione według ISO 27701, przełożone na wyceniony plan działania.
13 obszarów tematycznych, 144 pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
13 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość ISO 27701 · Ochrona prywatności i rozszerzenie RODO na systemy zarządzania poufnością
13 obszarów tematycznych, 144 pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza ISO/IEC 27701:2019 (rewizja ISO/IEC 27701:2025) uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 13 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, poziom, poziom wyższy i działanie łączące oba, przekształca stwierdzenie w trajektorię.
Czy wnioski o realizację praw osób, których dane dotyczą, są rozpatrywane według określonego i identyfikowalnego procesu?
- N1
Brak zidentyfikowanego procesu. Wnioski napływają różnymi kanałami i są rozpatrywane przez osobę, która je otrzymała, bez zachowania śladu.
- N2
Istnieje punkt kontaktowy i spisana procedura, ale jej stosowanie zależy od zespołu, a terminy nie są mierzone.
- N3
Proces jest rozpowszechniony i stosowany: scentralizowane przyjmowanie, uwierzytelnienie wnioskodawcy, odpowiedź w ustawowym terminie, identyfikowalność każdego wniosku.
- N4
Wnioski są monitorowane za pomocą wskaźników (liczba, rodzaj, termin, odsetek przekroczeń), przeglądanych okresowo, a dotknięte czynności przetwarzania są identyfikowane przy każdym wniosku.
- N5
Luki i powtarzające się przyczyny zasilają działania naprawcze dotyczące samych czynności przetwarzania, z udokumentowanym śledzeniem zmian procesu.
Działanie, aby przejść z N2 do N3
Scentralizować przyjmowanie wniosków na jednym kanale, otworzyć rejestr monitorujący z datą otrzymania, datą terminu i datą odpowiedzi, oraz wpisać przegląd bieżących wniosków do comiesięcznego komitetu ds. danych osobowych.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna ISO 27701.
O czym jest ten model referencyjny
ISO 27701 to rozszerzenie norm ISO 27001 i ISO 27002 na ochronę prywatności. Opisuje PIMS, system zarządzania informacjami prywatnymi, i dodaje dwa odrębne zestawy środków: jeden dla administratora danych, drugi dla podmiotu przetwarzającego. Przejmuje zasady z ISO 29100: zgoda, minimalizacja, ograniczenie celu, dokładność, przejrzystość, udział osoby, której dane dotyczą. Nie podlega samodzielnemu audytowi: certyfikuje się jako rozszerzenie certyfikacji ISO 27001, w określonym zakresie.
To wymagający model do wdrożenia, ponieważ dotyczy praktyk rozproszonych między dział prawny, bezpieczeństwo, jednostki biznesowe i zakupy. Czy rejestr czynności przetwarzania odzwierciedla rzeczywistą działalność, czy tę zadeklarowaną trzy lata temu? Czy oceny skutków dla ochrony danych są wywoływane przez pisemne kryterium, czy przez intuicję inspektora ochrony danych? Czy wnioski o realizację praw są śledzone od początku do końca, z mierzonym terminem? Czy klauzule powierzenia przetwarzania są weryfikowane po podpisaniu, czy tylko archiwizowane?
Częstym nieporozumieniem jest utożsamianie ISO 27701 z certyfikacją RODO. Norma nie orzeka o zgodności z rozporządzeniem. Potwierdza, że system zarządzania prywatnością jest wdrożony i funkcjonuje. Opublikowana zgodność między środkami normy a artykułami RODO ma charakter orientacyjny, a certyfikowany zakres może być węższy niż zakres przetwarzania w organizacji. Rewizja normy, która oddziela ją od ISO 27001 i czyni z niej samodzielny tekst wymagań, wzmacnia potrzebę jasności co do tego, co jest rzeczywiście objęte zakresem.
Diagnoza dojrzałości stawia inne pytanie niż audyt zgodności. Audyt kończy się wnioskiem zgodne albo niezgodne, dla danego wymagania, w danym dniu. Diagnoza umieszcza każdą praktykę na skali progresywnej, obszar po obszarze, i wskazuje działanie prowadzące do kolejnego poziomu. Wynikiem nie jest opinia, lecz wyceniona trajektoria, porównywalna między jednostkami biznesowymi i w czasie.
W Datamensio model referencyjny jest gotowy do użycia. Mogą Państwo również go dostosować: sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy do Państwa sektora i roli, administratora danych lub podmiotu przetwarzającego, albo buduje wariant na podstawie Państwa polityki ochrony danych, rejestru i istniejących procedur.
Norma referencyjna: ISO/IEC 27701:2019 (rewizja ISO/IEC 27701:2025)
Oceniane obszary tematyczne
Ład PIMS
Polityka ochrony prywatności, wyznaczenie i umiejscowienie IOD, role i odpowiedzialności, przydzielone zasoby, powiązanie z istniejącym ISMS.
Zakres i role przetwarzania
Ustalenie roli administratora danych, współadministratora lub podmiotu przetwarzającego, zakres systemu, kontekst i zainteresowane strony, rozszerzona deklaracja stosowania.
Rejestr i mapowanie czynności przetwarzania
Kompletność rejestru, cele, podstawy prawne, kategorie danych i osób, okresy przechowywania, częstotliwość aktualizacji.
Oceny skutków i privacy by design
Kryteria wywołujące DPIA, metoda analizy, włączenie wymagań do projektów i zakupów, minimalizacja i pseudonimizacja już na etapie projektowania.
Zgoda i informowanie osób
Zbieranie i dowód zgody, wycofanie, klauzule informacyjne, przejrzystość co do celów i odbiorców, przypadki małoletnich i danych wrażliwych.
Prawa osób, których dane dotyczą
Proces przyjmowania i uwierzytelniania wniosków, dostęp, sprostowanie, usunięcie, przenoszenie, sprzeciw, identyfikowalność i monitorowanie terminów odpowiedzi.
Powierzenie przetwarzania i łańcuch przetwarzania
Wybór i ocena podmiotów przetwarzających, umowy i udokumentowane instrukcje, dalsze powierzenie, audyty i uzyskane dowody, odwracalność.
Transfery poza Unię Europejską
Identyfikacja przepływów, przyjęte mechanizmy transferu, oceny skutków transferów, rzeczywista lokalizacja danych i dostępów zdalnych.
Bezpieczeństwo danych osobowych
Środki techniczne i organizacyjne związane z przetwarzaniem, zarządzanie dostępami, szyfrowanie, rejestrowanie zdarzeń, izolacja środowisk.
Naruszenia danych i incydenty
Wykrywanie i kwalifikacja, procedura zgłaszania do organu nadzorczego i osób, terminy, rejestr naruszeń, wnioski po zdarzeniach.
Przechowywanie, archiwizacja i usuwanie
Rzeczywiste stosowanie okresów przechowywania, zautomatyzowane czyszczenie, archiwizacja pośrednia, usuwanie u podmiotów przetwarzających, dowody zniszczenia.
Świadomość i kultura organizacyjna
Szkolenie eksponowanych zespołów, włączenie do ścieżki onboardingowej, komunikacja wewnętrzna, przyswojenie przez jednostki biznesowe, nie tylko przez dział prawny.
Monitorowanie, audyt i doskonalenie
Wskaźniki zarządcze, audyty wewnętrzne PIMS, przegląd zarządzania, postępowanie z niezgodnościami, porównanie w czasie.
Krótsza wersja modelu referencyjnego, licząca 40 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 13 obszarów tematycznych i 144 pytań.
Najczęściej zadawane pytania
Czy ISO 27701 jest równoznaczna z certyfikacją RODO?
Nie. Norma potwierdza, że system zarządzania informacjami prywatnymi jest wdrożony i funkcjonuje w określonym zakresie. Nie orzeka o zgodności z rozporządzeniem, co należy do kompetencji organów nadzorczych. Datamensio ocenia Państwa dojrzałość i przygotowuje do terminu, nie zastępując jednostki certyfikującej.
Czy trzeba wcześniej posiadać certyfikację ISO 27001?
W wersji z 2019 roku rozszerzenie ISO 27701 opiera się na istniejącej lub równolegle prowadzonej certyfikacji ISO 27001. Rewizja normy zmienia tę kwestię w kierunku samodzielnego tekstu wymagań. Diagnoza obejmuje oba przypadki i wskazuje środki oparte na systemie zarządzania bezpieczeństwem.
Jaka jest różnica między tą diagnozą a audytem zgodności?
Audyt weryfikuje obecność wymagań i kończy się stwierdzeniem luki lub zgodności. Diagnoza umieszcza każdą praktykę na skali dojrzałości i wskazuje działanie prowadzące do kolejnego poziomu. Oba podejścia się uzupełniają: diagnoza przygotowuje, audyt zatwierdza.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut. Wersja pełna, w trybie współpracy, angażuje IOD, bezpieczeństwo, dział prawny i zakupy: większość czasu poświęca się na zbieranie danych od tych uczestników. Każde pytanie można przypisać właściwej osobie.
Czy można dostosować model referencyjny do Państwa roli i sektora?
Tak. Pytania, poziomy i obszary tematyczne są modyfikowalne, a Państwo mogą wyodrębnić środki właściwe administratorowi danych lub podmiotowi przetwarzającemu. Sztuczna inteligencja generuje wariant na podstawie Państwa własnych dokumentów: polityki, rejestru, procedur. Kontrola nad modelem referencyjnym pozostaje po Państwa stronie.
Jak porównać kilka podmiotów w grupie?
Ten sam model referencyjny jest rozsyłany do każdej jednostki biznesowej, z wynikiem dla każdego obszaru tematycznego i wspólnym celem. Benchmark porównuje jednostki między sobą oraz każdą z jej wcześniejszymi ocenami. Przekrojowa mapa drogowa konsoliduje plany działania bez powielania wspólnych inicjatyw.
Jak wyceniany jest plan działania?
Luka między wynikiem a celem generuje działania. Sztuczna inteligencja grupuje je w uszeregowaną mapę drogową, a katalog usług otwiera rozwiązanie naprzeciw każdego elementu, z kosztem, terminem i oczekiwanym wpływem na wynik. Decyzje podejmują Państwo na podstawie porównywalnych elementów.
Gdzie przechowywane są dane?
We Francji, u OVH, z kopią zapasową u Scaleway. Brak transferu poza Unię Europejską. Wykorzystywane modele AI mogą być wybierane, również spośród rozwiązań europejskich.