Maturitate ISO 27701 · Protecția vieții private și extensia GDPR la sistemele de management al confidențialității
Gestionarea vieții private măsurată pe cadrul de referință ISO 27701, tradusă într-un plan de acțiune cuantificat.
13 domenii tematice, 144 întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 13 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate ISO 27701 · Protecția vieții private și extensia GDPR la sistemele de management al confidențialității
13 domenii tematice, 144 întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic ISO/IEC 27701:2019 (revizuire ISO/IEC 27701:2025) lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 13 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior, și acțiunea care leagă cele două) transformă o constatare într-o traiectorie.
Cererile de exercitare a drepturilor persoanelor vizate sunt tratate conform unui proces definit și trasat?
- N1
Niciun proces identificat. Cererile sosesc prin canale diverse și sunt tratate de persoana care le primește, fără urmă păstrată.
- N2
Există un punct de intrare și o procedură este scrisă, dar aplicarea ei depinde de echipe iar termenele nu sunt măsurate.
- N3
Procesul este diseminat și aplicat: primire centralizată, autentificarea solicitantului, răspuns în termenul legal, trasabilitatea fiecărei cereri.
- N4
Cererile sunt urmărite prin indicatori (volum, tip, termen, rata depășirii termenului), revizuiți periodic, iar prelucrările vizate sunt identificate la fiecare cerere.
- N5
Decalajele și motivele recurente alimentează măsuri corective asupra prelucrărilor înseși, cu o urmărire documentată a revizuirilor procesului.
Acțiune pentru trecerea de la N2 la N3
Centralizarea primirii cererilor pe un canal unic, deschiderea unui registru de urmărire cu data primirii, data scadenței și data răspunsului, și înscrierea revizuirii cererilor în curs în comitetul lunar al funcției de date cu caracter personal.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe ISO 27701.
Despre ce vorbește acest cadru de referință
ISO 27701 este extensia standardelor ISO 27001 și ISO 27002 la protecția vieții private. Descrie un PIMS, sistem de management al informațiilor private, și adaugă două seturi distincte de măsuri: unul pentru operatorul de date, celălalt pentru persoana împuternicită. Preia principiile din ISO 29100: consimțământ, minimizare, limitarea scopurilor, exactitate, transparență, participarea persoanei vizate. Nu se auditează singur: se certifică în extensia unei certificări ISO 27001, pe un perimetru definit.
Este un cadru de referință exigent de condus, pentru că privește practici distribuite între juridic, securitate, departamentele operaționale și achiziții. Registrul activităților de prelucrare reflectă activitatea reală sau activitatea declarată acum trei ani? Evaluările de impact sunt declanșate de un criteriu scris sau de intuiția responsabilului cu protecția datelor? Cererile de exercitare a drepturilor sunt urmărite de la un capăt la altul, cu un termen măsurat? Clauzele de subcontractare sunt verificate după semnare sau doar clasate?
O confuzie reapare adesea: ISO 27701 nu este o certificare GDPR. Nu se pronunță asupra conformității cu regulamentul. Atestă că un sistem de management al vieții private este instituit și funcționează. Corespondența publicată între măsurile standardului și articolele GDPR rămâne indicativă, iar perimetrul certificat poate fi mai restrâns decât perimetrul de prelucrare al organizației. Revizuirea standardului, care îl desprinde de ISO 27001 pentru a-l transforma într-un text autonom de cerințe, întărește această nevoie de claritate privind ceea ce este efectiv acoperit.
Diagnosticul de maturitate pune o întrebare diferită de cea a auditului de conformitate. Auditul concluzionează prin conform sau neconform, pentru o anumită cerință, la o dată dată. Diagnosticul situează fiecare practică pe o scală progresivă, domeniu tematic cu domeniu tematic, și indică acțiunea care permite trecerea la nivelul următor. Rezultatul nu este o opinie, ci o traiectorie cuantificată, comparabilă între unitățile de afaceri și în timp.
În Datamensio, cadrul de referință este gata de utilizare. Îl puteți și adapta: IA ajustează domeniile tematice, întrebările și nivelurile în funcție de sectorul și rolul dumneavoastră, operator de date sau persoană împuternicită, sau construiește o variantă pornind de la politica dumneavoastră de protecție a datelor, de la registrul și procedurile dumneavoastră existente.
Standard de referință: ISO/IEC 27701:2019 (revizuire ISO/IEC 27701:2025)
Domeniile tematice evaluate
Guvernanța PIMS
Politica de protecție a vieții private, desemnarea și poziționarea DPO, roluri și responsabilități, resurse alocate, articularea cu SMSI existent.
Perimetru și roluri de prelucrare
Determinarea rolului de operator de date, operator asociat sau persoană împuternicită, perimetrul sistemului, context și părți interesate, declarație de aplicabilitate extinsă.
Registru și cartografierea prelucrărilor
Exhaustivitatea registrului, scopuri, temeiuri legale, categorii de date și persoane vizate, durate de păstrare, frecvența actualizării.
Evaluări de impact și privacy by design
Criterii de declanșare a unei evaluări de impact, metoda de analiză, integrarea cerințelor în proiecte și achiziții, minimizare și pseudonimizare încă din concepție.
Consimțământ și informarea persoanelor
Colectarea și dovada consimțământului, retragere, mențiuni de informare, transparență privind scopurile și destinatarii, cazul minorilor și al datelor sensibile.
Drepturile persoanelor vizate
Proces de primire și autentificare a cererilor, acces, rectificare, ștergere, portabilitate, opoziție, trasabilitate și urmărirea termenelor de răspuns.
Subcontractare și lanțul de prelucrare
Selecția și evaluarea persoanelor împuternicite, contracte și instrucțiuni documentate, subcontractare ulterioară, audituri și dovezi obținute, reversibilitate.
Transferuri în afara Uniunii Europene
Identificarea fluxurilor, mecanisme de transfer alese, evaluări de impact ale transferurilor, localizarea efectivă a datelor și a accesurilor la distanță.
Securitatea datelor cu caracter personal
Măsuri tehnice și organizatorice asociate prelucrărilor, gestionarea accesurilor, criptare, jurnalizare, separarea mediilor.
Încălcări de securitate a datelor și incidente
Detectare și calificare, procedura de notificare către autoritate și către persoane, termene, registrul încălcărilor, lecții învățate.
Păstrare, arhivare și ștergere
Aplicarea efectivă a duratelor, ștergeri automate, arhivare intermediară, ștergere la persoanele împuternicite, dovezi de distrugere.
Conștientizare și cultură
Formarea echipelor expuse, integrarea în parcursul de integrare a noilor angajați, comunicare internă, însușire de către departamentele operaționale și nu doar de funcția juridică.
Monitorizare, audit și îmbunătățire
Indicatori de pilotaj, audituri interne ale PIMS, analiza efectuată de conducere, tratarea neconformităților, comparație în timp.
O versiune scurtă a cadrului de referință, cu 40 întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 13 domenii tematice și 144 întrebări.
Întrebări frecvente
ISO 27701 echivalează cu o certificare GDPR?
Nu. Standardul atestă că un sistem de management al informațiilor private este instituit și funcționează pe un perimetru definit. Nu se pronunță asupra conformității cu regulamentul, care ține de autoritățile de control. Datamensio măsoară maturitatea dumneavoastră și pregătește termenul, fără a se substitui organismului de certificare.
Trebuie să fiți certificat ISO 27001 în prealabil?
În versiunea din 2019, extensia ISO 27701 se bazează pe o certificare ISO 27001 existentă sau derulată simultan. Revizuirea standardului face ca acest aspect să evolueze către un text de cerințe autonom. Diagnosticul acoperă ambele situații și semnalează măsurile care se bazează pe sistemul de management al securității.
Ce diferență există între acest diagnostic și un audit de conformitate?
Auditul verifică prezența cerințelor și concluzionează printr-un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scală de maturitate și indică acțiunea care permite trecerea la nivelul următor. Cele două sunt complementare: diagnosticul pregătește, auditul validează.
Cât timp durează evaluarea?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ, mobilizează DPO, securitatea, juridicul și achizițiile: cea mai mare parte a timpului este dedicată colectării de la acești contributori. Fiecare întrebare poate fi atribuită persoanei potrivite.
Se poate adapta cadrul de referință la rolul și sectorul nostru?
Da. Întrebările, nivelurile și domeniile tematice sunt modificabile, iar puteți izola măsurile specifice operatorului de date sau persoanei împuternicite. IA generează o variantă pornind de la propriile dumneavoastră documente: politică, registru, proceduri. Controlul asupra cadrului de referință vă aparține.
Cum se compară mai multe entități din grup?
Același cadru de referință este difuzat către fiecare unitate de afaceri, cu un scor pe domeniu tematic și o țintă comună. Benchmarkul compară entitățile între ele și fiecare cu evaluările sale anterioare. O foaie de parcurs transversală consolidează planurile de acțiune fără a duplica proiectele comune.
Cum este cuantificat planul de acțiune?
Decalajul dintre scor și țintă generează acțiunile. IA le grupează într-o foaie de parcurs prioritizată, iar catalogul de prestații deschide o soluție în fața fiecărui element, cu cost, termen și impact așteptat asupra scorului. Dumneavoastră arbitrați pe elemente comparabile.
Unde sunt găzduite datele?
În Franța, la OVH, cu copie de siguranță la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de IA mobilizate pot fi selectate, inclusiv dintre soluții europene.