Zrelost ISO 27701 · Varstvo zasebnosti in razširitev GDPR na sisteme upravljanja zasebnosti
Vaše upravljanje zasebnosti, izmerjeno po ISO 27701, preneseno v ovrednoten akcijski načrt.
13 tematskih področij, 144 vprašanj, 5-stopenjska lestvica. In ukrep, ki popelje z vsake ravni na naslednjo.
13 tematskih področij referenčnega okvira, že pripravljenih od N1 do N5. Eno podjetje, ena poslovna enota, ali 300 hkrati.
Zrelost ISO 27701 · Varstvo zasebnosti in razširitev GDPR na sisteme upravljanja zasebnosti
13 tematskih področij, 144 vprašanj, 5-stopenjska lestvica.
Nordhavn Industries
53 / 100
Svojo zrelost merijo z Datamensio
Primer
Ta situacija bi lahko bila vaša.
Vzemimo primer podjetja: tri lokacije, tri preglednice, brez skupnega odgovora.
Nihče ne zna združiti podatkov.
Nordhavn Industries, 2.400 zaposlenih v Hamburgu, Lyonu in Portu. Naročnik vpraša, kje stoji skupina. Vsaka lokacija odgovori v svoji preglednici, s svojimi lestvicami.
Tri tedne, ena sama osnova.
Diagnostika ISO/IEC 27701:2019 (revizija ISO/IEC 27701:2025) je bila hkrati sprožena na vseh treh lokacijah, na podlagi zapiskov z razgovorov z odgovornimi osebami. Referenčni okvir je bil že napisan, prav tako 13 tematskih področij in ravni od N1 do N5.
Dva izdatka, preprečena še pred odobritvijo.
Ocena 53 od 100, vrzel strnjena na treh področjih. UI spremljevalec je opazil, da se dva ukrepa iz načrta podvajata z ukrepoma iz druge presoje. Predstavitev rezultatov odboru je nastala z enim stavkom.
Kaj so s tem preprečili
- 3lokacije, merjene na isti osnovi, namesto treh vprašalnikov za ponovno obdelavo
- 2podvojena ukrepa, odkrita še pred izdatkom
- 1predstavitev rezultatov odboru, brez ročnega usklajevanja
Te številke so iz primera. Lahko bi bile vaše.
Standard nalaga procese. Datamensio pove, kje stojite.
01
Referenčni okvir je že napisan
Tematska področja, vprašanja in ravni od N1 do N5 so pripravljeni. Ne začnete s prazno preglednico.
02
Ocena je na voljo še isti dan
Prek spleta, s povezavo za samoocenjevanje ali med razgovorom. Po področjih, primerljivo skozi čas.
03
Vrzel postane ovrednoten načrt
Vsak prehod na naslednjo raven nosi svoj ukrep. UI razvršča glede na pričakovani učinek, ne glede na vrstni red standarda.
04
Napredek se da dokazati
Krog za krogom, glede na vaš cilj in glede na vašo preteklost. To zahteva vaš upravni odbor.
Lestvica zrelosti
Ena raven, naslednja, in ukrep, ki ju povezuje.
Prav ta mehanizem (ena stopnja, naslednja stopnja in ukrep, ki ju povezuje) spremeni ugotovitev v trajektorijo.
Ali se zahteve za uveljavljanje pravic posameznikov obravnavajo po opredeljenem in sledljivem postopku?
- N1
Noben postopek ni opredeljen. Zahteve prihajajo po različnih kanalih in jih obravnava oseba, ki jih prejme, brez ohranjene sledi.
- N2
Vstopna točka obstaja in postopek je zapisan, vendar je njegova uporaba odvisna od posamezne ekipe, roki pa se ne merijo.
- N3
Postopek je razširjen in se izvaja: centralizirano sprejemanje, avtentikacija prosilca, odgovor v zakonskem roku, sledljivost vsake zahteve.
- N4
Zahteve se spremljajo s kazalniki (obseg, vrsta, rok, delež zamud), ki se redno pregledujejo, ob vsaki zahtevi pa se opredelijo povezane dejavnosti obdelave.
- N5
Vrzeli in ponavljajoči se vzroki napajajo korektivne ukrepe na samih dejavnostih obdelave, z dokumentiranim spremljanjem sprememb postopka.
Ukrep za prehod iz N2 v N3
Centralizirajte sprejem zahtev na en sam kanal, vzpostavite evidenco spremljanja z datumom prejema, rokom in datumom odgovora, ter vključite pregled odprtih zahtev v mesečni odbor za področje osebnih podatkov.
« Zahvaljujoč Datamensiu veliko učinkoviteje izpolnjujemo svoje cilje. Inšpekcijske službe sklada FEDER in našega pristojnega ministrstva so ta pristop še posebej cenile, saj jim prinaša zanesljive podatke. »
Direktorica CCI 94CCI Île-de-France
« Menimo, da gre za najprimernejšo rešitev za razširitev našega projekta preobrazbe in merjenje učinka skladno z našimi potrebami. »
Maja Sucekvodja poslovanja, Interreg Danube
Redko sam
Referenčni okvir se da kombinirati. Povežite več okvirov za pokritje svoje dejavnosti, ali pa svojega napišite z UI.
Opravite svojo prvo meritevna ISO 27701.
O čem govori ta referenčni okvir
ISO 27701 je razširitev standardov ISO 27001 in ISO 27002 na varstvo zasebnosti. Opisuje PIMS, sistem upravljanja informacij o zasebnosti, in dodaja dva ločena sklopa ukrepov: enega za upravljavca, drugega za obdelovalca. Povzema načela standarda ISO 29100: privolitev, minimizacijo, omejitev namena, točnost, preglednost, sodelovanje posameznika, na katerega se nanašajo osebni podatki. Ne presoja se samostojno, temveč se certificira kot razširitev certifikacije ISO 27001, na opredeljenem obsegu.
Gre za zahteven referenčni okvir, saj zajema prakse, porazdeljene med pravno službo, varnost, poslovne enote in nabavo. Ali evidenca dejavnosti obdelave odraža dejansko stanje ali stanje, prijavljeno pred tremi leti? Ali so ocene učinka sprožene na podlagi zapisanega merila ali intuicije pooblaščene osebe za varstvo podatkov? Ali so zahteve za uveljavljanje pravic posameznikov sledljive od začetka do konca, z izmerjenim rokom? Ali se klavzule o obdelavi preverjajo po podpisu ali se zgolj arhivirajo?
Pogosto se pojavlja zmeda: ISO 27701 ni certifikat GDPR. Ne izreka skladnosti z uredbo. Potrjuje, da sistem upravljanja zasebnosti obstaja in deluje. Objavljena korespondenca med ukrepi standarda in členi GDPR ostaja okvirna, certificirani obseg pa je lahko ožji od dejanskega obsega obdelave v organizaciji. Revizija standarda, ki ga ločuje od ISO 27001 in ga oblikuje v samostojno besedilo zahtev, še povečuje potrebo po jasnosti glede tega, kaj je dejansko zajeto.
Diagnostika zrelosti postavlja drugačno vprašanje kot presoja skladnosti. Presoja se zaključi z ugotovitvijo skladno ali neskladno, glede na posamezno zahtevo, na določen dan. Diagnostika umesti vsako prakso na postopno lestvico, po posameznem tematskem področju, in pokaže ukrep, ki omogoča prehod na naslednjo stopnjo. Rezultat ni mnenje, temveč ovrednotena trajektorija, primerljiva med poslovnimi enotami in skozi čas.
V Datamensiu je referenčni okvir pripravljen za takojšnjo uporabo. Lahko ga tudi prilagodite: UI prilagodi tematska področja, vprašanja in stopnje glede na vašo panogo in vlogo, upravljavec ali obdelovalec, ali pa na podlagi vaše politike varstva podatkov, evidence dejavnosti obdelave in obstoječih postopkov pripravi prilagojeno različico.
Referenčni standard: ISO/IEC 27701:2019 (revizija ISO/IEC 27701:2025)
Ocenjevana tematska področja
Upravljanje PIMS
Politika varstva zasebnosti, imenovanje in položaj pooblaščene osebe za varstvo podatkov, vloge in odgovornosti, dodeljeni viri, povezava z obstoječim SUIV.
Obseg in vloge obdelave
Opredelitev vloge upravljavca, skupnega upravljavca ali obdelovalca, obseg sistema, kontekst in deležniki, razširjena izjava o uporabnosti.
Evidenca in kartiranje dejavnosti obdelave
Popolnost evidence, nameni, pravne podlage, kategorije podatkov in posameznikov, roki hrambe, pogostost posodabljanja.
Ocene učinka in zasebnost že v zasnovi
Merila za sprožitev ocene učinka, metoda analize, vključitev zahtev v projekte in nabavo, minimizacija in psevdonimizacija že od zasnove naprej.
Privolitev in obveščanje posameznikov
Pridobivanje in dokazovanje privolitve, preklic, obvestila, preglednost glede namenov in prejemnikov, posebni primeri mladoletnikov in občutljivih podatkov.
Pravice posameznikov
Postopek sprejema in avtentikacije zahtev, dostop, popravek, izbris, prenosljivost, ugovor, sledljivost in spremljanje rokov odgovora.
Obdelava in veriga obdelave
Izbor in ocenjevanje obdelovalcev, pogodbe in dokumentirana navodila, nadaljnja obdelava, presoje in pridobljena dokazila, reverzibilnost.
Prenosi izven Evropske unije
Opredelitev tokov podatkov, izbrani mehanizmi prenosa, ocene učinka prenosov, dejanska lokacija podatkov in oddaljenega dostopa.
Varnost osebnih podatkov
Tehnični in organizacijski ukrepi, povezani z obdelavo, upravljanje dostopov, šifriranje, beleženje dogodkov, ločevanje okolij.
Kršitve varstva podatkov in incidenti
Zaznava in opredelitev, postopek obveščanja nadzornega organa in posameznikov, roki, evidenca kršitev, pridobljene izkušnje.
Hramba, arhiviranje in izbris
Dejansko upoštevanje rokov hrambe, avtomatizirano brisanje, vmesno arhiviranje, izbris pri obdelovalcih, dokazila o uničenju.
Ozaveščanje in kultura
Usposabljanje izpostavljenih skupin, vključitev v uvajalne programe, notranje komuniciranje, prevzem odgovornosti s strani poslovnih enot, ne le pravne službe.
Spremljanje, presoja in izboljševanje
Kazalniki vodenja, notranje presoje PIMS, vodstveni pregled, obravnava neskladnosti, primerjava skozi čas.
Krajša različica referenčnega okvira obsega 40 vprašanj in je na voljo za spletno samoocenjevanje. Celotna različica obsega 13 tematskih področij in 144 vprašanj.
Pogosta vprašanja
Ali ISO 27701 pomeni certifikat GDPR?
Ne. Standard potrjuje, da sistem upravljanja informacij o zasebnosti obstaja in deluje na opredeljenem obsegu. Ne izreka skladnosti z uredbo, kar je v pristojnosti nadzornih organov. Datamensio izmeri vašo zrelost in pripravi na presojo, ne nadomešča pa certifikacijskega organa.
Ali je treba biti predhodno certificiran po ISO 27001?
V različici iz leta 2019 se razširitev ISO 27701 opira na obstoječo certifikacijo ISO 27001 ali na certifikacijo, izvedeno hkrati. Revizija standarda to točko spreminja v smeri samostojnega besedila zahtev. Diagnostika pokriva oba primera in opozori na ukrepe, ki temeljijo na sistemu upravljanja informacijske varnosti.
Kakšna je razlika med to diagnostiko in presojo skladnosti?
Presoja preverja prisotnost zahtev in se zaključi z ugotovitvijo vrzeli ali skladnosti. Diagnostika umesti vsako prakso na lestvico zrelosti in pokaže ukrep za prehod na naslednjo stopnjo. Oba pristopa se dopolnjujeta: diagnostika pripravi, presoja potrdi.
Koliko časa traja ocenjevanje?
Kratka različica se izpolni v 20 do 30 minutah. Celovita različica, v sodelovalnem načinu, vključuje pooblaščeno osebo za varstvo podatkov, varnost, pravno službo in nabavo: večina časa gre za zbiranje podatkov pri teh sodelavcih. Vsako vprašanje je mogoče dodeliti ustrezni osebi.
Ali je referenčni okvir mogoče prilagoditi naši vlogi in panogi?
Da. Vprašanja, stopnje in tematska področja so spremenljiva, ločite pa lahko tudi ukrepe, specifične za upravljavca ali obdelovalca. UI pripravi prilagojeno različico na podlagi vaših lastnih dokumentov: politike, evidence, postopkov. Nadzor nad referenčnim okvirom ostaja v vaših rokah.
Kako primerjati več subjektov skupine?
Isti referenčni okvir se razdeli vsaki poslovni enoti, z oceno po tematskem področju in skupnim ciljem. Primerjalna analiza postavi subjekte drug ob drugega in vsakega ob njegove prejšnje ocene. Skupni načrt poti konsolidira akcijske načrte, brez podvajanja skupnih projektov.
Kako je akcijski načrt ovrednoten?
Vrzel med oceno in ciljem ustvari ukrepe. UI jih združi v prioritiziran načrt poti, katalog storitev pa za vsak element ponudi rešitev, s stroškom, rokom in pričakovanim vplivom na oceno. Odločate se na podlagi primerljivih elementov.
Kje so podatki gostovani?
V Franciji, pri ponudniku OVH, z varnostno kopijo pri ponudniku Scaleway. Brez prenosa izven Evropske unije. Uporabljene modele UI je mogoče izbrati, tudi med evropskimi rešitvami.