ISO 27701:2025: důkazy PIMS pro audity GDPR

Je čtvrtek 08:40 a Ava, manažerka compliance ve společnosti FinScale, právě otevřela e-mail, který dříve či později obdrží každá rychle rostoucí B2B SaaS společnost.

Významný německý podnikový zákazník zaslal dotazník náležité péče podle GDPR s lhůtou 48 hodin. Nežádá zásady ochrany osobních údajů. Nestačí mu certifikát. Požaduje důkazy.

Předložte záznamy o činnostech zpracování pro naše data. Ukažte důkazy o náležité péči při onboardingu dílčích zpracovatelů. Vysvětlete, jak dokládáte své povinnosti podle GDPR Article 28. Určete, zda vaše platforma u každého pracovního postupu vystupuje jako správce PII, zpracovatel, společný správce nebo dílčí zpracovatel. Prokažte, že u vaší funkce podpory využívající AI byl ověřen právní základ. Ukažte povinnosti výmazu, práva na audit, podporu při incidentech a smluvní opatření.

Ava ví, že FinScale potřebné podklady má. Právní oddělení má smlouvu o zpracování osobních údajů. Bezpečnost má Prohlášení o použitelnosti podle ISO/IEC 27001:2022. Produktový tým má kontrolní seznamy pro uvedení do provozu. Nákup má smlouvy s dodavateli. Tým compliance má registr zpracování, i když některé záznamy jsou zastaralé. Problém není v tom, že by důkazy neexistovaly. Problém je v tom, že jsou roztříštěné, role nejsou jednoznačně určeny a nikdo nedokáže rychle vysledovat činnost zpracování od účelu přes právní základ, rozhodnutí o riziku, dodavatelské opatření, bezpečnostní opatření a auditní záznam až po přezkoumání vedením.

To je skutečná mezera v odpovědnosti.

ISO 27701:2025 získává význam tehdy, když tuto mezeru uzavírá. Systém řízení informací o soukromí, tedy PIMS, není jen složka politik pro certifikaci ochrany soukromí. Je to provozní model pro vytváření spolehlivých důkazů. Pro CISO, manažery compliance, vedoucí pro ochranu soukromí, auditory a vlastníky obchodních oblastí je cíl jednoduchý: vybudovat PIMS, který prokazuje odpovědnost podle GDPR pro správce a zpracovatele PII a zároveň podporuje očekávání ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 2019.

Odpovědnost podle GDPR je problém důkazů

Odpovědnost podle GDPR se často chybně chápe jako požadavek na dokumentaci. Ve skutečnosti je náročnější.

GDPR Article 5 definuje základní zásady zpracování osobních údajů, včetně zákonnosti, korektnosti, transparentnosti, omezení účelu, minimalizace údajů, přesnosti, omezení uložení, integrity a důvěrnosti. Article 5(2) ukládá správci odpovědnost za schopnost prokázat soulad. Article 4 definuje pojmy osobní údaje, zpracování, správce, zpracovatel, pseudonymizace a porušení zabezpečení osobních údajů. Article 6 vyžaduje právní základ pro každou činnost zpracování, u níž organizace vystupuje jako správce. Article 9 přidává přísnější podmínky pro zvláštní kategorie osobních údajů. Article 28 upravuje povinnosti zpracovatele a smluvní podmínky.

Tyto povinnosti nelze splnit pouze veřejným oznámením o ochraně osobních údajů. Vyžadují důkazy na úrovni činnosti zpracování.

Praktický model důkazů PIMS podle ISO 27701:2025 musí odpovědět na tyto otázky:

• Jaké PII se zpracovávají?
• Proč se zpracovávají?
• Vystupuje organizace jako správce, zpracovatel, společný správce nebo dílčí zpracovatel?
• Jaký právní základ se použije, pokud organizace vystupuje jako správce?
• Jaký dokumentovaný pokyn se použije, pokud organizace vystupuje jako zpracovatel?
• Které systémy, dodavatelé, dílčí zpracovatelé a lokality jsou zapojeny?
• Jaké předběžné posouzení rizik pro soukromí nebo rozhodnutí o DPIA bylo provedeno?
• Která bezpečnostní opatření chrání PII?
• Jaké důkazy prokazují, že opatření funguje?
• Kdo schválil zbytkové riziko, výjimky a nápravná opatření?

Přístup Clarysec převádí tyto otázky do povinností vyplývajících z politik, registrů a dohledatelných důkazních objektů. Výsledkem je PIMS, který obstojí při zákaznické náležité péči, přezkumu dozorovým úřadem, interním auditu, auditu ISO, posouzení podle DORA i kontrole ze strany vedení.

Začněte vyjasněním rolí: správce, zpracovatel nebo obojí

Nejrychlejší způsob, jak neuspět při auditu PIMS, je nakládat se všemi činnostmi zpracování stejně.

Podle GDPR správce určuje účely a prostředky zpracování. Zpracovatel zpracovává osobní údaje jménem správce. Mnoho SaaS a technologických společností dělá obojí. FinScale je zpracovatelem, když hostuje data koncových uživatelů zákazníků podle pokynů zákazníků. Je správcem u záznamů o zaměstnancích, marketingových leadů, fakturačních kontaktů, náborových údajů a některé produktové analytiky.

Toto rozlišení určuje požadavky na důkazy.

Politika systému řízení informací o soukromí od Clarysec stanoví klasifikaci rolí jako provozní požadavek:

[Obě role] Vlastník procesu / vlastník obchodní oblasti MUSÍ před zahájením činnosti zpracování klasifikovat roli organizace v PIMS pro každou činnost zpracování PII v REG02.

Tato jediná povinnost mění provozní model ochrany soukromí. Právní přezkum už není dodatečný krok při spuštění. Každý vlastník procesu musí roli v PIMS klasifikovat ještě před zahájením zpracování. Tato klasifikace určuje navazující řetězec důkazů.

U činností správce vyžaduje Politika evidence zpracování PII a právního základu od Clarysec ověření právního základu:

[Správce] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ ověřit právní základ zaznamenaný v REG02 před zahájením zpracování v roli správce a před účinností jakékoli změny účelu.

Ze sekce „Záznamy o účelu správce a právním základu“, ustanovení politiky 4.2.2.

U činností zpracovatele se důkazní zaměření přesouvá na dokumentované pokyny, smluvní opatření, správu dílčích zpracovatelů, bezpečnostní opatření, povinnosti součinnosti, podporu při incidentech a vrácení nebo výmaz při ukončení. Právě zde je klíčový REG08.

Politika správy zpracovatelů, dílčích zpracovatelů a třetích stran v oblasti ochrany soukromí od Clarysec vyžaduje:

[Správce] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ před schválením ověřit, že pole smluvních opatření zpracovatele v REG08 pokrývají rozsah zpracování, dobu trvání, účel, kategorie PII, kategorie subjektů PII, důvěrnost, bezpečnost, schválení dílčího zpracovatele, součinnost, audit nebo ujištění, vrácení, výmaz a ukončení.

Ze sekce „Smluvní opatření a opatření k dokumentovaným pokynům“, ustanovení politiky 4.3.2.

REG02 zakládá činnost zpracování a roli. REG04 zajišťuje předběžné posouzení rizik pro soukromí. REG08 ověřuje opatření zpracovatelů, dílčích zpracovatelů a dodavatelů. REG12 indexuje důkazy. Společně vytvářejí řetězec důkazů PIMS.

Řetězec důkazů PIMS, který auditoři očekávají

Silný PIMS nevyžaduje, aby týmy udržovaly oddělené tabulky. Definuje důkazní objekty, vlastníky, termíny, cykly přezkumu a auditní stopy.

Politika dokumentovaných informací a správy důkazů PIMS od Clarysec stanoví:

[Všichni] Vedoucí pro ochranu soukromí / manažer PIMS MUSÍ udržovat index dokumentovaných informací PIMS v REG12 před prvním zveřejněním PIMS a následně čtvrtletně.

REG12 brání tomu, aby se program ochrany soukromí změnil ve složku se zastaralými PDF. Auditorovi říká, jaké důkazy existují, kde jsou uloženy, kdo je vlastní, kdy byly naposledy přezkoumány a které činnosti zpracování, rizika, povinnosti nebo opatření podporují.

Tento řetězec důkazů přirozeně odpovídá požadavkům ISO/IEC 27001:2022 na kontext, zainteresované strany, plánování rizik, operativní řízení, dokumentované informace, hodnocení výkonnosti, interní audit, přezkoumání vedením a neustálé zlepšování. Navazuje také na opatření ISO/IEC 27002:2022, jako jsou 5.2 Role a odpovědnosti v oblasti bezpečnosti informací, 5.20 Bezpečnost informací ve vztazích s dodavateli, 5.21 Řízení bezpečnosti informací v dodavatelském řetězci ICT, 5.34 Ochrana soukromí a ochrana PII a 8.10 Výmaz informací.

Důkazy správce a zpracovatele nejsou stejné

Německý zákazník Avy se neptá jen na to, zda má FinScale politiky ochrany soukromí. Zákazník chce důkaz, že FinScale rozumí své roli u každého toku dat.

Když FinScale vystupuje jako správce, musí odůvodnit, proč data zpracovává. Například zpracování mzdových údajů zaměstnanců se může opírat o nezbytnost pro plnění smlouvy a právní povinnost. Marketing se může opírat o souhlas nebo oprávněné zájmy podle kontextu a jurisdikce. Nábor může vyžadovat omezení uchovávání, transparentnost a řízení přístupu. Důkazem není jen zvolený právní základ. Je jím ověřený záznam, oznámení, pravidlo uchovávání, postup pro uplatnění práv a rozhodnutí o riziku.

Když FinScale vystupuje jako zpracovatel, musí prokázat, že jedná podle dokumentovaných pokynů zákazníka. Důkazy zahrnují DPA, konfiguraci produktu, systémové logy, bezpečnostní opatření, schválení dílčích zpracovatelů, postupy součinnosti, proces podpory při porušení zabezpečení, práva na audit a důkazy o výmazu nebo vrácení.

P17 Politika ochrany údajů a soukromí od Clarysec zdůrazňuje, že ochrana soukromí musí být začleněna do ISMS:

Organizace musí udržovat formální rámec správy a řízení ochrany soukromí integrovaný do systému řízení bezpečnosti informací (ISMS), aby prosazovala tuto politiku.

Ze sekce „Požadavky na správu a řízení“, ustanovení politiky 5.1.

SME verze, Politika ochrany údajů a soukromí-sme, zachovává stejnou důkazní disciplínu:

Koordinátor ochrany soukromí musí vést registr všech činností zpracování osobních údajů, včetně kategorií údajů, účelu, právního základu a dob uchovávání.

Vyžaduje také:

Právní základ (např. souhlas, smlouva, právní povinnost) musí být dokumentován v registru zpracování.

U podnikových programů přidává P17 Politika ochrany údajů a soukromí vlastnictví:

Právní oddělení musí vést a aktualizovat Registr právních základů.

Praktický průchod: spuštění produktové analytiky

Představme si funkci produktové analytiky, která sleduje navigaci uživatelů, využívání funkcí, metadata relací, ID organizace, uživatelskou roli a informace o zařízení. Produktový tým chce přehled o používání. Obchod chce metriky adopce. Customer success chce signály odchodu zákazníků. Právní oddělení se ptá, zda je FinScale správce nebo zpracovatel. Bezpečnost se ptá, zda logy obsahují osobní údaje. Nákup upozorňuje, že dodavatel analytiky využívá dílčí zpracovatele.

Silný PIMS z toho vytváří opakovatelný pracovní postup.

1. Vytvořte nebo aktualizujte REG02 před zahájením zpracování

Vlastník obchodní oblasti zaznamená činnost do REG02. Záznam musí obsahovat účel, kategorie PII, kategorie subjektů PII, systémy, dobu uchovávání, předávání, bezpečnostní opatření, klasifikaci role a právní základ nebo dokumentovaný pokyn.

Pokud se analytika používá pro vlastní účely zlepšování produktu FinScale, může být FinScale u této činnosti správcem. Pokud se analytika provádí pouze podle zákazníkem konfigurovaných nastavení jménem zákazníka, může být FinScale zpracovatelem. V mnoha SaaS prostředích mohou u jedné funkce existovat obě role podle toku dat a účelu.

2. Ověřte právní základ nebo dokumentovaný pokyn

Pokud je FinScale správcem, vedoucí pro ochranu soukromí nebo právní oddělení ověří právní základ v REG02 před zahájením zpracování. Pokud jsou zapojeny zvláštní kategorie osobních údajů, tým musí určit také příslušnou podmínku podle GDPR Article 9 a dodatečná ochranná opatření.

Pokud je FinScale zpracovatelem, důkazy musí odkazovat na dokumentovaný pokyn zákazníka. Otázka zní: kde je pokyn, jaké zpracování je povoleno a jak FinScale prokáže, že se pokynem řídil?

3. Spusťte předběžné posouzení rizik pro soukromí v REG04

Politika posouzení rizik pro soukromí a DPIA od Clarysec vyžaduje:

[Obě role] Vlastník procesu / vlastník obchodní oblasti MUSÍ zahájit předběžné posouzení rizik pro soukromí v REG04 před zahájením nového nebo významně změněného zpracování PII zaznamenaného v REG02.

Ze sekce „Předběžné posouzení rizik pro soukromí“, ustanovení politiky 4.1.1.

Posouzení musí vyhodnotit citlivost, rozsah, dopady monitorování, očekávání subjektů údajů, profilování, automatizovaná rozhodnutí, přeshraniční předávání údajů, přístup dodavatele, uchovávání a účinnost opatření. Pokud je riziko zvýšené, PIMS musí spustit DPIA a zaznamenat rozhodnutí.

4. Aktualizujte REG08 pro dodavatele a dílčí zpracovatele

Pokud poskytovatel analytiky třetí strany obdrží PII, nákup, právní oddělení a ochrana soukromí aktualizují REG08. Smluvní pole musí pokrývat rozsah, dobu trvání, účel, kategorie PII, důvěrnost, bezpečnost, schválení dílčího zpracovatele, součinnost, audit nebo ujištění, vrácení, výmaz a ukončení.

Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran-sme tuto provozní disciplínu podporuje požadavkem na:

Ověření postupů nakládání s daty nebo souladu v oblasti ochrany osobních údajů, pokud jsou zapojeny osobně identifikovatelné údaje (PII).

P17 Politika ochrany údajů a soukromí také vyžaduje:

Týmy nákupu, právního oddělení a compliance musí ověřit soulad s Article 28 GDPR a vyžadovat každoroční opětovné posouzení všech vysoce rizikových dodavatelů.

5. Indexujte důkazy v REG12

Nakonec manažer PIMS aktualizuje REG12 o odkazy na REG02, ověření právního základu, dokumentovaný pokyn, předběžné posouzení REG04, DPIA, pokud je vyžadována, záznam dodavatele v REG08, DPA, bezpečnostní přezkum, rozhodnutí o uchovávání, schválení produktu a důkazy o monitorování.

Právě tím se ochrana soukromí již od návrhu mění v důkaz připravený pro audit.

Využití Zenith Blueprint k vybudování dohledatelnosti

Vědět, jaké důkazy shromažďovat, je jen polovina výzvy. Složitější je vybudovat systém, který je spolehlivě vytváří.

Zenith Blueprint: plán auditora v 30 krocích rámuje tuto oblast ve fázi Základy a vedení ISMS, krok 2: Potřeby zainteresovaných stran a rozsah ISMS. Příručka ukazuje, jak se očekávání zainteresovaných stran převádějí na plánovaná opatření:

Zákazníci
(B2B SaaS)
Důvěrnost dat, dostupnost podle
SLA, oznámení porušení zabezpečení do
24 h
Implementujte řízení přístupu, šifrování;
plán reakce na incidenty obsahuje
oznamovací postupy.

Obsahuje také:

Akční bod 4.2: Sestavte seznam všech významných zainteresovaných stran a zaznamenejte jejich požadavky související s bezpečností informací.

Pro ISO 27701:2025 rozšiřte tento akční bod na ochranu soukromí. Zainteresované strany zahrnují zákazníky, subjekty údajů, regulační orgány, zpracovatele, dílčí zpracovatele, zaměstnance, produktové týmy, interní audit, vedení, klienty z finančního sektoru a sektorové regulační orgány tam, kde se uplatní NIS2 nebo DORA.

Ve fázi řízení rizik, krok 13: Plánování ošetření rizik a Prohlášení o použitelnosti, Zenith Blueprint doporučuje dohledatelnost:

Křížově odkazujte právní předpisy: Pokud jsou určitá opatření implementována konkrétně za účelem souladu s GDPR, NIS2 nebo DORA, můžete to uvést buď v Registru rizik (jako součást odůvodnění dopadu rizika), nebo v poznámkách SoA.

Tím vzniká zlatá nit, kterou auditoři očekávají: požadavek, riziko, opatření, vlastník, důkaz, výsledek testu a opatření ke zlepšení.

Kde do modelu PIMS zapadá Zenith Controls

Zenith Controls: průvodce souladem napříč rámci od Clarysec pomáhá týmům vyhnout se duplicitním programům souladu tím, že mapuje témata opatření ISO/IEC 27001:2022 a ISO/IEC 27002:2022 na jiné normy, auditní očekávání a důkazní vzorce.

Pro důkazy PIMS podle ISO 27701:2025 jsou zvlášť důležitá čtyři opatření ISO/IEC 27002:2022:

• 5.2 Role a odpovědnosti v oblasti bezpečnosti informací
• 5.20 Bezpečnost informací ve vztazích s dodavateli
• 5.21 Řízení bezpečnosti informací v dodavatelském řetězci ICT
• 5.34 Ochrana soukromí a ochrana PII

Opatření 5.2 podporuje vyjasnění rolí. PIMS potřebuje definovanou odpovědnost pro manažera PIMS, vedoucího pro ochranu soukromí, vlastníka procesu, vlastníka obchodní oblasti, právní oddělení, nákup, bezpečnost, interní audit a vrcholové vedení.

Opatření 5.34 podporuje základní povinnost ochrany soukromí. Zenith Blueprint, fáze Opatření v praxi, krok 23, vysvětluje auditní očekávání:

Z pohledu auditu je toto opatření stále více v centru pozornosti. Auditoři, regulační orgány i zákazníci chtějí vidět:

✓ kde se PII nacházejí,
✓ jaký právní základ řídí jejich zpracování,
✓ jak je omezen přístup,
✓ jak jsou hlášeny incidenty,
✓ a jak organizace respektuje práva a udržuje transparentnost.

Zenith Blueprint pokračuje:

Opatření 5.34 není jen zaškrtávací políčko. Je to prohlášení o etické správě svěřených údajů.

Opatření 5.20 a 5.21 propojují důkazy PIMS se správou dodavatelů a dodavatelského řetězce ICT. Zenith Blueprint, fáze Opatření v praxi, krok 23, uvádí témata smluv s dodavateli:

Klíčové oblasti obvykle řešené ve smlouvách s dodavateli zahrnují:

✓ povinnosti zachování důvěrnosti, včetně rozsahu, doby trvání a omezení zpřístupnění třetím stranám;
✓ odpovědnosti za řízení přístupu, například kdo může přistupovat k vašim datům, jak jsou spravovány přihlašovací údaje a jaké monitorování je zavedeno;
✓ technická a organizační opatření pro ochranu údajů, šifrování, bezpečný přenos, zálohování a závazky dostupnosti;
✓ lhůty a protokoly pro hlášení incidentů, často s definovanými časovými rámci (např. „oznámit do 24 hodin“);
✓ právo na audit, včetně četnosti, rozsahu a přístupu k relevantním důkazům (např. zprávy z penetračního testování, SoA, certifikace);
✓ opatření pro subdodavatele, která vyžadují, aby dodavatel přenesl rovnocenné bezpečnostní povinnosti na své navazující partnery;
✓ ustanovení při ukončení smlouvy, jako je vrácení nebo zničení dat, obnova aktiv a deaktivace účtů.

To je most mezi odpovědností podle GDPR a důkazy ISMS.

Mapování důkazů PIMS napříč GDPR, NIS2, DORA, NIST a COBIT 2019

Důkazy v oblasti soukromí zřídka slouží pouze jednomu rámci. Dobře navržený důkazní objekt PIMS může odpovědět na několik auditních otázek.

GDPR ukotvuje odpovědnost za ochranu soukromí prostřednictvím právního základu, vyjasnění rolí, smluv se zpracovateli, práv, zvládání porušení zabezpečení a prokazatelného souladu.

NIS2 je relevantní pro základní a důležité subjekty, včetně některých poskytovatelů cloudových služeb, poskytovatelů řízených služeb, poskytovatelů řízených bezpečnostních služeb, poskytovatelů datových center a organizací digitální infrastruktury. NIS2 Article 20 ukládá vedoucím orgánům odpovědnost za správu a řízení kybernetické bezpečnosti. Article 21 vyžaduje vhodná technická, provozní a organizační opatření, včetně analýzy rizik, zvládání incidentů, kontinuity činností, zabezpečení dodavatelského řetězce, bezpečného vývoje, posouzení účinnosti, školení, kryptografie, personální bezpečnosti, řízení přístupu, správy aktiv a MFA nebo průběžné autentizace tam, kde je to vhodné. Article 23 zavádí očekávání pro hlášení významných incidentů, včetně včasného varování do 24 hodin a oznámení incidentu do 72 hodin.

DORA je relevantní pro finanční subjekty a poskytovatele služeb třetích stran v oblasti ICT ve finančních ekosystémech. DORA Articles 5 a 6 vyžadují řízení rizik v oblasti ICT, politiky, strategii, testování a průběžné zlepšování. Articles 17 až 19 pokrývají detekci, klasifikaci, eskalaci, hlášení, analýzu kořenové příčiny a získané poznatky u incidentů v oblasti ICT. Articles 28 až 30 vyžadují strategii rizik třetích stran v oblasti ICT, registry, náležitou péči, smluvní ustanovení, práva na audit, součinnost při incidentech, ochranu údajů, plánování ukončení spolupráce a přezkum rizika koncentrace.

NIST CSF 2.0 poskytuje jazyk správy a řízení a rizik prostřednictvím funkcí GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND a RECOVER. COBIT 2019 přidává cíle správy a řízení, manažerské postupy, vlastnictví, metriky, ujištění a procesní způsobilost.

Výhoda pro compliance je zřejmá. Jeden řízený řetězec důkazů PIMS může podporovat GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 i zákaznickou náležitou péči.

Jak budou auditoři testovat váš PIMS

Audit PIMS není přezkum dokumentů. Je to ověření dohledatelnosti důkazů.

P33 Politika monitorování auditu a souladu od Clarysec podporuje auditní model:

Organizace musí vést Registr auditů obsahující:

SME ekvivalent, Politika monitorování auditu a souladu-sme, přidává důležitý požadavek na kvalitu důkazů:

Metadata (např. kdo je shromáždil, kdy a z jakého systému) musí být dokumentována.

Tento požadavek na metadata je malý, ale zásadní. Snímky obrazovky bez zdroje, data, osoby, která je shromáždila, a systémového kontextu jsou slabým důkazem. Řízené auditní důkazy prokazují autenticitu, aktuálnost a dohledatelnost.

Jak vypadají kvalitní důkazy PIMS

Předpokládejme, že auditor vybere jednu činnost: analýzu tiketů zákaznické podpory.

Slabá odpověď zní: „Máme zásady ochrany soukromí a naše DPA to pokrývá.“

Silná odpověď PIMS zní:

1. REG02 identifikuje činnost, systémy, kategorie PII, subjekty PII, účel, klasifikaci role, uchovávání, předávání, bezpečnostní opatření a vlastníka.
2. Klasifikace role ukazuje, zda je organizace správcem, zpracovatelem nebo obojím u konkrétních částí pracovního postupu.
3. Pokud je správcem, právní základ je ověřen a zaznamenán v Registru právních základů.
4. Pokud je zpracovatelem, je propojen pokyn zákazníka a ustanovení DPA.
5. REG04 dokládá předběžné posouzení rizik pro soukromí před spuštěním nebo významnou změnou.
6. REG08 identifikuje ticketovací platformu, dodavatele AI sumarizace, dílčí zpracovatele, smluvní opatření, práva na audit, bezpečnostní ujištění, podmínky výmazu a součinnost při incidentech.
7. Důkazy o řízení přístupu ukazují, že přístup pracovníků podpory je založený na rolích a je přezkoumáván.
8. Důkazy o protokolování a monitorování ukazují, že přístup k tiketům podpory je monitorován.
9. Důkazy o uchovávání a výmazu ukazují, že tikety jsou mazány nebo anonymizovány podle schválené doby uchovávání.
10. REG12 indexuje všechny podpůrné důkazy s vlastníkem a datem přezkumu.
11. Registr auditů ukazuje, zda byla činnost testována, jaká zjištění byla vznesena a zda byla nápravná opatření uzavřena.

Tak se ISO 27701:2025 stává provozním rámcem. Vytváří opakovatelný řetězec odpovědnosti.

Častá selhání důkazů PIMS

V prostředích SaaS, fintech, řízených služeb a B2B technologií se opakovaně objevují stejné mezery.

Za prvé, organizace udržují RoPA nebo registr zpracování, ale neklasifikují role správce a zpracovatele u jednotlivých činností. To vytváří nejasnosti ohledně právního základu, dokumentovaných pokynů a povinností dílčích zpracovatelů.

Za druhé, právní základ je zaznamenán jednou a není znovu ověřen při změně účelu. GDPR Article 6 vyžaduje disciplínu v oblasti účelu a právního základu. Další zpracování může vyžadovat posouzení slučitelnosti a ochranná opatření.

Za třetí, evidence dodavatelů obsahují seznam dodavatelů, ale neukazují pole smluvních opatření. Seznam dodavatelů není totéž jako správa zpracovatelů.

Za čtvrté, rozhodnutí o DPIA jsou neformální. Týmy říkají „není to vysoké riziko“, ale nedokážou doložit kritéria předběžného posouzení, schvalovatele, datum ani důkazy.

Za páté, auditní důkazy existují, ale nejsou řízené. Snímky obrazovky postrádají metadata. Politiky jsou aktuální, ale registry jsou zastaralé. Smlouvy existují, ale opětovná posouzení při obnově se zmeškala.

Za šesté, incidentní procesy se zaměřují na kybernetické bezpečnostní události, ale jednoznačně neklasifikují porušení zabezpečení osobních údajů. Analýza porušení zabezpečení osobních údajů podle GDPR, hlášení významných incidentů podle NIS2 a hlášení incidentů ICT podle DORA musí být koordinovány, nikoli duplikovány.

Clarysec tato selhání řeší tím, že s důkazy PIMS nakládá jako s řízeným systémem řízení, nikoli jako s improvizací na poslední chvíli před auditem.

Kontrolní seznam připravenosti důkazů PIMS podle ISO 27701:2025

Použijte tento kontrolní seznam pro příští interní posouzení připravenosti.

• Definujte rozsah PIMS a zainteresované strany, včetně zákazníků, regulačních orgánů, subjektů údajů, dodavatelů, interního auditu a vedení.
• Přiřaďte role a odpovědnosti PIMS, včetně manažera PIMS, vedoucího pro ochranu soukromí, vlastníka procesu, právního oddělení, nákupu, bezpečnosti a interního auditu.
• Vytvořte záznamy REG02 pro každou činnost zpracování PII.
• U každé činnosti klasifikujte roli správce, zpracovatele, společného správce nebo dílčího zpracovatele.
• Ověřte právní základ pro zpracování v roli správce před zahájením zpracování a před změnou účelu.
• Zaznamenejte dokumentované pokyny pro činnosti zpracovatele.
• Spusťte předběžné posouzení rizik pro soukromí v REG04 před novým nebo významně změněným zpracováním.
• Dokončete DPIA tam, kde předběžné posouzení rizik ukáže zvýšené riziko pro soukromí.
• Udržujte REG08 pro zpracovatele, dílčí zpracovatele, dodavatele ICT a dodavatele relevantní z hlediska ochrany soukromí.
• Ověřte smluvní pole pro rozsah, dobu trvání, účel, kategorie PII, důvěrnost, bezpečnost, součinnost, práva na audit, vrácení, výmaz a ukončení.
• Udržujte REG12 jako index dokumentovaných informací PIMS.
• Mapujte důkazy PIMS na ošetření rizik podle ISO/IEC 27001:2022 a poznámky SoA.
• Křížově odkazujte povinnosti podle GDPR, NIS2, DORA, NIST CSF 2.0 a COBIT 2019 tam, kde je to relevantní.
• Provádějte každoroční interní audity souladu v oblasti ochrany soukromí a aktualizujte Registr auditů.
• Čtvrtletně přezkoumávejte otevřená zjištění, nápravná opatření, rozhodnutí o rizicích a reportování vedení.

P17 Politika ochrany údajů a soukromí posiluje auditní cyklus:

Interní audit souladu v oblasti ochrany soukromí musí být prováděn každoročně nebo při významných organizačních či regulačních změnách. Rozsah auditu musí zahrnovat:

Sdělení je jednoduché. Soulad v oblasti ochrany soukromí se monitoruje, nepředpokládá.

Vybudujte svůj model důkazů PIMS s Clarysec

ISO 27701:2025 má největší hodnotu tehdy, když je integrována s ISO/IEC 27001:2022 a navržena tak, aby důkazy vznikaly ve výchozím nastavení. Tak se ochrana soukromí stává obhajitelným provozním modelem, nikoli certifikačním projektem.

Když zákazník požádá o ujištění v oblasti ochrany soukromí, můžete ukázat důkazy. Když se regulační orgán zeptá, proč jste zpracovávali data, můžete ukázat roli, účel, právní základ, ochranná opatření a schválení. Když se auditor zeptá, jak řídíte dílčí zpracovatele, můžete ukázat REG08, smluvní opatření, opětovná posouzení a práva na audit. Když se správní rada zeptá, zda je riziko pro soukromí pod kontrolou, můžete ukázat metriky, otevřená opatření, výsledky auditů a přezkoumání vedením.

Pokud je váš PIMS stále silný v politikách a slabý v důkazech, začněte řetězcem, který budou auditoři sledovat:

REG02 evidence zpracování, REG04 předběžné posouzení rizik pro soukromí, REG08 správa zpracovatelů a dílčích zpracovatelů, REG12 index důkazů, Registr právních základů, Registr auditů a mapování SoA.

Clarysec vám může pomoci tento řetězec převést do provozu prostřednictvím:

• Zenith Blueprint: plán auditora v 30 krocích, zejména kroku 2 pro požadavky zainteresovaných stran, kroku 13 pro ošetření rizik a dohledatelnost SoA a kroku 23 pro opatření v oblasti ochrany soukromí, dodavatelů a organizace.
• Zenith Controls: průvodce souladem napříč rámci, s využitím opatření ISO/IEC 27002:2022 5.2, 5.20, 5.21 a 5.34 jako praktických kotev odpovědnosti za ochranu soukromí.
• Sada politik Clarysec pro PIMS podle ISO 27701, včetně Politika systému řízení informací o soukromí, Politika evidence zpracování PII a právního základu, Politika posouzení rizik pro soukromí a DPIA, Politika správy zpracovatelů, dílčích zpracovatelů a třetích stran v oblasti ochrany soukromí a Politika dokumentovaných informací a správy důkazů PIMS.
• Podpora pro enterprise a SME prostřednictvím P17 Politika ochrany údajů a soukromí, Politika ochrany údajů a soukromí-sme, Bezpečnostní politika pro dodavatele a poskytovatele služeb třetích stran-sme, P33 Politika monitorování auditu a souladu a Politika monitorování auditu a souladu-sme.

Váš další krok je jednoduchý: vyberte jednu vysoce rizikovou činnost zpracování PII a projděte řetězec důkazů od REG02 po REG12. Pokud se řetězec přeruší, je to váš první projekt zlepšení. Pokud obstojí, rozšiřte model napříč celou evidencí zpracování.

Tak se ISO 27701:2025 stává něčím víc než certifikátem. Stává se důkazem odpovědnosti podle GDPR.