Τεκμήρια PIMS ISO 27701:2025 για ελέγχους GDPR

Είναι 08:40 μια Πέμπτη και η Ava, Υπεύθυνη Συμμόρφωσης στη FinScale, μόλις άνοιξε το email που τελικά λαμβάνει κάθε ταχέως αναπτυσσόμενη εταιρεία B2B SaaS.

Ένας μεγάλος Γερμανός εταιρικός πελάτης έχει στείλει ερωτηματολόγιο δέουσας επιμέλειας GDPR με προθεσμία 48 ωρών. Δεν ζητά πολιτική ιδιωτικότητας. Δεν αρκείται σε ένα πιστοποιητικό. Ζητά τεκμήρια.

Παράσχετε το Αρχείο Δραστηριοτήτων Επεξεργασίας για τα δεδομένα μας. Δείξτε τεκμήρια δέουσας επιμέλειας κατά την ένταξη υπεργολάβων επεξεργασίας. Εξηγήστε πώς τεκμηριώνετε τις υποχρεώσεις σας βάσει του GDPR Article 28. Προσδιορίστε αν η πλατφόρμα σας ενεργεί ως υπεύθυνος επεξεργασίας δεδομένων προσωπικού χαρακτήρα, εκτελών την επεξεργασία, από κοινού υπεύθυνος επεξεργασίας ή υπεργολάβος επεξεργασίας για κάθε ροή εργασίας. Αποδείξτε ότι η νομική βάση επικυρώθηκε για τη λειτουργία υποστήριξης με τεχνητή νοημοσύνη. Δείξτε υποχρεώσεις διαγραφής, δικαιώματα ελέγχου, υποστήριξη περιστατικών και συμβατικούς ελέγχους.

Η Ava γνωρίζει ότι η FinScale διαθέτει τα επιμέρους στοιχεία. Το Νομικό Τμήμα έχει τη Σύμβαση Επεξεργασίας Δεδομένων. Η ομάδα ασφάλειας έχει τη Δήλωση Εφαρμοσιμότητας ISO/IEC 27001:2022. Η ομάδα προϊόντος έχει λίστες ελέγχου θέσης σε παραγωγή. Οι προμήθειες έχουν συμβάσεις προμηθευτών. Η συμμόρφωση έχει μητρώο επεξεργασίας, αν και ορισμένες καταχωρίσεις είναι παρωχημένες. Το πρόβλημα δεν είναι ότι δεν υπάρχουν τεκμήρια. Το πρόβλημα είναι ότι τα τεκμήρια είναι διάσπαρτα, η ασάφεια ρόλων παραμένει άλυτη και κανείς δεν μπορεί γρήγορα να ιχνηλατήσει μια δραστηριότητα επεξεργασίας από τον σκοπό έως τη νομική βάση, την απόφαση κινδύνου, τον έλεγχο προμηθευτή, τον έλεγχο ασφάλειας, το αρχείο ελέγχου και την ανασκόπηση της Διοίκησης.

Αυτό είναι το πραγματικό κενό λογοδοσίας.

Το ISO 27701:2025 αποκτά πραγματική αξία όταν κλείνει αυτό το κενό. Ένα Σύστημα Διαχείρισης Πληροφοριών Ιδιωτικότητας, ή PIMS, δεν είναι απλώς ένας φάκελος πολιτικών για πιστοποίηση ιδιωτικότητας. Είναι ένα λειτουργικό μοντέλο παραγωγής αξιόπιστων τεκμηρίων. Για CISOs, διευθυντές συμμόρφωσης, επικεφαλής ιδιωτικότητας, ελεγκτές και ιδιοκτήτες επιχειρησιακών διεργασιών, ο στόχος είναι απλός: δημιουργία ενός PIMS που αποδεικνύει τη λογοδοσία βάσει GDPR για υπευθύνους επεξεργασίας και εκτελούντες την επεξεργασία δεδομένων προσωπικού χαρακτήρα, ενώ παράλληλα υποστηρίζει τις προσδοκίες των ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 και COBIT 2019.

Η λογοδοσία βάσει GDPR είναι ζήτημα τεκμηρίων

Η λογοδοσία βάσει GDPR συχνά παρερμηνεύεται ως απλή απαίτηση τεκμηρίωσης. Είναι πιο απαιτητική από αυτό.

Το GDPR Article 5 ορίζει τις βασικές αρχές της επεξεργασίας δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων της νομιμότητας, της αντικειμενικότητας, της διαφάνειας, του περιορισμού του σκοπού, της ελαχιστοποίησης των δεδομένων, της ακρίβειας, του περιορισμού της περιόδου αποθήκευσης, της ακεραιότητας και της εμπιστευτικότητας. Το Article 5(2) καθιστά τον υπεύθυνο επεξεργασίας υπεύθυνο για τη δυνατότητα απόδειξης της συμμόρφωσης. Το Article 4 ορίζει την ορολογία των δεδομένων προσωπικού χαρακτήρα, της επεξεργασίας, του υπευθύνου επεξεργασίας, του εκτελούντος την επεξεργασία, της ψευδωνυμοποίησης και της παραβίασης δεδομένων προσωπικού χαρακτήρα. Το Article 6 απαιτεί νομική βάση για κάθε δραστηριότητα επεξεργασίας από υπεύθυνο επεξεργασίας. Το Article 9 προσθέτει αυστηρότερες προϋποθέσεις για ειδικές κατηγορίες δεδομένων προσωπικού χαρακτήρα. Το Article 28 διέπει τις υποχρεώσεις του εκτελούντος την επεξεργασία και τους συμβατικούς όρους.

Οι υποχρεώσεις αυτές δεν ικανοποιούνται μόνο με μια δημόσια δήλωση ιδιωτικότητας. Απαιτούν τεκμήρια σε επίπεδο δραστηριότητας επεξεργασίας.

Ένα πρακτικό μοντέλο τεκμηρίων ISO 27701:2025 PIMS πρέπει να απαντά:

• Ποια δεδομένα προσωπικού χαρακτήρα υποβάλλονται σε επεξεργασία;
• Γιατί υποβάλλονται σε επεξεργασία;
• Ενεργεί ο οργανισμός ως υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία, από κοινού υπεύθυνος επεξεργασίας ή υπεργολάβος επεξεργασίας;
• Ποια νομική βάση εφαρμόζεται όταν ο οργανισμός είναι υπεύθυνος επεξεργασίας;
• Ποια τεκμηριωμένη εντολή εφαρμόζεται όταν ο οργανισμός είναι εκτελών την επεξεργασία;
• Ποια συστήματα, ποιοι προμηθευτές, ποιοι υπεργολάβοι επεξεργασίας και ποιες τοποθεσίες εμπλέκονται;
• Ποια αξιολόγηση κινδύνου ιδιωτικότητας ή ποια απόφαση DPIA ελήφθη;
• Ποιοι έλεγχοι ασφάλειας προστατεύουν τα δεδομένα προσωπικού χαρακτήρα;
• Ποια τεκμήρια αποδεικνύουν ότι ο έλεγχος λειτούργησε;
• Ποιος ενέκρινε τον υπολειπόμενο κίνδυνο, τις εξαιρέσεις και τις διορθωτικές ενέργειες;

Η προσέγγιση της Clarysec μετατρέπει αυτές τις ερωτήσεις σε υποχρεώσεις πολιτικής, μητρώα και ιχνηλάσιμα αντικείμενα τεκμηρίων. Το αποτέλεσμα είναι ένα PIMS που αντέχει σε δέουσα επιμέλεια πελατών, ανασκόπηση από εποπτική αρχή, εσωτερικό έλεγχο, έλεγχο ISO, αξιολόγηση DORA και έλεγχο από το Διοικητικό Συμβούλιο.

Ξεκινήστε με σαφήνεια ρόλων: υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία ή και τα δύο

Ο ταχύτερος τρόπος αποτυχίας σε έλεγχο PIMS είναι η ενιαία αντιμετώπιση κάθε δραστηριότητας επεξεργασίας.

Σύμφωνα με το GDPR, ο υπεύθυνος επεξεργασίας καθορίζει τους σκοπούς και τα μέσα της επεξεργασίας. Ο εκτελών την επεξεργασία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα για λογαριασμό υπευθύνου επεξεργασίας. Πολλές εταιρείες SaaS και τεχνολογίας κάνουν και τα δύο. Η FinScale είναι εκτελών την επεξεργασία όταν φιλοξενεί δεδομένα τελικών χρηστών πελατών βάσει εντολών πελάτη. Είναι υπεύθυνος επεξεργασίας για αρχεία εργαζομένων, υποψήφιους πελάτες μάρκετινγκ, επαφές τιμολόγησης, δεδομένα προσλήψεων και ορισμένα analytics προϊόντος.

Η διάκριση αυτή καθορίζει τις απαιτήσεις τεκμηρίων.

Η Πολιτική Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας της Clarysec καθιστά την ταξινόμηση ρόλου επιχειρησιακή απαίτηση:

[Και οι δύο] Ο Ιδιοκτήτης Διεργασίας / Ιδιοκτήτης Επιχειρησιακής Λειτουργίας ΠΡΕΠΕΙ να ταξινομεί τον ρόλο PIMS του οργανισμού για κάθε δραστηριότητα επεξεργασίας δεδομένων προσωπικού χαρακτήρα στο REG02 πριν από την έναρξη της δραστηριότητας επεξεργασίας.

Αυτή η μία υποχρέωση αλλάζει το λειτουργικό μοντέλο ιδιωτικότητας. Η νομική ανασκόπηση δεν αποτελεί πλέον εκ των υστέρων σκέψη κατά τη θέση σε παραγωγή. Κάθε ιδιοκτήτης διεργασίας πρέπει να ταξινομεί τον ρόλο PIMS πριν αρχίσει η επεξεργασία. Η ταξινόμηση αυτή καθορίζει την επόμενη αλυσίδα τεκμηρίων.

Για δραστηριότητες υπευθύνου επεξεργασίας, η Πολιτική Απογραφής Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα και Νομικής Βάσης της Clarysec απαιτεί επικύρωση νομικής βάσης:

[Υπεύθυνος επεξεργασίας] Ο Επικεφαλής Προστασίας Δεδομένων / Υπεύθυνος PIMS ΠΡΕΠΕΙ να επικυρώνει τη νομική βάση που έχει καταχωριστεί στο REG02 πριν από την έναρξη επεξεργασίας από υπεύθυνο επεξεργασίας και πριν τεθεί σε ισχύ οποιαδήποτε αλλαγή σκοπού.

Από την ενότητα «Αρχεία σκοπού υπευθύνου επεξεργασίας και νομικής βάσης», ρήτρα πολιτικής 4.2.2.

Για δραστηριότητες εκτελούντος την επεξεργασία, η έμφαση στα τεκμήρια μετατοπίζεται στις τεκμηριωμένες εντολές, στους συμβατικούς ελέγχους, στη διακυβέρνηση υπεργολάβων επεξεργασίας, στα μέτρα ασφάλειας, στις υποχρεώσεις συνδρομής, στην υποστήριξη περιστατικών και στην επιστροφή ή διαγραφή κατά τη λύση. Εκεί το REG08 καθίσταται κρίσιμο.

Η Πολιτική Διαχείρισης Εκτελούντων την Επεξεργασία, Υπεργολάβων Επεξεργασίας και Τρίτων Μερών για την Ιδιωτικότητα της Clarysec απαιτεί:

[Υπεύθυνος επεξεργασίας] Ο Επικεφαλής Προστασίας Δεδομένων / Υπεύθυνος PIMS ΠΡΕΠΕΙ να επαληθεύει ότι τα πεδία συμβατικών ελέγχων για εκτελούντες την επεξεργασία στο REG08 καλύπτουν το πεδίο επεξεργασίας, τη διάρκεια, τον σκοπό, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τις κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, την εμπιστευτικότητα, την ασφάλεια, την έγκριση υπεργολάβων επεξεργασίας, τη συνδρομή, τον έλεγχο ή τη διασφάλιση, την επιστροφή, τη διαγραφή και τη λύση πριν από την έγκριση.

Από την ενότητα «Συμβατικοί έλεγχοι και έλεγχοι τεκμηριωμένων εντολών», ρήτρα πολιτικής 4.3.2.

Το REG02 καθορίζει τη δραστηριότητα επεξεργασίας και τον ρόλο. Το REG04 αξιολογεί τον κίνδυνο ιδιωτικότητας. Το REG08 επικυρώνει τους ελέγχους εκτελούντων την επεξεργασία, υπεργολάβων επεξεργασίας και προμηθευτών. Το REG12 ευρετηριάζει τα τεκμήρια. Μαζί, δημιουργούν την αλυσίδα τεκμηρίων PIMS.

Η αλυσίδα τεκμηρίων PIMS που αναμένουν οι ελεγκτές

Ένα ισχυρό PIMS δεν ζητά από τις ομάδες να συντηρούν ασύνδετα υπολογιστικά φύλλα. Ορίζει αντικείμενα τεκμηρίων, ιδιοκτήτες, χρονισμό, κύκλους ανασκόπησης και διαδρομές ελέγχου.

Η Πολιτική Διαχείρισης Τεκμηριωμένων Πληροφοριών και Τεκμηρίων PIMS της Clarysec αναφέρει:

[Όλοι] Ο Επικεφαλής Προστασίας Δεδομένων / Υπεύθυνος PIMS ΠΡΕΠΕΙ να τηρεί ευρετήριο τεκμηριωμένων πληροφοριών PIMS στο REG12 πριν από την αρχική δημοσίευση του PIMS και στη συνέχεια ανά τρίμηνο.

Το REG12 αποτρέπει τη μετατροπή του προγράμματος ιδιωτικότητας σε φάκελο παρωχημένων PDF. Ενημερώνει τον ελεγκτή ποια τεκμήρια υπάρχουν, πού αποθηκεύονται, ποιος τα κατέχει, πότε ανασκοπήθηκαν τελευταία φορά και ποιες δραστηριότητες επεξεργασίας, κίνδυνοι, υποχρεώσεις ή έλεγχοι υποστηρίζονται από αυτά.

Αυτή η αλυσίδα τεκμηρίων ευθυγραμμίζεται φυσικά με τις απαιτήσεις του ISO/IEC 27001:2022 για πλαίσιο, ενδιαφερόμενα μέρη, σχεδιασμό κινδύνων, επιχειρησιακό έλεγχο, τεκμηριωμένες πληροφορίες, αξιολόγηση επιδόσεων, εσωτερικό έλεγχο, ανασκόπηση της Διοίκησης και συνεχή βελτίωση. Συνδέεται επίσης με ελέγχους του ISO/IEC 27002:2022, όπως 5.2 Information security roles and responsibilities, 5.20 Addressing information security within supplier agreements, 5.21 Managing information security in the ICT supply chain, 5.34 Privacy and protection of PII και 8.10 Information deletion.

Τα τεκμήρια υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία δεν είναι ίδια

Ο Γερμανός πελάτης της Ava δεν ρωτά μόνο αν η FinScale διαθέτει πολιτικές ιδιωτικότητας. Ο πελάτης θέλει αποδείξεις ότι η FinScale κατανοεί ποιον ρόλο έχει για κάθε ροή δεδομένων.

Όταν ενεργεί ως υπεύθυνος επεξεργασίας, η FinScale πρέπει να αιτιολογεί γιατί επεξεργάζεται δεδομένα. Για παράδειγμα, η επεξεργασία μισθοδοσίας εργαζομένων μπορεί να βασίζεται στην αναγκαιότητα εκτέλεσης σύμβασης και σε νομική υποχρέωση. Το μάρκετινγκ μπορεί να βασίζεται σε συγκατάθεση ή έννομα συμφέροντα, ανάλογα με το πλαίσιο και τη δικαιοδοσία. Η πρόσληψη μπορεί να απαιτεί όρια διατήρησης, διαφάνεια και ελέγχους πρόσβασης. Το τεκμήριο δεν είναι απλώς η επιλεγμένη νομική βάση. Είναι το επικυρωμένο αρχείο, η δήλωση ιδιωτικότητας, ο κανόνας διατήρησης, η διαδικασία δικαιωμάτων και η απόφαση κινδύνου.

Όταν ενεργεί ως εκτελών την επεξεργασία, η FinScale πρέπει να αποδεικνύει ότι ενεργεί βάσει τεκμηριωμένων εντολών πελάτη. Τα τεκμήρια περιλαμβάνουν τη DPA, τη διαμόρφωση προϊόντος, αρχεία καταγραφής συστήματος, ελέγχους ασφάλειας, εγκρίσεις υπεργολάβων επεξεργασίας, διαδικασίες συνδρομής, διαδικασία υποστήριξης παραβίασης, δικαιώματα ελέγχου και τεκμήρια διαγραφής ή επιστροφής.

Η P17 Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας της Clarysec ενισχύει ότι η ιδιωτικότητα πρέπει να ενσωματώνεται στο ISMS:

Ο οργανισμός ΠΡΕΠΕΙ να διατηρεί επίσημο Πλαίσιο Διακυβέρνησης Ιδιωτικότητας ενσωματωμένο στο Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών (ISMS), για την εφαρμογή της παρούσας πολιτικής.

Από την ενότητα «Απαιτήσεις διακυβέρνησης», ρήτρα πολιτικής 5.1.

Η έκδοση SME, Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας-sme, διατηρεί την ίδια πειθαρχία τεκμηρίων:

Ο Συντονιστής Ιδιωτικότητας ΠΡΕΠΕΙ να τηρεί μητρώο όλων των δραστηριοτήτων επεξεργασίας δεδομένων προσωπικού χαρακτήρα, συμπεριλαμβανομένων των κατηγοριών δεδομένων, του σκοπού, της νομικής βάσης και των περιόδων διατήρησης.

Απαιτεί επίσης:

Η νομική βάση (π.χ. συγκατάθεση, σύμβαση, νομική υποχρέωση) ΠΡΕΠΕΙ να τεκμηριώνεται στο μητρώο επεξεργασίας.

Για εταιρικά προγράμματα, η P17 Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας προσθέτει ιδιοκτησία:

Το Νομικό Τμήμα ΠΡΕΠΕΙ να τηρεί και να επικαιροποιεί το Μητρώο Νομικής Βάσης.

Πρακτική περιγραφή: θέση σε παραγωγή analytics προϊόντος

Εξετάστε μια λειτουργία analytics προϊόντος που παρακολουθεί την πλοήγηση χρηστών, την υιοθέτηση λειτουργιών, μεταδεδομένα συνεδριών, αναγνωριστικό οργανισμού, ρόλο χρήστη και πληροφορίες συσκευής. Η ομάδα προϊόντος θέλει πληροφορίες χρήσης. Οι πωλήσεις θέλουν δείκτες υιοθέτησης. Η επιτυχία πελατών θέλει ενδείξεις αποχώρησης. Το Νομικό Τμήμα ρωτά αν η FinScale είναι υπεύθυνος επεξεργασίας ή εκτελών την επεξεργασία. Η ασφάλεια ρωτά αν τα αρχεία καταγραφής περιέχουν δεδομένα προσωπικού χαρακτήρα. Οι προμήθειες σημειώνουν ότι ο προμηθευτής analytics χρησιμοποιεί υπεργολάβους επεξεργασίας.

Ένα ισχυρό PIMS το μετατρέπει αυτό σε επαναλαμβανόμενη ροή εργασίας.

1. Δημιουργήστε ή επικαιροποιήστε το REG02 πριν αρχίσει η επεξεργασία

Ο ιδιοκτήτης επιχειρησιακής λειτουργίας καταγράφει τη δραστηριότητα στο REG02. Η καταχώριση πρέπει να περιλαμβάνει σκοπό, κατηγορίες δεδομένων προσωπικού χαρακτήρα, κατηγορίες υποκειμένων των δεδομένων προσωπικού χαρακτήρα, συστήματα, περίοδο διατήρησης, διαβιβάσεις, μέτρα ασφάλειας, ταξινόμηση ρόλου και νομική βάση ή τεκμηριωμένη εντολή.

Αν τα analytics χρησιμοποιούνται για τους σκοπούς βελτίωσης προϊόντος της ίδιας της FinScale, η FinScale μπορεί να είναι υπεύθυνος επεξεργασίας για τη συγκεκριμένη δραστηριότητα. Αν τα analytics εκτελούνται μόνο βάσει ρυθμίσεων που διαμορφώνει ο πελάτης για λογαριασμό του πελάτη, η FinScale μπορεί να είναι εκτελών την επεξεργασία. Σε πολλά περιβάλλοντα SaaS, και οι δύο ρόλοι μπορούν να συνυπάρχουν σε μία λειτουργία, ανάλογα με τη ροή δεδομένων και τον σκοπό.

2. Επικυρώστε τη νομική βάση ή την τεκμηριωμένη εντολή

Αν η FinScale είναι υπεύθυνος επεξεργασίας, ο Επικεφαλής Προστασίας Δεδομένων ή το Νομικό Τμήμα επικυρώνει τη νομική βάση στο REG02 πριν αρχίσει η επεξεργασία. Αν εμπλέκονται δεδομένα ειδικής κατηγορίας, η ομάδα πρέπει επίσης να προσδιορίσει τη σχετική προϋπόθεση του GDPR Article 9 και τις πρόσθετες δικλίδες ασφαλείας.

Αν η FinScale είναι εκτελών την επεξεργασία, τα τεκμήρια πρέπει να παραπέμπουν στην τεκμηριωμένη εντολή του πελάτη. Το ερώτημα γίνεται: πού βρίσκεται η εντολή, ποια επεξεργασία επιτρέπεται και πώς αποδεικνύει η FinScale ότι ακολούθησε την εντολή;

3. Ενεργοποιήστε την αξιολόγηση κινδύνου ιδιωτικότητας REG04

Η Πολιτική Αξιολόγησης Κινδύνου Ιδιωτικότητας και DPIA της Clarysec απαιτεί:

[Και οι δύο] Ο Ιδιοκτήτης Διεργασίας / Ιδιοκτήτης Επιχειρησιακής Λειτουργίας ΠΡΕΠΕΙ να εκκινεί αξιολόγηση κινδύνου ιδιωτικότητας στο REG04 πριν αρχίσει νέα ή ουσιωδώς τροποποιημένη επεξεργασία δεδομένων προσωπικού χαρακτήρα που έχει καταγραφεί στο REG02.

Από την ενότητα «Αξιολόγηση κινδύνου ιδιωτικότητας», ρήτρα πολιτικής 4.1.1.

Η αξιολόγηση πρέπει να εξετάζει την ευαισθησία, την κλίμακα, τις συνέπειες παρακολούθησης, τις προσδοκίες των υποκειμένων των δεδομένων, την κατάρτιση προφίλ, τις αυτοματοποιημένες αποφάσεις, τις διασυνοριακές διαβιβάσεις, την πρόσβαση προμηθευτών, τη διατήρηση και την αποτελεσματικότητα ελέγχων. Αν ο κίνδυνος είναι αυξημένος, το PIMS πρέπει να ενεργοποιεί DPIA και να καταγράφει την απόφαση.

4. Επικαιροποιήστε το REG08 για προμηθευτές και υπεργολάβους επεξεργασίας

Αν ένας τρίτος πάροχος analytics λαμβάνει δεδομένα προσωπικού χαρακτήρα, οι προμήθειες, το Νομικό Τμήμα και η ομάδα ιδιωτικότητας επικαιροποιούν το REG08. Τα συμβατικά πεδία πρέπει να καλύπτουν πεδίο εφαρμογής, διάρκεια, σκοπό, κατηγορίες δεδομένων προσωπικού χαρακτήρα, εμπιστευτικότητα, ασφάλεια, έγκριση υπεργολάβων επεξεργασίας, συνδρομή, έλεγχο ή διασφάλιση, επιστροφή, διαγραφή και λύση.

Η Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών-sme υποστηρίζει αυτή την επιχειρησιακή πειθαρχία απαιτώντας:

Επαλήθευση πρακτικών χειρισμού δεδομένων ή συμμόρφωσης με την ιδιωτικότητα των δεδομένων όταν εμπλέκονται προσωπικά αναγνωρίσιμες πληροφορίες (PII)

Η P17 Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας απαιτεί επίσης:

Οι ομάδες Προμηθειών, Νομικών Υποθέσεων και Συμμόρφωσης ΠΡΕΠΕΙ να επαληθεύουν τη συμμόρφωση με το Article 28 του GDPR και να απαιτούν ετήσια επαναξιολόγηση όλων των προμηθευτών υψηλού κινδύνου.

5. Ευρετηριάστε τα τεκμήρια στο REG12

Τέλος, ο Υπεύθυνος PIMS επικαιροποιεί το REG12 με συνδέσμους προς το REG02, την επικύρωση νομικής βάσης, την τεκμηριωμένη εντολή, την αξιολόγηση REG04, την DPIA εφόσον απαιτείται, την καταχώριση προμηθευτή REG08, τη DPA, την ανασκόπηση ασφάλειας, την απόφαση διατήρησης, την έγκριση προϊόντος και τα τεκμήρια παρακολούθησης.

Αυτό μετατρέπει την προστασία της ιδιωτικότητας ήδη από τον σχεδιασμό σε αποδείξιμη ετοιμότητα για έλεγχο.

Χρήση του Zenith Blueprint για τη δημιουργία ιχνηλασιμότητας

Το να γνωρίζει κανείς ποια τεκμήρια πρέπει να συλλέξει είναι μόνο η μισή πρόκληση. Το δυσκολότερο μέρος είναι η δημιουργία συστήματος που τα παράγει αξιόπιστα.

Το Zenith Blueprint: οδικός χάρτης 30 βημάτων για ελεγκτές εντάσσει αυτό το θέμα στη φάση θεμελίωσης και ηγεσίας ISMS, Βήμα 2: Ανάγκες ενδιαφερόμενων μερών και πεδίο εφαρμογής ISMS. Ο οδηγός δείχνει πώς οι προσδοκίες των ενδιαφερόμενων μερών μετατρέπονται σε σχεδιασμένους ελέγχους:

Πελάτες
(B2B SaaS)
Εμπιστευτικότητα δεδομένων, διαθεσιμότητα σύμφωνα με
SLA, κοινοποίηση παραβίασης εντός
24h
Εφαρμόστε ελέγχους πρόσβασης, κρυπτογράφηση·
το σχέδιο απόκρισης σε περιστατικά περιλαμβάνει
διαδικασίες κοινοποίησης.

Περιλαμβάνει επίσης:

Σημείο ενέργειας 4.2: Συντάξτε κατάλογο όλων των σημαντικών ενδιαφερόμενων μερών και σημειώστε τις απαιτήσεις τους σχετικά με την ασφάλεια πληροφοριών.

Για το ISO 27701:2025, επεκτείνετε αυτό το σημείο ενέργειας στην ιδιωτικότητα. Τα ενδιαφερόμενα μέρη περιλαμβάνουν πελάτες, υποκείμενα δεδομένων, ρυθμιστικές αρχές, εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας, εργαζομένους, ομάδες προϊόντος, εσωτερικό έλεγχο, διοίκηση, πελάτες του χρηματοοικονομικού τομέα και τομεακές ρυθμιστικές αρχές όπου εφαρμόζονται NIS2 ή DORA.

Στη φάση Διαχείρισης Κινδύνων, Βήμα 13: Σχεδιασμός Αντιμετώπισης Κινδύνων και Δήλωση Εφαρμοσιμότητας, το Zenith Blueprint συνιστά ιχνηλασιμότητα:

Διασταυρώστε κανονισμούς: Αν ορισμένοι έλεγχοι εφαρμόζονται ειδικά για συμμόρφωση με GDPR, NIS2 ή DORA, μπορείτε να το σημειώσετε είτε στο Μητρώο Κινδύνων (ως μέρος της αιτιολόγησης αντικτύπου κινδύνου) είτε στις σημειώσεις της SoA.

Αυτό δημιουργεί το «νήμα» που θέλουν οι ελεγκτές: απαίτηση, κίνδυνος, έλεγχος, ιδιοκτήτης, τεκμήριο, αποτέλεσμα δοκιμής και ενέργεια βελτίωσης.

Πού εντάσσεται το Zenith Controls στο μοντέλο PIMS

Το Zenith Controls: Οδηγός Διαπλαισιακής Συμμόρφωσης της Clarysec βοηθά τις ομάδες να αποφεύγουν διπλά προγράμματα συμμόρφωσης χαρτογραφώντας θεματικές ελέγχων ISO/IEC 27001:2022 και ISO/IEC 27002:2022 σε άλλα πρότυπα, προσδοκίες ελέγχου και μοτίβα τεκμηρίων.

Για τεκμήρια ISO 27701:2025 PIMS, τέσσερις έλεγχοι ISO/IEC 27002:2022 είναι ιδιαίτερα σημαντικοί:

• 5.2 Information security roles and responsibilities
• 5.20 Addressing information security within supplier agreements
• 5.21 Managing information security in the ICT supply chain
• 5.34 Privacy and protection of PII

Ο έλεγχος 5.2 υποστηρίζει τη σαφήνεια ρόλων. Ένα PIMS χρειάζεται καθορισμένη λογοδοσία για τον Υπεύθυνο PIMS, τον Επικεφαλής Προστασίας Δεδομένων, τον Ιδιοκτήτη Διεργασίας, τον Ιδιοκτήτη Επιχειρησιακής Λειτουργίας, το Νομικό Τμήμα, τις Προμήθειες, την Ασφάλεια, τον Εσωτερικό Έλεγχο και την Ανώτατη Διοίκηση.

Ο έλεγχος 5.34 υποστηρίζει τη βασική υποχρέωση ιδιωτικότητας. Το Zenith Blueprint, στη φάση Έλεγχοι στην πράξη, Βήμα 23, εξηγεί την προσδοκία ελέγχου:

Από ελεγκτική σκοπιά, αυτός ο έλεγχος βρίσκεται ολοένα περισσότερο στο επίκεντρο. Ελεγκτές, ρυθμιστικές αρχές και πελάτες θέλουν να βλέπουν:

✓ Πού βρίσκονται τα δεδομένα προσωπικού χαρακτήρα,
✓ Ποια νομική βάση διέπει την επεξεργασία τους,
✓ Πώς περιορίζεται η πρόσβαση,
✓ Πώς αναφέρονται τα περιστατικά,
✓ Και πώς ο οργανισμός σέβεται τα δικαιώματα και διατηρεί τη διαφάνεια.

Το Zenith Blueprint συνεχίζει:

Ο έλεγχος 5.34 δεν είναι απλώς ένα checkbox. Είναι μια δήλωση ηθικής επιμέλειας.

Οι έλεγχοι 5.20 και 5.21 συνδέουν τα τεκμήρια PIMS με τη διακυβέρνηση προμηθευτών και εφοδιαστικής αλυσίδας ΤΠΕ. Το Zenith Blueprint, στη φάση Έλεγχοι στην πράξη, Βήμα 23, παραθέτει θέματα συμφωνιών με προμηθευτές:

Οι βασικοί τομείς που συνήθως καλύπτονται στις συμφωνίες προμηθευτών περιλαμβάνουν:

✓ Υποχρεώσεις εμπιστευτικότητας, συμπεριλαμβανομένων πεδίου εφαρμογής, διάρκειας και περιορισμών κοινολόγησης σε τρίτα μέρη·
✓ Αρμοδιότητες ελέγχου πρόσβασης, όπως ποιος μπορεί να έχει πρόσβαση στα δεδομένα σας, πώς γίνεται η διαχείριση διαπιστευτηρίων και ποια παρακολούθηση υφίσταται·
✓ Τεχνικά και οργανωτικά μέτρα για προστασία δεδομένων, κρυπτογράφηση, ασφαλή μετάδοση, αντίγραφα ασφαλείας και δεσμεύσεις διαθεσιμότητας·
✓ Χρονοδιαγράμματα και πρωτόκολλα αναφοράς περιστατικών, συχνά με καθορισμένα χρονικά πλαίσια (π.χ. «κοινοποίηση εντός 24 ωρών»)·
✓ Δικαίωμα ελέγχου, συμπεριλαμβανομένων συχνότητας, πεδίου εφαρμογής και πρόσβασης σε συναφή τεκμήρια (π.χ. αναφορές δοκιμών διείσδυσης, SoA, πιστοποιήσεις)·
✓ Έλεγχοι υπεργολάβων, που απαιτούν από τον προμηθευτή σας να μετακυλίει ισοδύναμες υποχρεώσεις ασφάλειας στους κατάντη συνεργάτες του·
✓ Προβλέψεις λήξης σύμβασης, όπως επιστροφή ή καταστροφή δεδομένων, ανάκτηση περιουσιακών στοιχείων και απενεργοποίηση λογαριασμών.

Αυτή είναι η γέφυρα μεταξύ λογοδοσίας βάσει GDPR και τεκμηρίων ISMS.

Χαρτογράφηση τεκμηρίων PIMS σε GDPR, NIS2, DORA, NIST και COBIT 2019

Τα τεκμήρια ιδιωτικότητας σπάνια εξυπηρετούν μόνο ένα πλαίσιο. Ένα καλά σχεδιασμένο αντικείμενο τεκμηρίων PIMS μπορεί να απαντήσει σε πολλά ελεγκτικά ερωτήματα.

Το GDPR θεμελιώνει τη λογοδοσία ιδιωτικότητας μέσω νομικής βάσης, σαφήνειας ρόλων, συμβάσεων εκτελούντων την επεξεργασία, δικαιωμάτων, χειρισμού παραβιάσεων και αποδείξιμης συμμόρφωσης.

Το NIS2 αφορά βασικές και σημαντικές οντότητες, συμπεριλαμβανομένων ορισμένων παρόχων υπηρεσιών νέφους, παρόχων διαχειριζόμενων υπηρεσιών, παρόχων διαχειριζόμενων υπηρεσιών ασφάλειας, παρόχων κέντρων δεδομένων και οργανισμών ψηφιακής υποδομής. Το NIS2 Article 20 αναθέτει την ευθύνη διακυβέρνησης κυβερνοασφάλειας στα διοικητικά όργανα. Το Article 21 απαιτεί κατάλληλα τεχνικά, επιχειρησιακά και οργανωτικά μέτρα, συμπεριλαμβανομένων ανάλυσης κινδύνου, χειρισμού περιστατικών, επιχειρησιακής συνέχειας, ασφάλειας εφοδιαστικής αλυσίδας, ασφαλούς ανάπτυξης, αξιολόγησης αποτελεσματικότητας, εκπαίδευσης, κρυπτογραφίας, ασφάλειας Ανθρώπινου Δυναμικού, ελέγχου πρόσβασης, διαχείρισης περιουσιακών στοιχείων και MFA ή συνεχούς αυθεντικοποίησης όπου ενδείκνυται. Το Article 23 εισάγει προσδοκίες αναφοράς σημαντικών περιστατικών, συμπεριλαμβανομένης έγκαιρης προειδοποίησης εντός 24 ωρών και κοινοποίησης περιστατικού εντός 72 ωρών.

Το DORA αφορά χρηματοοικονομικές οντότητες και τρίτους παρόχους υπηρεσιών ΤΠΕ στα χρηματοοικονομικά οικοσυστήματα. Τα DORA Articles 5 και 6 απαιτούν διακυβέρνηση κινδύνων ΤΠΕ, πολιτικές, στρατηγική, δοκιμές και συνεχή βελτίωση. Τα Articles 17 έως 19 καλύπτουν ανίχνευση, ταξινόμηση, κλιμάκωση, αναφορά, ανάλυση βασικής αιτίας και διδάγματα που αντλήθηκαν για περιστατικά ΤΠΕ. Τα Articles 28 έως 30 απαιτούν στρατηγική κινδύνου τρίτων μερών ΤΠΕ, μητρώα, δέουσα επιμέλεια, συμβατικές προβλέψεις, δικαιώματα ελέγχου, συνδρομή σε περιστατικά, προστασία δεδομένων, σχεδιασμό εξόδου και ανασκόπηση κινδύνου συγκέντρωσης.

Το NIST CSF 2.0 παρέχει γλώσσα διακυβέρνησης και κινδύνου μέσω GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND και RECOVER. Το COBIT 2019 προσθέτει στόχους διακυβέρνησης, πρακτικές διαχείρισης, ιδιοκτησία, μετρικές, διασφάλιση και ικανότητα διεργασίας.

Το πλεονέκτημα συμμόρφωσης είναι σαφές. Μία ελεγχόμενη αλυσίδα τεκμηρίων PIMS μπορεί να υποστηρίξει GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 και δέουσα επιμέλεια πελατών.

Πώς θα ελέγξουν οι ελεγκτές το PIMS σας

Ένας έλεγχος PIMS δεν είναι ανασκόπηση εγγράφων. Είναι άσκηση ιχνηλασιμότητας τεκμηρίων.

Η P33 Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης της Clarysec υποστηρίζει το μοντέλο ελέγχου:

Ο οργανισμός ΠΡΕΠΕΙ να τηρεί Μητρώο Ελέγχων που περιέχει:

Η αντίστοιχη έκδοση SME, Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης-sme, προσθέτει μια σημαντική απαίτηση ποιότητας τεκμηρίων:

Τα μεταδεδομένα (π.χ. ποιος τα συνέλεξε, πότε και από ποιο σύστημα) ΠΡΕΠΕΙ να τεκμηριώνονται.

Αυτή η απαίτηση μεταδεδομένων είναι μικρή αλλά ισχυρή. Στιγμιότυπα οθόνης χωρίς πηγή, ημερομηνία, συλλέκτη και πλαίσιο συστήματος είναι αδύναμα τεκμήρια. Τα ελεγχόμενα ελεγκτικά τεκμήρια αποδεικνύουν αυθεντικότητα, επικαιρότητα και ιχνηλασιμότητα.

Πώς μοιάζουν τα καλά τεκμήρια PIMS

Ας υποθέσουμε ότι ένας ελεγκτής επιλέγει μία δραστηριότητα: ανάλυση αιτημάτων υποστήριξης πελατών.

Μια αδύναμη απάντηση είναι: «Έχουμε πολιτική ιδιωτικότητας και η DPA μας το καλύπτει.»

Μια ισχυρή απάντηση PIMS είναι:

1. Το REG02 προσδιορίζει τη δραστηριότητα, τα συστήματα, τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τα υποκείμενα των δεδομένων προσωπικού χαρακτήρα, τον σκοπό, την ταξινόμηση ρόλου, τη διατήρηση, τις διαβιβάσεις, τους ελέγχους ασφάλειας και τον ιδιοκτήτη.
2. Η ταξινόμηση ρόλου δείχνει αν ο οργανισμός είναι υπεύθυνος επεξεργασίας, εκτελών την επεξεργασία ή και τα δύο για συγκεκριμένα τμήματα της ροής εργασίας.
3. Αν είναι υπεύθυνος επεξεργασίας, η νομική βάση επικυρώνεται και καταγράφεται στο Μητρώο Νομικής Βάσης.
4. Αν είναι εκτελών την επεξεργασία, η εντολή πελάτη και η ρήτρα DPA συνδέονται.
5. Το REG04 δείχνει αξιολόγηση κινδύνου ιδιωτικότητας πριν από τη θέση σε παραγωγή ή την ουσιώδη αλλαγή.
6. Το REG08 προσδιορίζει την πλατφόρμα διαχείρισης αιτημάτων, τον προμηθευτή σύνοψης με τεχνητή νοημοσύνη, τους υπεργολάβους επεξεργασίας, τους συμβατικούς ελέγχους, τα δικαιώματα ελέγχου, τις διασφαλίσεις ασφάλειας, τους όρους διαγραφής και τη συνδρομή σε περιστατικά.
7. Τα τεκμήρια ελέγχου πρόσβασης δείχνουν ότι η πρόσβαση του προσωπικού υποστήριξης παρέχεται βάσει ρόλου και ανασκοπείται.
8. Τα τεκμήρια καταγραφής και παρακολούθησης δείχνουν ότι η πρόσβαση στα αιτήματα υποστήριξης παρακολουθείται.
9. Τα τεκμήρια διατήρησης και διαγραφής δείχνουν ότι τα αιτήματα διαγράφονται ή ανωνυμοποιούνται σύμφωνα με την εγκεκριμένη περίοδο διατήρησης.
10. Το REG12 ευρετηριάζει όλα τα υποστηρικτικά τεκμήρια με ιδιοκτήτη και ημερομηνία ανασκόπησης.
11. Το Μητρώο Ελέγχων δείχνει αν η δραστηριότητα δοκιμάστηκε, ποια ευρήματα καταγράφηκαν και αν οι διορθωτικές ενέργειες έκλεισαν.

Έτσι το ISO 27701:2025 γίνεται επιχειρησιακό. Δημιουργεί μια επαναλαμβανόμενη αλυσίδα λογοδοσίας.

Συνήθεις αστοχίες τεκμηρίων PIMS

Σε περιβάλλοντα SaaS, fintech, διαχειριζόμενων υπηρεσιών και B2B τεχνολογίας, εμφανίζονται επανειλημμένα τα ίδια κενά.

Πρώτον, οι οργανισμοί τηρούν RoPA ή μητρώο επεξεργασίας, αλλά δεν ταξινομούν τους ρόλους υπευθύνου επεξεργασίας και εκτελούντος την επεξεργασία ανά δραστηριότητα. Αυτό δημιουργεί σύγχυση ως προς τη νομική βάση, τις τεκμηριωμένες εντολές και τις υποχρεώσεις υπεργολάβων επεξεργασίας.

Δεύτερον, η νομική βάση καταγράφεται μία φορά και δεν επανεπικυρώνεται όταν αλλάζει ο σκοπός. Το GDPR Article 6 απαιτεί πειθαρχία ως προς τον σκοπό και τη νομική βάση. Η περαιτέρω επεξεργασία μπορεί να απαιτεί αξιολόγηση συμβατότητας και δικλίδες ασφαλείας.

Τρίτον, οι απογραφές προμηθευτών παραθέτουν προμηθευτές αλλά δεν δείχνουν πεδία συμβατικών ελέγχων. Ένας κατάλογος προμηθευτών δεν είναι το ίδιο με τη διακυβέρνηση εκτελούντων την επεξεργασία.

Τέταρτον, οι αποφάσεις DPIA είναι άτυπες. Οι ομάδες λένε «δεν είναι υψηλού κινδύνου», αλλά δεν μπορούν να δείξουν κριτήρια αξιολόγησης, εγκρίνοντα, ημερομηνία ή τεκμήρια.

Πέμπτον, υπάρχουν ελεγκτικά τεκμήρια αλλά δεν ελέγχονται. Τα στιγμιότυπα οθόνης δεν έχουν μεταδεδομένα. Οι πολιτικές είναι ενημερωμένες, αλλά τα μητρώα είναι παρωχημένα. Οι συμβάσεις υπάρχουν, αλλά οι επαναξιολογήσεις κατά την ανανέωση χάνονται.

Έκτον, οι διαδικασίες περιστατικών εστιάζουν σε συμβάντα κυβερνοασφάλειας αλλά δεν ταξινομούν με σαφήνεια τις παραβιάσεις δεδομένων προσωπικού χαρακτήρα. Η ανάλυση παραβίασης δεδομένων προσωπικού χαρακτήρα βάσει GDPR, η αναφορά σημαντικών περιστατικών βάσει NIS2 και η αναφορά περιστατικών ΤΠΕ βάσει DORA πρέπει να συντονίζονται, όχι να αναπαράγονται διπλά.

Η Clarysec αντιμετωπίζει αυτές τις αστοχίες αντιμετωπίζοντας τα τεκμήρια PIMS ως ελεγχόμενο σύστημα διαχείρισης και όχι ως έκτακτη προετοιμασία της τελευταίας στιγμής για έλεγχο.

Λίστα ελέγχου ετοιμότητας τεκμηρίων ISO 27701:2025 PIMS

Χρησιμοποιήστε αυτή τη λίστα ελέγχου στην επόμενη εσωτερική ανασκόπηση ετοιμότητας.

• Ορίστε το πεδίο εφαρμογής του PIMS και τα ενδιαφερόμενα μέρη, συμπεριλαμβανομένων πελατών, ρυθμιστικών αρχών, υποκειμένων δεδομένων, προμηθευτών, εσωτερικού ελέγχου και διοίκησης.
• Αναθέστε ρόλους και αρμοδιότητες PIMS, συμπεριλαμβανομένων Υπευθύνου PIMS, Επικεφαλής Προστασίας Δεδομένων, Ιδιοκτήτη Διεργασίας, Νομικού Τμήματος, Προμηθειών, Ασφάλειας και Εσωτερικού Ελέγχου.
• Δημιουργήστε καταχωρίσεις REG02 για κάθε δραστηριότητα επεξεργασίας δεδομένων προσωπικού χαρακτήρα.
• Ταξινομήστε τον ρόλο υπευθύνου επεξεργασίας, εκτελούντος την επεξεργασία, από κοινού υπευθύνου επεξεργασίας ή υπεργολάβου επεξεργασίας για κάθε δραστηριότητα.
• Επικυρώστε τη νομική βάση για επεξεργασία από υπεύθυνο επεξεργασίας πριν αρχίσει η επεξεργασία και πριν από αλλαγή σκοπού.
• Καταγράψτε τεκμηριωμένες εντολές για δραστηριότητες εκτελούντος την επεξεργασία.
• Ενεργοποιήστε αξιολόγηση κινδύνου ιδιωτικότητας REG04 πριν από νέα ή ουσιωδώς τροποποιημένη επεξεργασία.
• Ολοκληρώστε DPIA όταν η αξιολόγηση κινδύνου υποδεικνύει αυξημένο κίνδυνο ιδιωτικότητας.
• Τηρείτε το REG08 για εκτελούντες την επεξεργασία, υπεργολάβους επεξεργασίας, προμηθευτές ΤΠΕ και προμηθευτές συναφείς με την ιδιωτικότητα.
• Επαληθεύστε συμβατικά πεδία για πεδίο εφαρμογής, διάρκεια, σκοπό, κατηγορίες δεδομένων προσωπικού χαρακτήρα, εμπιστευτικότητα, ασφάλεια, συνδρομή, δικαιώματα ελέγχου, επιστροφή, διαγραφή και λύση.
• Τηρείτε το REG12 ως ευρετήριο τεκμηριωμένων πληροφοριών PIMS.
• Χαρτογραφήστε τα τεκμήρια PIMS στην αντιμετώπιση κινδύνων ISO/IEC 27001:2022 και στις σημειώσεις SoA.
• Διασταυρώστε υποχρεώσεις GDPR, NIS2, DORA, NIST CSF 2.0 και COBIT 2019 όπου είναι συναφείς.
• Διενεργείτε ετήσιους εσωτερικούς ελέγχους συμμόρφωσης ιδιωτικότητας και επικαιροποιείτε το Μητρώο Ελέγχων.
• Ανασκοπείτε ανοικτά ευρήματα, διορθωτικές ενέργειες, αποφάσεις κινδύνου και αναφορές διοίκησης ανά τρίμηνο.

Η P17 Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας ενισχύει τον κύκλο ελέγχου:

Εσωτερικός έλεγχος συμμόρφωσης ιδιωτικότητας ΠΡΕΠΕΙ να διενεργείται ετησίως ή μετά από σημαντικές οργανωτικές ή κανονιστικές αλλαγές. Το πεδίο εφαρμογής του ελέγχου ΠΡΕΠΕΙ να περιλαμβάνει:

Το μήνυμα είναι απλό. Η συμμόρφωση ιδιωτικότητας παρακολουθείται, δεν θεωρείται δεδομένη.

Δημιουργήστε το μοντέλο τεκμηρίων PIMS με την Clarysec

Το ISO 27701:2025 έχει τη μεγαλύτερη αξία όταν ενσωματώνεται με το ISO/IEC 27001:2022 και σχεδιάζεται ώστε να παράγει τεκμήρια εξ ορισμού. Έτσι η ιδιωτικότητα γίνεται τεκμηριώσιμο λειτουργικό μοντέλο και όχι έργο πιστοποίησης.

Όταν ένας πελάτης ζητά διασφάλιση ιδιωτικότητας, μπορείτε να δείξετε τεκμήρια. Όταν μια ρυθμιστική αρχή ρωτά γιατί επεξεργαστήκατε δεδομένα, μπορείτε να δείξετε ρόλο, σκοπό, νομική βάση, δικλίδες ασφαλείας και εγκρίσεις. Όταν ένας ελεγκτής ρωτά πώς κυβερνάτε υπεργολάβους επεξεργασίας, μπορείτε να δείξετε REG08, συμβατικούς ελέγχους, επαναξιολογήσεις και δικαιώματα ελέγχου. Όταν το Διοικητικό Συμβούλιο ρωτά αν ο κίνδυνος ιδιωτικότητας είναι υπό έλεγχο, μπορείτε να δείξετε μετρικές, ανοικτές ενέργειες, αποτελέσματα ελέγχων και ανασκόπηση της Διοίκησης.

Αν το PIMS σας εξακολουθεί να είναι βαρύ σε πολιτικές και ελαφρύ σε τεκμήρια, ξεκινήστε με την αλυσίδα που θα ακολουθήσουν οι ελεγκτές:

Απογραφή επεξεργασίας REG02, αξιολόγηση κινδύνου ιδιωτικότητας REG04, διακυβέρνηση εκτελούντων την επεξεργασία και υπεργολάβων επεξεργασίας REG08, ευρετήριο τεκμηρίων REG12, Μητρώο Νομικής Βάσης, Μητρώο Ελέγχων και χαρτογράφηση SoA.

Η Clarysec μπορεί να σας βοηθήσει να εφαρμόσετε αυτή την αλυσίδα στην πράξη μέσω:

• Zenith Blueprint: οδικός χάρτης 30 βημάτων για ελεγκτές, ιδίως το Βήμα 2 για απαιτήσεις ενδιαφερόμενων μερών, το Βήμα 13 για αντιμετώπιση κινδύνων και ιχνηλασιμότητα SoA, και το Βήμα 23 για ελέγχους ιδιωτικότητας, προμηθευτών και οργανωτικούς ελέγχους.
• Zenith Controls: Οδηγός Διαπλαισιακής Συμμόρφωσης, με χρήση των ελέγχων ISO/IEC 27002:2022 5.2, 5.20, 5.21 και 5.34 ως πρακτικών σημείων αγκύρωσης λογοδοσίας ιδιωτικότητας.
• Το σύνολο πολιτικών ISO 27701 PIMS της Clarysec, συμπεριλαμβανομένων των Πολιτική Συστήματος Διαχείρισης Πληροφοριών Ιδιωτικότητας, Πολιτική Απογραφής Επεξεργασίας Δεδομένων Προσωπικού Χαρακτήρα και Νομικής Βάσης, Πολιτική Αξιολόγησης Κινδύνου Ιδιωτικότητας και DPIA, Πολιτική Διαχείρισης Εκτελούντων την Επεξεργασία, Υπεργολάβων Επεξεργασίας και Τρίτων Μερών για την Ιδιωτικότητα και Πολιτική Διαχείρισης Τεκμηριωμένων Πληροφοριών και Τεκμηρίων PIMS.
• Υποστήριξη για επιχειρήσεις και SME μέσω των P17 Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας, Πολιτική Προστασίας Δεδομένων και Ιδιωτικότητας-sme, Πολιτική Ασφάλειας Τρίτων Μερών και Προμηθευτών-sme, P33 Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης και Πολιτική Ελέγχου και Παρακολούθησης Συμμόρφωσης-sme.

Η επόμενη ενέργειά σας είναι απλή: επιλέξτε μία δραστηριότητα επεξεργασίας δεδομένων προσωπικού χαρακτήρα υψηλού κινδύνου και ακολουθήστε την αλυσίδα τεκμηρίων από το REG02 έως το REG12. Αν η αλυσίδα σπάσει, αυτό είναι το πρώτο έργο βελτίωσης. Αν αντέχει, επεκτείνετε το μοντέλο σε όλη την απογραφή επεξεργασίας.

Έτσι το ISO 27701:2025 γίνεται κάτι περισσότερο από πιστοποιητικό. Γίνεται απόδειξη λογοδοσίας βάσει GDPR.