Dokazi PIMS-a prema ISO 27701:2025 za revizije GDPR-a

Četvrtak je, 08:40, a Ava, voditeljica usklađenosti u FinScaleu, upravo je otvorila poruku e-pošte kakvu prije ili kasnije primi svaka brzorastuća B2B SaaS organizacija.

Veliki njemački poslovni klijent poslao je GDPR upitnik za dubinsku analizu dobavljača s rokom od 48 sati. Ne traži politiku privatnosti. Ne zadovoljava ga certifikat. Traži dokaze.

Dostavite svoju Evidenciju aktivnosti obrade za naše podatke. Prikažite dokaze o dubinskoj analizi pri uvođenju podizvršitelja obrade. Objasnite kako dokazujete svoje obveze iz GDPR Article 28. Utvrdite djeluje li vaša platforma kao voditelj obrade osobnih podataka, izvršitelj obrade, zajednički voditelj obrade ili podizvršitelj obrade za svaki tijek rada. Dokažite da je pravna osnova provjerena za vašu funkcionalnost podrške potpomognute umjetnom inteligencijom. Prikažite obveze brisanja, prava na reviziju, podršku pri incidentima i ugovorne kontrole.

Ava zna da FinScale ima potrebne sastavne dijelove. Pravna služba ima ugovor o obradi podataka. Informacijska sigurnost ima Izjavu o primjenjivosti prema ISO/IEC 27001:2022. Tim za proizvod ima kontrolne popise za puštanje u produkciju. Nabava ima ugovore s dobavljačima. Usklađenost ima registar obrade, iako su neki zapisi zastarjeli. Problem nije u tome da dokazi ne postoje. Problem je u tome što su dokazi raspršeni, nejasnoća uloga nije riješena i nitko ne može brzo pratiti aktivnost obrade od svrhe do pravne osnove, odluke o riziku, kontrole dobavljača, sigurnosne kontrole, revizijskog zapisa i preispitivanja od strane uprave.

To je stvarna praznina u odgovornosti.

ISO 27701:2025 postaje snažan kada zatvori tu prazninu. Sustav upravljanja informacijama o privatnosti, odnosno PIMS, nije samo zbirka politika za certifikaciju privatnosti. To je operativni model za stvaranje pouzdanih dokaza. Za CISO-e, voditelje usklađenosti, voditelje zaštite privatnosti, revizore i vlasnike poslovnih procesa cilj je jednostavan: izgraditi PIMS koji dokazuje odgovornost prema GDPR-u za voditelje i izvršitelje obrade osobnih podataka, a istodobno podupire očekivanja iz ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 i COBIT 2019.

Odgovornost prema GDPR-u pitanje je dokaza

Odgovornost prema GDPR-u često se pogrešno shvaća kao zahtjev za dokumentacijom. Ona je zahtjevnija od toga.

GDPR Article 5 definira temeljna načela obrade osobnih podataka, uključujući zakonitost, poštenost, transparentnost, ograničenje svrhe, smanjenje količine podataka, točnost, ograničenje pohrane, cjelovitost i povjerljivost. Article 5(2) čini voditelja obrade odgovornim za mogućnost dokazivanja usklađenosti. Article 4 definira pojmove osobnih podataka, obrade, voditelja obrade, izvršitelja obrade, pseudonimizacije i povrede osobnih podataka. Article 6 zahtijeva pravnu osnovu za svaku aktivnost obrade koju provodi voditelj obrade. Article 9 dodaje strože uvjete za posebne kategorije osobnih podataka. Article 28 uređuje obveze izvršitelja obrade i ugovorne uvjete.

Te se obveze ne ispunjavaju samo javnom obavijesti o privatnosti. Zahtijevaju dokaze na razini aktivnosti obrade.

Praktičan model PIMS dokaza prema ISO 27701:2025 mora odgovoriti na sljedeća pitanja:

• Koji se osobni podaci (PII) obrađuju?
• Zašto se obrađuju?
• Djeluje li organizacija kao voditelj obrade, izvršitelj obrade, zajednički voditelj obrade ili podizvršitelj obrade?
• Koja se pravna osnova primjenjuje kada je organizacija voditelj obrade?
• Koja se dokumentirana uputa primjenjuje kada je organizacija izvršitelj obrade?
• Koji su sustavi, dobavljači, podizvršitelji obrade i lokacije uključeni?
• Koja je provjera rizika za privatnost ili odluka o DPIA-i provedena?
• Koje sigurnosne kontrole štite osobne podatke (PII)?
• Koji dokazi potvrđuju da je kontrola djelovala?
• Tko je odobrio preostali rizik, iznimke i korektivne radnje?

Clarysecov pristup pretvara ta pitanja u obveze iz politika, registre i sljedive objekte dokaza. Rezultat je PIMS koji može izdržati klijentsku dubinsku analizu dobavljača, pregled nadzornog tijela, internu reviziju, ISO reviziju, DORA procjenu i nadzor upravnog odbora.

Počnite s jasnoćom uloga: voditelj obrade, izvršitelj obrade ili oboje

Najbrži način za neuspjeh PIMS revizije jest jednako tretirati svaku aktivnost obrade.

Prema GDPR-u, voditelj obrade određuje svrhe i sredstva obrade. Izvršitelj obrade obrađuje osobne podatke u ime voditelja obrade. Mnoge SaaS i tehnološke organizacije rade oboje. FinScale je izvršitelj obrade kada hostira podatke krajnjih korisnika klijenta prema uputama klijenta. Voditelj je obrade za evidencije zaposlenika, marketinške potencijalne klijente, kontakte za naplatu, podatke o zapošljavanju i dio analitike proizvoda.

Ta razlika određuje zahtjeve za dokazima.

Clarysecova Politika sustava upravljanja informacijama o privatnosti klasifikaciju uloga postavlja kao operativni zahtjev:

[Obje uloge] Vlasnik procesa / vlasnik poslovanja MORA klasificirati PIMS ulogu organizacije za svaku aktivnost obrade osobnih podataka (PII) u REG02 prije početka aktivnosti obrade.

Ta jedna obveza mijenja operativni model privatnosti. Pravni pregled više nije naknadna aktivnost pri puštanju u produkciju. Svaki vlasnik procesa mora klasificirati PIMS ulogu prije početka obrade. Ta klasifikacija određuje daljnji lanac dokaza.

Za aktivnosti voditelja obrade, Clarysecova Politika evidencije aktivnosti obrade osobnih podataka i pravne osnove zahtijeva provjeru pravne osnove:

[Voditelj obrade] Voditelj zaštite privatnosti / voditelj PIMS-a MORA provjeriti pravnu osnovu zabilježenu u REG02 prije početka obrade koju provodi voditelj obrade i prije stupanja na snagu bilo kakve promjene svrhe.

Iz odjeljka „Zapisi o svrsi voditelja obrade i pravnoj osnovi”, točka politike 4.2.2.

Za aktivnosti izvršitelja obrade fokus dokaza premješta se na dokumentirane upute, ugovorne kontrole, upravljanje podizvršiteljima obrade, sigurnosne mjere, obveze pomoći, podršku pri incidentima te vraćanje ili brisanje nakon prestanka ugovornog odnosa. Tu REG08 postaje ključan.

Clarysecova Politika upravljanja izvršiteljima obrade, podizvršiteljima obrade i trećim stranama u području privatnosti zahtijeva:

[Voditelj obrade] Voditelj zaštite privatnosti / voditelj PIMS-a MORA prije odobrenja provjeriti da ugovorna kontrolna polja za izvršitelja obrade u REG08 obuhvaćaju opseg, trajanje i svrhu obrade, kategorije osobnih podataka (PII), kategorije ispitanika, povjerljivost, sigurnost, odobrenje podizvršitelja obrade, pomoć, reviziju ili provjeru sigurnosti, vraćanje, brisanje i prestanak ugovornog odnosa.

Iz odjeljka „Kontrole ugovora i dokumentiranih uputa”, točka politike 4.3.2.

REG02 uspostavlja aktivnost obrade i ulogu. REG04 provjerava rizik za privatnost. REG08 provjerava kontrole izvršitelja obrade, podizvršitelja obrade i dobavljača. REG12 indeksira dokaze. Zajedno stvaraju lanac PIMS dokaza.

Lanac PIMS dokaza koji revizori očekuju

Snažan PIMS ne traži od timova održavanje nepovezanih proračunskih tablica. On definira objekte dokaza, vlasnike, rokove, cikluse pregleda i revizijske tragove.

Clarysecova Politika dokumentiranih informacija i upravljanja dokazima PIMS-a navodi:

[Svi] Voditelj zaštite privatnosti / voditelj PIMS-a MORA održavati PIMS indeks dokumentiranih informacija u REG12 prije početne objave PIMS-a i zatim tromjesečno.

REG12 sprječava da program privatnosti postane mapa zastarjelih PDF-ova. Revizoru pokazuje koji dokazi postoje, gdje su pohranjeni, tko je njihov vlasnik, kada su zadnji put pregledani i koje aktivnosti obrade, rizike, obveze ili kontrole podupiru.

Taj lanac dokaza prirodno se usklađuje sa zahtjevima ISO/IEC 27001:2022 za kontekst, zainteresirane strane, planiranje rizika, operativnu kontrolu, dokumentirane informacije, vrednovanje učinkovitosti, internu reviziju, preispitivanje od strane uprave i kontinuirano poboljšanje. Povezuje se i s kontrolama ISO/IEC 27002:2022 kao što su 5.2 Uloge i odgovornosti za informacijsku sigurnost, 5.20 Uređivanje informacijske sigurnosti u ugovorima s dobavljačima, 5.21 Upravljanje informacijskom sigurnošću u IKT opskrbnom lancu, 5.34 Privatnost i zaštita osobnih podataka (PII) i 8.10 Brisanje informacija.

Dokazi voditelja obrade i izvršitelja obrade nisu isti

Avin njemački klijent ne pita samo ima li FinScale politike privatnosti. Klijent želi dokaz da FinScale razumije koju ulogu ima u svakom toku podataka.

Kada djeluje kao voditelj obrade, FinScale mora opravdati zašto obrađuje podatke. Primjerice, obrada obračuna plaća zaposlenika može se oslanjati na nužnost ugovora i pravnu obvezu. Marketing se može oslanjati na privolu ili legitimne interese, ovisno o kontekstu i jurisdikciji. Zapošljavanje može zahtijevati rokove čuvanja, transparentnost i kontrole pristupa. Dokaz nije samo odabrana pravna osnova. Dokaz su provjereni zapis, obavijest, pravilo čuvanja, postupak za ostvarivanje prava ispitanika i odluka o riziku.

Kada djeluje kao izvršitelj obrade, FinScale mora dokazati da postupa prema dokumentiranim uputama klijenta. Dokazi uključuju ugovor o obradi podataka, konfiguraciju proizvoda, zapise dnevnika sustava, sigurnosne kontrole, odobrenja podizvršitelja obrade, postupke pomoći, postupak podrške pri povredi, prava na reviziju i dokaze o brisanju ili vraćanju.

Clarysecova P17 Politika zaštite podataka i privatnosti naglašava da privatnost mora biti integrirana u ISMS:

Organizacija mora održavati formalni okvir upravljanja privatnošću integriran u sustav upravljanja informacijskom sigurnošću (ISMS) radi provedbe ove politike.

Iz odjeljka „Zahtjevi upravljanja”, točka politike 5.1.

SME verzija, SME politika zaštite podataka i privatnosti, zadržava istu disciplinu dokaza:

Koordinator za privatnost mora održavati registar svih aktivnosti obrade osobnih podataka, uključujući kategorije podataka, svrhu, pravnu osnovu i rokove čuvanja

Također zahtijeva:

Pravna osnova (npr. privola, ugovor, pravna obveza) mora biti dokumentirana u registru obrade

Za programe na razini organizacije, P17 Politika zaštite podataka i privatnosti dodaje vlasništvo:

Pravna služba mora održavati i ažurirati Registar pravnih osnova.

Praktičan prikaz: puštanje u produkciju analitike proizvoda

Razmotrite funkcionalnost analitike proizvoda koja prati kretanje korisnika, prihvaćanje funkcionalnosti, metapodatke sesije, ID organizacije, korisničku ulogu i informacije o uređaju. Tim za proizvod želi uvide o uporabi. Prodaja želi metrike prihvaćanja. Korisnička podrška želi signale odljeva korisnika. Pravna služba pita je li FinScale voditelj obrade ili izvršitelj obrade. Informacijska sigurnost pita sadrže li dnevnički zapisi osobne podatke. Nabava napominje da dobavljač analitike koristi podizvršitelje obrade.

Snažan PIMS pretvara to u ponovljiv tijek rada.

1. Izradite ili ažurirajte REG02 prije početka obrade

Vlasnik poslovanja bilježi aktivnost u REG02. Zapis treba uključivati svrhu, kategorije osobnih podataka (PII), kategorije ispitanika, sustave, rok čuvanja, prijenose, sigurnosne mjere, klasifikaciju uloge i pravnu osnovu ili dokumentiranu uputu.

Ako se analitika koristi za FinScaleove vlastite svrhe poboljšanja proizvoda, FinScale može biti voditelj obrade za tu aktivnost. Ako se analitika provodi samo prema postavkama koje konfigurira klijent u ime klijenta, FinScale može biti izvršitelj obrade. U mnogim SaaS okruženjima obje uloge mogu postojati u jednoj funkcionalnosti, ovisno o toku podataka i svrsi.

2. Provjerite pravnu osnovu ili dokumentiranu uputu

Ako je FinScale voditelj obrade, voditelj zaštite privatnosti ili pravna služba provjerava pravnu osnovu u REG02 prije početka obrade. Ako su uključene posebne kategorije podataka, tim mora utvrditi i relevantni uvjet iz GDPR Article 9 te dodatne zaštitne mjere.

Ako je FinScale izvršitelj obrade, dokaz mora upućivati na dokumentiranu uputu klijenta. Pitanje postaje: gdje je uputa, koja je obrada dopuštena i kako FinScale dokazuje da je postupao u skladu s uputom?

3. Pokrenite REG04 provjeru rizika za privatnost

Clarysecova Politika procjene rizika za privatnost i DPIA-e zahtijeva:

[Obje uloge] Vlasnik procesa / vlasnik poslovanja MORA pokrenuti provjeru rizika za privatnost u REG04 prije početka nove ili značajno izmijenjene obrade osobnih podataka (PII) zabilježene u REG02.

Iz odjeljka „Provjera rizika za privatnost”, točka politike 4.1.1.

Provjera treba ocijeniti osjetljivost, opseg, implikacije praćenja, očekivanja ispitanika, profiliranje, automatizirano donošenje odluka, prekogranične prijenose, pristup dobavljača, čuvanje i djelotvornost kontrola. Ako je rizik povišen, PIMS treba pokrenuti DPIA-u i zabilježiti odluku.

4. Ažurirajte REG08 za dobavljače i podizvršitelje obrade

Ako vanjski pružatelj analitike prima osobne podatke (PII), nabava, pravni poslovi i funkcija privatnosti ažuriraju REG08. Ugovorna polja trebaju obuhvatiti opseg, trajanje, svrhu, kategorije osobnih podataka (PII), povjerljivost, sigurnost, odobrenje podizvršitelja obrade, pomoć, reviziju ili provjeru sigurnosti, vraćanje, brisanje i prestanak ugovornog odnosa.

SME politika sigurnosti trećih strana i dobavljača podupire ovu operativnu disciplinu zahtijevajući:

Provjeru praksi postupanja s podacima ili usklađenosti u području privatnosti podataka kada su uključeni osobni podaci koji omogućuju identifikaciju osobe (PII)

P17 Politika zaštite podataka i privatnosti također zahtijeva:

Timovi nabave te pravnih poslova i usklađenosti moraju provjeriti usklađenost s Article 28 GDPR-a i zahtijevati godišnju ponovnu procjenu svih visokorizičnih dobavljača.

5. Indeksirajte dokaze u REG12

Na kraju voditelj PIMS-a ažurira REG12 poveznicama na REG02, provjeru pravne osnove, dokumentiranu uputu, REG04 provjeru, DPIA-u ako je potrebna, REG08 zapis o dobavljaču, ugovor o obradi podataka, sigurnosni pregled, odluku o čuvanju, odobrenje proizvoda i dokaze praćenja.

To je ono što ugrađenu zaštitu privatnosti pretvara u dokaz spreman za reviziju.

Korištenje Zenith Blueprinta za izgradnju sljedivosti

Znati koje dokaze prikupiti samo je pola izazova. Teži je dio izgraditi sustav koji ih pouzdano proizvodi.

Zenith Blueprint: revizorov plan provedbe u 30 koraka obrađuje to u fazi Temelj i vodstvo ISMS-a, korak 2: Potrebe dionika i opseg ISMS-a. Vodič pokazuje kako se očekivanja dionika pretvaraju u planirane kontrole:

Klijenti
(B2B SaaS)
Povjerljivost podataka, raspoloživost prema
SLA-u, prijava povrede u roku od
24 sata
Implementirati kontrole pristupa, šifriranje;
Plan odgovora na incidente uključuje
postupke obavješćivanja.

Također uključuje:

Akcijska stavka 4.2: Sastaviti popis svih značajnih zainteresiranih strana i zabilježiti njihove zahtjeve povezane s informacijskom sigurnošću.

Za ISO 27701:2025 proširite tu akcijsku stavku na privatnost. Zainteresirane strane uključuju klijente, ispitanike, regulatore, izvršitelje obrade, podizvršitelje obrade, zaposlenike, timove za proizvod, internu reviziju, upravu, klijente iz financijskog sektora i sektorske regulatore kada se primjenjuju NIS2 ili DORA.

U fazi upravljanja rizicima, korak 13: Planiranje obrade rizika i Izjava o primjenjivosti, Zenith Blueprint preporučuje sljedivost:

Unakrsno referencirajte propise: ako se određene kontrole implementiraju posebno radi usklađenosti s GDPR-om, NIS2 ili DORA-om, to možete zabilježiti u Registru rizika (kao dio obrazloženja utjecaja rizika) ili u napomenama SoA-e.

Time nastaje zlatna nit koju revizori traže: zahtjev, rizik, kontrola, vlasnik, dokaz, rezultat testiranja i radnja poboljšanja.

Gdje se Zenith Controls uklapa u PIMS model

Clarysecov Zenith Controls: vodič za višestruku usklađenost pomaže timovima izbjeći duplicirane programe usklađenosti mapiranjem tematskih područja kontrola ISO/IEC 27001:2022 i ISO/IEC 27002:2022 na druge standarde, revizijska očekivanja i obrasce dokaza.

Za PIMS dokaze prema ISO 27701:2025 osobito su važne četiri kontrole ISO/IEC 27002:2022:

• 5.2 Uloge i odgovornosti za informacijsku sigurnost
• 5.20 Uređivanje informacijske sigurnosti u ugovorima s dobavljačima
• 5.21 Upravljanje informacijskom sigurnošću u IKT opskrbnom lancu
• 5.34 Privatnost i zaštita osobnih podataka (PII)

Kontrola 5.2 podupire jasnoću uloga. PIMS treba definiranu odgovornost za voditelja PIMS-a, voditelja zaštite privatnosti, vlasnika procesa, vlasnika poslovanja, pravne poslove, nabavu, informacijsku sigurnost, internu reviziju i najviše rukovodstvo.

Kontrola 5.34 podupire temeljnu obvezu privatnosti. Zenith Blueprint, faza Kontrole u praksi, korak 23, objašnjava revizijsko očekivanje:

Iz revizijske perspektive, ova je kontrola sve više u fokusu. Revizori, regulatori i klijenti žele vidjeti:

✓ Gdje se nalaze osobni podaci (PII),
✓ Koja pravna osnova uređuje njihovu obradu,
✓ Kako je pristup ograničen,
✓ Kako se incidenti prijavljuju,
✓ I kako organizacija poštuje prava i održava transparentnost.

Zenith Blueprint nastavlja:

Kontrola 5.34 nije samo kvačica na popisu. Ona je izjava o etičkom skrbništvu.

Kontrole 5.20 i 5.21 povezuju PIMS dokaze s upravljanjem dobavljačima i IKT opskrbnim lancem. Zenith Blueprint, faza Kontrole u praksi, korak 23, navodi teme ugovora s dobavljačima:

Ključna područja koja se uobičajeno uređuju u ugovorima s dobavljačima uključuju:

✓ Obveze povjerljivosti, uključujući opseg, trajanje i ograničenja otkrivanja trećim stranama;
✓ Odgovornosti za kontrolu pristupa, primjerice tko može pristupiti vašim podacima, kako se upravlja vjerodajnicama i koje je praćenje uspostavljeno;
✓ Tehničke i organizacijske mjere za zaštitu podataka, šifriranje, siguran prijenos, sigurnosno kopiranje i obveze dostupnosti;
✓ Rokove i protokole prijavljivanja incidenata, često s definiranim rokovima (npr. „obavijestiti u roku od 24 sata”);
✓ Pravo na reviziju, uključujući učestalost, opseg i pristup relevantnim dokazima (npr. izvješćima o penetracijskim testiranjima, SoA-i, certifikacijama);
✓ Kontrole podugovaratelja, kojima se od dobavljača zahtijeva da prenese ekvivalentne sigurnosne obveze na svoje daljnje partnere;
✓ Odredbe po isteku ugovora, kao što su vraćanje ili uništenje podataka, povrat imovine i deaktivacija računa.

To je most između odgovornosti prema GDPR-u i ISMS dokaza.

Mapiranje PIMS dokaza kroz GDPR, NIS2, DORA, NIST i COBIT 2019

Dokazi o privatnosti rijetko služe samo jednom okviru. Dobro osmišljen PIMS objekt dokaza može odgovoriti na više revizijskih pitanja.

GDPR uspostavlja odgovornost u području privatnosti kroz pravnu osnovu, jasnoću uloga, ugovore s izvršiteljima obrade, prava, postupanje s povredama i dokazivu usklađenost.

NIS2 je relevantan za ključne i važne subjekte, uključujući određene pružatelje usluga u oblaku, pružatelje upravljanih usluga, pružatelje upravljanih sigurnosnih usluga, pružatelje usluga podatkovnih centara i organizacije digitalne infrastrukture. NIS2 Article 20 stavlja odgovornost za upravljanje kibernetičkom sigurnošću na upravljačka tijela. Article 21 zahtijeva odgovarajuće tehničke, operativne i organizacijske mjere, uključujući analizu rizika, postupanje s incidentima, neprekidnost poslovanja, sigurnost opskrbnog lanca, siguran razvoj, procjenu djelotvornosti, osposobljavanje, kriptografiju, sigurnost ljudskih resursa, kontrolu pristupa, upravljanje imovinom i višefaktorsku ili kontinuiranu autentikaciju gdje je primjereno. Article 23 uvodi očekivanja u pogledu prijavljivanja značajnih incidenata, uključujući rano upozorenje u roku od 24 sata i prijavu incidenta u roku od 72 sata.

DORA je relevantna za financijske subjekte i pružatelje IKT usluga trećih strana u financijskim ekosustavima. DORA Articles 5 and 6 zahtijevaju upravljanje IKT rizicima, politike, strategiju, testiranje i kontinuirano poboljšanje. Articles 17 to 19 obuhvaćaju otkrivanje, klasifikaciju, eskalaciju i prijavljivanje IKT incidenata, analizu temeljnog uzroka i naučene lekcije. Articles 28 to 30 zahtijevaju strategiju rizika IKT trećih strana, registre, dubinsku analizu dobavljača, ugovorne odredbe, prava na reviziju, pomoć pri incidentima, zaštitu podataka, planiranje izlaska i pregled rizika koncentracije.

NIST CSF 2.0 pruža jezik upravljanja i rizika kroz GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND i RECOVER. COBIT 2019 dodaje ciljeve upravljanja, upravljačke prakse, vlasništvo, metrike, osiguranje i sposobnost procesa.

Prednost u usklađenosti je jasna. Jedan kontrolirani lanac PIMS dokaza može poduprijeti GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 i klijentsku dubinsku analizu dobavljača.

Kako će revizori testirati vaš PIMS

PIMS revizija nije pregled dokumenata. To je provjera sljedivosti dokaza.

Clarysecova P33 Politika praćenja revizije i usklađenosti podupire revizijski model:

Organizacija mora održavati Registar revizija koji sadrži:

SME ekvivalent, SME politika praćenja revizije i usklađenosti, dodaje važan zahtjev za kvalitetu dokaza:

Metapodaci (npr. tko ih je prikupio, kada i iz kojeg sustava) moraju biti dokumentirani.

Taj zahtjev za metapodacima malen je, ali snažan. Snimke zaslona bez izvora, datuma, prikupljača i konteksta sustava slabi su dokazi. Kontrolirani revizijski dokazi potvrđuju autentičnost, ažurnost i sljedivost.

Kako izgledaju dobri PIMS dokazi

Pretpostavimo da revizor odabere jednu aktivnost: analizu zahtjeva korisničke podrške.

Slab odgovor glasi: „Imamo politiku privatnosti i naš ugovor o obradi podataka to pokriva.”

Snažan PIMS odgovor glasi:

1. REG02 identificira aktivnost, sustave, kategorije osobnih podataka (PII), ispitanike, svrhu, klasifikaciju uloge, čuvanje, prijenose, sigurnosne kontrole i vlasnika.
2. Klasifikacija uloge pokazuje je li organizacija voditelj obrade, izvršitelj obrade ili oboje za određene dijelove tijeka rada.
3. Ako je voditelj obrade, pravna osnova provjerena je i zabilježena u Registru pravnih osnova.
4. Ako je izvršitelj obrade, povezuju se uputa klijenta i točka ugovora o obradi podataka.
5. REG04 pokazuje provjeru rizika za privatnost prije puštanja u produkciju ili značajne promjene.
6. REG08 identificira platformu za evidentiranje zahtjeva, dobavljača AI sažimanja, podizvršitelje obrade, ugovorne kontrole, prava na reviziju, sigurnosne potvrde, uvjete brisanja i pomoć pri incidentima.
7. Dokazi kontrole pristupa pokazuju da je pristup osoblja za podršku temeljen na ulogama i pregledan.
8. Dokazi zapisivanja događaja i praćenja pokazuju da se pristup zahtjevima podrške prati.
9. Dokazi čuvanja i brisanja pokazuju da se zahtjevi brišu ili anonimiziraju u skladu s odobrenim rokom čuvanja.
10. REG12 indeksira sve pripadajuće dokaze s vlasnikom i datumom pregleda.
11. Registar revizija pokazuje je li aktivnost testirana, koji su nalazi utvrđeni i jesu li korektivne radnje zatvorene.

Tako ISO 27701:2025 postaje operativan. Stvara ponovljiv lanac odgovornosti.

Česti propusti u PIMS dokazima

U SaaS, fintech, upravljanim uslugama i B2B tehnološkim okruženjima iste se praznine pojavljuju iznova.

Prvo, organizacije održavaju RoPA ili registar obrade, ali ne klasificiraju uloge voditelja obrade i izvršitelja obrade po aktivnosti. To stvara nejasnoće oko pravne osnove, dokumentiranih uputa i obveza podizvršitelja obrade.

Drugo, pravna se osnova zabilježi jednom i ne provjerava ponovno kada se svrha promijeni. GDPR Article 6 zahtijeva disciplinu u pogledu svrhe i pravne osnove. Daljnja obrada može zahtijevati procjenu usklađenosti sa svrhom i zaštitne mjere.

Treće, popisi dobavljača navode dobavljače, ali ne prikazuju ugovorna kontrolna polja. Popis dobavljača nije isto što i upravljanje izvršiteljima obrade.

Četvrto, odluke o DPIA-i neformalne su. Timovi kažu „nije visok rizik”, ali ne mogu pokazati kriterije provjere, odobravatelja, datum ili dokaz.

Peto, revizijski dokazi postoje, ali nisu kontrolirani. Snimkama zaslona nedostaju metapodaci. Politike su važeće, ali registri su zastarjeli. Ugovori postoje, ali ponovne procjene pri obnovi se propuštaju.

Šesto, procesi za incidente usmjereni su na kibernetičke sigurnosne događaje, ali ne klasificiraju jasno povrede osobnih podataka. Analiza povrede osobnih podataka prema GDPR-u, prijavljivanje značajnih incidenata prema NIS2 i prijavljivanje IKT incidenata prema DORA-i moraju biti koordinirani, a ne duplicirani.

Clarysec rješava te propuste tretiranjem PIMS dokaza kao kontroliranog sustava upravljanja, a ne kao žurnog prikupljanja materijala neposredno prije revizije.

Kontrolni popis spremnosti PIMS dokaza prema ISO 27701:2025

Upotrijebite ovaj kontrolni popis za sljedeći interni pregled spremnosti.

• Definirajte opseg PIMS-a i zainteresirane strane, uključujući klijente, regulatore, ispitanike, dobavljače, internu reviziju i upravu.
• Dodijelite PIMS uloge i odgovornosti, uključujući voditelja PIMS-a, voditelja zaštite privatnosti, vlasnika procesa, pravne poslove, nabavu, informacijsku sigurnost i internu reviziju.
• Izradite REG02 zapise za svaku aktivnost obrade osobnih podataka (PII).
• Klasificirajte ulogu voditelja obrade, izvršitelja obrade, zajedničkog voditelja obrade ili podizvršitelja obrade za svaku aktivnost.
• Provjerite pravnu osnovu za obradu koju provodi voditelj obrade prije početka obrade i prije promjene svrhe.
• Zabilježite dokumentirane upute za aktivnosti izvršitelja obrade.
• Pokrenite REG04 provjeru rizika za privatnost prije nove ili značajno izmijenjene obrade.
• Dovršite DPIA-u kada provjera rizika upućuje na povišen rizik za privatnost.
• Održavajte REG08 za izvršitelje obrade, podizvršitelje obrade, IKT dobavljače i dobavljače relevantne za privatnost.
• Provjerite ugovorna polja za opseg, trajanje, svrhu, kategorije osobnih podataka (PII), povjerljivost, sigurnost, pomoć, prava na reviziju, vraćanje, brisanje i prestanak ugovornog odnosa.
• Održavajte REG12 kao PIMS indeks dokumentiranih informacija.
• Mapirajte PIMS dokaze na obradu rizika prema ISO/IEC 27001:2022 i napomene SoA-e.
• Unakrsno povežite obveze iz GDPR-a, NIS2, DORA-e, NIST CSF 2.0 i COBIT 2019 kada je relevantno.
• Provedite godišnje interne revizije usklađenosti privatnosti i ažurirajte Registar revizija.
• Tromjesečno pregledajte otvorene nalaze, korektivne radnje, odluke o riziku i izvješćivanje upravi.

P17 Politika zaštite podataka i privatnosti potvrđuje revizijski ciklus:

Interna revizija usklađenosti privatnosti mora se provoditi godišnje ili pri većim organizacijskim ili regulatornim promjenama. Opseg revizije mora uključivati:

Poruka je jednostavna. Usklađenost privatnosti se prati, ne pretpostavlja.

Izgradite svoj model PIMS dokaza uz Clarysec

ISO 27701:2025 najvrjedniji je kada je integriran s ISO/IEC 27001:2022 i osmišljen tako da dokaze proizvodi prema zadanim postavkama. Tako privatnost postaje dokaziv operativni model, a ne certifikacijski projekt.

Kada klijent zatraži potvrdu o privatnosti, možete prikazati dokaze. Kada regulator pita zašto ste obrađivali podatke, možete prikazati ulogu, svrhu, pravnu osnovu, zaštitne mjere i odobrenja. Kada revizor pita kako upravljate podizvršiteljima obrade, možete prikazati REG08, ugovorne kontrole, ponovne procjene i prava na reviziju. Kada upravni odbor pita je li rizik za privatnost pod kontrolom, možete prikazati metrike, otvorene radnje, rezultate revizije i preispitivanje od strane uprave.

Ako je vaš PIMS još uvijek bogat politikama, a siromašan dokazima, počnite s lancem koji će revizori slijediti:

REG02 evidencija obrade, REG04 provjera rizika za privatnost, REG08 upravljanje izvršiteljima obrade i podizvršiteljima obrade, REG12 indeks dokaza, Registar pravnih osnova, Registar revizija i SoA mapiranje.

Clarysec vam može pomoći operativno urediti taj lanac kroz:

• Zenith Blueprint: revizorov plan provedbe u 30 koraka, posebno korak 2 za zahtjeve dionika, korak 13 za obradu rizika i sljedivost SoA-e te korak 23 za kontrole privatnosti, dobavljača i organizacijske kontrole.
• Zenith Controls: vodič za višestruku usklađenost, koristeći kontrole ISO/IEC 27002:2022 5.2, 5.20, 5.21 i 5.34 kao praktična uporišta za odgovornost u području privatnosti.
• Clarysecov skup ISO 27701 PIMS politika, uključujući Politiku sustava upravljanja informacijama o privatnosti, Politiku evidencije aktivnosti obrade osobnih podataka i pravne osnove, Politiku procjene rizika za privatnost i DPIA-e, Politiku upravljanja izvršiteljima obrade, podizvršiteljima obrade i trećim stranama u području privatnosti i Politiku dokumentiranih informacija i upravljanja dokazima PIMS-a.
• Podršku za organizacije i SME kroz P17 Politiku zaštite podataka i privatnosti, SME politiku zaštite podataka i privatnosti, SME politiku sigurnosti trećih strana i dobavljača, P33 Politiku praćenja revizije i usklađenosti i SME politiku praćenja revizije i usklađenosti.

Vaš je sljedeći korak jednostavan: odaberite jednu visokorizičnu aktivnost obrade osobnih podataka (PII) i prođite lanac dokaza od REG02 do REG12. Ako se lanac prekine, to je vaš prvi projekt poboljšanja. Ako izdrži, proširite model na cijelu evidenciju aktivnosti obrade.

Tako ISO 27701:2025 postaje više od certifikata. Postaje dokaz odgovornosti prema GDPR-u.