ISO 27701:2025 PIMS įrodymai GDPR auditams

Ketvirtadienis, 08:40. Ava, FinScale atitikties vadovė, ką tik atidarė el. laišką, kurį anksčiau ar vėliau gauna kiekviena sparčiai auganti B2B SaaS bendrovė.

Stambus Vokietijos verslo klientas atsiuntė GDPR deramo patikrinimo klausimyną ir nustatė 48 valandų terminą. Jis neprašo privatumo politikos. Jam nepakanka sertifikato. Jis prašo įrodymų.

Pateikite mūsų duomenų tvarkymo veiklos įrašus. Parodykite subtvarkytojų įtraukimo deramo patikrinimo įrodymus. Paaiškinkite, kaip pagrindžiate savo GDPR Article 28 įsipareigojimus. Nurodykite, ar jūsų platforma kiekvienoje darbo eigoje veikia kaip PII duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas ar subtvarkytojas. Įrodykite, kad jūsų DI palaikomai pagalbos funkcijai patvirtintas teisinis pagrindas. Parodykite ištrynimo įsipareigojimus, audito teises, pagalbą incidentų atveju ir sutartines kontrolės priemones.

Ava žino, kad FinScale turi reikiamas sudedamąsias dalis. Teisės komanda turi Duomenų tvarkymo sutartį. Saugumo komanda turi ISO/IEC 27001:2022 Taikytinumo pareiškimą. Produktų komanda turi paleidimo kontrolinius sąrašus. Pirkimų komanda turi tiekėjų sutartis. Atitikties komanda turi tvarkymo registrą, nors kai kurie įrašai pasenę. Problema ne ta, kad įrodymų nėra. Problema ta, kad įrodymai išskaidyti, vaidmenų neapibrėžtumas neišspręstas, o niekas negali greitai atsekti tvarkymo veiklos nuo tikslo iki teisinio pagrindo, rizikos sprendimo, tiekėjo kontrolės priemonės, saugumo kontrolės priemonės, audito įrašo ir vadovybės peržiūros.

Tai ir yra tikroji atskaitomybės spraga.

ISO 27701:2025 tampa vertingas tada, kai šią spragą uždaro. Privatumo informacijos valdymo sistema, arba PIMS, nėra vien privatumo sertifikavimui skirtas politikų aplankas. Tai veiklos modelis patikimiems įrodymams rengti. CISO, atitikties vadovams, privatumo vadovams, auditoriams ir verslo savininkams tikslas paprastas: sukurti PIMS, kuri įrodo GDPR atskaitomybę PII duomenų valdytojams ir duomenų tvarkytojams, kartu palaikydama ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 ir COBIT 2019 lūkesčius.

GDPR atskaitomybė yra įrodymų problema

GDPR atskaitomybė dažnai klaidingai suprantama kaip dokumentavimo reikalavimas. Ji yra reiklesnė.

GDPR Article 5 apibrėžia pagrindinius asmens duomenų tvarkymo principus, įskaitant teisėtumą, sąžiningumą, skaidrumą, tikslo apribojimą, duomenų kiekio mažinimą, tikslumą, saugojimo trukmės ribojimą, vientisumą ir konfidencialumą. Article 5(2) įpareigoja duomenų valdytoją gebėti įrodyti atitiktį. Article 4 apibrėžia asmens duomenų, tvarkymo, duomenų valdytojo, duomenų tvarkytojo, pseudoniminimo ir asmens duomenų saugumo pažeidimo sąvokas. Article 6 reikalauja teisinio pagrindo kiekvienai duomenų valdytojo tvarkymo veiklai. Article 9 nustato griežtesnes sąlygas specialių kategorijų asmens duomenims. Article 28 reglamentuoja duomenų tvarkytojo įsipareigojimus ir sutarties sąlygas.

Šių įsipareigojimų nepakanka įvykdyti vien viešu privatumo pranešimu. Reikalingi įrodymai tvarkymo veiklos lygmeniu.

Praktinis ISO 27701:2025 PIMS įrodymų modelis turi atsakyti į šiuos klausimus:

• Kokie PII tvarkomi?
• Kodėl jie tvarkomi?
• Ar organizacija veikia kaip duomenų valdytojas, duomenų tvarkytojas, bendras duomenų valdytojas ar subtvarkytojas?
• Koks teisinis pagrindas taikomas, kai organizacija yra duomenų valdytojas?
• Koks dokumentuotas nurodymas taikomas, kai organizacija yra duomenų tvarkytojas?
• Kokios sistemos, tiekėjai, subtvarkytojai ir vietos dalyvauja?
• Koks pirminis privatumo rizikos vertinimas arba DPIA sprendimas buvo atliktas?
• Kokios saugumo kontrolės priemonės saugo PII?
• Kokie įrodymai patvirtina, kad kontrolės priemonė veikė?
• Kas patvirtino liekamąją riziką, išimtis ir korekcinius veiksmus?

Clarysec požiūris šiuos klausimus paverčia politikos įpareigojimais, registrais ir atsekamais įrodymų objektais. Rezultatas – PIMS, galinti atlaikyti klientų deramą patikrinimą, priežiūros institucijos peržiūrą, vidaus auditą, ISO auditą, DORA vertinimą ir valdybos dėmesį.

Pradėkite nuo vaidmenų aiškumo: duomenų valdytojas, duomenų tvarkytojas arba abu

Greičiausias būdas neišlaikyti PIMS audito – visas tvarkymo veiklas traktuoti vienodai.

Pagal GDPR duomenų valdytojas nustato tvarkymo tikslus ir priemones. Duomenų tvarkytojas tvarko asmens duomenis duomenų valdytojo vardu. Daugelis SaaS ir technologijų bendrovių atlieka abu vaidmenis. FinScale yra duomenų tvarkytojas, kai pagal kliento nurodymus talpina kliento galutinių naudotojų duomenis. Ji yra duomenų valdytojas darbuotojų įrašams, rinkodaros potencialiems klientams, atsiskaitymų kontaktams, atrankos duomenims ir daliai produkto analitikos.

Šis skirtumas lemia įrodymų reikalavimus.

Clarysec Privatumo informacijos valdymo sistemos politika vaidmenų klasifikavimą nustato kaip operacinį reikalavimą:

[Abu vaidmenys] Proceso savininkas / verslo savininkas PRIVALO REG02 klasifikuoti organizacijos PIMS vaidmenį kiekvienai PII tvarkymo veiklai prieš pradedant tvarkymo veiklą.

Šis vienas įpareigojimas pakeičia privatumo veiklos modelį. Teisinė peržiūra nebėra vėlyvas paleidimo priedas. Kiekvienas proceso savininkas turi klasifikuoti PIMS vaidmenį prieš pradedant tvarkymą. Ši klasifikacija lemia tolesnę įrodymų grandinę.

Duomenų valdytojo veikloms Clarysec PII tvarkymo veiklos apskaitos ir teisinio pagrindo politika reikalauja teisinio pagrindo patvirtinimo:

[Duomenų valdytojas] Privatumo vadovas / PIMS vadovas PRIVALO patvirtinti REG02 užfiksuotą teisinį pagrindą prieš pradedant duomenų valdytojo tvarkymo veiklą ir prieš įsigaliojant bet kokiam tikslo pakeitimui.

Iš skyriaus „Duomenų valdytojo tikslas ir teisinio pagrindo įrašai“, politikos punktas 4.2.2.

Duomenų tvarkytojo veikloms įrodymų dėmesys persikelia į dokumentuotus nurodymus, sutartines kontrolės priemones, subtvarkytojų valdyseną, saugumo priemones, pagalbos įsipareigojimus, incidentų palaikymą ir duomenų grąžinimą arba ištrynimą nutraukus sutartį. Čia REG08 tampa kritiškai svarbus.

Clarysec Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politika reikalauja:

[Duomenų valdytojas] Privatumo vadovas / PIMS vadovas PRIVALO prieš patvirtinimą patikrinti, kad REG08 duomenų tvarkytojo sutartinių kontrolės priemonių laukai apimtų tvarkymo taikymo sritį, trukmę, tikslą, PII kategorijas, duomenų subjektų kategorijas, konfidencialumą, saugumą, subtvarkytojų autorizavimą, pagalbą, auditą ar patikinimą, grąžinimą, ištrynimą ir sutarties nutraukimą.

Iš skyriaus „Sutarties ir dokumentuotų nurodymų kontrolės priemonės“, politikos punktas 4.3.2.

REG02 nustato tvarkymo veiklą ir vaidmenį. REG04 atlieka pirminį privatumo rizikos vertinimą. REG08 patvirtina duomenų tvarkytojų, subtvarkytojų ir tiekėjų kontrolės priemones. REG12 indeksuoja įrodymus. Kartu jie sukuria PIMS įrodymų grandinę.

PIMS įrodymų grandinė, kurios tikisi auditoriai

Stipri PIMS nereikalauja, kad komandos prižiūrėtų tarpusavyje nesusietas skaičiuokles. Ji apibrėžia įrodymų objektus, savininkus, terminus, peržiūros ciklus ir audito pėdsakus.

Clarysec PIMS dokumentuotos informacijos ir įrodymų valdymo politika nustato:

[Visi] Privatumo vadovas / PIMS vadovas PRIVALO palaikyti PIMS dokumentuotos informacijos indeksą REG12 prieš pradinį PIMS paskelbimą ir vėliau kas ketvirtį.

REG12 neleidžia privatumo programai tapti pasenusių PDF failų aplanku. Jis auditoriui parodo, kokie įrodymai egzistuoja, kur jie saugomi, kas juos valdo, kada jie paskutinį kartą peržiūrėti ir kokias tvarkymo veiklas, rizikas, įsipareigojimus ar kontrolės priemones jie pagrindžia.

Ši įrodymų grandinė natūraliai dera su ISO/IEC 27001:2022 reikalavimais dėl konteksto, suinteresuotųjų šalių, rizikos planavimo, operacinės kontrolės, dokumentuotos informacijos, veiksmingumo vertinimo, vidaus audito, vadovybės peržiūros ir nuolatinio tobulinimo. Ji taip pat siejasi su ISO/IEC 27002:2022 kontrolės priemonėmis, tokiomis kaip 5.2 Information security roles and responsibilities, 5.20 Addressing information security within supplier agreements, 5.21 Managing information security in the ICT supply chain, 5.34 Privacy and protection of PII ir 8.10 Information deletion.

Duomenų valdytojo ir duomenų tvarkytojo įrodymai nėra vienodi

Ava Vokietijos klientas klausia ne tik, ar FinScale turi privatumo politikų. Klientas nori įrodymo, kad FinScale supranta, kokį vaidmenį atlieka kiekviename duomenų sraute.

Veikdama kaip duomenų valdytojas, FinScale turi pagrįsti, kodėl tvarko duomenis. Pavyzdžiui, darbuotojų darbo užmokesčio tvarkymas gali remtis sutarties būtinumu ir teisine prievole. Rinkodara gali remtis sutikimu arba teisėtais interesais, priklausomai nuo konteksto ir jurisdikcijos. Darbuotojų atrankai gali reikėti saugojimo terminų, skaidrumo ir prieigos kontrolės. Įrodymas nėra vien pasirinktas teisinis pagrindas. Tai patvirtintas įrašas, pranešimas, saugojimo taisyklė, teisių įgyvendinimo procedūra ir rizikos sprendimas.

Veikdama kaip duomenų tvarkytojas, FinScale turi įrodyti, kad veikia pagal dokumentuotus kliento nurodymus. Įrodymai apima DPA, produkto konfigūraciją, sistemų žurnalus, saugumo kontrolės priemones, subtvarkytojų autorizavimus, pagalbos procedūras, pažeidimų palaikymo procesą, audito teises ir duomenų ištrynimo arba grąžinimo įrodymus.

Clarysec P17 Duomenų apsaugos ir privatumo politika pabrėžia, kad privatumas turi būti integruotas į ISVS:

Organizacija turi palaikyti formalią privatumo valdysenos sistemą, integruotą į informacijos saugumo valdymo sistemą (ISVS), kad ši politika būtų taikoma.

Iš skyriaus „Valdysenos reikalavimai“, politikos punktas 5.1.

MVĮ versija Duomenų apsaugos ir privatumo politika-sme išlaiko tą pačią įrodymų discipliną:

Privatumo koordinatorius turi palaikyti visų asmens duomenų tvarkymo veiklų registrą, įskaitant duomenų kategorijas, tikslą, teisinį pagrindą ir saugojimo terminus.

Ji taip pat reikalauja:

Teisinis pagrindas (pvz., sutikimas, sutartis, teisinė prievolė) turi būti dokumentuotas tvarkymo registre.

Įmonių programoms P17 Duomenų apsaugos ir privatumo politika prideda atsakomybę:

Teisės departamentas turi palaikyti ir atnaujinti Teisinio pagrindo registrą.

Praktinis pavyzdys: produkto analitikos paleidimas

Apsvarstykime produkto analitikos funkciją, kuri seka naudotojo navigaciją, funkcijų naudojimą, sesijų metaduomenis, organizacijos ID, naudotojo vaidmenį ir įrenginio informaciją. Produktų komanda nori naudojimo įžvalgų. Pardavimų komanda nori naudojimo rodiklių. Klientų sėkmės komanda nori klientų praradimo signalų. Teisės komanda klausia, ar FinScale yra duomenų valdytojas, ar duomenų tvarkytojas. Saugumo komanda klausia, ar žurnaluose yra asmens duomenų. Pirkimų komanda pažymi, kad analitikos tiekėjas naudoja subtvarkytojus.

Stipri PIMS tai paverčia kartojama darbo eiga.

1. Sukurkite arba atnaujinkite REG02 prieš pradedant tvarkymą

Verslo savininkas užfiksuoja veiklą REG02. Įrašas turėtų apimti tikslą, PII kategorijas, duomenų subjektų kategorijas, sistemas, saugojimo terminą, perdavimus, saugumo priemones, vaidmenų klasifikavimą ir teisinį pagrindą arba dokumentuotą nurodymą.

Jei analitika naudojama FinScale paties produkto tobulinimo tikslams, FinScale gali būti šios veiklos duomenų valdytojas. Jei analitika atliekama tik pagal kliento sukonfigūruotus nustatymus kliento vardu, FinScale gali būti duomenų tvarkytojas. Daugelyje SaaS aplinkų vienoje funkcijoje gali egzistuoti abu vaidmenys, priklausomai nuo duomenų srauto ir tikslo.

2. Patvirtinkite teisinį pagrindą arba dokumentuotą nurodymą

Jei FinScale yra duomenų valdytojas, privatumo vadovas arba teisės komanda prieš pradedant tvarkymą patvirtina REG02 nurodytą teisinį pagrindą. Jei tvarkomi specialių kategorijų duomenys, komanda taip pat turi nustatyti atitinkamą GDPR Article 9 sąlygą ir papildomas apsaugos priemones.

Jei FinScale yra duomenų tvarkytojas, įrodymai turi nurodyti kliento dokumentuotą nurodymą. Klausimas tampa toks: kur yra nurodymas, koks tvarkymas leidžiamas ir kaip FinScale įrodo, kad nurodymo laikėsi?

3. Inicijuokite REG04 pirminį privatumo rizikos vertinimą

Clarysec Privatumo rizikos vertinimo ir DPIA politika reikalauja:

[Abu vaidmenys] Proceso savininkas / verslo savininkas PRIVALO inicijuoti pirminį privatumo rizikos vertinimą REG04 prieš pradedant naują arba iš esmės pakeistą PII tvarkymą, užfiksuotą REG02.

Iš skyriaus „Pirminis privatumo rizikos vertinimas“, politikos punktas 4.1.1.

Pirminis vertinimas turėtų įvertinti jautrumą, mastą, stebėsenos poveikį, duomenų subjektų lūkesčius, profiliavimą, automatizuotus sprendimus, tarpvalstybinius perdavimus, tiekėjų prieigą, saugojimą ir kontrolės priemonių veiksmingumą. Jei rizika padidėjusi, PIMS turėtų inicijuoti DPIA ir užfiksuoti sprendimą.

4. Atnaujinkite REG08 tiekėjams ir subtvarkytojams

Jei trečiosios šalies analitikos teikėjas gauna PII, pirkimų, teisės ir privatumo komandos atnaujina REG08. Sutarties laukai turėtų apimti taikymo sritį, trukmę, tikslą, PII kategorijas, konfidencialumą, saugumą, subtvarkytojų autorizavimą, pagalbą, auditą ar patikinimą, grąžinimą, ištrynimą ir nutraukimą.

Trečiųjų šalių ir tiekėjų saugumo politika-sme palaiko šią veiklos discipliną reikalaudama:

Duomenų tvarkymo praktikos arba duomenų privatumo atitikties patikrinimo, kai tvarkoma asmenį identifikuojanti informacija (PII).

P17 Duomenų apsaugos ir privatumo politika taip pat reikalauja:

Pirkimų, teisės ir atitikties komandos turi patikrinti atitiktį GDPR Article 28 ir reikalauti kasmetinio visų didelės rizikos tiekėjų pakartotinio vertinimo.

5. Indeksuokite įrodymus REG12

Galiausiai PIMS vadovas atnaujina REG12, įtraukdamas nuorodas į REG02, teisinio pagrindo patvirtinimą, dokumentuotą nurodymą, REG04 pirminį vertinimą, DPIA, jei reikalinga, REG08 tiekėjo įrašą, DPA, saugumo peržiūrą, saugojimo sprendimą, produkto patvirtinimą ir stebėsenos įrodymus.

Būtent taip privatumas pagal projektą tampa auditui tinkamu įrodymu.

Zenith Blueprint naudojimas atsekamumui sukurti

Žinoti, kokius įrodymus rinkti, yra tik pusė uždavinio. Sudėtingesnė dalis – sukurti sistemą, kuri juos patikimai generuoja.

Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planas tai apibrėžia ISVS pagrindų ir lyderystės etape, 2 žingsnyje: suinteresuotųjų šalių poreikiai ir ISVS taikymo sritis. Gairė parodo, kaip suinteresuotųjų šalių lūkesčiai tampa suplanuotomis kontrolės priemonėmis:

Klientai
(B2B SaaS)
Duomenų konfidencialumas, veikimo laikas pagal
SLA, pranešimas apie pažeidimą per
24 val.
Įgyvendinti prieigos kontrolės priemones, šifravimą;
Reagavimo į incidentus planas apima
pranešimo procedūras.

Joje taip pat nurodoma:

Veiksmas 4.2: Sudarykite visų reikšmingų suinteresuotųjų šalių sąrašą ir pažymėkite jų reikalavimus, susijusius su informacijos saugumu.

ISO 27701:2025 kontekste išplėskite šį veiksmą privatumo sritimi. Suinteresuotosios šalys apima klientus, duomenų subjektus, reguliuotojus, duomenų tvarkytojus, subtvarkytojus, darbuotojus, produktų komandas, vidaus auditą, vadovybę, finansų sektoriaus klientus ir sektoriaus reguliuotojus, kai taikomi NIS2 arba DORA.

Rizikos valdymo etape, 13 žingsnyje „Rizikos tvarkymo planavimas ir Taikytinumo pareiškimas“, Zenith Blueprint rekomenduoja atsekamumą:

Kryžmiškai susiekite reglamentus: jei tam tikros kontrolės priemonės įgyvendintos konkrečiai siekiant atitikti GDPR, NIS2 arba DORA, tai galite pažymėti Rizikų registre (kaip rizikos poveikio pagrindimo dalį) arba SoA pastabose.

Tai sukuria auditorių ieškomą pagrindinę atsekamumo giją: reikalavimas, rizika, kontrolės priemonė, savininkas, įrodymai, testavimo rezultatas ir tobulinimo veiksmas.

Kur Zenith Controls tinka PIMS modelyje

Clarysec Zenith Controls: kelių atitikties režimų vadovas padeda komandoms išvengti dubliuojamų atitikties programų, susiedamas ISO/IEC 27001:2022 ir ISO/IEC 27002:2022 kontrolės temas su kitais standartais, audito lūkesčiais ir įrodymų modeliais.

ISO 27701:2025 PIMS įrodymams ypač svarbios keturios ISO/IEC 27002:2022 kontrolės priemonės:

• 5.2 Information security roles and responsibilities
• 5.20 Addressing information security within supplier agreements
• 5.21 Managing information security in the ICT supply chain
• 5.34 Privacy and protection of PII

Control 5.2 palaiko vaidmenų aiškumą. PIMS reikia apibrėžtos atskaitomybės PIMS vadovui, privatumo vadovui, proceso savininkui, verslo savininkui, teisės, pirkimų, saugumo, vidaus audito funkcijoms ir aukščiausiajai vadovybei.

Control 5.34 palaiko pagrindinį privatumo įsipareigojimą. Zenith Blueprint, kontrolės priemonių taikymo etapo 23 žingsnyje, paaiškina audito lūkestį:

Audito požiūriu ši kontrolės priemonė sulaukia vis daugiau dėmesio. Auditoriai, reguliuotojai ir klientai nori matyti:

✓ Kur yra PII,
✓ Koks teisinis pagrindas reglamentuoja jų tvarkymą,
✓ Kaip ribojama prieiga,
✓ Kaip pranešama apie incidentus,
✓ Ir kaip organizacija įgyvendina teises bei palaiko skaidrumą.

Zenith Blueprint tęsia:

Control 5.34 nėra vien varnelė kontroliniame sąraše. Tai etiško duomenų valdymo pareiškimas.

Controls 5.20 ir 5.21 susieja PIMS įrodymus su tiekėjų ir IRT tiekimo grandinės valdysena. Zenith Blueprint, kontrolės priemonių taikymo etapo 23 žingsnyje, išvardija tiekėjų sutarčių temas:

Pagrindinės sritys, paprastai aptariamos tiekėjų sutartyse, apima:

✓ Konfidencialumo įsipareigojimus, įskaitant taikymo sritį, trukmę ir trečiųjų šalių atskleidimo apribojimus;
✓ Prieigos kontrolės atsakomybes, pavyzdžiui, kas gali pasiekti jūsų duomenis, kaip valdomi prisijungimo duomenys ir kokia stebėsena taikoma;
✓ Technines ir organizacines priemones duomenų apsaugai, šifravimui, saugiam perdavimui, atsarginėms kopijoms ir prieinamumo įsipareigojimams;
✓ Pranešimų apie incidentus terminus ir protokolus, dažnai su apibrėžtais terminais (pvz., „pranešti per 24 valandas“);
✓ Teisę atlikti auditą, įskaitant dažnumą, taikymo sritį ir prieigą prie susijusių įrodymų (pvz., įsiskverbimo testavimo ataskaitų, SoA, sertifikatų);
✓ Subrangovų kontrolės priemones, reikalaujančias, kad tiekėjas perduotų lygiaverčius saugumo įsipareigojimus savo tolesniems partneriams;
✓ Sutarties pabaigos nuostatas, pavyzdžiui, duomenų grąžinimą arba sunaikinimą, turto atkūrimą ir paskyrų deaktyvavimą.

Tai yra tiltas tarp GDPR atskaitomybės ir ISVS įrodymų.

PIMS įrodymų susiejimas su GDPR, NIS2, DORA, NIST ir COBIT 2019

Privatumo įrodymai retai tarnauja tik vienam karkasui. Gerai suprojektuotas PIMS įrodymų objektas gali atsakyti į kelis audito klausimus.

GDPR privatumo atskaitomybę grindžia teisiniu pagrindu, vaidmenų aiškumu, duomenų tvarkytojų sutartimis, teisėmis, pažeidimų valdymu ir įrodoma atitiktimi.

NIS2 yra svarbi esminiams ir svarbiems subjektams, įskaitant tam tikrus debesijos paslaugų teikėjus, valdomų paslaugų teikėjus, valdomo saugumo paslaugų teikėjus, duomenų centrų teikėjus ir skaitmeninės infrastruktūros organizacijas. NIS2 Article 20 nustato kibernetinio saugumo valdysenos atsakomybę valdymo organams. Article 21 reikalauja tinkamų techninių, operacinių ir organizacinių priemonių, įskaitant rizikos analizę, incidentų valdymą, veiklos tęstinumą, tiekimo grandinės saugumą, saugų kūrimą, veiksmingumo vertinimą, mokymus, kriptografiją, personalo saugumą, prieigos kontrolę, turto valdymą ir, kai tinkama, MFA arba tęstinį autentifikavimą. Article 23 nustato reikšmingų incidentų pranešimo lūkesčius, įskaitant ankstyvąjį perspėjimą per 24 valandas ir pranešimą apie incidentą per 72 valandas.

DORA svarbi finansų sektoriaus subjektams ir IRT trečiųjų šalių paslaugų teikėjams finansų ekosistemose. DORA Articles 5 ir 6 reikalauja IRT rizikos valdysenos, politikų, strategijos, testavimo ir nuolatinio tobulinimo. Articles 17 to 19 apima IRT incidentų aptikimą, klasifikavimą, eskalavimą, pranešimą, pagrindinės priežasties analizę ir įgytą patirtį. Articles 28 to 30 reikalauja IRT trečiųjų šalių rizikos strategijos, registrų, deramo patikrinimo, sutartinių nuostatų, audito teisių, pagalbos incidentų atveju, duomenų apsaugos, pasitraukimo planavimo ir koncentracijos rizikos peržiūros.

NIST CSF 2.0 suteikia valdysenos ir rizikos kalbą per GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND ir RECOVER. COBIT 2019 prideda valdysenos tikslus, valdymo praktikas, savininkystę, rodiklius, patikinimą ir procesų pajėgumą.

Atitikties pranašumas aiškus. Viena valdoma PIMS įrodymų grandinė gali palaikyti GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 ir klientų deramą patikrinimą.

Kaip auditoriai testuos jūsų PIMS

PIMS auditas nėra dokumentų peržiūra. Tai įrodymų atsekamumo pratimas.

Clarysec P33 Audito ir atitikties stebėsenos politika palaiko audito modelį:

Organizacija turi palaikyti Audito registrą, kuriame nurodoma:

MVĮ atitikmuo Audito ir atitikties stebėsenos politika-sme prideda svarbų įrodymų kokybės reikalavimą:

Metaduomenys (pvz., kas juos surinko, kada ir iš kurios sistemos) turi būti dokumentuoti.

Šis metaduomenų reikalavimas nedidelis, bet veiksmingas. Ekrano kopijos be šaltinio, datos, rinkėjo ir sistemos konteksto yra silpni įrodymai. Valdomi audito įrodymai patvirtina autentiškumą, aktualumą ir atsekamumą.

Kaip atrodo geri PIMS įrodymai

Tarkime, auditorius pasirenka vieną veiklą: klientų pagalbos užklausų analizę.

Silpnas atsakymas būtų: „Turime privatumo politiką, o mūsų DPA tai apima.“

Stiprus PIMS atsakymas:

1. REG02 identifikuoja veiklą, sistemas, PII kategorijas, duomenų subjektus, tikslą, vaidmenų klasifikavimą, saugojimą, perdavimus, saugumo kontrolės priemones ir savininką.
2. Vaidmenų klasifikavimas parodo, ar organizacija konkrečiose darbo eigos dalyse yra duomenų valdytojas, duomenų tvarkytojas, ar abu.
3. Jei tai duomenų valdytojo veikla, teisinis pagrindas patvirtintas ir užfiksuotas Teisinio pagrindo registre.
4. Jei tai duomenų tvarkytojo veikla, susieti kliento nurodymas ir DPA sąlyga.
5. REG04 rodo pirminį privatumo rizikos vertinimą prieš paleidimą arba esminį pakeitimą.
6. REG08 identifikuoja užklausų platformą, DI santraukų rengimo tiekėją, subtvarkytojus, sutartines kontrolės priemones, audito teises, saugumo patikinimus, ištrynimo sąlygas ir pagalbą incidentų atveju.
7. Prieigos kontrolės įrodymai rodo, kad pagalbos personalo prieiga yra vaidmenimis grindžiama ir peržiūrima.
8. Žurnalų tvarkymo ir stebėsenos įrodymai rodo, kad prieiga prie pagalbos užklausų stebima.
9. Saugojimo ir ištrynimo įrodymai rodo, kad užklausos ištrinamos arba anonimizuojamos pagal patvirtintą saugojimo terminą.
10. REG12 indeksuoja visus palaikančius įrodymus su savininku ir peržiūros data.
11. Audito registras rodo, ar veikla buvo testuota, kokios išvados pateiktos ir ar korekciniai veiksmai uždaryti.

Taip ISO 27701:2025 tampa operacinis. Jis sukuria kartojamą atskaitomybės grandinę.

Dažnos PIMS įrodymų klaidos

SaaS, finansinių technologijų, valdomų paslaugų ir B2B technologijų aplinkose nuolat kartojasi tos pačios spragos.

Pirma, organizacijos palaiko RoPA arba tvarkymo registrą, tačiau neklasifikuoja duomenų valdytojo ir duomenų tvarkytojo vaidmenų pagal kiekvieną veiklą. Tai sukelia painiavą dėl teisinio pagrindo, dokumentuotų nurodymų ir subtvarkytojų įsipareigojimų.

Antra, teisinis pagrindas užfiksuojamas vieną kartą ir nepatvirtinamas iš naujo pasikeitus tikslui. GDPR Article 6 reikalauja drausmės dėl tikslo ir teisinio pagrindo. Tolesniam tvarkymui gali reikėti suderinamumo vertinimo ir apsaugos priemonių.

Trečia, tiekėjų apskaitos sąrašuose tiekėjai nurodomi, tačiau nerodomi sutartinių kontrolės priemonių laukai. Tiekėjų sąrašas nėra tas pats, kas duomenų tvarkytojų valdysena.

Ketvirta, DPIA sprendimai yra neformalūs. Komandos teigia „ne didelė rizika“, bet negali parodyti atrankos kriterijų, tvirtintojo, datos ar įrodymų.

Penkta, audito įrodymai egzistuoja, bet nėra valdomi. Ekrano kopijoms trūksta metaduomenų. Politikos yra aktualios, bet registrai pasenę. Sutartys yra, bet atnaujinimo pakartotiniai vertinimai praleidžiami.

Šešta, incidentų procesai orientuoti į kibernetinio saugumo įvykius, bet aiškiai neklasifikuoja asmens duomenų saugumo pažeidimų. GDPR asmens duomenų saugumo pažeidimų analizė, NIS2 reikšmingų incidentų pranešimas ir DORA IRT incidentų pranešimas turi būti koordinuojami, o ne dubliuojami.

Clarysec šias klaidas sprendžia traktuodama PIMS įrodymus kaip valdomą vadybos sistemą, o ne kaip paskutinės minutės pasirengimą auditui.

ISO 27701:2025 PIMS įrodymų pasirengimo kontrolinis sąrašas

Naudokite šį kontrolinį sąrašą kitai vidinei pasirengimo peržiūrai.

• Apibrėžkite PIMS taikymo sritį ir suinteresuotąsias šalis, įskaitant klientus, reguliuotojus, duomenų subjektus, tiekėjus, vidaus auditą ir vadovybę.
• Priskirkite PIMS vaidmenis ir atsakomybes, įskaitant PIMS vadovą, privatumo vadovą, proceso savininką, teisę, pirkimus, saugumą ir vidaus auditą.
• Sukurkite REG02 įrašus kiekvienai PII tvarkymo veiklai.
• Kiekvienai veiklai klasifikuokite duomenų valdytojo, duomenų tvarkytojo, bendro duomenų valdytojo arba subtvarkytojo vaidmenį.
• Patvirtinkite duomenų valdytojo tvarkymo teisinį pagrindą prieš pradedant tvarkymą ir prieš keičiant tikslą.
• Užfiksuokite dokumentuotus nurodymus duomenų tvarkytojo veikloms.
• Inicijuokite REG04 pirminį privatumo rizikos vertinimą prieš naują arba iš esmės pakeistą tvarkymą.
• Atlikite DPIA, kai pirminis rizikos vertinimas rodo padidėjusią privatumo riziką.
• Palaikykite REG08 duomenų tvarkytojams, subtvarkytojams, IRT tiekėjams ir privatumo požiūriu svarbiems tiekėjams.
• Patikrinkite sutarties laukus dėl taikymo srities, trukmės, tikslo, PII kategorijų, konfidencialumo, saugumo, pagalbos, audito teisių, grąžinimo, ištrynimo ir nutraukimo.
• Palaikykite REG12 kaip PIMS dokumentuotos informacijos indeksą.
• Susiekite PIMS įrodymus su ISO/IEC 27001:2022 rizikos tvarkymu ir SoA pastabomis.
• Kai aktualu, kryžmiškai susiekite GDPR, NIS2, DORA, NIST CSF 2.0 ir COBIT 2019 įsipareigojimus.
• Kasmet atlikite vidaus privatumo atitikties auditus ir atnaujinkite Audito registrą.
• Kas ketvirtį peržiūrėkite atviras išvadas, korekcinius veiksmus, rizikos sprendimus ir vadovybei teikiamas ataskaitas.

P17 Duomenų apsaugos ir privatumo politika sustiprina audito ciklą:

Vidaus privatumo atitikties auditas turi būti atliekamas kasmet arba įvykus reikšmingiems organizaciniams ar reglamentavimo pokyčiams. Audito taikymo sritis turi apimti:

Žinutė paprasta. Privatumo atitiktis stebima, o ne laikoma savaime suprantama.

Sukurkite PIMS įrodymų modelį su Clarysec

ISO 27701:2025 yra vertingiausias tada, kai integruojamas su ISO/IEC 27001:2022 ir suprojektuojamas taip, kad įrodymai būtų generuojami pagal numatytuosius nustatymus. Taip privatumas tampa pagrindžiamu veiklos modeliu, o ne sertifikavimo projektu.

Kai klientas prašo privatumo patikinimo, galite parodyti įrodymus. Kai reguliuotojas klausia, kodėl tvarkėte duomenis, galite parodyti vaidmenį, tikslą, teisinį pagrindą, apsaugos priemones ir patvirtinimus. Kai auditorius klausia, kaip valdote subtvarkytojus, galite parodyti REG08, sutartines kontrolės priemones, pakartotinius vertinimus ir audito teises. Kai valdyba klausia, ar privatumo rizika kontroliuojama, galite parodyti rodiklius, atvirus veiksmus, audito rezultatus ir vadovybės peržiūrą.

Jei jūsų PIMS vis dar paremta daugiausia politikomis, bet turi mažai įrodymų, pradėkite nuo grandinės, kuria seks auditoriai:

REG02 tvarkymo veiklos apskaita, REG04 pirminis privatumo rizikos vertinimas, REG08 duomenų tvarkytojų ir subtvarkytojų valdysena, REG12 įrodymų indeksas, Teisinio pagrindo registras, Audito registras ir SoA susiejimas.

Clarysec gali padėti šią grandinę paversti veikiančiu procesu per:

• Zenith Blueprint: auditoriaus 30 žingsnių veiksmų planą, ypač 2 žingsnį dėl suinteresuotųjų šalių reikalavimų, 13 žingsnį dėl rizikos tvarkymo ir SoA atsekamumo bei 23 žingsnį dėl privatumo, tiekėjų ir organizacinių kontrolės priemonių.
• Zenith Controls: kelių atitikties režimų vadovą, naudojant ISO/IEC 27002:2022 kontrolės priemones 5.2, 5.20, 5.21 ir 5.34 kaip praktinius privatumo atskaitomybės pagrindus.
• Clarysec ISO 27701 PIMS politikų rinkinį, įskaitant Privatumo informacijos valdymo sistemos politiką, PII tvarkymo veiklos apskaitos ir teisinio pagrindo politiką, Privatumo rizikos vertinimo ir DPIA politiką, Duomenų tvarkytojų, subtvarkytojų ir trečiųjų šalių privatumo valdymo politiką ir PIMS dokumentuotos informacijos ir įrodymų valdymo politiką.
• Įmonių ir MVĮ palaikymą per P17 Duomenų apsaugos ir privatumo politiką, Duomenų apsaugos ir privatumo politiką-sme, Trečiųjų šalių ir tiekėjų saugumo politiką-sme, P33 Audito ir atitikties stebėsenos politiką ir Audito ir atitikties stebėsenos politiką-sme.

Kitas veiksmas paprastas: pasirinkite vieną didelės rizikos PII tvarkymo veiklą ir pereikite įrodymų grandine nuo REG02 iki REG12. Jei grandinė nutrūksta, tai pirmasis jūsų tobulinimo projektas. Jei ji veikia, išplėskite modelį visoje tvarkymo veiklos apskaitoje.

Taip ISO 27701:2025 tampa daugiau nei sertifikatu. Jis tampa GDPR atskaitomybės įrodymu.