Dovezi PIMS ISO 27701:2025 pentru audituri GDPR

Este joi, ora 08:40, iar Ava, manager de conformitate la FinScale, tocmai a deschis e-mailul pe care, mai devreme sau mai târziu, îl primește orice companie B2B SaaS aflată în creștere rapidă.

Un client enterprise important din Germania a transmis un chestionar GDPR de due diligence, cu termen de răspuns de 48 de ore. Nu cere o politică de confidențialitate. Nu se mulțumește cu un certificat. Cere dovezi.

Furnizați Registrul activităților de prelucrare pentru datele noastre. Prezentați dovezi privind due diligence-ul efectuat la integrarea persoanelor subîmputernicite. Explicați cum demonstrați obligațiile prevăzute de GDPR Article 28. Identificați dacă platforma dumneavoastră acționează ca operator PII, persoană împuternicită, operator asociat sau persoană subîmputernicită pentru fiecare flux de lucru. Dovediți că temeiul juridic a fost validat pentru funcționalitatea de suport asistată de IA. Prezentați obligațiile de ștergere, drepturile de audit, suportul pentru incidente și controalele contractuale.

Ava știe că FinScale are elementele necesare. Departamentul Juridic are Acordul privind prelucrarea datelor. Echipa de securitate are Declarația de aplicabilitate ISO/IEC 27001:2022. Echipa de produs are liste de verificare pentru lansări. Achizițiile au contractele cu furnizorii. Conformitatea are un registru al prelucrărilor, deși unele înregistrări sunt depășite. Problema nu este că dovezile nu există. Problema este că dovezile sunt dispersate, ambiguitatea rolurilor nu este rezolvată, iar nimeni nu poate urmări rapid o activitate de prelucrare de la scop la temei juridic, decizie de risc, control al furnizorului, control de securitate, înregistrare de audit și revizuire de management.

Aceasta este lacuna reală în demonstrarea responsabilității.

ISO 27701:2025 devine valoros atunci când închide această lacună. Un Sistem de management al informațiilor privind confidențialitatea, sau PIMS, nu este doar un dosar de politici pentru certificarea confidențialității. Este un model operațional pentru producerea unor dovezi fiabile. Pentru CISO, manageri de conformitate, responsabili cu protecția datelor, auditori și proprietari de business, obiectivul este simplu: construiți un PIMS care dovedește respectarea principiului responsabilității din GDPR pentru operatorii și persoanele împuternicite care prelucrează PII, susținând în același timp așteptările ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 și COBIT 2019.

Principiul responsabilității din GDPR este o problemă de dovezi

Principiul responsabilității din GDPR este adesea înțeles greșit ca o simplă cerință de documentare. Este mai exigent decât atât.

GDPR Article 5 definește principiile de bază ale prelucrării datelor cu caracter personal, inclusiv legalitatea, echitatea, transparența, limitarea scopului, minimizarea datelor, exactitatea, limitarea stocării, integritatea și confidențialitatea. Article 5(2) face operatorul responsabil pentru capacitatea de a demonstra conformitatea. Article 4 definește vocabularul privind datele cu caracter personal, prelucrarea, operatorul, persoana împuternicită, pseudonimizarea și încălcarea securității datelor cu caracter personal. Article 6 solicită un temei juridic pentru fiecare activitate de prelucrare efectuată de operator. Article 9 adaugă condiții mai stricte pentru categoriile speciale de date cu caracter personal. Article 28 reglementează obligațiile persoanei împuternicite și clauzele contractuale.

Aceste obligații nu sunt îndeplinite doar printr-o notă publică de informare privind confidențialitatea. Ele necesită dovezi la nivelul activității de prelucrare.

Un model practic de dovezi PIMS ISO 27701:2025 trebuie să răspundă la următoarele întrebări:

• Ce PII sunt prelucrate?
• De ce sunt prelucrate?
• Organizația acționează ca operator, persoană împuternicită, operator asociat sau persoană subîmputernicită?
• Ce temei juridic se aplică atunci când organizația este operator?
• Ce instrucțiune documentată se aplică atunci când organizația este persoană împuternicită?
• Ce sisteme, furnizori, persoane subîmputernicite și locații sunt implicate?
• Ce evaluare preliminară a riscurilor privind confidențialitatea sau ce decizie DPIA a fost realizată?
• Ce controale de securitate protejează PII?
• Ce dovezi arată că respectivul control a funcționat?
• Cine a aprobat riscul rezidual, excepțiile și acțiunile corective?

Abordarea Clarysec transformă aceste întrebări în obligații de politică, registre și elemente de dovadă trasabile. Rezultatul este un PIMS care poate rezista verificărilor de due diligence ale clienților, revizuirii de către autoritatea de supraveghere, auditului intern, auditului ISO, evaluărilor DORA și examinării de către organul de conducere.

Începeți cu claritatea rolurilor: operator, persoană împuternicită sau ambele

Cea mai rapidă cale de a eșua un audit PIMS este tratarea tuturor activităților de prelucrare în același mod.

Conform GDPR, un operator stabilește scopurile și mijloacele prelucrării. O persoană împuternicită prelucrează date cu caracter personal în numele unui operator. Multe companii SaaS și de tehnologie fac ambele lucruri. FinScale este persoană împuternicită atunci când găzduiește datele utilizatorilor finali ai clienților conform instrucțiunilor acestora. Este operator pentru evidențele angajaților, leadurile de marketing, contactele de facturare, datele de recrutare și unele analize de produs.

Această distincție determină cerințele privind dovezile.

Politica privind Sistemul de management al informațiilor privind confidențialitatea Clarysec transformă clasificarea rolului într-o cerință operațională:

[Ambele] Proprietarul de proces / proprietarul de business TREBUIE să clasifice rolul PIMS al organizației pentru fiecare activitate de prelucrare PII în REG02 înainte ca activitatea de prelucrare să înceapă.

Această singură obligație schimbă modelul operațional al confidențialității. Revizuirea juridică nu mai este un element adăugat târziu la lansare. Fiecare proprietar de proces trebuie să clasifice rolul PIMS înainte de începerea prelucrării. Clasificarea respectivă determină lanțul de dovezi din aval.

Pentru activitățile de operator, Politica privind inventarul prelucrării PII și temeiul juridic Clarysec impune validarea temeiului juridic:

[Operator] Responsabilul cu protecția datelor / Managerul PIMS TREBUIE să valideze temeiul juridic înregistrat în REG02 înainte de începerea prelucrării de către operator și înainte ca orice modificare a scopului să intre în vigoare.

Din secțiunea „Înregistrări privind scopul operatorului și temeiul juridic”, clauza de politică 4.2.2.

Pentru activitățile de persoană împuternicită, accentul dovezilor se mută către instrucțiuni documentate, controale contractuale, guvernanța persoanelor subîmputernicite, măsuri de securitate, obligații de asistență, suport pentru incidente și returnare sau ștergere la încetare. Aici REG08 devine critic.

Politica privind managementul confidențialității pentru persoane împuternicite, persoane subîmputernicite și terți Clarysec impune:

[Operator] Responsabilul cu protecția datelor / Managerul PIMS TREBUIE să verifice că în REG08 câmpurile privind controalele contractuale ale persoanei împuternicite acoperă domeniul prelucrării, durata, scopul, categoriile de PII, categoriile de persoane vizate, confidențialitatea, securitatea, autorizarea persoanelor subîmputernicite, asistența, auditul sau asigurarea, returnarea, ștergerea și încetarea înainte de aprobare.

Din secțiunea „Controale contractuale și instrucțiuni documentate”, clauza de politică 4.3.2.

REG02 stabilește activitatea de prelucrare și rolul. REG04 realizează evaluarea preliminară a riscului privind confidențialitatea. REG08 validează controalele pentru persoana împuternicită, persoana subîmputernicită și furnizor. REG12 indexează dovezile. Împreună, acestea creează lanțul de dovezi PIMS.

Lanțul de dovezi PIMS pe care îl așteaptă auditorii

Un PIMS solid nu cere echipelor să întrețină foi de calcul izolate. El definește elemente de dovadă, proprietari, termene, cicluri de revizuire și piste de audit.

Politica privind informațiile documentate și managementul dovezilor PIMS Clarysec prevede:

[Toți] Responsabilul cu protecția datelor / Managerul PIMS TREBUIE să mențină în REG12 un index al informațiilor documentate PIMS înainte de publicarea inițială a PIMS și trimestrial ulterior.

REG12 previne transformarea programului de confidențialitate într-un folder cu PDF-uri depășite. Îi arată auditorului ce dovezi există, unde sunt stocate, cine le deține, când au fost revizuite ultima dată și ce activități de prelucrare, riscuri, obligații sau controale susțin.

Acest lanț de dovezi se aliniază natural cu cerințele ISO/IEC 27001:2022 privind contextul, părțile interesate, planificarea riscurilor, controlul operațional, informațiile documentate, evaluarea performanței, auditul intern, revizuirea de management și îmbunătățirea continuă. De asemenea, se conectează la controalele ISO/IEC 27002:2022, precum 5.2 Roluri și responsabilități privind securitatea informației, 5.20 Abordarea securității informației în acordurile cu furnizorii, 5.21 Gestionarea securității informației în lanțul de aprovizionare TIC, 5.34 Confidențialitatea și protecția PII și 8.10 Ștergerea informațiilor.

Dovezile pentru operator și pentru persoana împuternicită nu sunt aceleași

Clientul german al Avei nu întreabă doar dacă FinScale are politici de confidențialitate. Clientul dorește dovada că FinScale înțelege ce rol are pentru fiecare flux de date.

Atunci când acționează ca operator, FinScale trebuie să justifice de ce prelucrează datele. De exemplu, prelucrarea salarizării angajaților se poate baza pe necesitatea executării contractului și pe o obligație legală. Marketingul se poate baza pe consimțământ sau pe interese legitime, în funcție de context și jurisdicție. Recrutarea poate necesita limite de păstrare, transparență și controale de acces. Dovada nu este doar temeiul juridic selectat. Ea include înregistrarea validată, nota de informare, regula de păstrare, procedura privind drepturile și decizia de risc.

Atunci când acționează ca persoană împuternicită, FinScale trebuie să dovedească faptul că acționează conform instrucțiunilor documentate ale clientului. Dovezile includ DPA, configurația produsului, jurnalele de sistem, controalele de securitate, autorizările persoanelor subîmputernicite, procedurile de asistență, procesul de suport pentru încălcări, drepturile de audit și dovezile de ștergere sau returnare.

P17 Politica de protecție a datelor și confidențialitate Clarysec consolidează cerința ca protecția datelor să fie integrată în SMSI:

Organizația trebuie să mențină un cadru formal de guvernanță a confidențialității integrat în Sistemul de management al securității informației (SMSI) pentru a aplica această politică.

Din secțiunea „Cerințe de guvernanță”, clauza de politică 5.1.

Versiunea pentru IMM-uri, Politica de protecție a datelor și confidențialitate pentru IMM-uri, păstrează aceeași disciplină a dovezilor:

Coordonatorul pentru confidențialitate trebuie să mențină un registru al tuturor activităților de prelucrare a datelor cu caracter personal, incluzând categoriile de date, scopul, temeiul juridic și perioadele de păstrare

Aceasta impune, de asemenea:

Temeiul juridic (de exemplu, consimțământ, contract, obligație legală) trebuie documentat în registrul de prelucrare

Pentru programele enterprise, P17 Politica de protecție a datelor și confidențialitate adaugă responsabilitatea deținătorului:

Departamentul Juridic trebuie să mențină și să actualizeze Registrul temeiurilor juridice.

Exemplu practic: lansarea analiticii de produs

Luați în considerare o funcționalitate de analiză a produsului care urmărește navigarea utilizatorului, adoptarea funcționalităților, metadatele sesiunii, ID-ul organizației, rolul utilizatorului și informațiile despre dispozitiv. Echipa de produs dorește informații despre utilizare. Vânzările doresc metrici de adopție. Customer success dorește semnale de churn. Departamentul Juridic întreabă dacă FinScale este operator sau persoană împuternicită. Securitatea întreabă dacă jurnalele conțin date cu caracter personal. Achizițiile observă că furnizorul de analitică utilizează persoane subîmputernicite.

Un PIMS solid transformă această situație într-un flux de lucru repetabil.

1. Creați sau actualizați REG02 înainte de începerea prelucrării

Proprietarul de business înregistrează activitatea în REG02. Înregistrarea trebuie să includă scopul, categoriile de PII, categoriile de persoane vizate, sistemele, perioada de păstrare, transferurile, măsurile de securitate, clasificarea rolului și temeiul juridic sau instrucțiunea documentată.

Dacă analitica este utilizată pentru scopurile proprii ale FinScale de îmbunătățire a produsului, FinScale poate fi operator pentru acea activitate. Dacă analitica este efectuată doar conform setărilor configurate de client, în numele clientului, FinScale poate fi persoană împuternicită. În multe medii SaaS, ambele roluri pot exista într-o singură funcționalitate, în funcție de fluxul de date și de scop.

2. Validați temeiul juridic sau instrucțiunea documentată

Dacă FinScale este operatorul, Responsabilul cu protecția datelor sau Departamentul Juridic validează temeiul juridic în REG02 înainte de începerea prelucrării. Dacă sunt implicate date din categorii speciale, echipa trebuie să identifice și condiția relevantă din GDPR Article 9 și măsurile suplimentare de protecție.

Dacă FinScale este persoană împuternicită, dovezile trebuie să indice instrucțiunea documentată a clientului. Întrebarea devine: unde este instrucțiunea, ce prelucrare este permisă și cum dovedește FinScale că a urmat instrucțiunea?

3. Declanșați evaluarea preliminară a riscurilor privind confidențialitatea în REG04

Politica privind evaluarea riscurilor privind confidențialitatea și DPIA Clarysec impune:

[Ambele] Proprietarul de proces / proprietarul de business TREBUIE să inițieze evaluarea preliminară a riscurilor privind confidențialitatea în REG04 înainte de începerea unei prelucrări PII noi sau modificate semnificativ, înregistrată în REG02.

Din secțiunea „Evaluare preliminară a riscurilor privind confidențialitatea”, clauza de politică 4.1.1.

Evaluarea preliminară trebuie să analizeze sensibilitatea, amploarea, implicațiile monitorizării, așteptările persoanelor vizate, crearea de profiluri, deciziile automatizate, transferurile transfrontaliere, accesul furnizorilor, păstrarea și eficacitatea controalelor. Dacă riscul este ridicat, PIMS trebuie să declanșeze o DPIA și să înregistreze decizia.

4. Actualizați REG08 pentru furnizori și persoane subîmputernicite

Dacă un furnizor terț de analitică primește PII, Achizițiile, Juridicul și funcția de confidențialitate actualizează REG08. Câmpurile contractuale trebuie să acopere domeniul, durata, scopul, categoriile de PII, confidențialitatea, securitatea, autorizarea persoanelor subîmputernicite, asistența, auditul sau asigurarea, returnarea, ștergerea și încetarea.

Politica de securitate privind terții și furnizorii pentru IMM-uri susține această disciplină operațională prin cerința de:

Verificare a practicilor de gestionare a datelor sau a conformității privind protecția datelor cu caracter personal atunci când sunt implicate informații de identificare personală (PII)

P17 Politica de protecție a datelor și confidențialitate impune, de asemenea:

Echipele de Achiziții, Juridic și Conformitate trebuie să verifice conformitatea cu Article 28 din GDPR și să solicite reevaluarea anuală a tuturor furnizorilor cu risc ridicat.

5. Indexați dovezile în REG12

În final, Managerul PIMS actualizează REG12 cu linkuri către REG02, validarea temeiului juridic, instrucțiunea documentată, evaluarea preliminară REG04, DPIA dacă este necesară, înregistrarea furnizorului în REG08, DPA, revizuirea de securitate, decizia de păstrare, aprobarea produsului și dovezile de monitorizare.

Acesta este mecanismul prin care protecția datelor încă din faza de proiectare devine dovadă pregătită pentru audit.

Utilizarea Zenith Blueprint pentru construirea trasabilității

A ști ce dovezi trebuie colectate reprezintă doar jumătate din provocare. Partea mai dificilă este construirea unui sistem care le produce în mod fiabil.

Zenith Blueprint: foaia de parcurs în 30 de pași a auditorului încadrează acest aspect în faza de Fundamentare și leadership SMSI, Pasul 2: Nevoile părților interesate și domeniul de aplicare al SMSI. Ghidul arată cum așteptările părților interesate devin controale planificate:

Clienți
(B2B SaaS)
Confidențialitatea datelor, disponibilitate conform
SLA, notificarea încălcării în termen de
24h
Implementați controale de acces, criptare;
planul de răspuns la incidente include
proceduri de notificare.

Acesta include și:

Element de acțiune 4.2: Compilați o listă a tuturor părților interesate semnificative și notați cerințele acestora legate de securitatea informației.

Pentru ISO 27701:2025, extindeți acest element de acțiune la confidențialitate. Părțile interesate includ clienți, persoane vizate, autorități de reglementare, persoane împuternicite, persoane subîmputernicite, angajați, echipe de produs, Audit Intern, management, clienți din sectorul financiar și autorități sectoriale de reglementare acolo unde se aplică NIS2 sau DORA.

În faza de Management al riscurilor, Pasul 13: Planificarea tratamentului riscurilor și Declarația de aplicabilitate, Zenith Blueprint recomandă trasabilitatea:

Referențiați încrucișat reglementările: dacă anumite controale sunt implementate în mod specific pentru a respecta GDPR, NIS2 sau DORA, puteți nota acest lucru fie în Registrul de riscuri (ca parte a justificării impactului riscului), fie în notele SoA.

Aceasta creează firul logic pe care îl caută auditorii: cerință, risc, control, proprietar, dovadă, rezultat al testării și acțiune de îmbunătățire.

Unde se încadrează Zenith Controls în modelul PIMS

Zenith Controls: ghidul de conformitate transversală Clarysec ajută echipele să evite programele de conformitate duplicative prin maparea temelor de control din ISO/IEC 27001:2022 și ISO/IEC 27002:2022 la alte standarde, așteptări de audit și tipare de dovezi.

Pentru dovezile PIMS ISO 27701:2025, patru controale ISO/IEC 27002:2022 sunt deosebit de importante:

• 5.2 Roluri și responsabilități privind securitatea informației
• 5.20 Abordarea securității informației în acordurile cu furnizorii
• 5.21 Gestionarea securității informației în lanțul de aprovizionare TIC
• 5.34 Confidențialitatea și protecția PII

Controlul 5.2 susține claritatea rolurilor. Un PIMS are nevoie de responsabilități definite pentru Managerul PIMS, Responsabilul cu protecția datelor, Proprietarul de proces, proprietarul de business, Juridic, Achiziții, Securitate, Audit Intern și conducerea de vârf.

Controlul 5.34 susține obligația centrală de confidențialitate. Zenith Blueprint, faza Controale în acțiune, Pasul 23, explică așteptarea de audit:

Din perspectiva auditului, acest control este tot mai mult în atenție. Auditorii, autoritățile de reglementare și clienții doresc deopotrivă să vadă:

✓ Unde se află PII,
✓ Ce temei juridic guvernează prelucrarea,
✓ Cum este restricționat accesul,
✓ Cum sunt raportate incidentele,
✓ Și cum respectă organizația drepturile și menține transparența.

Zenith Blueprint continuă:

Controlul 5.34 nu este doar o bifă. Este o declarație de administrare etică.

Controalele 5.20 și 5.21 conectează dovezile PIMS cu guvernanța furnizorilor și a lanțului de aprovizionare TIC. Zenith Blueprint, faza Controale în acțiune, Pasul 23, enumeră subiectele din acordurile cu furnizorii:

Domeniile-cheie abordate de regulă în acordurile cu furnizorii includ:

✓ Obligații de confidențialitate, inclusiv domeniu, durată și restricții privind divulgarea către terți;
✓ Responsabilități de control al accesului, precum cine poate accesa datele, cum sunt gestionate credențialele și ce monitorizare există;
✓ Măsuri tehnice și organizatorice pentru protecția datelor, criptare, transmitere securizată, backup și angajamente de disponibilitate;
✓ Termene și protocoale de raportare a incidentelor, adesea cu intervale definite (de exemplu, „notificare în termen de 24 de ore”);
✓ Drept de audit, inclusiv frecvență, domeniu și acces la dovezi relevante (de exemplu, rapoarte de testare de penetrare, SoA, certificări);
✓ Controale pentru subcontractori, care impun furnizorului să transmită obligații de securitate echivalente partenerilor săi din aval;
✓ Prevederi la încetarea contractului, precum returnarea sau distrugerea datelor, recuperarea activelor și dezactivarea conturilor.

Aceasta este puntea dintre principiul responsabilității din GDPR și dovezile SMSI.

Maparea dovezilor PIMS între GDPR, NIS2, DORA, NIST și COBIT 2019

Dovezile privind confidențialitatea rareori deservesc un singur cadru. Un element de dovadă PIMS bine proiectat poate răspunde mai multor întrebări de audit.

GDPR ancorează responsabilitatea privind confidențialitatea prin temei juridic, claritatea rolurilor, contracte cu persoanele împuternicite, drepturi, gestionarea încălcărilor și capacitatea de a demonstra conformitatea.

NIS2 este relevantă pentru entitățile esențiale și importante, inclusiv anumiți furnizori cloud, furnizori de servicii administrate, furnizori de servicii de securitate administrate, furnizori de centre de date și organizații de infrastructură digitală. NIS2 Article 20 atribuie responsabilitatea de guvernanță a securității cibernetice organelor de conducere. Article 21 impune măsuri tehnice, operaționale și organizaționale adecvate, inclusiv analiza riscurilor, gestionarea incidentelor, continuitatea activității, securitatea lanțului de aprovizionare, dezvoltarea securizată, evaluarea eficacității, instruirea, criptografia, securitatea resurselor umane, controlul accesului, managementul activelor și autentificarea multifactor sau autentificarea continuă, după caz. Article 23 introduce așteptări privind raportarea incidentelor semnificative, inclusiv avertizare timpurie în termen de 24 de ore și notificarea incidentului în termen de 72 de ore.

DORA este relevantă pentru entitățile financiare și furnizorii terți de servicii TIC din ecosistemele financiare. DORA Articles 5 și 6 impun guvernanță a riscului TIC, politici, strategie, testare și îmbunătățire continuă. Articles 17-19 acoperă detectarea incidentelor TIC, clasificarea, escaladarea, raportarea, analiza cauzei principale și lecțiile învățate. Articles 28-30 impun strategie privind riscul asociat terților TIC, registre, due diligence, prevederi contractuale, drepturi de audit, asistență la incidente, protecția datelor, planificarea ieșirii și revizuirea riscului de concentrare.

NIST CSF 2.0 oferă un limbaj de guvernanță și risc prin GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND și RECOVER. COBIT 2019 adaugă obiective de guvernanță, practici de management, responsabilitate, metrici, asigurare și capabilitate a proceselor.

Avantajul de conformitate este clar. Un singur lanț controlat de dovezi PIMS poate susține GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 și verificările de due diligence ale clienților.

Cum vă vor testa auditorii PIMS

Un audit PIMS nu este o simplă revizuire de documente. Este un exercițiu de trasabilitate a dovezilor.

P33 Politica de audit și monitorizare a conformității Clarysec susține modelul de audit:

Organizația trebuie să mențină un Registru de audit care conține:

Echivalentul pentru IMM-uri, Politica de audit și monitorizare a conformității pentru IMM-uri, adaugă o cerință importantă privind calitatea dovezilor:

Metadatele (de exemplu, cine le-a colectat, când și din ce sistem) trebuie documentate.

Această cerință privind metadatele este mică, dar puternică. Capturile de ecran fără sursă, dată, colector și context de sistem sunt dovezi slabe. Dovezile de audit controlate demonstrează autenticitatea, actualitatea și trasabilitatea.

Cum arată dovezile PIMS bune

Să presupunem că un auditor selectează o activitate: analiza tichetelor de suport pentru clienți.

Un răspuns slab este: „Avem o politică de confidențialitate, iar DPA-ul nostru acoperă acest aspect.”

Un răspuns PIMS solid este:

1. REG02 identifică activitatea, sistemele, categoriile de PII, persoanele vizate, scopul, clasificarea rolului, păstrarea, transferurile, controalele de securitate și proprietarul.
2. Clasificarea rolului arată dacă organizația este operator, persoană împuternicită sau ambele pentru anumite părți ale fluxului de lucru.
3. Dacă este operator, temeiul juridic este validat și înregistrat în Registrul temeiurilor juridice.
4. Dacă este persoană împuternicită, instrucțiunea clientului și clauza DPA sunt corelate.
5. REG04 arată evaluarea preliminară a riscurilor privind confidențialitatea înainte de lansare sau de o modificare semnificativă.
6. REG08 identifică platforma de ticketing, furnizorul de sumarizare IA, persoanele subîmputernicite, controalele contractuale, drepturile de audit, asigurările de securitate, termenii de ștergere și asistența la incidente.
7. Dovezile de control al accesului arată că accesul personalului de suport este bazat pe roluri și este revizuit.
8. Dovezile de jurnalizare și monitorizare arată că accesul la tichetele de suport este monitorizat.
9. Dovezile de păstrare și ștergere arată că tichetele sunt șterse sau anonimizate conform perioadei de păstrare aprobate.
10. REG12 indexează toate dovezile-suport cu proprietar și dată de revizuire.
11. Registrul de audit arată dacă activitatea a fost testată, ce constatări au fost ridicate și dacă acțiunile corective au fost închise.

Acesta este modul în care ISO 27701:2025 devine operațional. Creează un lanț repetabil de responsabilitate.

Eșecuri frecvente ale dovezilor PIMS

În mediile SaaS, fintech, servicii administrate și tehnologie B2B apar repetat aceleași lacune.

În primul rând, organizațiile mențin un RoPA sau un registru al prelucrărilor, dar nu clasifică rolurile de operator și persoană împuternicită pentru fiecare activitate. Aceasta creează confuzie privind temeiul juridic, instrucțiunile documentate și obligațiile persoanelor subîmputernicite.

În al doilea rând, temeiul juridic este înregistrat o singură dată și nu este revalidat atunci când scopul se modifică. GDPR Article 6 impune disciplină privind scopul și temeiul juridic. Prelucrarea ulterioară poate necesita evaluarea compatibilității și măsuri de protecție.

În al treilea rând, inventarele de furnizori listează furnizorii, dar nu arată câmpurile privind controalele contractuale. O listă de furnizori nu este același lucru cu guvernanța persoanelor împuternicite.

În al patrulea rând, deciziile DPIA sunt informale. Echipele spun „nu este risc ridicat”, dar nu pot prezenta criteriile de evaluare preliminară, aprobatorul, data sau dovezile.

În al cincilea rând, dovezile de audit există, dar nu sunt controlate. Capturile de ecran nu au metadate. Politicile sunt actuale, dar registrele sunt depășite. Contractele există, dar reevaluările la reînnoire sunt omise.

În al șaselea rând, procesele de incidente se concentrează pe evenimente de securitate cibernetică, dar nu clasifică în mod clar încălcările securității datelor cu caracter personal. Analiza încălcărilor securității datelor cu caracter personal conform GDPR, raportarea incidentelor semnificative conform NIS2 și raportarea incidentelor TIC conform DORA trebuie coordonate, nu duplicate.

Clarysec abordează aceste eșecuri tratând dovezile PIMS ca pe un sistem de management controlat, nu ca pe o mobilizare de ultim moment pentru audit.

Listă de verificare a pregătirii dovezilor PIMS ISO 27701:2025

Utilizați această listă de verificare pentru următoarea revizuire internă a pregătirii.

• Definiți domeniul de aplicare al PIMS și părțile interesate, inclusiv clienți, autorități de reglementare, persoane vizate, furnizori, Audit Intern și management.
• Atribuiți rolurile și responsabilitățile PIMS, inclusiv Manager PIMS, Responsabil cu protecția datelor, Proprietar de proces, Juridic, Achiziții, Securitate și Audit Intern.
• Creați înregistrări REG02 pentru fiecare activitate de prelucrare PII.
• Clasificați rolul de operator, persoană împuternicită, operator asociat sau persoană subîmputernicită pentru fiecare activitate.
• Validați temeiul juridic pentru prelucrarea efectuată de operator înainte de începerea prelucrării și înainte de modificarea scopului.
• Înregistrați instrucțiunile documentate pentru activitățile de persoană împuternicită.
• Declanșați evaluarea preliminară a riscurilor privind confidențialitatea în REG04 înainte de orice prelucrare nouă sau modificată semnificativ.
• Finalizați o DPIA atunci când evaluarea preliminară a riscului indică un risc ridicat privind confidențialitatea.
• Mențineți REG08 pentru persoane împuternicite, persoane subîmputernicite, furnizori TIC și furnizori relevanți pentru confidențialitate.
• Verificați câmpurile contractuale privind domeniul, durata, scopul, categoriile de PII, confidențialitatea, securitatea, asistența, drepturile de audit, returnarea, ștergerea și încetarea.
• Mențineți REG12 ca index al informațiilor documentate PIMS.
• Mapați dovezile PIMS la tratamentul riscurilor ISO/IEC 27001:2022 și la notele SoA.
• Referențiați încrucișat obligațiile GDPR, NIS2, DORA, NIST CSF 2.0 și COBIT 2019 acolo unde este relevant.
• Efectuați anual audituri interne de conformitate privind confidențialitatea și actualizați Registrul de audit.
• Revizuiți trimestrial constatările deschise, acțiunile corective, deciziile de risc și raportarea către management.

P17 Politica de protecție a datelor și confidențialitate consolidează ciclul de audit:

Un audit intern de conformitate privind confidențialitatea trebuie efectuat anual sau la modificări organizaționale ori de reglementare majore. Domeniul auditului trebuie să includă:

Mesajul este simplu. Conformitatea privind confidențialitatea este monitorizată, nu presupusă.

Construiți modelul de dovezi PIMS cu Clarysec

ISO 27701:2025 este cel mai valoros atunci când este integrat cu ISO/IEC 27001:2022 și proiectat să producă dovezi în mod implicit. Astfel, confidențialitatea devine un model operațional defensabil, nu un proiect de certificare.

Când un client solicită asigurare privind confidențialitatea, puteți prezenta dovezi. Când o autoritate de reglementare întreabă de ce ați prelucrat datele, puteți prezenta rolul, scopul, temeiul juridic, măsurile de protecție și aprobările. Când un auditor întreabă cum guvernați persoanele subîmputernicite, puteți prezenta REG08, controale contractuale, reevaluări și drepturi de audit. Când organul de conducere întreabă dacă riscul privind confidențialitatea este sub control, puteți prezenta metrici, acțiuni deschise, rezultate de audit și revizuirea de management.

Dacă PIMS-ul dumneavoastră este încă bogat în politici și sărac în dovezi, începeți cu lanțul pe care îl vor urma auditorii:

inventarul prelucrării REG02, evaluarea preliminară a riscurilor privind confidențialitatea REG04, guvernanța persoanelor împuternicite și a persoanelor subîmputernicite REG08, indexul dovezilor REG12, Registrul temeiurilor juridice, Registrul de audit și maparea SoA.

Clarysec vă poate ajuta să operaționalizați acest lanț prin:

• Zenith Blueprint: foaia de parcurs în 30 de pași a auditorului, în special Pasul 2 pentru cerințele părților interesate, Pasul 13 pentru tratamentul riscurilor și trasabilitatea SoA și Pasul 23 pentru controalele de confidențialitate, furnizori și organizaționale.
• Zenith Controls: ghidul de conformitate transversală, utilizând controalele ISO/IEC 27002:2022 5.2, 5.20, 5.21 și 5.34 ca ancore practice ale responsabilității privind confidențialitatea.
• Setul de politici PIMS ISO 27701 Clarysec, inclusiv Politica privind Sistemul de management al informațiilor privind confidențialitatea, Politica privind inventarul prelucrării PII și temeiul juridic, Politica privind evaluarea riscurilor privind confidențialitatea și DPIA, Politica privind managementul confidențialității pentru persoane împuternicite, persoane subîmputernicite și terți și Politica privind informațiile documentate și managementul dovezilor PIMS.
• Suport enterprise și pentru IMM-uri prin P17 Politica de protecție a datelor și confidențialitate, Politica de protecție a datelor și confidențialitate pentru IMM-uri, Politica de securitate privind terții și furnizorii pentru IMM-uri, P33 Politica de audit și monitorizare a conformității și Politica de audit și monitorizare a conformității pentru IMM-uri.

Următoarea acțiune este simplă: alegeți o activitate de prelucrare PII cu risc ridicat și parcurgeți lanțul de dovezi de la REG02 la REG12. Dacă lanțul se rupe, acesta este primul proiect de îmbunătățire. Dacă rezistă, extindeți modelul la întregul inventar al prelucrărilor.

Acesta este modul în care ISO 27701:2025 devine mai mult decât un certificat. Devine dovada responsabilității conform GDPR.