Dôkazy PIMS podľa ISO 27701:2025 pre audity GDPR

Je štvrtok 08:40 a Ava, manažérka súladu vo FinScale, práve otvorila e-mail, ktorý skôr či neskôr dostane každá rýchlo rastúca B2B SaaS spoločnosť.

Veľký nemecký podnikový zákazník zaslal dotazník due diligence podľa GDPR s lehotou 48 hodín. Nežiada politiku ochrany súkromia. Neuspokojí sa s certifikátom. Žiada dôkazy.

Poskytnite svoje záznamy o spracovateľských činnostiach pre naše údaje. Predložte dôkazy o due diligence pri zapojení ďalšieho sprostredkovateľa. Vysvetlite, ako preukazujete svoje povinnosti podľa GDPR Article 28. Určite, či vaša platforma pri každom pracovnom toku vystupuje ako prevádzkovateľ PII, sprostredkovateľ, spoločný prevádzkovateľ alebo ďalší sprostredkovateľ. Preukážte, že právny základ bol overený pre vašu funkciu podpory s využitím umelej inteligencie. Predložte povinnosti výmazu, práva na audit, podporu pri incidente a zmluvné kontroly.

Ava vie, že FinScale má potrebné vstupy. Právne oddelenie má zmluvu o spracúvaní osobných údajov. Bezpečnostný tím má vyhlásenie o uplatniteľnosti podľa ISO/IEC 27001:2022. Produktový tím má kontrolné zoznamy pred uvedením funkcií do prevádzky. Obstarávanie má zmluvy s dodávateľmi. Tím súladu má register spracúvania, hoci niektoré záznamy sú neaktuálne. Problém nie je v tom, že dôkazy neexistujú. Problém je v tom, že dôkazy sú rozptýlené, nejasnosti v rolách nie sú vyriešené a nikto nedokáže rýchlo vysledovať spracovateľskú činnosť od účelu cez právny základ, rizikové rozhodnutie, dodávateľskú kontrolu, bezpečnostnú kontrolu, auditný záznam až po preskúmanie manažmentom.

To je skutočná medzera v preukázateľnej zodpovednosti.

ISO 27701:2025 má najväčšiu hodnotu vtedy, keď túto medzeru uzatvára. Systém manažérstva informácií o súkromí, teda PIMS, nie je iba súbor politík na certifikáciu ochrany súkromia. Je to prevádzkový model na vytváranie spoľahlivých dôkazov. Pre CISO, manažérov súladu, lídrov ochrany súkromia, audítorov a vlastníkov v organizácii je cieľ jednoduchý: vybudovať PIMS, ktorý preukazuje preukázateľnú zodpovednosť podľa GDPR pre prevádzkovateľov PII a sprostredkovateľov a zároveň podporuje očakávania ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 a COBIT 2019.

Preukázateľná zodpovednosť podľa GDPR je problém dôkazov

Preukázateľná zodpovednosť podľa GDPR sa často nesprávne chápe ako požiadavka na dokumentáciu. V skutočnosti je náročnejšia.

GDPR Article 5 definuje základné zásady spracúvania osobných údajov vrátane zákonnosti, spravodlivosti, transparentnosti, obmedzenia účelu, minimalizácie údajov, presnosti, obmedzenia uchovávania, integrity a dôvernosti. Article 5(2) robí prevádzkovateľa zodpovedným za schopnosť preukázať súlad. Article 4 definuje pojmy osobné údaje, spracúvanie, prevádzkovateľ, sprostredkovateľ, pseudonymizácia a porušenie ochrany osobných údajov. Article 6 vyžaduje právny základ pre každú spracovateľskú činnosť prevádzkovateľa. Article 9 pridáva prísnejšie podmienky pre osobitné kategórie osobných údajov. Article 28 upravuje povinnosti sprostredkovateľa a zmluvné podmienky.

Tieto povinnosti nemožno splniť iba verejným oznámením o ochrane údajov. Vyžadujú dôkazy na úrovni spracovateľskej činnosti.

Praktický dôkazový model PIMS podľa ISO 27701:2025 musí odpovedať na otázky:

• Aké PII sa spracúvajú?
• Prečo sa spracúvajú?
• Vystupuje organizácia ako prevádzkovateľ, sprostredkovateľ, spoločný prevádzkovateľ alebo ďalší sprostredkovateľ?
• Aký právny základ sa uplatňuje, keď je organizácia prevádzkovateľom?
• Aký zdokumentovaný pokyn sa uplatňuje, keď je organizácia sprostredkovateľom?
• Ktoré systémy, dodávatelia, ďalší sprostredkovatelia a lokality sú zapojené?
• Aký skríning rizík ochrany súkromia alebo aké rozhodnutie DPIA bolo vykonané?
• Ktoré bezpečnostné kontroly chránia PII?
• Aké dôkazy preukazujú, že kontrola fungovala?
• Kto schválil reziduálne riziko, výnimky a nápravné opatrenia?

Prístup Clarysec premieňa tieto otázky na povinnosti v politikách, registre a sledovateľné dôkazové objekty. Výsledkom je PIMS, ktorý obstojí pri zákazníckej due diligence, preskúmaní dozorným orgánom, internom audite, audite ISO, posúdení DORA aj kontrole zo strany predstavenstva.

Začnite jasnosťou rolí: prevádzkovateľ, sprostredkovateľ alebo oboje

Najrýchlejší spôsob, ako zlyhať pri audite PIMS, je zaobchádzať so všetkými spracovateľskými činnosťami rovnako.

Podľa GDPR prevádzkovateľ určuje účely a prostriedky spracúvania. Sprostredkovateľ spracúva osobné údaje v mene prevádzkovateľa. Mnohé SaaS a technologické spoločnosti vykonávajú obe roly. FinScale je sprostredkovateľom, keď hostuje údaje koncových používateľov zákazníka podľa pokynov zákazníka. Je prevádzkovateľom pri záznamoch o zamestnancoch, marketingových leadoch, fakturačných kontaktoch, náborových údajoch a časti produktovej analytiky.

Toto rozlíšenie určuje požiadavky na dôkazy.

Clarysec Privacy Information Management System Policy robí z klasifikácie rolí prevádzkovú požiadavku:

[Obe roly] Vlastník procesu / vlastník obchodnej oblasti MUSÍ klasifikovať rolu organizácie v PIMS pre každú spracovateľskú činnosť PII v REG02 pred začatím spracovateľskej činnosti.

Táto jediná povinnosť mení prevádzkový model ochrany súkromia. Právne preskúmanie už nie je dodatočnou aktivitou pred spustením. Každý vlastník procesu musí klasifikovať rolu PIMS ešte pred začatím spracúvania. Táto klasifikácia určuje nadväzujúci dôkazový reťazec.

Pri činnostiach prevádzkovateľa Clarysec PII Processing Inventory and Lawful Basis Policy vyžaduje overenie právneho základu:

[Prevádzkovateľ] Vedúci pre ochranu súkromia / manažér PIMS MUSÍ overiť právny základ zaznamenaný v REG02 pred začatím spracúvania v role prevádzkovateľa a pred nadobudnutím účinnosti akejkoľvek zmeny účelu.

Zo sekcie „Záznamy o účele prevádzkovateľa a právnom základe“, ustanovenie politiky 4.2.2.

Pri činnostiach sprostredkovateľa sa dôkazové zameranie presúva na zdokumentované pokyny, zmluvné kontroly, správu ďalších sprostredkovateľov, bezpečnostné opatrenia, povinnosti súčinnosti, podporu pri incidente a vrátenie alebo výmaz pri ukončení. Práve tu je kritický REG08.

Clarysec Processor, Subprocessor and Third-Party Privacy Management Policy vyžaduje:

[Prevádzkovateľ] Vedúci pre ochranu súkromia / manažér PIMS MUSÍ pred schválením overiť, že polia zmluvných kontrol sprostredkovateľa v REG08 pokrývajú rozsah spracúvania, trvanie, účel, kategórie PII, kategórie dotknutých osôb, dôvernosť, bezpečnosť, schválenie ďalších sprostredkovateľov, súčinnosť, audit alebo uistenie, vrátenie, výmaz a ukončenie.

Zo sekcie „Zmluvné kontroly a kontroly zdokumentovaných pokynov“, ustanovenie politiky 4.3.2.

REG02 zakladá spracovateľskú činnosť a rolu. REG04 vykonáva skríning rizík ochrany súkromia. REG08 overuje kontroly sprostredkovateľov, ďalších sprostredkovateľov a dodávateľov. REG12 indexuje dôkazy. Spoločne vytvárajú dôkazový reťazec PIMS.

Dôkazový reťazec PIMS, ktorý audítori očakávajú

Silný PIMS nežiada tímy, aby udržiavali oddelené tabuľky. Definuje dôkazové objekty, vlastníkov, načasovanie, cykly preskúmania a auditné stopy.

Clarysec PIMS Documented Information and Evidence Management Policy uvádza:

[Všetci] Vedúci pre ochranu súkromia / manažér PIMS MUSÍ udržiavať index zdokumentovaných informácií PIMS v REG12 pred prvým zverejnením PIMS a následne štvrťročne.

REG12 bráni tomu, aby sa program ochrany súkromia zmenil na priečinok neaktuálnych PDF súborov. Audítorovi ukazuje, aké dôkazy existujú, kde sú uložené, kto ich vlastní, kedy boli naposledy preskúmané a ktoré spracovateľské činnosti, riziká, povinnosti alebo kontroly podporujú.

Tento dôkazový reťazec prirodzene nadväzuje na požiadavky ISO/IEC 27001:2022 týkajúce sa kontextu, zainteresovaných strán, plánovania rizík, prevádzkových kontrol, zdokumentovaných informácií, hodnotenia výkonnosti, interného auditu, preskúmania manažmentom a neustáleho zlepšovania. Zároveň sa prepája s kontrolami ISO/IEC 27002:2022, ako sú 5.2 Roly a zodpovednosti v oblasti informačnej bezpečnosti, 5.20 Riešenie informačnej bezpečnosti v dodávateľských zmluvách, 5.21 Riadenie informačnej bezpečnosti v dodávateľskom reťazci IKT, 5.34 Ochrana súkromia a ochrana PII a 8.10 Výmaz informácií.

Dôkazy prevádzkovateľa a sprostredkovateľa nie sú rovnaké

Nemecký zákazník Avy sa nepýta iba na to, či má FinScale politiky ochrany súkromia. Zákazník chce dôkaz, že FinScale rozumie, akú rolu plní pri každom toku údajov.

Keď FinScale vystupuje ako prevádzkovateľ, musí odôvodniť, prečo spracúva údaje. Napríklad spracúvanie miezd zamestnancov sa môže opierať o nevyhnutnosť plnenia zmluvy a zákonnú povinnosť. Marketing sa môže opierať o súhlas alebo oprávnené záujmy organizácie v závislosti od kontextu a jurisdikcie. Nábor môže vyžadovať lehoty uchovávania, transparentnosť a riadenie prístupu. Dôkazom nie je iba vybraný právny základ. Je ním overený záznam, oznámenie, pravidlo uchovávania, postup vybavovania práv a rizikové rozhodnutie.

Keď FinScale vystupuje ako sprostredkovateľ, musí preukázať, že koná podľa zdokumentovaných pokynov zákazníka. Dôkazy zahŕňajú DPA, konfiguráciu produktu, systémové logy, bezpečnostné kontroly, schválenia ďalších sprostredkovateľov, postupy súčinnosti, proces podpory pri porušení ochrany osobných údajov, práva na audit a dôkazy o výmaze alebo vrátení údajov.

Clarysec P17 Data Protection and Privacy Policy zdôrazňuje, že ochrana súkromia musí byť integrovaná do ISMS:

Organizácia musí udržiavať formálny rámec správy a riadenia ochrany súkromia integrovaný do systému manažérstva informačnej bezpečnosti (ISMS) na uplatňovanie tejto politiky.

Zo sekcie „Požiadavky na správu a riadenie“, ustanovenie politiky 5.1.

Verzia pre MSP, Data Protection and Privacy Policy-sme, zachováva rovnakú dôkazovú disciplínu:

Koordinátor ochrany súkromia musí udržiavať register všetkých spracovateľských činností s osobnými údajmi vrátane kategórií údajov, účelu, právneho základu a lehôt uchovávania.

Vyžaduje tiež:

Právny základ (napr. súhlas, zmluva, zákonná povinnosť) musí byť zdokumentovaný v registri spracúvania.

Pre podnikové programy P17 Data Protection and Privacy Policy dopĺňa vlastníctvo:

Právne oddelenie musí udržiavať a aktualizovať Register právnych základov.

Praktický príklad: spustenie produktovej analytiky

Predstavte si funkciu produktovej analytiky, ktorá sleduje navigáciu používateľov, používanie funkcií, metadáta relácií, ID organizácie, rolu používateľa a informácie o zariadení. Produktový tím chce prehľad o používaní. Obchodný tím chce metriky adopcie. Tím zákazníckeho úspechu chce signály odchodu zákazníkov. Právne oddelenie sa pýta, či je FinScale prevádzkovateľom alebo sprostredkovateľom. Bezpečnostný tím sa pýta, či logy obsahujú osobné údaje. Obstarávanie upozorňuje, že dodávateľ analytiky používa ďalších sprostredkovateľov.

Silný PIMS z toho vytvorí opakovateľný pracovný tok.

1. Vytvorte alebo aktualizujte REG02 pred začatím spracúvania

Vlastník obchodnej oblasti zaznamená činnosť v REG02. Záznam má obsahovať účel, kategórie PII, kategórie dotknutých osôb, systémy, lehotu uchovávania, prenosy, bezpečnostné opatrenia, klasifikáciu roly a právny základ alebo zdokumentovaný pokyn.

Ak sa analytika používa na vlastné účely zlepšovania produktu FinScale, FinScale môže byť pri tejto činnosti prevádzkovateľom. Ak sa analytika vykonáva iba podľa nastavení nakonfigurovaných zákazníkom v mene zákazníka, FinScale môže byť sprostredkovateľom. V mnohých SaaS prostrediach môžu pri jednej funkcii existovať obe roly v závislosti od toku údajov a účelu.

2. Overte právny základ alebo zdokumentovaný pokyn

Ak je FinScale prevádzkovateľom, vedúci pre ochranu súkromia alebo právne oddelenie overí právny základ v REG02 pred začatím spracúvania. Ak ide o osobitné kategórie údajov, tím musí identifikovať aj príslušnú podmienku podľa GDPR Article 9 a dodatočné ochranné opatrenia.

Ak je FinScale sprostredkovateľom, dôkazy musia odkazovať na zdokumentovaný pokyn zákazníka. Otázka znie: kde sa pokyn nachádza, aké spracúvanie povoľuje a ako FinScale preukáže, že sa pokynom riadil?

3. Spustite skríning rizík ochrany súkromia v REG04

Clarysec Privacy Risk Assessment and DPIA Policy vyžaduje:

[Obe roly] Vlastník procesu / vlastník obchodnej oblasti MUSÍ iniciovať skríning rizík ochrany súkromia v REG04 pred začatím nového alebo podstatne zmeneného spracúvania PII zaznamenaného v REG02.

Zo sekcie „Skríning rizík ochrany súkromia“, ustanovenie politiky 4.1.1.

Skríning má hodnotiť citlivosť, rozsah, dopady monitorovania, očakávania dotknutých osôb, profilovanie, automatizované rozhodovanie, cezhraničné prenosy, prístup dodávateľov, uchovávanie a účinnosť kontrol. Ak je riziko zvýšené, PIMS má spustiť DPIA a zaznamenať rozhodnutie.

4. Aktualizujte REG08 pre dodávateľov a ďalších sprostredkovateľov

Ak poskytovateľ analytiky ako tretia strana prijíma PII, obstarávanie, právne oddelenie a tím ochrany súkromia aktualizujú REG08. Zmluvné polia majú pokrývať rozsah, trvanie, účel, kategórie PII, dôvernosť, bezpečnosť, schválenie ďalších sprostredkovateľov, súčinnosť, audit alebo uistenie, vrátenie, výmaz a ukončenie.

Third-Party and Supplier Security Policy-sme podporuje túto prevádzkovú disciplínu požiadavkou na:

Overenie postupov nakladania s údajmi alebo súladu s ochranou údajov, ak ide o osobne identifikovateľné informácie (PII).

P17 Data Protection and Privacy Policy zároveň vyžaduje:

Tímy obstarávania, právnych záležitostí a súladu musia overiť súlad s Article 28 GDPR a vyžadovať ročné prehodnotenie všetkých vysokorizikových dodávateľov.

5. Zaindexujte dôkazy v REG12

Nakoniec manažér PIMS aktualizuje REG12 odkazmi na REG02, overenie právneho základu, zdokumentovaný pokyn, skríning REG04, DPIA, ak je potrebná, záznam dodávateľa v REG08, DPA, bezpečnostné preskúmanie, rozhodnutie o uchovávaní, schválenie produktu a dôkazy z monitorovania.

Práve toto premieňa ochranu súkromia už od návrhu na dôkazy pripravené na audit.

Použitie Zenith Blueprint na vybudovanie sledovateľnosti

Vedieť, aké dôkazy zbierať, je iba polovica výzvy. Náročnejšie je vybudovať systém, ktorý ich spoľahlivo vytvára.

Zenith Blueprint: An Auditor’s 30-Step Roadmap rámcuje túto tému vo fáze základov a vedenia ISMS, krok 2: potreby zainteresovaných strán a rozsah ISMS. Príručka ukazuje, ako sa očakávania zainteresovaných strán menia na plánované kontroly:

Zákazníci
(B2B SaaS)
Dôvernosť údajov, dostupnosť podľa
SLA, oznámenie porušenia ochrany údajov do
24 h
Implementovať riadenie prístupu, šifrovanie;
plán reakcie na incidenty obsahuje
postupy oznamovania.

Obsahuje aj:

Akčný bod 4.2: Zostavte zoznam všetkých významných zainteresovaných strán a zaznamenajte ich požiadavky týkajúce sa informačnej bezpečnosti.

Pre ISO 27701:2025 rozšírte tento akčný bod o ochranu súkromia. Zainteresované strany zahŕňajú zákazníkov, dotknuté osoby, regulátorov, sprostredkovateľov, ďalších sprostredkovateľov, zamestnancov, produktové tímy, interný audit, manažment, klientov z finančného sektora a odvetvových regulátorov tam, kde sa uplatňuje NIS2 alebo DORA.

Vo fáze riadenia rizík, krok 13: plánovanie ošetrenia rizík a vyhlásenie o uplatniteľnosti, Zenith Blueprint odporúča sledovateľnosť:

Krížovo odkazujte predpisy: Ak sú určité kontroly implementované osobitne na splnenie GDPR, NIS2 alebo DORA, môžete to uviesť buď v Registri rizík (ako súčasť odôvodnenia dopadu rizika), alebo v poznámkach SoA.

Tým vzniká „zlatá niť“, ktorú audítori očakávajú: požiadavka, riziko, kontrola, vlastník, dôkaz, výsledok testovania a opatrenie na zlepšenie.

Kde Zenith Controls zapadá do modelu PIMS

Clarysec Zenith Controls: The Cross-Compliance Guide pomáha tímom vyhnúť sa duplicitným programom súladu tým, že mapuje kontrolné témy ISO/IEC 27001:2022 a ISO/IEC 27002:2022 na iné normy, auditné očakávania a dôkazové vzory.

Pre dôkazy PIMS podľa ISO 27701:2025 sú osobitne dôležité štyri kontroly ISO/IEC 27002:2022:

• 5.2 Roly a zodpovednosti v oblasti informačnej bezpečnosti
• 5.20 Riešenie informačnej bezpečnosti v dodávateľských zmluvách
• 5.21 Riadenie informačnej bezpečnosti v dodávateľskom reťazci IKT
• 5.34 Ochrana súkromia a ochrana PII

Kontrola 5.2 podporuje jasnosť rolí. PIMS potrebuje definované priradenie zodpovednosti pre manažéra PIMS, vedúceho pre ochranu súkromia, vlastníka procesu, vlastníka obchodnej oblasti, právne oddelenie, obstarávanie, bezpečnostný tím, interný audit a vrcholový manažment.

Kontrola 5.34 podporuje základnú povinnosť ochrany súkromia. Zenith Blueprint, fáza Kontroly v praxi, krok 23, vysvetľuje auditné očakávanie:

Z pohľadu auditu je táto kontrola čoraz viac v centre pozornosti. Audítori, regulátori aj zákazníci chcú vidieť:

✓ Kde sa nachádzajú PII,
✓ aký právny základ riadi ich spracúvanie,
✓ ako je obmedzený prístup,
✓ ako sa hlásia incidenty,
✓ a ako organizácia rešpektuje práva a udržiava transparentnosť.

Zenith Blueprint pokračuje:

Kontrola 5.34 nie je iba zaškrtávacie políčko. Je to vyhlásenie o etickej správe zverených údajov.

Kontroly 5.20 a 5.21 prepájajú dôkazy PIMS so správou dodávateľov a dodávateľského reťazca IKT. Zenith Blueprint, fáza Kontroly v praxi, krok 23, uvádza témy dodávateľských zmlúv:

Medzi kľúčové oblasti typicky upravené v dodávateľských zmluvách patria:

✓ povinnosti zachovávať dôvernosť vrátane rozsahu, trvania a obmedzení poskytnutia tretím stranám;
✓ zodpovednosti za riadenie prístupu, napríklad kto môže pristupovať k vašim údajom, ako sa spravujú prihlasovacie údaje a aké monitorovanie je zavedené;
✓ technické a organizačné opatrenia na ochranu údajov, šifrovanie, bezpečný prenos, zálohovanie a záväzky dostupnosti;
✓ lehoty a protokoly nahlasovania incidentov, často s definovanými časovými rámcami (napr. „oznámiť do 24 hodín“);
✓ právo na audit vrátane periodicity, rozsahu a prístupu k relevantným dôkazom (napr. správy z penetračného testovania, SoA, certifikácie);
✓ kontroly subdodávateľov, ktoré vyžadujú, aby dodávateľ preniesol rovnocenné bezpečnostné povinnosti na svojich nadväzujúcich partnerov;
✓ ustanovenia pri ukončení zmluvy, ako je vrátenie alebo zničenie údajov, obnova aktív a deaktivácia účtov.

Toto je most medzi preukázateľnou zodpovednosťou podľa GDPR a dôkazmi ISMS.

Mapovanie dôkazov PIMS naprieč GDPR, NIS2, DORA, NIST a COBIT 2019

Dôkazy ochrany súkromia zriedka slúžia iba jednému rámcu. Dobre navrhnutý dôkazový objekt PIMS môže zodpovedať viacero auditných otázok.

GDPR ukotvuje preukázateľnú zodpovednosť v oblasti ochrany súkromia prostredníctvom právneho základu, jasnosti rolí, zmlúv so sprostredkovateľmi, práv, riešenia porušení ochrany údajov a preukázateľného súladu.

NIS2 je relevantná pre základné a dôležité subjekty vrátane určitých poskytovateľov cloudových služieb, poskytovateľov riadených služieb, poskytovateľov riadených bezpečnostných služieb, poskytovateľov dátových centier a organizácií digitálnej infraštruktúry. NIS2 Article 20 ukladá riadiacim orgánom zodpovednosť za správu a riadenie kybernetickej bezpečnosti. Article 21 vyžaduje primerané technické, prevádzkové a organizačné opatrenia vrátane analýzy rizík, riešenia incidentov, kontinuity činností, bezpečnosti dodávateľského reťazca, bezpečného vývoja, posúdenia účinnosti, školení, kryptografie, bezpečnosti ľudských zdrojov, riadenia prístupu, správy aktív a MFA alebo priebežnej autentifikácie tam, kde je to vhodné. Article 23 zavádza očakávania hlásenia významných incidentov vrátane včasného varovania do 24 hodín a oznámenia incidentu do 72 hodín.

DORA je relevantná pre finančné subjekty a externých poskytovateľov IKT služieb vo finančných ekosystémoch. DORA Articles 5 a 6 vyžadujú riadenie rizík IKT, politiky, stratégiu, testovanie a neustále zlepšovanie. Articles 17 až 19 pokrývajú detekciu, klasifikáciu, eskaláciu, hlásenie, analýzu koreňovej príčiny a poučenia z IKT incidentov. Articles 28 až 30 vyžadujú stratégiu riadenia rizík IKT tretích strán, registre, due diligence, zmluvné ustanovenia, práva na audit, súčinnosť pri incidente, ochranu údajov, plánovanie ukončenia a preskúmanie rizika koncentrácie.

NIST CSF 2.0 poskytuje jazyk správy a riadenia a rizík prostredníctvom funkcií GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND a RECOVER. COBIT 2019 dopĺňa ciele správy a riadenia, riadiace praktiky, vlastníctvo, metriky, uistenie a procesnú spôsobilosť.

Výhoda pre súlad je jasná. Jeden riadený dôkazový reťazec PIMS môže podporovať GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 a zákaznícku due diligence.

Ako budú audítori testovať váš PIMS

Audit PIMS nie je kontrola dokumentov. Je to overenie sledovateľnosti dôkazov.

Clarysec P33 Audit and Compliance Monitoring Policy podporuje auditný model:

Organizácia musí udržiavať Register auditov obsahujúci:

Ekvivalent pre MSP, Audit and Compliance Monitoring Policy-sme, pridáva dôležitú požiadavku na kvalitu dôkazov:

Metadáta (napr. kto ich zhromaždil, kedy a z ktorého systému) musia byť zdokumentované.

Táto požiadavka na metadáta je malá, ale významná. Snímky obrazovky bez zdroja, dátumu, osoby, ktorá ich zhromaždila, a systémového kontextu sú slabým dôkazom. Riadené auditné dôkazy preukazujú autentickosť, aktuálnosť a sledovateľnosť.

Ako vyzerajú dobré dôkazy PIMS

Predstavte si, že audítor vyberie jednu činnosť: analýzu ticketov zákazníckej podpory.

Slabá odpoveď znie: „Máme politiku ochrany súkromia a naša DPA to pokrýva.“

Silná odpoveď PIMS znie:

1. REG02 identifikuje činnosť, systémy, kategórie PII, dotknuté osoby, účel, klasifikáciu roly, uchovávanie, prenosy, bezpečnostné kontroly a vlastníka.
2. Klasifikácia roly ukazuje, či organizácia pri konkrétnych častiach pracovného toku vystupuje ako prevádzkovateľ, sprostredkovateľ alebo oboje.
3. Ak je prevádzkovateľom, právny základ je overený a zaznamenaný v Registri právnych základov.
4. Ak je sprostredkovateľom, je prepojený pokyn zákazníka a ustanovenie DPA.
5. REG04 preukazuje skríning rizík ochrany súkromia pred spustením alebo podstatnou zmenou.
6. REG08 identifikuje ticketovaciu platformu, dodávateľa sumarizácie pomocou umelej inteligencie, ďalších sprostredkovateľov, zmluvné kontroly, práva na audit, bezpečnostné uistenia, podmienky výmazu a súčinnosť pri incidente.
7. Dôkazy riadenia prístupu ukazujú, že prístup pracovníkov podpory je založený na rolách a podlieha preskúmaniu.
8. Dôkazy logovania a monitorovania ukazujú, že prístup k ticketom podpory je monitorovaný.
9. Dôkazy o uchovávaní a výmaze ukazujú, že tickety sa vymazávajú alebo anonymizujú podľa schválenej lehoty uchovávania.
10. REG12 indexuje všetky podporné dôkazy s vlastníkom a dátumom preskúmania.
11. Register auditov ukazuje, či bola činnosť testovaná, aké zistenia boli otvorené a či boli nápravné opatrenia uzavreté.

Takto sa ISO 27701:2025 stáva prevádzkovým systémom. Vytvára opakovateľný reťazec preukázateľnej zodpovednosti.

Časté zlyhania dôkazov PIMS

V prostrediach SaaS, fintech, riadených služieb a B2B technológií sa opakovane objavujú rovnaké medzery.

Po prvé, organizácie udržiavajú RoPA alebo register spracúvania, ale neklasifikujú roly prevádzkovateľa a sprostredkovateľa pri každej činnosti. To spôsobuje nejasnosti v právnom základe, zdokumentovaných pokynoch a povinnostiach ďalších sprostredkovateľov.

Po druhé, právny základ sa zaznamená raz a pri zmene účelu sa nerevaliduje. GDPR Article 6 vyžaduje disciplínu účelu a právneho základu. Ďalšie spracúvanie môže vyžadovať posúdenie zlučiteľnosti a ochranné opatrenia.

Po tretie, evidencie dodávateľov uvádzajú dodávateľov, ale nezobrazujú polia zmluvných kontrol. Zoznam dodávateľov nie je to isté ako správa sprostredkovateľov.

Po štvrté, rozhodnutia DPIA sú neformálne. Tímy hovoria „nie je to vysoké riziko“, ale nevedia preukázať kritériá skríningu, schvaľovateľa, dátum ani dôkazy.

Po piate, auditné dôkazy existujú, ale nie sú riadené. Snímky obrazovky nemajú metadáta. Politiky sú aktuálne, ale registre sú neaktuálne. Zmluvy existujú, ale prehodnotenia pri obnove sa vynechávajú.

Po šieste, incidentné procesy sa sústreďujú na kybernetické bezpečnostné udalosti, ale jasne neklasifikujú porušenia ochrany osobných údajov. Analýza porušenia ochrany osobných údajov podľa GDPR, hlásenie významných incidentov podľa NIS2 a hlásenie IKT incidentov podľa DORA musia byť koordinované, nie duplicitné.

Clarysec rieši tieto zlyhania tým, že s dôkazmi PIMS zaobchádza ako s riadeným manažérskym systémom, nie ako s improvizáciou na poslednú chvíľu pred auditom.

Kontrolný zoznam pripravenosti dôkazov PIMS podľa ISO 27701:2025

Použite tento kontrolný zoznam pri najbližšom internom preskúmaní pripravenosti.

• Definujte rozsah PIMS a zainteresované strany vrátane zákazníkov, regulátorov, dotknutých osôb, dodávateľov, interného auditu a manažmentu.
• Priraďte roly a zodpovednosti PIMS vrátane manažéra PIMS, vedúceho pre ochranu súkromia, vlastníka procesu, právneho oddelenia, obstarávania, bezpečnosti a interného auditu.
• Vytvorte záznamy REG02 pre každú spracovateľskú činnosť PII.
• Klasifikujte rolu prevádzkovateľa, sprostredkovateľa, spoločného prevádzkovateľa alebo ďalšieho sprostredkovateľa pre každú činnosť.
• Overte právny základ spracúvania prevádzkovateľom pred začatím spracúvania a pred zmenou účelu.
• Zaznamenajte zdokumentované pokyny pre činnosti sprostredkovateľa.
• Spustite skríning rizík ochrany súkromia v REG04 pred novým alebo podstatne zmeneným spracúvaním.
• Vypracujte DPIA, ak skríning rizík indikuje zvýšené riziko ochrany súkromia.
• Udržiavajte REG08 pre sprostredkovateľov, ďalších sprostredkovateľov, dodávateľov IKT a dodávateľov relevantných pre ochranu súkromia.
• Overte zmluvné polia pre rozsah, trvanie, účel, kategórie PII, dôvernosť, bezpečnosť, súčinnosť, práva na audit, vrátenie, výmaz a ukončenie.
• Udržiavajte REG12 ako index zdokumentovaných informácií PIMS.
• Mapujte dôkazy PIMS na ošetrenie rizík podľa ISO/IEC 27001:2022 a poznámky SoA.
• Krížovo odkazujte povinnosti GDPR, NIS2, DORA, NIST CSF 2.0 a COBIT 2019 tam, kde je to relevantné.
• Vykonávajte ročné interné audity súladu v oblasti ochrany súkromia a aktualizujte Register auditov.
• Štvrťročne preskúmavajte otvorené zistenia, nápravné opatrenia, rizikové rozhodnutia a manažérske reportovanie.

P17 Data Protection and Privacy Policy posilňuje auditný cyklus:

Interný audit súladu v oblasti ochrany súkromia sa musí vykonávať ročne alebo pri významných organizačných či regulačných zmenách. Rozsah auditu musí zahŕňať:

Odkaz je jednoduchý. Súlad v oblasti ochrany súkromia sa monitoruje, nepredpokladá.

Vybudujte svoj dôkazový model PIMS s Clarysec

ISO 27701:2025 má najväčšiu hodnotu vtedy, keď je integrovaná s ISO/IEC 27001:2022 a navrhnutá tak, aby vytvárala dôkazy ako štandardnú súčasť prevádzky. Tak sa ochrana súkromia stáva obhájiteľným prevádzkovým modelom, nie certifikačným projektom.

Keď zákazník požiada o uistenie v oblasti ochrany súkromia, môžete predložiť dôkazy. Keď sa regulátor opýta, prečo ste spracúvali údaje, môžete preukázať rolu, účel, právny základ, ochranné opatrenia a schválenia. Keď sa audítor opýta, ako riadite ďalších sprostredkovateľov, môžete ukázať REG08, zmluvné kontroly, prehodnotenia a práva na audit. Keď sa predstavenstvo opýta, či je riziko ochrany súkromia pod kontrolou, môžete predložiť metriky, otvorené opatrenia, výsledky auditov a preskúmanie manažmentom.

Ak je váš PIMS stále silný v politikách, ale slabý v dôkazoch, začnite reťazcom, ktorý budú audítori nasledovať:

REG02 evidencia spracúvania, REG04 skríning rizík ochrany súkromia, REG08 správa sprostredkovateľov a ďalších sprostredkovateľov, REG12 index dôkazov, Register právnych základov, Register auditov a mapovanie SoA.

Clarysec vám pomôže prevádzkovo zaviesť tento reťazec prostredníctvom:

• Zenith Blueprint: An Auditor’s 30-Step Roadmap, najmä kroku 2 pre požiadavky zainteresovaných strán, kroku 13 pre ošetrenie rizík a sledovateľnosť SoA a kroku 23 pre ochranu súkromia, dodávateľov a organizačné kontroly.
• Zenith Controls: The Cross-Compliance Guide, s využitím kontrol ISO/IEC 27002:2022 5.2, 5.20, 5.21 a 5.34 ako praktických kotiev preukázateľnej zodpovednosti v oblasti ochrany súkromia.
• súboru politík Clarysec pre ISO 27701 PIMS vrátane Privacy Information Management System Policy, PII Processing Inventory and Lawful Basis Policy, Privacy Risk Assessment and DPIA Policy, Processor, Subprocessor and Third-Party Privacy Management Policy a PIMS Documented Information and Evidence Management Policy.
• podpory pre podniky a MSP prostredníctvom P17 Data Protection and Privacy Policy, Data Protection and Privacy Policy-sme, Third-Party and Supplier Security Policy-sme, P33 Audit and Compliance Monitoring Policy a Audit and Compliance Monitoring Policy-sme.

Váš ďalší krok je jednoduchý: vyberte jednu vysokorizikovú spracovateľskú činnosť PII a prejdite dôkazový reťazec od REG02 po REG12. Ak sa reťazec preruší, je to váš prvý projekt zlepšovania. Ak drží, rozšírte model naprieč celou evidenciou spracúvania.

Takto sa ISO 27701:2025 stáva viac než certifikátom. Stáva sa dôkazom preukázateľnej zodpovednosti podľa GDPR.