Správa a riadenie PII pre ISO 27701:2025 a GDPR

Požiadavka pristála v schránke CISO s klamlivou jednoduchosťou: „Project Wellness“. Rýchlo rastúca fintech spoločnosť chcela analyzovať existujúce údaje o zákazníckych transakciách, aby mohla poskytovať personalizované tipy na sporenie, odporúčania produktov a poznatky o riziku odchodu zákazníka. Marketing v tom videl zapojenie zákazníkov. Produktový tím inováciu. Vedenie konkurenčnú výhodu.

CISO videl mínové pole v oblasti správy a riadenia.

Transakčné údaje boli získané na spracovanie platieb na základe definovaného účelu a právneho základu. Organizácia ich teraz chcela opätovne použiť na analytiku finančného zdravia, personalizáciu kampaní a prediktívne skórovanie. Na urýchlenie dodania chcel tím zároveň odoslať pseudonymizovaný súbor údajov externému dodávateľovi analytiky AI.

V sieti nebol žiadny útočník. Neunikla žiadna databáza. Nesvietil žiadny incidentný záznam.

Presne tu sa však začína mnoho zlyhaní preukázateľnej zodpovednosti podľa GDPR.

Problém nie je v tom, či organizácia má oznámenie o ochrane údajov, zodpovednú osobu, register právnych základov alebo harmonogram uchovávania. Hlbšia otázka je prevádzková: kto schvaľuje nový zber PII, kto potvrdzuje nevyhnutnosť, kto definuje povolené interné používanie, kto rozhoduje, či je sekundárne použitie zlučiteľné, kto povoľuje poskytnutie údajov dodávateľovi a kto vie toto rozhodnutie neskôr preukázať?

Toto je medzera v kontrolách, ktorú musia implementácie systému manažérstva informácií o ochrane súkromia podľa ISO/IEC 27701:2025, teda PIMS, uzavrieť. Článok 5 GDPR vyžaduje, aby sa osobné údaje spracúvali zákonne, spravodlivo a transparentne, aby boli získavané na konkrétne, výslovne uvedené a legitímne účely, obmedzené na nevyhnutný rozsah, presné, uchovávané iba počas potrebnej doby, primerane chránené a spracúvané v režime preukázateľnej zodpovednosti prevádzkovateľa. Článok 6 GDPR dopĺňa právny základ a logiku zlučiteľnosti pri ďalšom spracúvaní. Tieto zásady sú však obhájiteľné až vtedy, keď sa premietnu do pracovných postupov, registrov, schválení, pravidiel prístupu, kontrol dodávateľov, monitorovania a dôkazov.

Prístup Clarysec je jednoduchý: správu a riadenie zberu, používania a poskytovania PII treba považovať za riadený prevádzkový model, nie za právne stanovisko. Model je zasadený do rámca ISMS podľa ISO/IEC 27001:2022, rozširuje sa o roly PIMS podľa ISO/IEC 27701:2025 a preukazuje sa prostredníctvom politík, registrov Clarysec, Zenith Blueprint: 30-kroková cestovná mapa audítora a Zenith Controls: príručka súladu naprieč rámcami.

Prečo správa a riadenie PII zlyháva aj vtedy, keď existuje dokumentácia k ochrane súkromia

Väčšina programov ochrany súkromia nezlyháva preto, že nikto nevie o existencii GDPR. Zlyhávajú preto, že rozhodnutia o ochrane súkromia sa prijímajú v produktových požiadavkách, e-mailoch k prijímaniu dodávateľov, exportoch z tabuliek, experimentoch s prehľadovými panelmi a pilotoch AI bez opakovateľného kontrolného bodu.

Typický vzorec je známy:

1. Tím pridá nové pole do registračného formulára, pretože zlepšuje segmentáciu.
2. Nikto nezaznamená, prečo je práve toto pole nevyhnutné.
3. Iný tím neskôr údaje opätovne použije na iný účel.
4. Dodávateľ dostane export na základe všeobecnej zmluvy o poskytovaní služieb.
5. Register spracovateľských činností sa aktualizuje po spustení, ak sa vôbec aktualizuje.
6. Počas auditu vie organizácia predložiť oznámenie o ochrane údajov, ale nevie predložiť dôkazy o rozhodnutí.

Články 4 a 5 GDPR definujú spracúvanie široko. Zahŕňa zber, zaznamenávanie, uchovávanie, používanie, poskytovanie, výmaz aj zničenie. Článok 5 zároveň výslovne stanovuje preukázateľnú zodpovednosť. Prevádzkovatelia musia vedieť preukázať súlad so zásadami.

Auditná otázka preto neznie iba: „Máte politiku?“ Znie: „Ukážte mi, ako bol tento konkrétny dátový prvok schválený, prečo bol potrebný, ako sa používal, kto ho dostal a aké kontroly zabránili jeho zneužitiu.“

Clarysec P17 Politika ochrany údajov a súkromia jasne stanovuje očakávanie počas celého životného cyklu:

Formalizuje zodpovednosti organizácie podľa medzinárodných noriem a regulačných rámcov a zabezpečuje, aby sa osobné údaje (PII) získavali, spracúvali, uchovávali, zdieľali a likvidovali zákonne, bezpečne a transparentne.

Pre MSP Clarysec Politika ochrany údajov a súkromia – MSP premieňa rovnakú zásadu na praktické prevádzkové pravidlo:

Osobné údaje sa smú získavať iba vtedy, keď je to nevyhnutné na legitímny, zákonný alebo zmluvný účel.

A pri minimalizácii:

Získavať a uchovávať sa smie iba minimálny rozsah nevyhnutných osobných údajov.

Tieto vyhlásenia majú silu iba vtedy, keď sa uplatnia pred začiatkom spracúvania. Inak zostávajú jazykom ochrany súkromia bez prevádzkového dôkazu.

Cieľ kontroly: zastaviť neriadené spracúvanie v troch bodoch

Silný PIMS musí riadiť rozhodnutia o PII v troch okamihoch: pred zberom, pred použitím a pred poskytnutím.

Pred zberom musí organizácia vedieť, čo chce získavať, od koho, cez ktorý kanál, na aký účel, na akom právnom základe a prečo je každé pole nevyhnutné.

Pred použitím musí organizácia definovať pravidlá povoleného interného používania. Podpora, starostlivosť o zákazníkov, marketing, prevencia podvodov, financie a vývoj spravidla nepotrebujú rovnakú viditeľnosť ani rovnaké oprávnenie konať na základe PII.

Pred poskytnutím musí organizácia vedieť, kto je príjemca, akú rolu plní, prečo je poskytnutie nevyhnutné, kde prebieha spracúvanie, ktoré kategórie PII sa zdieľajú, ako často sa zdieľanie uskutočňuje a aký zdroj oprávnenia zdieľanie umožňuje.

Clarysec PII09 Politika zberu, používania, poskytovania a zdieľania PII je navrhnutá práve pre túto vrstvu správy a riadenia. Používa označovanie rolí PIMS, najmä rolu prevádzkovateľa, pretože rozhodnutia o zbere, používaní a poskytovaní zvyčajne prijíma organizácia, ktorá určuje účely a prostriedky.

Pri obmedzení zberu PII09 Politika zberu, používania, poskytovania a zdieľania PII vyžaduje:

[Prevádzkovateľ] Vlastník procesu / vlastník organizácie MUSÍ v REG02 zaznamenať účel zberu, zdroj alebo kanál, kategórie PII, kategórie dotknutých osôb a minimálne dátové prvky pred začatím akejkoľvek novej činnosti zberu alebo podstatnej zmeny zberu.

Následne robí minimalizáciu testovateľnou:

[Prevádzkovateľ] Vlastník procesu / vlastník organizácie MUSÍ v REG02 zaznamenať odôvodnenie nevyhnutnosti pre každý dátový prvok PII pred jeho získaním.

Požiadavka „každý dátový prvok PII“ je rozdielom medzi všeobecnou evidenciou spracúvania a dôkazmi preukázateľnej zodpovednosti na úrovni jednotlivých polí.

Pri internom používaní tá istá politika vyžaduje:

[Prevádzkovateľ] Vlastník procesu / vlastník organizácie MUSÍ v REG02 zaznamenať schválené pravidlá interného používania pre každú spracovateľskú činnosť pred začiatkom používania.

Pri sekundárnom použití:

[Prevádzkovateľ] Vlastník procesu / vlastník organizácie MUSÍ v REG02 zaznamenať posúdenie zlučiteľnosti sekundárneho použitia pred tým, ako sa PII použijú na účel, ktorý ešte nebol schválený pre danú spracovateľskú činnosť.

A pri externom poskytnutí:

[Prevádzkovateľ] Vlastník dodávateľa / obstarávania MUSÍ v REG08 zaznamenať identitu príjemcu, rolu príjemcu, účel poskytnutia, kategórie PII, frekvenciu zdieľania, lokalitu spracúvania a zdroj oprávnenia pred začiatkom opakovaného externého zdieľania.

Tieto ustanovenia vytvárajú jasnú odpoveď, keď sa vedenie pýta, či môže organizácia rýchlo inovovať: áno, ak rozhodnutie prejde zdokumentovaným pracovným postupom správy a riadenia a kontroly zodpovedajú schváleniu.

REG02 a REG08: reťazec od politiky ku kontrole v Clarysec

V implementáciách Clarysec nie je REG02 pasívna evidencia spracúvania. Je to záznam o rozhodnutí pre účel zberu, právny základ, kategórie PII, nevyhnutnosť, pravidlá interného používania, zosúladenie s uchovávaním a zlučiteľnosť sekundárneho použitia.

REG08 je kontrolný register poskytovania a zdieľania. Je obzvlášť dôležitý pre dodávateľov, partnerov, spoločnosti v skupine, orgány verejnej moci, ďalších sprostredkovateľov, integrácie a opakované exporty.

Spoločne vytvárajú reťazec od politiky ku kontrole, ktorý môžu testovať tímy ochrany súkromia, bezpečnosti, obstarávania a auditu.

Tento model prirodzene nadväzuje na ISO/IEC 27001:2022. Kapitoly 4 až 10 vyžadujú, aby organizácia rozumela kontextu, požiadavkám zainteresovaných strán, rozsahu, zodpovednostiam vedenia, posúdeniu rizík, ošetreniu rizík, prevádzkovému riadeniu, hodnoteniu výkonnosti a zlepšovaniu. Povinnosti ochrany súkromia podľa GDPR a ISO/IEC 27701:2025 sa tak stávajú súčasťou systému manažérstva, nie samostatným ostrovom ochrany súkromia.

Prevádzkový model podporuje aj ISO/IEC 27002:2022. Kontrola 5.31, právne, štatutárne, regulačné a zmluvné požiadavky, ukotvuje GDPR a odvetvové povinnosti. Kontrola 5.34, ochrana súkromia a ochrana PII, rieši ochranu špecifickú pre súkromie. Kontrola 5.9, inventár informácií a iných súvisiacich aktív, podporuje prehľad o údajoch. Kontroly 5.12 a 5.13 podporujú klasifikáciu a označovanie. Kontrola 5.14 riadi prenos informácií. Kontroly 5.19 až 5.23 pokrývajú vzťahy s dodávateľmi, dohody s dodávateľmi, dodávateľský reťazec IKT, monitorovanie služieb dodávateľov a cloudové služby. Kontrola 8.11 podporuje maskovanie údajov, 8.12 prevenciu úniku údajov, 8.15 logovanie, 8.16 monitorovanie činností a 8.24 používanie kryptografie.

Zenith Blueprint zasadzuje tieto kontroly do implementačnej cesty. Vo fáze Controls in Action pokrýva krok 23 organizačné opatrenia 5.19 až 5.37 vrátane kontroly 5.34 pre ochranu súkromia a ochranu PII. Blueprint vysvetľuje:

V dnešnom svete poháňanom údajmi nie sú osobne identifikovateľné informácie iba ďalším typom údajov; sú hlboko citlivým vyjadrením dôvery. Mená, adresy, identifikátory, zdravotné záznamy, finančné údaje – tieto údaje rozprávajú príbeh o skutočných ľuďoch.

Následne stanovuje prevádzkový základ:

Základom tejto kontroly je prehľad o údajoch. Organizácia musí vedieť, aké PII získava, kde sa nachádzajú, prečo sa spracúvajú a kto k nim má prístup.

Presne toto poskytujú REG02 a REG08, keď sa používajú ako živé záznamy správy a riadenia.

Praktický príklad: schválenie Project Wellness bez straty kontroly

Vráťme sa k fintech scenáru. Organizácia chce analyzovať zákaznícke transakčné údaje na personalizované odporúčania v oblasti finančného zdravia. Marketing chce výstupy používať v kampaniach. Produktový tím chce vytvárať skóre odchodu a zapojenia. Platforma analytiky AI tretej strany bude spracúvať časť súboru údajov.

Takto by Clarysec požiadavku riadil.

Krok 1: Vytvoriť alebo aktualizovať spracovateľskú činnosť v REG02

Vlastník procesu otvorí REG02 a pred začiatkom prác zaznamená spracovateľskú činnosť.

Dôležité je načasovanie. REG02 sa aktualizuje pred začiatkom nového spracúvania, nie až po tom, ako je funkcia už v produkcii.

Krok 2: Zaznamenať odôvodnenia nevyhnutnosti na úrovni polí

Marketing pôvodne žiada päť rokov úplnej histórie transakcií vrátane názvov obchodníkov, presných časových pečiatok, metadát kariet a atribútov zákazníckeho profilu. Tím správy a riadenia spochybní každé pole.

Toto je minimalizácia údajov ako dôkaz, nie ako ambícia. Organizácia stále získava užitočnú analytiku, ale súbor údajov sa zužuje na to, čo je nevyhnutné pre schválený účel.

Krok 3: Klasifikovať a označiť súbor údajov

Súbor údajov sa klasifikuje podľa Clarysec Politika klasifikácie a označovania údajov. Verzia pre MSP vyžaduje:

Externé zdieľanie musí byť výslovne autorizované a zalogované.

Podniková Politika klasifikácie a označovania údajov dopĺňa ochranné opatrenie pre citlivé informácie:

Externe sa smú zdieľať iba na základe NDA alebo rovnocenných zmluvných ochranných opatrení.

V praxi to znamená, že súbor údajov Project Wellness nemožno len tak vyexportovať do platformy AI. Potrebuje schválený záznam o poskytnutí, zmluvné ochranné opatrenia, technické kontroly prenosu a logy.

Zenith Blueprint v kroku 22 ku kontrole 5.12 klasifikácia informácií vysvetľuje, prečo je to dôležité:

Každá kontrola informačnej bezpečnosti, ktorá kedy bola napísaná – obmedzenie prístupu, šifrovanie, zálohovanie, monitorovanie alebo likvidácia – predpokladá jednu vec: že organizácia vie, čo chráni.

Bez klasifikácie sa obmedzenia prístupu, šifrovanie, DLP a pravidlá uchovávania menia na odhady.

Krok 4: Definovať pravidlá interného používania pred produkčným vydaním

Vlastník procesu zaznamená schválené pravidlá interného používania v REG02. Práve tu sa často zastaví postupné rozširovanie účelu.

Obhájiteľný súbor pravidiel môže uvádzať:

• Produktový tím môže používať agregované metriky výkonnosti odporúčaní.
• Zákaznícka podpora môže pri riešení požiadavky vidieť, či bolo zákazníkovi zobrazené odporúčanie.
• Marketing nesmie používať skóre finančného zdravia na individuálnej úrovni na segmentáciu kampaní, pokiaľ sa nedokončí posúdenie zlučiteľnosti sekundárneho použitia.
• Financie nesmú pristupovať k detailnej analytike finančného zdravia, pokiaľ neexistuje samostatný schválený účel.
• Vývojári nesmú používať produkčné PII v testovacích prostrediach.
• Hodnotenie modelu AI musí, kde je to možné, používať maskované, pseudonymizované alebo agregované súbory údajov.

Posledné dve pravidlá nadväzujú na kontrolu 8.11 ISO/IEC 27002:2022, maskovanie údajov. Zenith Blueprint, krok 19, opisuje maskovanie údajov ako praktickú metódu na predchádzanie zbytočnému sprístupneniu v testovacích prostrediach, tréningových súboroch údajov, analytických platformách, integráciách tretích strán a testovacích pipeline CI/CD.

Krok 5: Vykonať posúdenie zlučiteľnosti sekundárneho použitia

Marketing neskôr požiada o použitie skóre finančného zdravia na cielené kampane. Ide o nový účel. Podľa PII09 Politika zberu, používania, poskytovania a zdieľania PII, bod 4.3.1, musí vlastník organizácie zaznamenať posúdenie zlučiteľnosti v REG02 pred začiatkom nového použitia.

Posúdenie má vyhodnotiť:

• či je marketing finančného zdravia zlučiteľný s pôvodným účelom spracúvania,
• čo bolo zákazníkom oznámené pri zbere a v oznámení o ochrane údajov,
• či odvodené závery z transakcií môžu byť citlivé alebo neočakávané,
• či nové použitie môže vytvoriť tlak, vylúčenie alebo neférové profilovanie,
• či ochranné opatrenia, ako sú agregácia, odhlásenie, pseudonymizácia alebo segmentácia na úrovni účtu, znižujú riziko,
• či právny základ zostáva platný,
• či sú potrebné aktualizácie transparentnosti alebo mechanizmy súhlasu.

Výsledkom môže byť schválenie, schválenie s ochrannými opatreniami alebo zamietnutie. Hodnota spočíva v tom, že rozhodnutie je zdokumentované pred začiatkom používania.

Krok 6: Schváliť externé poskytnutie cez REG08

Ak má dodávateľ analytiky AI dostať údaje, vlastník dodávateľa alebo obstarávania zaznamená v REG08:

Clarysec Politika bezpečnosti tretích strán a dodávateľov – MSP posilňuje minimalizovaný prístup dodávateľov:

Dodávatelia musia dostať prístup iba k minimálnemu rozsahu systémov a údajov potrebných na vykonanie ich funkcie.

Toto je minimalizácia ochrany súkromia uplatnená na prístup dodávateľov a poskytovanie údajov.

Krok 7: Doplniť technické presadzovanie

Záznamy správy a riadenia musia byť podložené technickými kontrolami. Pri Project Wellness by Clarysec zvyčajne odporučil pravidlá DLP pre exporty, obmedzenia prístupu na základe rolí, logovanie udalostí prístupu a prenosu, maskované súbory údajov pre vývoj, šifrovanie pri prenose a ukladaní, preskúmania prístupov dodávateľov, bezpečnostnú previerku cloudových služieb a pravidelné vzorkovanie REG02 a REG08 oproti skutočnému správaniu systémov.

Takto sa preukázateľná zodpovednosť podľa ISO/IEC 27701:2025 a GDPR mení na prevádzkové dôkazy.

Mapovanie kontrol: od rozhodnutia o ochrane súkromia k bezpečnostnému presadzovaniu

Správa a riadenie PII nie je jedna izolovaná kontrola. Ide o vzťah medzi požiadavkami ochrany súkromia, bezpečnostnými kontrolami, správou a riadením dodávateľov a auditnými dôkazmi.

Zenith Controls považuje kontrolu 5.34 ISO/IEC 27002:2022, ochrana súkromia a ochrana PII, za preventívnu kontrolu podporujúcu dôvernosť, integritu a dostupnosť, s kybernetickými konceptmi Identify a Protect a prevádzkovými spôsobilosťami v ochrane informácií spolu s právnymi požiadavkami a súladom.

Pre 5.34 Zenith Controls mapuje okolitý ekosystém kontrol vrátane inventarizácie, klasifikácie, prenosu, prístupu, identity, cloudu, bezpečnosti dodávateľov, maskovania, prevencie úniku, logovania, monitorovania a kryptografie.

Pri maskovaní Zenith Controls uvádza:

Maskovanie údajov (8.11) je technika často používaná na ochranu PII v neprodukčných prostrediach alebo pri zdieľaní údajov. Priamo podporuje 5.34 tým, že znižuje sprístupnenie skutočných osobných údajov, a tým znižuje riziko ochrany súkromia.

Pri prevencii úniku údajov príručka vysvetľuje praktickú hranicu:

DLP zohráva priamu rolu pri ochrane osobných údajov. Kontrola 8.12 presadzuje hranice toho, ako možno k PII pristupovať, ako ich možno zdieľať alebo presúvať, a zabezpečuje, aby osobné údaje nemohli uniknúť cez neautorizované kanály.

Audítor testujúci správu a riadenie poskytovania preto môže okrem REG08 požadovať aj politiky DLP, logy zablokovaných prenosov, kontroly odchádzajúcich e-mailov, obmedzenia cloudového zdieľania, požiadavky na šifrovanie, záznamy o prístupe dodávateľov a dôkazy o schválených výnimkách.

Hodnota súladu naprieč rámcami: GDPR, ISO 27701, NIS2, DORA, NIST a COBIT

Správa a riadenie zberu, používania a poskytovania PII je vedená ochranou súkromia, ale jej dôkazy podporujú širšie povinnosti v oblasti kybernetickej bezpečnosti, odolnosti a správy a riadenia.

Články 2 a 3 GDPR definujú široký vecný a územný rozsah, ktorý môže zahŕňať SaaS, fintech a poskytovateľov digitálnych služieb mimo EÚ, ak obsluhujú alebo monitorujú osoby v EÚ. Článok 5 vyžaduje obmedzenie účelu, minimalizáciu údajov, presnosť, minimalizáciu uchovávania, integritu, dôvernosť a preukázateľnú zodpovednosť. Článok 6 vyžaduje právny základ a posúdenie zlučiteľnosti pri ďalšom spracúvaní. Článok 9 dopĺňa prísnejšie podmienky pre osobitné kategórie údajov, čo je relevantné pri profilovaní, údajoch blízkych zdravotným údajom, biometrickom onboardingu alebo citlivých atribútoch.

Článok 21 NIS2 vyžaduje, aby základné a dôležité subjekty implementovali primerané technické, prevádzkové a organizačné opatrenia na riadenie rizík. Minimálne oblasti zahŕňajú analýzu rizík, politiky bezpečnosti informačných systémov, riešenie incidentov, kontinuitu činností, bezpečnosť dodávateľského reťazca, bezpečný vývoj, účinnosť kontrol, školenia, kryptografiu, bezpečnosť ľudských zdrojov, riadenie prístupu, správu aktív a autentifikáciu.

DORA vyžaduje, aby finančné subjekty udržiavali rámec riadenia rizík IKT, preukázateľnú zodpovednosť riadiaceho orgánu, identifikáciu aktív IKT a závislostí, ochranné a preventívne kontroly, detekciu, reakciu, obnovu, zálohovanie, poučenie, riadenie incidentov, testovanie a riadenie rizík IKT tretích strán. Vyžaduje tiež registre informácií pre zmluvy o službách IKT, náležitú starostlivosť, práva na audit, bezpečnostné požiadavky a stratégie ukončenia.

NIST Cybersecurity Framework 2.0 poskytuje zjednocujúci jazyk správy a riadenia. Jeho funkcia GOVERN očakáva, že právne, regulačné a zmluvné požiadavky vrátane povinností ochrany súkromia budú pochopené a riadené. Pokrýva aj rizikovú stratégiu, roly, politiky, dohľad a riadenie rizík dodávateľov.

Audítori COBIT 2019 hľadajú ciele správy a riadenia, rozhodovacie právomoci, zodpovednosť za konanie, vlastníctvo procesov, ukazovatele výkonnosti a dôkazy pre uistenie. Pri správe a riadení PII to znamená, že požiadavky ochrany súkromia musia byť začlenené do podnikovej správy a riadenia, nie spravované ako bočný proces.

Ako audítori testujú tú istú vrstvu správy a riadenia

Silná implementácia PIMS musí obstáť pri rôznych štýloch auditu.

Audítor ISO/IEC 27001:2022 a ISO/IEC 27701:2025 začne rozsahom, zainteresovanými stranami, právnymi a zmluvnými požiadavkami, posúdením rizík, Vyhlásením o uplatniteľnosti, prevádzkovým plánovaním a zdokumentovanými dôkazmi. Môže vybrať vzorky spracovateľských činností z REG02 a testovať, či sú implementované a monitorované kontroly, ako sú 5.34, 5.12, 5.14, 5.19 až 5.23, 8.11, 8.12, 8.15, 8.16 a 8.24.

Audítor alebo regulátor zameraný na GDPR bude testovať preukázateľnú zodpovednosť. Môže začať oznámením o ochrane údajov, sťažnosťou, žiadosťou dotknutej osoby alebo poskytnutím dodávateľovi a potom spätne sledovať rozhodnutia. Prečo boli tieto údaje získané? Aký právny základ sa uplatnil? Bol účel špecifikovaný? Bolo neskoršie použitie zlučiteľné? Bol príjemca autorizovaný? Boli jednotlivci informovaní? Boli záznamy aktualizované pred začiatkom spracúvania?

Dohľadový orgán DORA, ak je relevantný, sa zameria na podnikové funkcie podporované IKT, externých poskytovateľov IKT, zmluvné doložky, práva na audit, ochranu údajov, komunikáciu incidentov, testovanie odolnosti a plánovanie ukončenia. Ak sa zákaznícke PII zdieľajú s kritickým analytickým alebo cloudovým poskytovateľom, REG08, náležitá starostlivosť pri dodávateľoch a zmluvné kontroly sa stávajú centrálnymi dôkazmi.

Posudzovateľ NIST CSF zasadí tému do výsledkov správy a riadenia. Sú právne a regulačné požiadavky riadené? Sú roly a zodpovednosti jasné? Sú politiky udržiavané a uplatňované? Sú riziká dodávateľov riadené? Fungujú výsledky ochrany údajov, monitorovania a reakcie?

Audítor v štýle COBIT alebo ISACA sa opýta, či sú definované rozhodovacie právomoci, či vlastníci organizácie akceptujú riziko ochrany súkromia, či sa meria výkon kontrol, či sa sledujú výnimky a či manažment dostáva zmysluplný reporting.

Časté nedostatky, ktoré Clarysec nachádza pri implementáciách

Prvým nedostatkom je chápanie evidencie spracúvania ako dokumentačného cvičenia namiesto schvaľovacej brány. Ak sa REG02 aktualizuje po spustení, nevie preukázať predchádzajúcu správu a riadenie.

Druhým je neurčité pomenovanie účelu. „Analytika“, „zlepšenie služby“ alebo „zákaznícky poznatok“ sú zriedka dostatočne konkrétne na riadenie interného používania alebo sekundárneho použitia.

Tretím je chýbajúca nevyhnutnosť na úrovni polí. Minimalizáciu údajov nemožno preukázať tvrdením, že každé pole je užitočné. Organizácia musí vysvetliť, prečo je každé pole nevyhnutné pre schválený účel.

Štvrtým je neriadené sekundárne použitie. Údaje získané na správu účtu sa nenápadne stanú predajným spravodajstvom, potom marketingovou segmentáciou a napokon tréningom AI. Každá zmena účelu vyžaduje analýzu zlučiteľnosti a v niektorých prípadoch nový právny základ alebo aktualizáciu transparentnosti.

Piatym je slabá správa a riadenie poskytovania. Zoznamy dodávateľov nie sú to isté ako záznamy o poskytnutí. REG08 spája príjemcu, rolu, účel, kategórie PII, lokalitu, frekvenciu a zdroj oprávnenia do jednej schvaľovacej stopy.

Šiestym je chýbajúce technické presadzovanie. Politiky môžu hovoriť, že PII nesmú opustiť schválené kanály, ale e-mail, exporty, zdieľané úložiská a analytické nástroje to často umožňujú. Práve tu sú nevyhnutné kontroly ISO/IEC 27002:2022 5.14, 8.12, 8.15, 8.16 a 8.24.

Praktický 30-dňový úvodný plán

Organizácie nemusia riešiť všetko naraz. Začnite jednou vysokorizikovou spracovateľskou činnosťou, ideálne takou, ktorá zahŕňa profilovanie zákazníkov, analytiku AI, citlivé atribúty, cezhraničný prenos alebo platformu tretej strany.

V prvom týždni identifikujte spracovateľskú činnosť, vlastníka, kategórie PII, systémy, dodávateľov a aktuálny účel. Overte, či je činnosť už uvedená v REG02 a či je poskytnutie uvedené v REG08.

V druhom týždni doplňte odôvodnenia nevyhnutnosti na úrovni polí. Spochybnite nadmerné dátové prvky. Potvrďte klasifikáciu a označovanie. Identifikujte, či maskovanie, agregácia alebo pseudonymizácia môžu znížiť riziko.

V treťom týždni definujte pravidlá interného používania a vykonajte všetky potrebné posúdenia zlučiteľnosti sekundárneho použitia. Rozhodnite, či treba aktualizovať oznámenia o ochrane údajov, posúdenia právneho základu alebo kontroly práv dotknutých osôb.

Vo štvrtom týždni validujte záznamy o externom poskytnutí, prístup dodávateľov, zmluvné ochranné opatrenia, podmienky zmluvy o spracúvaní osobných údajov, kontroly prenosu, logovanie, DLP a povinnosti výmazu. Následne odoberte vzorku skutočného správania systémov a porovnajte ju so schváleniami.

Po 30 dňoch má mať manažment konkrétny balík dôkazov: REG02, REG08, záznamy o klasifikácii, matice prístupu, dôkazy DLP a logovania, náležitú starostlivosť pri dodávateľoch, zmluvné ochranné opatrenia, posúdenia zlučiteľnosti a otvorené nápravné opatrenia.

Od politiky k dôkazu

Správa a riadenie zberu, používania a poskytovania PII je miestom, kde sa ochrana súkromia stáva skutočnou. Je to rozdiel medzi tvrdením „dodržiavame GDPR“ a preukázaním, že každé rozhodnutie o zbere, použití, opätovnom použití a poskytnutí bolo riadené pred tým, ako spracúvanie prebehlo.

Súbor nástrojov Clarysec poskytuje tímom ochrany súkromia, bezpečnosti a súladu praktickú cestu:

• Použite PII09 Politika zberu, používania, poskytovania a zdieľania PII na definovanie povinných schvaľovacích brán.
• Použite P17 Politika ochrany údajov a súkromia alebo Politika ochrany údajov a súkromia – MSP na ukotvenie zákonného, spravodlivého, transparentného a minimalizovaného spracúvania.
• Použite Politika klasifikácie a označovania údajov a Politika bezpečnosti tretích strán a dodávateľov – MSP na riadenie klasifikácie, zdieľania a prístupu dodávateľov.
• Postupujte podľa Zenith Blueprint: 30-kroková cestovná mapa audítora, aby ste kontrolné prostredie implementovali v správnom poradí.
• Použite Zenith Controls: príručka súladu naprieč rámcami, aby ste pochopili, ako kontroly ISO/IEC 27002:2022, napríklad 5.34, 5.12, 5.14, 8.11 a 8.12, podporujú GDPR, NIS2, DORA, NIST a auditné očakávania.

Ak sa váš ďalší audit, požiadavka zákazníka na náležitú starostlivosť alebo preskúmanie predstavenstvom opýta, ako riadite, aké PII sa získavajú, ako sa používajú a kedy sa poskytujú, nespoliehajte sa iba na vyhlásenia v politikách.

Začnite jednou vysokorizikovou činnosťou. Vytvorte záznam REG02. Odôvodnite každý dátový prvok. Definujte pravidlá interného používania. Vykonajte posúdenie zlučiteľnosti sekundárneho použitia. Vytvorte záznam o poskytnutí v REG08. Potom otestujte, či prístup, DLP, maskovanie, logovanie, šifrovanie a kontroly dodávateľov zodpovedajú rozhodnutiu.

Takto sa preukázateľná zodpovednosť podľa ISO/IEC 27701:2025 a GDPR mení na dôkazy.

Preskúmajte súbor nástrojov Clarysec PIMS, začnite s PII09 Politika zberu, používania, poskytovania a zdieľania PII a použite Zenith Blueprint na premenu zámeru politiky ochrany súkromia na dôkazy pripravené na audit.