Dokazila PIMS po ISO 27701:2025 za presoje skladnosti z GDPR

Četrtek je, 08:40, in Ava, vodja skladnosti v FinScale, je pravkar odprla e-pošto, ki jo prej ali slej prejme vsako hitro rastoče B2B SaaS podjetje.

Velika nemška poslovna stranka je poslala vprašalnik skrbnega pregleda po GDPR z rokom 48 ur. Ne zahteva politike zasebnosti. Ne zadovolji se s certifikatom. Zahteva dokazila.

Predložite svojo evidenco dejavnosti obdelave za naše podatke. Prikažite dokazila o skrbnem pregledu pri uvedbi podobdelovalcev. Pojasnite, kako dokazujete svoje obveznosti po GDPR Article 28. Za vsak delovni tok opredelite, ali vaša platforma deluje kot upravljavec PII, obdelovalec, skupni upravljavec ali podobdelovalec. Dokažite, da je bila za vašo funkcionalnost podpore z umetno inteligenco potrjena pravna podlaga. Prikažite obveznosti izbrisa, pravice do presoje, podporo pri incidentih in pogodbene kontrole.

Ava ve, da ima FinScale potrebne gradnike. Pravna služba ima pogodbo o obdelavi osebnih podatkov. Ekipa za varnost ima izjavo o uporabljivosti ISO/IEC 27001:2022. Produktna ekipa ima kontrolne sezname za lansiranje. Nabava ima pogodbe z dobavitelji. Funkcija skladnosti ima register obdelave, čeprav so nekateri vnosi zastareli. Težava ni v tem, da dokazila ne obstajajo. Težava je, da so dokazila razpršena, nejasnost vlog ni razrešena in nihče ne more hitro slediti dejavnosti obdelave od namena do pravne podlage, odločitve o tveganju, kontrole dobavitelja, varnostne kontrole, zapisa presoje in vodstvenega pregleda.

To je dejanska vrzel v odgovornosti.

ISO 27701:2025 postane učinkovit, ko to vrzel zapre. Sistem upravljanja informacij o zasebnosti oziroma PIMS ni zgolj mapa politik za certifikacijo zasebnosti. Je operativni model za zagotavljanje zanesljivih dokazil. Za CISO, vodje skladnosti, vodje področja zasebnosti, presojevalce in lastnike poslovnih procesov je cilj preprost: vzpostaviti PIMS, ki dokazuje odgovornost po GDPR za upravljavce in obdelovalce PII ter hkrati podpira pričakovanja ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 in COBIT 2019.

Odgovornost po GDPR je vprašanje dokazil

Odgovornost po GDPR se pogosto napačno razume kot zahteva po dokumentaciji. Zahteva bistveno več.

GDPR Article 5 določa temeljna načela obdelave osebnih podatkov, vključno z zakonitostjo, poštenostjo, preglednostjo, omejitvijo namena, najmanjšim obsegom podatkov, točnostjo, omejitvijo hrambe, celovitostjo in zaupnostjo. Article 5(2) določa odgovornost upravljavca, da mora biti sposoben dokazati skladnost. Article 4 opredeljuje pojme osebnih podatkov, obdelave, upravljavca, obdelovalca, psevdonimizacije in kršitve varnosti osebnih podatkov. Article 6 zahteva pravno podlago za vsako dejavnost obdelave, pri kateri organizacija nastopa kot upravljavec. Article 9 dodaja strožje pogoje za posebne vrste osebnih podatkov. Article 28 ureja obveznosti obdelovalca in pogodbena določila.

Teh obveznosti ni mogoče izpolniti zgolj z javnim obvestilom o zasebnosti. Zahtevajo dokazila na ravni dejavnosti obdelave.

Praktičen model dokazil PIMS po ISO 27701:2025 mora odgovoriti na naslednja vprašanja:

• Kateri PII se obdeluje?
• Zakaj se obdeluje?
• Ali organizacija nastopa kot upravljavec, obdelovalec, skupni upravljavec ali podobdelovalec?
• Katera pravna podlaga velja, kadar je organizacija upravljavec?
• Katero dokumentirano navodilo velja, kadar je organizacija obdelovalec?
• Kateri sistemi, dobavitelji, podobdelovalci in lokacije so vključeni?
• Katero preverjanje tveganj za zasebnost ali katera odločitev DPIA je bila izvedena?
• Katere varnostne kontrole varujejo PII?
• Katera dokazila dokazujejo delovanje kontrol?
• Kdo je odobril preostalo tveganje, izjeme in korektivne ukrepe?

Clarysecov pristop ta vprašanja pretvori v obveznosti politik, registre in sledljive dokazilne artefakte. Rezultat je PIMS, ki prestane skrbni pregled strank, pregled nadzornega organa, notranjo presojo, presojo ISO, presojo DORA in pregled upravnega odbora.

Začnite z jasnostjo vlog: upravljavec, obdelovalec ali oboje

Najhitrejša pot do neuspeha pri presoji PIMS je enaka obravnava vseh dejavnosti obdelave.

Po GDPR upravljavec določa namene in sredstva obdelave. Obdelovalec obdeluje osebne podatke v imenu upravljavca. Veliko SaaS in tehnoloških podjetij opravlja obe vlogi. FinScale je obdelovalec, kadar gosti podatke končnih uporabnikov stranke po navodilih stranke. Je upravljavec za evidence zaposlenih, marketinške potencialne stranke, obračunske kontakte, podatke o zaposlovanju in nekatere produktne analitike.

Ta razlika določa zahteve glede dokazil.

Clarysecova Politika sistema upravljanja informacij o zasebnosti določa razvrstitev vlog kot operativno zahtevo:

[Oboje] Lastnik procesa / lastnik poslovnega procesa MORA razvrstiti vlogo organizacije v PIMS za vsako dejavnost obdelave PII v REG02, preden se dejavnost obdelave začne.

Ta ena obveznost spremeni operativni model zasebnosti. Pravni pregled ob lansiranju ni več naknadna naloga. Vsak lastnik procesa mora pred začetkom obdelave razvrstiti vlogo PIMS. Ta razvrstitev določa nadaljnjo verigo dokazil.

Za dejavnosti upravljavca Clarysecova Politika popisa dejavnosti obdelave PII in pravne podlage zahteva potrditev pravne podlage:

[Upravljavec] Vodja področja zasebnosti / vodja PIMS MORA potrditi pravno podlago, evidentirano v REG02, preden se začne obdelava v vlogi upravljavca in preden začne veljati kakršna koli sprememba namena.

Iz razdelka »Evidence namena upravljavca in pravne podlage«, klavzula politike 4.2.2.

Pri dejavnostih obdelovalca se poudarek dokazil premakne na dokumentirana navodila, pogodbene kontrole, upravljanje podobdelovalcev, varnostne ukrepe, obveznosti pomoči, podporo pri incidentih ter vračilo ali izbris ob prenehanju. Tu postane REG08 ključen.

Clarysecova Politika upravljanja obdelovalcev, podobdelovalcev in tretjih oseb na področju zasebnosti zahteva:

[Upravljavec] Vodja področja zasebnosti / vodja PIMS MORA pred odobritvijo preveriti, da polja pogodbenih kontrol obdelovalca v REG08 obravnavajo obseg obdelave, trajanje, namen, kategorije PII, kategorije posameznikov, na katere se nanašajo osebni podatki, zaupnost, varnost, odobritev podobdelovalcev, pomoč, presojo ali zagotovila, vračilo, izbris in prenehanje.

Iz razdelka »Pogodbene kontrole in kontrole dokumentiranih navodil«, klavzula politike 4.3.2.

REG02 vzpostavi dejavnost obdelave in vlogo. REG04 preveri tveganje za zasebnost. REG08 potrdi kontrole obdelovalcev, podobdelovalcev in dobaviteljev. REG12 indeksira dokazila. Skupaj ustvarijo verigo dokazil PIMS.

Veriga dokazil PIMS, ki jo pričakujejo presojevalci

Močan PIMS ekipam ne nalaga vzdrževanja nepovezanih preglednic. Opredeli dokazilne artefakte, lastnike, časovne zahteve, cikle pregledov in revizijske sledi.

Clarysecova Politika dokumentiranih informacij in upravljanja dokazil PIMS določa:

[Vsi] Vodja področja zasebnosti / vodja PIMS MORA vzdrževati indeks dokumentiranih informacij PIMS v REG12 pred prvo objavo PIMS in nato četrtletno.

REG12 preprečuje, da bi program zasebnosti postal mapa zastarelih datotek PDF. Presojevalcu pove, katera dokazila obstajajo, kje so shranjena, kdo je njihov lastnik, kdaj so bila nazadnje pregledana ter katere dejavnosti obdelave, tveganja, obveznosti ali kontrole podpirajo.

Ta veriga dokazil se naravno ujema z zahtevami ISO/IEC 27001:2022 glede konteksta, zainteresiranih strani, načrtovanja tveganj, operativnega nadzora, dokumentiranih informacij, vrednotenja uspešnosti, notranje presoje, vodstvenega pregleda in nenehnega izboljševanja. Povezuje se tudi s kontrolami ISO/IEC 27002:2022, kot so 5.2 Vloge in odgovornosti na področju informacijske varnosti, 5.20 Obravnava informacijske varnosti v pogodbah z dobavitelji, 5.21 Upravljanje informacijske varnosti v dobavni verigi IKT, 5.34 Zasebnost in varstvo PII ter 8.10 Brisanje informacij.

Dokazila upravljavca in obdelovalca niso enaka

Avina nemška stranka ne sprašuje le, ali ima FinScale politike zasebnosti. Stranka želi dokaz, da FinScale razume, katero vlogo ima pri posameznem toku podatkov.

Kadar FinScale nastopa kot upravljavec, mora utemeljiti, zakaj obdeluje podatke. Obdelava plač zaposlenih lahko na primer temelji na pogodbeni nujnosti in zakonski obveznosti. Trženje lahko temelji na privolitvi ali zakonitih interesih, odvisno od konteksta in jurisdikcije. Zaposlovanje lahko zahteva omejitve hrambe, preglednost in nadzor dostopa. Dokazilo ni le izbrana pravna podlaga. Je potrjen zapis, obvestilo, pravilo hrambe, postopek za uveljavljanje pravic in odločitev o tveganju.

Kadar FinScale nastopa kot obdelovalec, mora dokazati, da ravna po dokumentiranih navodilih stranke. Dokazila vključujejo DPA, konfiguracijo produkta, sistemske dnevnike, varnostne kontrole, odobritve podobdelovalcev, postopke pomoči, proces podpore pri kršitvah, pravice do presoje ter dokazila o izbrisu ali vračilu.

Clarysecova P17 Politika varstva podatkov in zasebnosti poudarja, da mora biti zasebnost vključena v ISMS:

Organizacija mora vzdrževati formalni okvir upravljanja zasebnosti, integriran v sistem upravljanja informacijske varnosti (ISMS), za uveljavljanje te politike.

Iz razdelka »Zahteve upravljanja«, klavzula politike 5.1.

Različica za MSP, Politika varstva podatkov in zasebnosti za MSP, ohranja enako disciplino dokazil:

Koordinator za zasebnost mora vzdrževati register vseh dejavnosti obdelave osebnih podatkov, vključno s kategorijami podatkov, namenom, pravno podlago in roki hrambe

Zahteva tudi:

Pravna podlaga (npr. privolitev, pogodba, zakonska obveznost) mora biti dokumentirana v registru obdelave

Za programe v večjih organizacijah P17 Politika varstva podatkov in zasebnosti dodaja lastništvo:

Pravna služba mora vzdrževati in posodabljati evidenco pravnih podlag.

Praktični prikaz: lansiranje produktne analitike

Vzemimo funkcionalnost produktne analitike, ki spremlja navigacijo uporabnikov, uporabo funkcionalnosti, metapodatke sej, ID organizacije, vlogo uporabnika in podatke o napravi. Produktna ekipa želi vpoglede v uporabo. Prodaja želi metrike sprejetja. Ekipa za uspeh strank želi signale odhoda strank. Pravna služba sprašuje, ali je FinScale upravljavec ali obdelovalec. Ekipa za varnost sprašuje, ali dnevniki vsebujejo osebne podatke. Nabava ugotavlja, da ponudnik analitike uporablja podobdelovalce.

Močan PIMS to pretvori v ponovljiv delovni tok.

1. Pred začetkom obdelave ustvarite ali posodobite REG02

Lastnik poslovnega procesa evidentira dejavnost v REG02. Zapis mora vključevati namen, kategorije PII, kategorije posameznikov, na katere se nanašajo osebni podatki, sisteme, rok hrambe, prenose, varnostne ukrepe, razvrstitev vloge ter pravno podlago ali dokumentirano navodilo.

Če se analitika uporablja za lastne namene izboljševanja produkta FinScale, je FinScale pri tej dejavnosti lahko upravljavec. Če se analitika izvaja samo na podlagi nastavitev, ki jih konfigurira stranka, in v imenu stranke, je FinScale lahko obdelovalec. V številnih SaaS okoljih lahko v eni funkcionalnosti obstajata obe vlogi, odvisno od toka podatkov in namena.

2. Potrdite pravno podlago ali dokumentirano navodilo

Če je FinScale upravljavec, vodja področja zasebnosti ali pravna služba pred začetkom obdelave potrdi pravno podlago v REG02. Če so vključene posebne vrste osebnih podatkov, mora ekipa opredeliti tudi ustrezni pogoj iz GDPR Article 9 in dodatna varovala.

Če je FinScale obdelovalec, morajo dokazila kazati na dokumentirano navodilo stranke. Vprašanje postane: kje je navodilo, katera obdelava je dovoljena in kako FinScale dokaže, da je navodilo upošteval?

3. Sprožite preverjanje tveganj za zasebnost v REG04

Clarysecova Politika ocene tveganj za zasebnost in DPIA zahteva:

[Oboje] Lastnik procesa / lastnik poslovnega procesa MORA sprožiti preverjanje tveganj za zasebnost v REG04, preden se začne nova ali bistveno spremenjena obdelava PII, evidentirana v REG02.

Iz razdelka »Preverjanje tveganj za zasebnost«, klavzula politike 4.1.1.

Preverjanje mora oceniti občutljivost, obseg, posledice spremljanja, pričakovanja posameznikov, na katere se nanašajo podatki, profiliranje, avtomatizirane odločitve, čezmejne prenose, dostop dobaviteljev, hrambo in učinkovitost kontrol. Če je tveganje povečano, mora PIMS sprožiti DPIA in evidentirati odločitev.

4. Posodobite REG08 za dobavitelje in podobdelovalce

Če zunanji ponudnik analitike prejema PII, nabava, pravna služba in funkcija zasebnosti posodobijo REG08. Pogodbena polja morajo obravnavati obseg, trajanje, namen, kategorije PII, zaupnost, varnost, odobritev podobdelovalcev, pomoč, presojo ali zagotovila, vračilo, izbris in prenehanje.

Politika varnosti tretjih oseb in dobaviteljev za MSP podpira to operativno disciplino z zahtevo po:

preverjanju praks ravnanja s podatki ali skladnosti na področju zasebnosti podatkov, kadar so vključeni osebno določljivi podatki (PII)

P17 Politika varstva podatkov in zasebnosti zahteva tudi:

Ekipe za nabavo ter pravne in skladnostne zadeve morajo preveriti skladnost z Article 28 GDPR in zahtevati letno ponovno oceno vseh dobaviteljev z visokim tveganjem.

5. Indeksirajte dokazila v REG12

Nazadnje vodja PIMS posodobi REG12 s povezavami do REG02, potrditve pravne podlage, dokumentiranega navodila, preverjanja REG04, DPIA, če je zahtevana, zapisa dobavitelja v REG08, DPA, varnostnega pregleda, odločitve o hrambi, odobritve produkta in dokazil spremljanja.

Tako vgrajeno varstvo zasebnosti postane dokazilo, pripravljeno za presojo.

Uporaba Zenith Blueprint za vzpostavitev sledljivosti

Vedeti, katera dokazila je treba zbrati, je le polovica izziva. Težji del je vzpostaviti sistem, ki jih zanesljivo ustvarja.

Zenith Blueprint: 30-koračni časovni načrt presojevalca to umesti v fazo temeljnih elementov in vodstva ISMS, korak 2: potrebe zainteresiranih strani in obseg ISMS. Vodnik prikazuje, kako pričakovanja zainteresiranih strani postanejo načrtovane kontrole:

Stranke
(B2B SaaS)
Zaupnost podatkov, razpoložljivost v skladu s
SLA, obvestilo o kršitvi v
24 urah
Izvedite nadzor dostopa, šifriranje;
načrt odzivanja na incidente vključuje
postopke obveščanja.

Vključuje tudi:

Ukrep 4.2: Pripravite seznam vseh pomembnih zainteresiranih strani in zabeležite njihove zahteve v zvezi z informacijsko varnostjo.

Za ISO 27701:2025 ta ukrep razširite na zasebnost. Zainteresirane strani vključujejo stranke, posameznike, na katere se nanašajo podatki, regulatorje, obdelovalce, podobdelovalce, zaposlene, produktne ekipe, notranjo revizijo, vodstvo, stranke iz finančnega sektorja in sektorske regulatorje, kadar veljata NIS2 ali DORA.

V fazi upravljanja tveganj, korak 13: načrtovanje obravnave tveganj in izjava o uporabljivosti, Zenith Blueprint priporoča sledljivost:

Navzkrižno sklicevanje na predpise: če so določene kontrole uvedene posebej zaradi skladnosti z GDPR, NIS2 ali DORA, lahko to navedete bodisi v registru tveganj (kot del utemeljitve vpliva tveganja) bodisi v opombah SoA.

To ustvari zlato nit, ki jo presojevalci želijo videti: zahteva, tveganje, kontrola, lastnik, dokazilo, rezultat testiranja in ukrep izboljšave.

Kje se Zenith Controls prilega modelu PIMS

Clarysecov Zenith Controls: vodnik za navzkrižno skladnost ekipam pomaga preprečiti podvojene programe skladnosti z mapiranjem kontrolnih tem ISO/IEC 27001:2022 in ISO/IEC 27002:2022 na druge standarde, pričakovanja pri presoji in vzorce dokazil.

Za dokazila PIMS po ISO 27701:2025 so posebej pomembne štiri kontrole ISO/IEC 27002:2022:

• 5.2 Vloge in odgovornosti na področju informacijske varnosti
• 5.20 Obravnava informacijske varnosti v pogodbah z dobavitelji
• 5.21 Upravljanje informacijske varnosti v dobavni verigi IKT
• 5.34 Zasebnost in varstvo PII

Kontrola 5.2 podpira jasnost vlog. PIMS potrebuje jasno opredeljeno odgovornost za vodjo PIMS, vodjo področja zasebnosti, lastnika procesa, lastnika poslovnega procesa, pravno službo, nabavo, varnost, notranjo revizijo in najvišje vodstvo.

Kontrola 5.34 podpira osrednjo obveznost zasebnosti. Zenith Blueprint, faza Kontrole v praksi, korak 23, pojasnjuje pričakovanje pri presoji:

Z vidika presoje je ta kontrola vse bolj v ospredju. Presojevalci, regulatorji in stranke želijo videti:

✓ Kje se nahaja PII,
✓ katera pravna podlaga ureja njegovo obdelavo,
✓ kako je dostop omejen,
✓ kako se poročajo incidenti,
✓ in kako organizacija spoštuje pravice ter ohranja preglednost.

Zenith Blueprint nadaljuje:

Kontrola 5.34 ni zgolj kljukica na seznamu. Je izjava o etičnem skrbništvu.

Kontroli 5.20 in 5.21 povezujeta dokazila PIMS z upravljanjem dobaviteljev in dobavne verige IKT. Zenith Blueprint, faza Kontrole v praksi, korak 23, navaja teme pogodb z dobavitelji:

Ključna področja, ki se običajno obravnavajo v pogodbah z dobavitelji, vključujejo:

✓ Obveznosti glede zaupnosti, vključno z obsegom, trajanjem in omejitvami razkritij tretjim osebam;
✓ odgovornosti za nadzor dostopa, na primer kdo lahko dostopa do vaših podatkov, kako se upravljajo poverilnice in kakšno spremljanje je vzpostavljeno;
✓ tehnične in organizacijske ukrepe za varstvo podatkov, šifriranje, varen prenos, varnostno kopiranje in zaveze glede razpoložljivosti;
✓ časovne roke in protokole poročanja o incidentih, pogosto z določenimi časovnimi okviri (npr. »obvestilo v 24 urah«);
✓ pravico do presoje, vključno s pogostostjo, obsegom in dostopom do relevantnih dokazil (npr. poročil o penetracijskem testiranju, SoA, certifikacij);
✓ kontrole podizvajalcev, ki zahtevajo, da dobavitelj prenese enakovredne varnostne obveznosti na svoje nadaljnje partnerje;
✓ določbe ob koncu pogodbe, kot so vračilo ali uničenje podatkov, vračilo sredstev in deaktivacija računov.

To je most med odgovornostjo po GDPR in dokazili ISMS.

Mapiranje dokazil PIMS čez GDPR, NIS2, DORA, NIST in COBIT 2019

Dokazila o zasebnosti redko služijo samo enemu okviru. Dobro zasnovan dokazilni artefakt PIMS lahko odgovori na več vprašanj presoje.

GDPR utemeljuje odgovornost na področju zasebnosti prek pravne podlage, jasnosti vlog, pogodb z obdelovalci, pravic, obravnave kršitev in dokazljive skladnosti.

NIS2 je pomemben za bistvene in pomembne subjekte, vključno z določenimi ponudniki storitev v oblaku, ponudniki upravljanih storitev, ponudniki upravljanih varnostnih storitev, ponudniki podatkovnih centrov in organizacijami digitalne infrastrukture. NIS2 Article 20 nalaga odgovornost za upravljanje kibernetske varnosti upravljalnim organom. Article 21 zahteva ustrezne tehnične, operativne in organizacijske ukrepe, vključno z analizo tveganj, obravnavanjem incidentov, neprekinjenim poslovanjem, varnostjo dobavne verige, varnim razvojem, oceno učinkovitosti, usposabljanjem, kriptografijo, kadrovsko varnostjo, nadzorom dostopa, upravljanjem sredstev ter MFA ali neprekinjeno avtentikacijo, kadar je ustrezno. Article 23 uvaja pričakovanja glede poročanja o pomembnih incidentih, vključno z zgodnjim opozorilom v 24 urah in obvestilom o incidentu v 72 urah.

DORA je pomembna za finančne subjekte in tretje ponudnike storitev IKT v finančnih ekosistemih. DORA Articles 5 in 6 zahtevata upravljanje tveganj IKT, politike, strategijo, testiranje in nenehno izboljševanje. Articles 17 do 19 obravnavajo odkrivanje, razvrščanje, eskalacijo in poročanje incidentov IKT, analizo temeljnega vzroka ter pridobljene izkušnje. Articles 28 do 30 zahtevajo strategijo za tveganja tretjih oseb IKT, registre, skrbni pregled, pogodbena določila, pravice do presoje, pomoč pri incidentih, varstvo podatkov, načrtovanje izstopa in pregled tveganja koncentracije.

NIST CSF 2.0 zagotavlja jezik upravljanja in tveganj prek funkcij GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND in RECOVER. COBIT 2019 dodaja cilje upravljanja, prakse upravljanja, lastništvo, metrike, zagotovila in procesno zmožnost.

Prednost skladnosti je jasna. Ena nadzorovana veriga dokazil PIMS lahko podpira GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 in skrbni pregled strank.

Kako bodo presojevalci preverjali vaš PIMS

Presoja PIMS ni pregled dokumentov. Je vaja sledljivosti dokazil.

Clarysecova P33 Politika spremljanja presoj in skladnosti podpira model presoje:

Organizacija mora vzdrževati evidenco presoj, ki vsebuje:

Enakovredna različica za MSP, Politika spremljanja presoj in skladnosti za MSP, dodaja pomembno zahtevo glede kakovosti dokazil:

Metapodatki (npr. kdo jih je zbral, kdaj in iz katerega sistema) morajo biti dokumentirani.

Ta zahteva glede metapodatkov je majhna, vendar pomembna. Posnetki zaslona brez vira, datuma, zbiralca in sistemskega konteksta so šibka dokazila. Nadzorovana dokazila presoje dokazujejo avtentičnost, ažurnost in sledljivost.

Kako so videti dobra dokazila PIMS

Predpostavimo, da presojevalec izbere eno dejavnost: analizo zahtevkov podpore strankam.

Šibek odgovor je: »Imamo politiko zasebnosti in naša DPA to pokriva.«

Močan odgovor PIMS je:

1. REG02 opredeli dejavnost, sisteme, kategorije PII, posameznike, na katere se nanašajo osebni podatki, namen, razvrstitev vloge, hrambo, prenose, varnostne kontrole in lastnika.
2. Razvrstitev vloge pokaže, ali je organizacija upravljavec, obdelovalec ali oboje za posamezne dele delovnega toka.
3. Če je upravljavec, je pravna podlaga potrjena in evidentirana v evidenci pravnih podlag.
4. Če je obdelovalec, sta navodilo stranke in klavzula DPA povezana.
5. REG04 pokaže preverjanje tveganj za zasebnost pred lansiranjem ali bistveno spremembo.
6. REG08 opredeli platformo za zahtevke, dobavitelja za povzemanje z umetno inteligenco, podobdelovalce, pogodbene kontrole, pravice do presoje, varnostna zagotovila, pogoje izbrisa in pomoč pri incidentih.
7. Dokazila o nadzoru dostopa pokažejo, da je dostop osebja za podporo dodeljen na podlagi vlog in pregledan.
8. Dokazila o beleženju in spremljanju pokažejo, da se dostop do zahtevkov podpore spremlja.
9. Dokazila o hrambi in izbrisu pokažejo, da se zahtevki izbrišejo ali anonimizirajo v skladu z odobrenim rokom hrambe.
10. REG12 indeksira vsa podporna dokazila z lastnikom in datumom pregleda.
11. Evidenca presoj pokaže, ali je bila dejavnost testirana, katere ugotovitve so bile podane in ali so bili korektivni ukrepi zaključeni.

Tako ISO 27701:2025 postane operativen. Ustvari ponovljivo verigo odgovornosti.

Pogoste pomanjkljivosti dokazil PIMS

V okoljih SaaS, fintech, upravljanih storitev in B2B tehnologije se znova in znova pojavljajo iste vrzeli.

Prvič, organizacije vzdržujejo RoPA ali register obdelave, vendar vlog upravljavca in obdelovalca ne razvrščajo po posamezni dejavnosti. To povzroča zmedo glede pravne podlage, dokumentiranih navodil in obveznosti podobdelovalcev.

Drugič, pravna podlaga se evidentira enkrat in se ob spremembi namena ne potrdi ponovno. GDPR Article 6 zahteva disciplino glede namena in pravne podlage. Nadaljnja obdelava lahko zahteva preverjanje združljivosti in varovala.

Tretjič, evidence dobaviteljev navajajo dobavitelje, ne prikazujejo pa polj pogodbenih kontrol. Seznam dobaviteljev ni isto kot upravljanje obdelovalcev.

Četrtič, odločitve DPIA so neformalne. Ekipe rečejo »ni visoko tveganje«, vendar ne morejo pokazati meril preverjanja, odobritelja, datuma ali dokazil.

Petič, dokazila presoje obstajajo, vendar niso nadzorovana. Posnetkom zaslona manjkajo metapodatki. Politike so aktualne, registri pa zastareli. Pogodbe obstajajo, vendar so ponovne ocene ob podaljšanju zamujene.

Šestič, procesi incidentov se osredotočajo na kibernetske dogodke, vendar ne razvrščajo jasno kršitev varnosti osebnih podatkov. Analiza kršitev varnosti osebnih podatkov po GDPR, poročanje o pomembnih incidentih po NIS2 in poročanje o incidentih IKT po DORA morajo biti usklajeni, ne podvojeni.

Clarysec te pomanjkljivosti obravnava tako, da dokazila PIMS obravnava kot nadzorovan sistem upravljanja, ne kot nalogo v zadnji minuti pred presojo.

Kontrolni seznam pripravljenosti dokazil PIMS po ISO 27701:2025

Uporabite ta kontrolni seznam pri naslednjem notranjem pregledu pripravljenosti.

• Opredelite obseg PIMS in zainteresirane strani, vključno s strankami, regulatorji, posamezniki, na katere se nanašajo podatki, dobavitelji, notranjo revizijo in vodstvom.
• Dodelite vloge in odgovornosti PIMS, vključno z vodjo PIMS, vodjo področja zasebnosti, lastnikom procesa, pravno službo, nabavo, varnostjo in notranjo revizijo.
• Ustvarite vnose REG02 za vsako dejavnost obdelave PII.
• Razvrstite vlogo upravljavca, obdelovalca, skupnega upravljavca ali podobdelovalca za vsako dejavnost.
• Potrdite pravno podlago za obdelavo v vlogi upravljavca pred začetkom obdelave in pred spremembo namena.
• Evidentirajte dokumentirana navodila za dejavnosti obdelovalca.
• Sprožite preverjanje tveganj za zasebnost v REG04 pred novo ali bistveno spremenjeno obdelavo.
• Izvedite DPIA, kadar preverjanje tveganj pokaže povečano tveganje za zasebnost.
• Vzdržujte REG08 za obdelovalce, podobdelovalce, dobavitelje IKT in dobavitelje, pomembne z vidika zasebnosti.
• Preverite pogodbena polja za obseg, trajanje, namen, kategorije PII, zaupnost, varnost, pomoč, pravice do presoje, vračilo, izbris in prenehanje.
• Vzdržujte REG12 kot indeks dokumentiranih informacij PIMS.
• Mapirajte dokazila PIMS na obravnavo tveganj ISO/IEC 27001:2022 in opombe SoA.
• Kjer je relevantno, navzkrižno sklicujte obveznosti GDPR, NIS2, DORA, NIST CSF 2.0 in COBIT 2019.
• Izvedite letne notranje presoje skladnosti na področju zasebnosti in posodobite evidenco presoj.
• Četrtletno pregledujte odprte ugotovitve, korektivne ukrepe, odločitve o tveganjih in poročanje vodstvu.

P17 Politika varstva podatkov in zasebnosti poudarja cikel presoj:

Notranja presoja skladnosti na področju zasebnosti se mora izvesti letno ali ob večjih organizacijskih ali regulativnih spremembah. Obseg presoje mora vključevati:

Sporočilo je preprosto. Skladnost na področju zasebnosti se spremlja, ne predpostavlja.

Zgradite svoj model dokazil PIMS s Clarysec

ISO 27701:2025 ima največjo vrednost, kadar je integriran z ISO/IEC 27001:2022 in zasnovan tako, da privzeto ustvarja dokazila. Tako zasebnost postane dokazljiv operativni model, ne certifikacijski projekt.

Ko stranka zahteva zagotovilo glede zasebnosti, lahko pokažete dokazila. Ko regulator vpraša, zakaj ste obdelovali podatke, lahko pokažete vlogo, namen, pravno podlago, varovala in odobritve. Ko presojevalec vpraša, kako upravljate podobdelovalce, lahko pokažete REG08, pogodbene kontrole, ponovne ocene in pravice do presoje. Ko upravni odbor vpraša, ali je tveganje za zasebnost pod nadzorom, lahko pokažete metrike, odprte ukrepe, rezultate presoj in vodstveni pregled.

Če je vaš PIMS še vedno močan pri politikah in šibek pri dokazilih, začnite z verigo, ki ji bodo sledili presojevalci:

REG02 popis dejavnosti obdelave, REG04 preverjanje tveganj za zasebnost, REG08 upravljanje obdelovalcev in podobdelovalcev, REG12 indeks dokazil, evidenca pravnih podlag, evidenca presoj in mapiranje SoA.

Clarysec vam lahko pomaga operativno vzpostaviti to verigo z naslednjimi gradniki:

• Zenith Blueprint: 30-koračni časovni načrt presojevalca, zlasti korak 2 za zahteve zainteresiranih strani, korak 13 za obravnavo tveganj in sledljivost SoA ter korak 23 za zasebnost, dobavitelje in organizacijske ukrepe.
• Zenith Controls: vodnik za navzkrižno skladnost, pri čemer se kontrole ISO/IEC 27002:2022 5.2, 5.20, 5.21 in 5.34 uporabijo kot praktična sidra odgovornosti na področju zasebnosti.
• Clarysecov nabor politik PIMS po ISO 27701, vključno s Politiko sistema upravljanja informacij o zasebnosti, Politiko popisa dejavnosti obdelave PII in pravne podlage, Politiko ocene tveganj za zasebnost in DPIA, Politiko upravljanja obdelovalcev, podobdelovalcev in tretjih oseb na področju zasebnosti in Politiko dokumentiranih informacij in upravljanja dokazil PIMS.
• Podporo za velika podjetja in MSP prek P17 Politike varstva podatkov in zasebnosti, Politike varstva podatkov in zasebnosti za MSP, Politike varnosti tretjih oseb in dobaviteljev za MSP, P33 Politike spremljanja presoj in skladnosti in Politike spremljanja presoj in skladnosti za MSP.

Vaš naslednji ukrep je preprost: izberite eno visoko tvegano dejavnost obdelave PII in sledite verigi dokazil od REG02 do REG12. Če se veriga prekine, je to vaš prvi projekt izboljšave. Če zdrži, razširite model po celotnem popisu dejavnosti obdelave.

Tako ISO 27701:2025 postane več kot certifikat. Postane dokaz odgovornosti po GDPR.