ISO 27701:2025: PIMS-underlag för GDPR-revisioner

Klockan är 08:40 en torsdag och Ava, Compliance Manager på FinScale, har precis öppnat det e-postmeddelande som varje snabbt växande B2B SaaS-företag förr eller senare får.

En stor tysk företagskund har skickat ett frågeformulär för GDPR-leverantörsgranskning med 48 timmars svarstid. Kunden ber inte om en integritetspolicy. Ett certifikat räcker inte. Kunden begär underlag.

Tillhandahåll ert register över behandlingsaktiviteter för våra data. Visa underlag för leverantörsgranskning vid onboarding av underbiträden. Förklara hur ni styrker era skyldigheter enligt GDPR Article 28. Identifiera om er plattform agerar som personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig eller underbiträde för varje arbetsflöde. Visa att rättslig grund har validerats för er AI-stödda supportfunktion. Visa raderingsskyldigheter, revisionsrätt, incidentstöd och avtalskontroller.

Ava vet att FinScale har byggstenarna. Juridik har personuppgiftsbiträdesavtalet. Säkerhet har ISO/IEC 27001:2022 Statement of Applicability. Produkt har lanseringschecklistor. Upphandling har leverantörsavtal. Regelefterlevnad har ett behandlingsregister, även om vissa poster är inaktuella. Problemet är inte att underlag saknas. Problemet är att underlaget är utspritt, rolloklarheter är inte lösta och ingen snabbt kan följa en behandlingsaktivitet från ändamål till rättslig grund, riskbeslut, leverantörskontroll, säkerhetskontroll, revisionsunderlag och ledningens genomgång.

Det är den verkliga luckan i ansvarsskyldigheten.

ISO 27701:2025 blir kraftfull när den stänger den luckan. Ett Privacy Information Management System, eller PIMS, är inte bara en policymapp för integritetscertifiering. Det är en operativ modell för att producera tillförlitligt underlag. För CISO:er, chefer för regelefterlevnad, dataskyddsansvariga, integritetsansvariga, revisorer och verksamhetsägare är målet enkelt: bygg ett PIMS som visar ansvarsskyldighet enligt GDPR för personuppgiftsansvariga och personuppgiftsbiträden, samtidigt som det stödjer förväntningar enligt ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0 och COBIT 2019.

Ansvarsskyldighet enligt GDPR är en underlagsfråga

Ansvarsskyldighet enligt GDPR missförstås ofta som ett dokumentationskrav. Den är mer krävande än så.

GDPR Article 5 definierar kärnprinciperna för behandling av personuppgifter, inklusive laglighet, korrekthet, transparens, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, integritet och konfidentialitet. Article 5(2) gör den personuppgiftsansvariga ansvarig för att kunna visa efterlevnad. Article 4 definierar begrepp som personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, pseudonymisering och personuppgiftsincident. Article 6 kräver rättslig grund för varje behandlingsaktivitet där organisationen är personuppgiftsansvarig. Article 9 ställer strängare villkor för särskilda kategorier av personuppgifter. Article 28 reglerar personuppgiftsbiträdets skyldigheter och avtalsvillkor.

Dessa skyldigheter uppfylls inte enbart genom ett publikt integritetsmeddelande. De kräver underlag på behandlingsaktivitetens nivå.

En praktisk underlagsmodell för ISO 27701:2025 PIMS måste besvara:

• Vilka PII behandlas?
• Varför behandlas de?
• Agerar organisationen som personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig eller underbiträde?
• Vilken rättslig grund gäller när organisationen är personuppgiftsansvarig?
• Vilken dokumenterad instruktion gäller när organisationen är personuppgiftsbiträde?
• Vilka system, leverantörer, underbiträden och platser berörs?
• Vilken screening av integritetsrisker eller vilket DPIA-beslut har genomförts?
• Vilka säkerhetskontroller skyddar PII?
• Vilket underlag visar att kontrollen har fungerat?
• Vem godkände kvarstående risk, undantag och korrigerande åtgärder?

Clarysecs metod omvandlar dessa frågor till policyförpliktelser, register och spårbara underlagsobjekt. Resultatet är ett PIMS som klarar kunders leverantörsgranskning, tillsynsgranskning, internrevision, ISO-revision, DORA-bedömning och styrelsegranskning.

Börja med tydliga roller: personuppgiftsansvarig, personuppgiftsbiträde eller båda

Det snabbaste sättet att misslyckas i en PIMS-revision är att behandla alla behandlingsaktiviteter på samma sätt.

Enligt GDPR fastställer en personuppgiftsansvarig ändamålen och medlen för behandlingen. Ett personuppgiftsbiträde behandlar personuppgifter för en personuppgiftsansvarigs räkning. Många SaaS- och teknikföretag gör båda delarna. FinScale är personuppgiftsbiträde när företaget hostar kunders slutanvändardata enligt kundens instruktioner. Det är personuppgiftsansvarig för uppgifter om anställda, marknadsföringsleads, faktureringskontakter, rekryteringsdata och viss produktanalys.

Denna åtskillnad styr kraven på underlag.

Clarysecs Policy för ledningssystem för hantering av integritetsinformation gör rollklassificering till ett operativt krav:

[Båda] Processägaren / verksamhetsägaren SKA klassificera organisationens PIMS-roll för varje PII-behandlingsaktivitet i REG02 innan behandlingsaktiviteten påbörjas.

Denna enda skyldighet förändrar den operativa modellen för integritet. Juridisk granskning blir inte längre en efterhandsåtgärd vid lansering. Varje processägare måste klassificera PIMS-rollen innan behandlingen börjar. Den klassificeringen avgör den efterföljande underlagskedjan.

För aktiviteter där organisationen är personuppgiftsansvarig kräver Clarysecs Policy för PII-behandlingsförteckning och rättslig grund validering av rättslig grund:

[Personuppgiftsansvarig] Privacy Lead / PIMS Manager SKA validera den rättsliga grund som registrerats i REG02 innan behandling som personuppgiftsansvarig påbörjas och innan någon ändring av ändamål träder i kraft.

Från avsnittet “Poster om ändamål och rättslig grund för personuppgiftsansvarig”, policyklausul 4.2.2.

För aktiviteter där organisationen är personuppgiftsbiträde flyttas fokus i underlaget till dokumenterade instruktioner, avtalskontroller, styrning av underbiträden, säkerhetsåtgärder, skyldigheter att bistå, incidentstöd samt återlämning eller radering vid upphörande. Där blir REG08 avgörande.

Clarysecs Policy för hantering av personuppgiftsbiträden, underbiträden och tredje parter inom integritet kräver:

[Personuppgiftsansvarig] Privacy Lead / PIMS Manager SKA verifiera att avtalskontrollfält för personuppgiftsbiträden i REG08 omfattar behandlingens omfattning, varaktighet, ändamål, PII-kategorier, kategorier av registrerade, konfidentialitet, säkerhet, godkännande av underbiträden, bistånd, revision eller säkerhetsförsäkran, återlämning, radering och upphörande innan godkännande.

Från avsnittet “Kontroller för avtal och dokumenterade instruktioner”, policyklausul 4.3.2.

REG02 etablerar behandlingsaktiviteten och rollen. REG04 screenar integritetsrisker. REG08 validerar kontroller för personuppgiftsbiträden, underbiträden och leverantörer. REG12 indexerar underlaget. Tillsammans skapar de PIMS-underlagskedjan.

Den PIMS-underlagskedja som revisorer förväntar sig

Ett starkt PIMS kräver inte att team upprätthåller frikopplade kalkylblad. Det definierar underlagsobjekt, ägare, tidpunkter, granskningscykler och revisionsspår.

Clarysecs Policy för dokumenterad information och underlagshantering i PIMS anger:

[Alla] Privacy Lead / PIMS Manager SKA upprätthålla ett PIMS-index över dokumenterad information i REG12 före den första PIMS-publiceringen och därefter kvartalsvis.

REG12 förhindrar att integritetsprogrammet blir en mapp med inaktuella PDF:er. Det visar revisorn vilket underlag som finns, var det lagras, vem som äger det, när det senast granskades och vilka behandlingsaktiviteter, risker, skyldigheter eller kontroller det stödjer.

Denna underlagskedja harmonierar naturligt med ISO/IEC 27001:2022-krav för organisationens kontext, intressenter, riskplanering, operativ styrning, dokumenterad information, prestandautvärdering, internrevision, ledningens genomgång och ständig förbättring. Den kopplar också till kontroller i ISO/IEC 27002:2022, till exempel 5.2 Roller och ansvar för informationssäkerhet, 5.20 Hantering av informationssäkerhet i leverantörsavtal, 5.21 Hantering av informationssäkerhet i IKT-leveranskedjan, 5.34 Integritet och skydd av PII samt 8.10 Radering av information.

Underlag för personuppgiftsansvarig och personuppgiftsbiträde är inte samma sak

Avas tyska kund frågar inte bara om FinScale har integritetspolicyer. Kunden vill ha bevis för att FinScale förstår vilken roll företaget har för varje dataflöde.

När FinScale agerar som personuppgiftsansvarig måste företaget motivera varför det behandlar data. Till exempel kan lönehantering för anställda stödjas av avtalets fullgörande och rättslig skyldighet. Marknadsföring kan bygga på samtycke eller berättigat intresse beroende på kontext och jurisdiktion. Rekrytering kan kräva bevarandebegränsningar, transparens och åtkomstkontroller. Underlaget är inte bara den valda rättsliga grunden. Det är den validerade posten, meddelandet, bevaranderegeln, rättighetsrutinen och riskbeslutet.

När FinScale agerar som personuppgiftsbiträde måste företaget visa att det agerar enligt dokumenterade kundinstruktioner. Underlaget omfattar personuppgiftsbiträdesavtalet, produktkonfiguration, systemloggar, säkerhetskontroller, godkännanden av underbiträden, biståndsrutiner, stödprocess för personuppgiftsincidenter, revisionsrätt samt underlag för radering eller återlämning.

Clarysecs P17 Policy för dataskydd och integritet förstärker att integritet ska integreras i ISMS:

Organisationen ska upprätthålla ett formellt ramverk för integritetsstyrning integrerat i ledningssystemet för informationssäkerhet för att tillämpa denna policy.

Från avsnittet “Styrningskrav”, policyklausul 5.1.

SME-versionen, Policy för dataskydd och integritet för SME, behåller samma underlagsdisciplin:

Integritetssamordnaren ska upprätthålla ett register över alla behandlingsaktiviteter för personuppgifter, inklusive datakategorier, ändamål, rättslig grund och bevarandetider.

Den kräver också:

Den rättsliga grunden (t.ex. samtycke, avtal, rättslig skyldighet) ska dokumenteras i behandlingsregistret.

För större program lägger P17 Policy för dataskydd och integritet till ägarskap:

Juridikavdelningen ska upprätthålla och uppdatera registret över rättslig grund.

Praktiskt exempel: lansering av produktanalys

Tänk på en produktanalysfunktion som spårar användarnavigering, användning av funktioner, sessionsmetadata, organisations-ID, användarroll och enhetsinformation. Produkt vill ha användningsinsikter. Försäljning vill ha mätetal för adoption. Customer Success vill ha signaler om kundbortfall. Juridik frågar om FinScale är personuppgiftsansvarig eller personuppgiftsbiträde. Säkerhet frågar om loggarna innehåller personuppgifter. Upphandling noterar att analysleverantören använder underbiträden.

Ett starkt PIMS gör detta till ett repeterbart arbetsflöde.

1. Skapa eller uppdatera REG02 innan behandlingen påbörjas

Verksamhetsägaren registrerar aktiviteten i REG02. Posten bör innehålla ändamål, PII-kategorier, kategorier av registrerade, system, bevarandetid, överföringar, säkerhetsåtgärder, rollklassificering samt rättslig grund eller dokumenterad instruktion.

Om analysen används för FinScales egna produktförbättringsändamål kan FinScale vara personuppgiftsansvarig för den aktiviteten. Om analysen endast utförs enligt kundkonfigurerade inställningar för kundens räkning kan FinScale vara personuppgiftsbiträde. I många SaaS-miljöer kan båda rollerna finnas i en och samma funktion, beroende på dataflöde och ändamål.

2. Validera rättslig grund eller dokumenterad instruktion

Om FinScale är personuppgiftsansvarig validerar Privacy Lead eller Juridik den rättsliga grunden i REG02 innan behandlingen påbörjas. Om särskilda kategorier av personuppgifter berörs måste teamet också identifiera relevant villkor enligt GDPR Article 9 och ytterligare skyddsåtgärder.

Om FinScale är personuppgiftsbiträde måste underlaget peka på kundens dokumenterade instruktion. Frågan blir: var finns instruktionen, vilken behandling är tillåten och hur visar FinScale att instruktionen har följts?

3. Starta screening av integritetsrisker i REG04

Clarysecs Policy för bedömning av integritetsrisker och DPIA kräver:

[Båda] Processägaren / verksamhetsägaren SKA initiera screening av integritetsrisker i REG04 innan ny eller väsentligt ändrad PII-behandling som registrerats i REG02 påbörjas.

Från avsnittet “Screening av integritetsrisker”, policyklausul 4.1.1.

Screeningen bör utvärdera känslighet, omfattning, övervakningskonsekvenser, registrerades förväntningar, profilering, automatiserade beslut, gränsöverskridande överföringar, leverantörsåtkomst, bevarande och kontrolleffektivitet. Om risken är förhöjd bör PIMS utlösa en DPIA och dokumentera beslutet.

4. Uppdatera REG08 för leverantörer och underbiträden

Om en tredjepartsleverantör av analys tar emot PII uppdaterar Upphandling, Juridik och Integritet REG08. Avtalsfält bör omfatta omfattning, varaktighet, ändamål, PII-kategorier, konfidentialitet, säkerhet, godkännande av underbiträden, bistånd, revision eller säkerhetsförsäkran, återlämning, radering och upphörande.

Policy för leverantörssäkerhet och tredjepartssäkerhet för SME stödjer denna operativa disciplin genom att kräva:

Verifiering av datahanteringspraxis eller efterlevnad av dataskyddskrav när personligt identifierbar information (PII) berörs.

P17 Policy för dataskydd och integritet kräver också:

Upphandlings-, juridik- och regelefterlevnadsteam ska verifiera efterlevnad av Article 28 i GDPR och kräva årlig omprövning av alla högriskleverantörer.

5. Indexera underlag i REG12

Slutligen uppdaterar PIMS Manager REG12 med länkar till REG02, validering av rättslig grund, dokumenterad instruktion, REG04-screening, DPIA om sådan krävs, REG08-leverantörspost, personuppgiftsbiträdesavtal, säkerhetsgranskning, bevarandebeslut, produktgodkännande och övervakningsunderlag.

Det är så inbyggt dataskydd blir bevismaterial med revisionsberedskap.

Använd Zenith Blueprint för att bygga spårbarhet

Att veta vilket underlag som ska samlas in är bara halva utmaningen. Den svårare delen är att bygga ett system som producerar det tillförlitligt.

Zenith Blueprint: en 30-stegs färdplan för revisorer placerar detta i fasen ISMS Foundation & Leadership, Step 2: Stakeholder Needs and ISMS Scope. Vägledningen visar hur intressenters förväntningar blir planerade kontroller:

Kunder
(B2B SaaS)
Datakonfidentialitet, upptid enligt
SLA, incidentanmälan inom
24 h
Inför åtkomstkontroller och kryptering;
incidenthanteringsplanen omfattar
aviseringsrutiner.

Den innehåller också:

Åtgärdspunkt 4.2: Sammanställ en lista över alla betydande intressenter och notera deras krav avseende informationssäkerhet.

För ISO 27701:2025 ska denna åtgärdspunkt utökas till integritet. Intressenter omfattar kunder, registrerade, tillsynsmyndigheter, personuppgiftsbiträden, underbiträden, anställda, produktteam, internrevision, ledning, kunder i finanssektorn och sektorsmyndigheter där NIS2 eller DORA är tillämpligt.

I fasen Risk Management, Step 13: Risk Treatment Planning and Statement of Applicability, rekommenderar Zenith Blueprint spårbarhet:

Korsreferera regelverk: Om vissa kontroller införs särskilt för att uppfylla GDPR, NIS2 eller DORA kan du notera detta antingen i riskregistret (som del av motiveringen av riskkonsekvensen) eller i SoA-anteckningarna.

Detta skapar den röda tråd som revisorer vill se: krav, risk, kontroll, ägare, underlag, testresultat och förbättringsåtgärd.

Var Zenith Controls passar in i PIMS-modellen

Clarysecs Zenith Controls: vägledningen för tvärgående efterlevnad hjälper team att undvika dubbla efterlevnadsprogram genom att kartlägga kontrollteman i ISO/IEC 27001:2022 och ISO/IEC 27002:2022 mot andra standarder, revisionsförväntningar och underlagsmönster.

För ISO 27701:2025 PIMS-underlag är fyra kontroller i ISO/IEC 27002:2022 särskilt viktiga:

• 5.2 Roller och ansvar för informationssäkerhet
• 5.20 Hantering av informationssäkerhet i leverantörsavtal
• 5.21 Hantering av informationssäkerhet i IKT-leveranskedjan
• 5.34 Integritet och skydd av PII

Kontroll 5.2 stödjer rolltydlighet. Ett PIMS behöver definierad ansvarsskyldighet för PIMS Manager, Privacy Lead, processägare, verksamhetsägare, Juridik, Upphandling, Säkerhet, Internrevision och högsta ledningen.

Kontroll 5.34 stödjer den centrala integritetsskyldigheten. Zenith Blueprint, fasen Controls in Action, Step 23, förklarar revisionsförväntan:

Ur ett revisionsperspektiv får denna kontroll allt större fokus. Revisorer, tillsynsmyndigheter och kunder vill alla se:

✓ Var PII finns,
✓ Vilken rättslig grund som styr behandlingen,
✓ Hur åtkomst begränsas,
✓ Hur incidenter rapporteras,
✓ Och hur organisationen respekterar rättigheter och upprätthåller transparens.

Zenith Blueprint fortsätter:

Kontroll 5.34 är inte bara en kryssruta. Det är ett uttryck för etiskt förvaltarskap.

Kontrollerna 5.20 och 5.21 kopplar PIMS-underlag till leverantörsstyrning och styrning av IKT-leveranskedjan. Zenith Blueprint, fasen Controls in Action, Step 23, listar ämnen för leverantörsavtal:

Centrala områden som normalt behandlas i leverantörsavtal omfattar:

✓ Sekretesskyldigheter, inklusive omfattning, varaktighet och begränsningar för utlämnande till tredje part;
✓ Ansvar för åtkomstkontroll, till exempel vem som får åtkomst till era data, hur autentiseringsuppgifter hanteras och vilken övervakning som finns;
✓ Tekniska och organisatoriska åtgärder för dataskydd, kryptering, säker överföring, säkerhetskopiering och åtaganden om tillgänglighet;
✓ Tidslinjer och protokoll för incidentrapportering, ofta med definierade tidsramar (t.ex. ”avisera inom 24 timmar”);
✓ Revisionsrätt, inklusive frekvens, omfattning och tillgång till relevant underlag (t.ex. penetrationstestrapporter, SoA, certifieringar);
✓ Underleverantörskontroller, som kräver att leverantören vidareför likvärdiga säkerhetsskyldigheter till sina nedströms partner;
✓ Villkor vid avtalets upphörande, såsom återlämning eller förstöring av data, återställning av tillgångar och avaktivering av konton.

Detta är bryggan mellan ansvarsskyldighet enligt GDPR och ISMS-underlag.

Kartlägg PIMS-underlag över GDPR, NIS2, DORA, NIST och COBIT 2019

Integritetsunderlag används sällan bara för ett ramverk. Ett väl utformat PIMS-underlagsobjekt kan besvara flera revisionsfrågor.

GDPR förankrar ansvarsskyldighet för integritet genom rättslig grund, rolltydlighet, avtal med personuppgiftsbiträden, rättigheter, hantering av personuppgiftsincidenter och verifierbar efterlevnad.

NIS2 är relevant för väsentliga och viktiga entiteter, inklusive vissa molnleverantörer, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster, datacenterleverantörer och organisationer inom digital infrastruktur. NIS2 Article 20 placerar ansvaret för cybersäkerhetsstyrning hos ledningsorgan. Article 21 kräver lämpliga tekniska, operativa och organisatoriska åtgärder, inklusive riskanalys, incidenthantering, verksamhetskontinuitet, säkerhet i leveranskedjan, säker utveckling, effektivitetsbedömning, utbildning, kryptografi, HR-säkerhet, åtkomstkontroll, tillgångshantering samt MFA eller kontinuerlig autentisering där det är lämpligt. Article 23 inför förväntningar på rapportering av betydande incidenter, inklusive tidig varning inom 24 timmar och incidentanmälan inom 72 timmar.

DORA är relevant för finansiella entiteter och IKT-tredjepartstjänsteleverantörer i finansiella ekosystem. DORA Articles 5 och 6 kräver IKT-riskstyrning, policyer, strategi, testning och kontinuerlig förbättring. Articles 17 till 19 omfattar detektering, klassificering, eskalering och rapportering av IKT-incidenter, rotorsaksanalys och erfarenhetsåterföring. Articles 28 till 30 kräver strategi för IKT-tredjepartsrisker, register, leverantörsgranskning, avtalsvillkor, revisionsrätt, incidentstöd, dataskydd, exit-planering och granskning av koncentrationsrisk.

NIST CSF 2.0 ger ett styrnings- och riskspråk genom GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND och RECOVER. COBIT 2019 tillför styrningsmål, ledningspraxis, ägarskap, mätetal, säkerhetsförsäkran och processförmåga.

Efterlevnadsfördelen är tydlig. En kontrollerad PIMS-underlagskedja kan stödja GDPR, ISO/IEC 27001:2022, NIS2, DORA, NIST CSF 2.0, COBIT 2019 och kunders leverantörsgranskning.

Hur revisorer kommer att testa ert PIMS

En PIMS-revision är inte en dokumentgranskning. Den är en övning i underlagsspårbarhet.

Clarysecs P33 Policy för revision och regelefterlevnadsövervakning stödjer revisionsmodellen:

Organisationen ska upprätthålla ett revisionsregister som innehåller:

SME-motsvarigheten, Policy för revision och regelefterlevnadsövervakning för SME, lägger till ett viktigt krav på underlagskvalitet:

Metadata (t.ex. vem som samlade in det, när och från vilket system) ska dokumenteras.

Detta metadatakrav är litet men kraftfullt. Skärmdumpar utan källa, datum, insamlare och systemkontext är svagt underlag. Kontrollerat revisionsbevis visar autenticitet, aktualitet och spårbarhet.

Hur bra PIMS-underlag ser ut

Anta att en revisor väljer en aktivitet: analys av supportärenden från kunder.

Ett svagt svar är: “Vi har en integritetspolicy och vårt personuppgiftsbiträdesavtal täcker detta.”

Ett starkt PIMS-svar är:

1. REG02 identifierar aktiviteten, systemen, PII-kategorierna, de registrerade, ändamålet, rollklassificeringen, bevarandet, överföringarna, säkerhetskontrollerna och ägaren.
2. Rollklassificeringen visar om organisationen är personuppgiftsansvarig, personuppgiftsbiträde eller båda för specifika delar av arbetsflödet.
3. Om organisationen är personuppgiftsansvarig är rättslig grund validerad och registrerad i registret över rättslig grund.
4. Om organisationen är personuppgiftsbiträde är kundinstruktionen och klausulen i personuppgiftsbiträdesavtalet länkade.
5. REG04 visar screening av integritetsrisker före lansering eller väsentlig ändring.
6. REG08 identifierar ärendehanteringsplattformen, leverantören för AI-sammanfattning, underbiträden, avtalskontroller, revisionsrätt, säkerhetsförsäkringar, raderingsvillkor och incidentbistånd.
7. Underlag för åtkomstkontroll visar att supportpersonalens åtkomst är rollbaserad och granskas.
8. Underlag för loggning och övervakning visar att åtkomst till supportärenden övervakas.
9. Underlag för bevarande och radering visar att ärenden raderas eller anonymiseras enligt den godkända bevarandetiden.
10. REG12 indexerar allt stödjande underlag med ägare och granskningsdatum.
11. Revisionsregistret visar om aktiviteten har testats, vilka iakttagelser som gjordes och om korrigerande åtgärder har stängts.

Det är så ISO 27701:2025 blir operativ. Den skapar en repeterbar kedja av ansvarsskyldighet.

Vanliga brister i PIMS-underlag

I SaaS-, fintech-, managed service- och B2B-teknikmiljöer återkommer samma luckor gång på gång.

För det första upprätthåller organisationer en RoPA eller ett behandlingsregister men klassificerar inte roller som personuppgiftsansvarig och personuppgiftsbiträde per aktivitet. Det skapar förvirring kring rättslig grund, dokumenterade instruktioner och skyldigheter avseende underbiträden.

För det andra registreras rättslig grund en gång och revalideras inte när ändamålet ändras. GDPR Article 6 kräver disciplin kring ändamål och rättslig grund. Vidarebehandling kan kräva förenlighetsbedömning och skyddsåtgärder.

För det tredje listar leverantörsförteckningar leverantörer men visar inte avtalskontrollfält. En leverantörslista är inte samma sak som styrning av personuppgiftsbiträden.

För det fjärde är DPIA-beslut informella. Team säger “inte hög risk” men kan inte visa screeningkriterier, godkännare, datum eller underlag.

För det femte finns revisionsunderlag men det är okontrollerat. Skärmdumpar saknar metadata. Policyer är aktuella, men register är inaktuella. Avtal finns, men förnyade omprövningar missas.

För det sjätte fokuserar incidentprocesser på cybersäkerhetshändelser men klassificerar inte tydligt personuppgiftsincidenter. GDPR-analys av personuppgiftsincidenter, NIS2-rapportering av betydande incidenter och DORA-rapportering av IKT-incidenter måste samordnas, inte dupliceras.

Clarysec hanterar dessa brister genom att behandla PIMS-underlag som ett kontrollerat ledningssystem, inte som en sista minuten-insats inför revision.

Checklista för beredskap avseende ISO 27701:2025 PIMS-underlag

Använd denna checklista vid nästa interna beredskapsgranskning.

• Definiera PIMS-omfattning och intressenter, inklusive kunder, tillsynsmyndigheter, registrerade, leverantörer, internrevision och ledning.
• Tilldela PIMS-roller och ansvar, inklusive PIMS Manager, Privacy Lead, processägare, Juridik, Upphandling, Säkerhet och Internrevision.
• Skapa REG02-poster för varje PII-behandlingsaktivitet.
• Klassificera rollen som personuppgiftsansvarig, personuppgiftsbiträde, gemensamt personuppgiftsansvarig eller underbiträde för varje aktivitet.
• Validera rättslig grund för behandling som personuppgiftsansvarig innan behandling påbörjas och innan ändring av ändamål.
• Registrera dokumenterade instruktioner för aktiviteter där organisationen är personuppgiftsbiträde.
• Initiera screening av integritetsrisker i REG04 innan ny eller väsentligt ändrad behandling.
• Genomför en DPIA när riskscreening visar förhöjd integritetsrisk.
• Upprätthåll REG08 för personuppgiftsbiträden, underbiträden, IKT-leverantörer och integritetsrelevanta leverantörer.
• Verifiera avtalsfält för omfattning, varaktighet, ändamål, PII-kategorier, konfidentialitet, säkerhet, bistånd, revisionsrätt, återlämning, radering och upphörande.
• Upprätthåll REG12 som PIMS-index över dokumenterad information.
• Kartlägg PIMS-underlag mot ISO/IEC 27001:2022 riskbehandling och SoA-anteckningar.
• Korsreferera skyldigheter enligt GDPR, NIS2, DORA, NIST CSF 2.0 och COBIT 2019 där det är relevant.
• Genomför årliga interna revisioner av integritetsefterlevnad och uppdatera revisionsregistret.
• Granska öppna iakttagelser, korrigerande åtgärder, riskbeslut och ledningsrapportering kvartalsvis.

P17 Policy för dataskydd och integritet förstärker revisionscykeln:

En intern revision av integritetsefterlevnad ska genomföras årligen eller vid större organisatoriska eller regulatoriska förändringar. Revisionens omfattning ska omfatta:

Budskapet är enkelt. Integritetsefterlevnad övervakas; den antas inte.

Bygg er PIMS-underlagsmodell med Clarysec

ISO 27701:2025 är mest värdefull när den integreras med ISO/IEC 27001:2022 och utformas för att producera underlag som standard. Det är så integritet blir en försvarbar operativ modell i stället för ett certifieringsprojekt.

När en kund begär integritetsförsäkran kan ni visa underlag. När en tillsynsmyndighet frågar varför ni behandlade data kan ni visa roll, ändamål, rättslig grund, skyddsåtgärder och godkännanden. När en revisor frågar hur ni styr underbiträden kan ni visa REG08, avtalskontroller, omprövningar och revisionsrätt. När styrelsen frågar om integritetsrisk är under kontroll kan ni visa mätetal, öppna åtgärder, revisionsresultat och ledningens genomgång.

Om ert PIMS fortfarande är policytungt och underlagslätt ska ni börja med den kedja som revisorer kommer att följa:

REG02 behandlingsförteckning, REG04 screening av integritetsrisker, REG08 styrning av personuppgiftsbiträden och underbiträden, REG12 underlagsindex, register över rättslig grund, revisionsregister och SoA-kartläggning.

Clarysec kan hjälpa er att operationalisera den kedjan genom:

• Zenith Blueprint: en 30-stegs färdplan för revisorer, särskilt Step 2 för intressentkrav, Step 13 för riskbehandling och SoA-spårbarhet samt Step 23 för integritets-, leverantörs- och organisatoriska kontroller.
• Zenith Controls: vägledningen för tvärgående efterlevnad, med ISO/IEC 27002:2022-kontrollerna 5.2, 5.20, 5.21 och 5.34 som praktiska ankare för ansvarsskyldighet inom integritet.
• Clarysecs ISO 27701 PIMS-policyuppsättning, inklusive Policy för ledningssystem för hantering av integritetsinformation, Policy för PII-behandlingsförteckning och rättslig grund, Policy för bedömning av integritetsrisker och DPIA, Policy för hantering av personuppgiftsbiträden, underbiträden och tredje parter inom integritet och Policy för dokumenterad information och underlagshantering i PIMS.
• Stöd för större företag och SME genom P17 Policy för dataskydd och integritet, Policy för dataskydd och integritet för SME, Policy för leverantörssäkerhet och tredjepartssäkerhet för SME, P33 Policy för revision och regelefterlevnadsövervakning och Policy för revision och regelefterlevnadsövervakning för SME.

Nästa åtgärd är enkel: välj en PII-behandlingsaktivitet med hög risk och följ underlagskedjan från REG02 till REG12. Om kedjan bryts är det ert första förbättringsprojekt. Om den håller, utöka modellen över hela behandlingsförteckningen.

Det är så ISO 27701:2025 blir mer än ett certifikat. Den blir bevis på ansvarsskyldighet enligt GDPR.