certyfikacja
ISO 27701
Dobrowolna norma do prowadzenia ochrony prywatności jako systemu zarządzania, dla organizacji, które decydują o przetwarzaniu danych osobowych, i dla tych, które przetwarzają je na zlecenie. Żaden przepis jej nie wymaga, a certyfikat nie jest zgodnością z RODO. Od października 2025 to samodzielna norma.
w skrócie
- czym jest
- ISO/IEC 27701:2025, wydanie 2, opublikowane w październiku 2025, dla systemu zarządzania informacjami o prywatności (PIMS). Zastąpiła wydanie z 2019 r., które ISO wykazuje jako wycofane.
- samodzielna czy rozszerzenie
- Wydanie z 2019 r. nosiło tytuł rozszerzenia do ISO/IEC 27001 i 27002. Strona ISO o wydaniu z 2025 r. mówi, że można ją stosować samodzielnie.
- kogo dotyczy
- Tego, kto ją wybierze, albo tego, czyj klient jej wymaga. ISO podaje, że jest przeznaczona dla administratorów i podmiotów przetwarzających dane osobowe.
- kto sprawdza
- Zewnętrzna jednostka certyfikująca, względem zakresu, który sam określasz. ISO nie certyfikuje.
- kary
- Brak z mocy prawa. Możesz stracić certyfikat lub kontrakt.
- waga prawna
- Sama w sobie żadna w RODO. Certyfikat nie pokazuje, że przestrzegasz RODO.
podstawa ISO/IEC 27701:2025 i 2019, strony katalogu ISO; strona ISO o ocenie zgodności; RODO art. 24(1)
czy Cię dotyczy?
Kilka pytań, z odpowiedziami w przeglądarce, wskazuje, które przepisy są Twoje. Nic nie jest nigdzie wysyłane.
znajdź moje przepisyjaką rolę pełnisz przy każdej czynności przetwarzania?
- Czy przetwarzasz dane osobowe w imieniu innej organizacji, na jej udokumentowane polecenie?nietakJesteś podmiotem przetwarzającym przy tej czynności. Umowa określa, co wolno Ci robić, a administratorowi pomagasz przy żądaniach, bezpieczeństwie i naruszeniach.
- Czy cele i sposoby przetwarzania ustalasz wspólnie z inną organizacją?nietakJesteś współadministratorem. Razem ustalacie w uzgodnieniu, kto za co odpowiada, także wobec osób, których dane dotyczą.
- W pozostałych przypadkach sam decydujesz, po co i jak dane są przetwarzane, i jesteś administratorem. Jedna firma często pełni różne role przy różnych czynnościach, więc zapisz odpowiedź osobno dla każdej czynności w rejestrze.
podstawa RODO art. 26(1), 28(1), 28(3), 30(2). Język ról w samej normie to praktyka; normy nie odczytano.
od przepisu do certyfikatu i co zostaje otwarte
- 1przepisRODO mówi, co ma być prawdą przy każdym przetwarzaniu
- 2Twoje rejestry i umowyrejestr czynności przetwarzania, warunki dla podmiotów przetwarzających, procedury żądań i naruszeń
- 3system zarządzaniawłaściciel, zakres, audyt wewnętrzny i przegląd zarządzania utrzymują to w stanie prawdy
- 4certyfikatjednostka certyfikująca sprawdziła system, w zakresie, w określonym dniu
co roku, a jednostka certyfikująca sprawdza cykl
czego certyfikat nie pokazuje
- że każde przetwarzanie jest zgodne z prawemnorma sprawdza Twój system, a nie każdą decyzję
- że dotrzymano terminuna przykład odpowiedzi na żądanie albo zgłoszenia naruszenia na czas
- że organ się zgadzaorgan nadzorczy stosuje przepis, nie normę
podstawa RODO art. 12(3), 30(1), 28(3), 33(1). Znaczenie certyfikacji: strona ISO o ocenie zgodności. Zakres systemu to praktyka.
cała praca, po kolei
Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.
- zdecyduj, czy certyfikować i na co
Ustal, kto potrzebuje certyfikatu, co zaakceptowałby w zamian, które czynności ma obejmować i jaką rolę pełnisz przy każdej.
- sprawdź, gdzie jesteś
Porównaj to, co robisz dziś, z tym, czego wymaga norma, i zamień różnice w listę prac.
- zbuduj system zarządzania prywatnością
Napisz rejestry, wykonaj pracę nad ryzykiem dla prywatności i wprowadź procedury dla wszystkiego w zakresie.
- zrób audyt wewnętrzny i przegląd z zarządem
Sprawdź, że system działa tak, jak opisano, i przedstaw wyniki zarządowi.
- przejdź audyt zewnętrzny
Wybierz jednostkę certyfikującą, przejdź jej audyt i zajmij się tym, co znajdzie.
- utrzymuj to przez cały rok
Prowadź system przez rok, powtarzaj audyt i przegląd i spełniaj wymagania kontroli nadzorczej jednostki certyfikującej.
co certyfikat pokazuje, a czego nie
Przeczytaj to, zanim klient o niego zapyta.
administratorzy i podmioty przetwarzające dane osobowe, które ją wybiorą, albo czyj klient jej wymaga
systemu zarządzania informacjami o prywatności, ocenionego przez zewnętrzną jednostkę certyfikującą
czego wymaga i czym to spełnić
Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.
- dodatkowo w planie wdrożenia
pełny przewodnik
Pełne wyjaśnienie, sekcja po sekcji, ze źródłami.
twój następny krok
Nie wiesz, które z nich Cię obejmują? Kilka pytań to rozstrzygnie.