ISO 27701: cała praca, po kolei

• zdecyduj i udokumentujwybory, polityki i zapisy, które podpisuje osoba z uprawnieniami
• zbuduj i skonfigurujsystemy, ustawienia i procedury, które urealniają wybór
• udowodnij i utrzymujsprawdzenia, logi i zapisy, które pokazują, że to działa

Ustal, kto potrzebuje certyfikatu, co zaakceptowałby w zamian, które czynności ma obejmować i jaką rolę pełnisz przy każdej.

1. 1.1

   zapytaj, kto wymaga certyfikatu

   Zapytaj klientów, którzy o to poprosili, czy wymagają certyfikatu, czy zaakceptują Twój rejestr, warunki dla podmiotów przetwarzających albo odpowiedź w kwestionariuszu. Zapisz każdą odpowiedź z datą. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   krótka lista klientów, o co prosił każdy i co każdy by zaakceptował

   dowód, który zostaje

   lista ze źródłem każdej odpowiedzi

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 1.2

   określ zakres i swoją rolę przy każdej czynności

   Zdecyduj, które czynności przetwarzania, produkty, lokalizacje i systemy obejmuje certyfikat, i zapisz, co jest poza nim. Przy każdej czynności zdecyduj, czy jesteś administratorem, współadministratorem czy podmiotem przetwarzającym, bo obowiązki są różne.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   opis zakresu z rolą przy każdej czynności w nim

   dowód, który zostaje

   opis zatwierdzony przez zarząd

   podstawa RODO art. 26(1); RODO art. 28(1)

3. 1.3

   wskaż, kto odpowiada za system

   Administrator odpowiada za zgodność i musi umieć ją wykazać. Wskaż jednego odpowiedzialnego na poziomie zarządu i jednego lidera operacyjnego ds. prywatności, i daj im czas oraz pozycję w budżecie.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja wskazująca odpowiedzialnego i lidera operacyjnego

   dowód, który zostaje

   protokół z tej decyzji

   strona pracy

   podstawa RODO art. 24(1)

Porównaj to, co robisz dziś, z tym, czego wymaga norma, i zamień różnice w listę prac.

1. 2.1

   kup licencjonowaną kopię aktualnego wydania

   Kup normę u wydawcy albo w krajowej jednostce normalizacyjnej i sprawdź, że to wydanie z 2025 r. ISO wykazuje wydanie z 2019 r. jako wycofane. Przekaż ją liderowi operacyjnemu i temu, kto będzie doradzał. Każdy numer klauzuli lub zabezpieczenia, którego użyjesz, powinien pochodzić z Twojej kopii.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   licencjonowana kopia aktualnego wydania u osób, które wykonują pracę

   dowód, który zostaje

   dowód zakupu z zapisanym wydaniem

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 2.2

   porównaj swoją praktykę z normą

   Przejdź normę z osobami, które przetwarzają dane osobowe, i zaznacz, co już robisz, co robisz częściowo i czego brakuje. Trzymaj się napisanego zakresu. Jeśli prowadzisz już system bezpieczeństwa informacji, pokryje on część tej pracy.

   • właściciel prawnik lub IOD
   • udowodnij i utrzymuj

   co powstaje

   lista luk z ustaleniem, właścicielem i dowodem, który już masz

   dowód, który zostaje

   lista luk z datą, podpisana przez lidera operacyjnego

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 2.3

   ułóż luki w jeden plan prac

   Ułóż luki w kolejności zależności, daj każdej właściciela i datę i zdecyduj, co na razie zaakceptujesz. Zarząd zatwierdza plan, żeby praca miała za sobą autorytet.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   uporządkowany plan prac z właścicielami i datami

   dowód, który zostaje

   plan zatwierdzony przez zarząd

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Napisz rejestry, wykonaj pracę nad ryzykiem dla prywatności i wprowadź procedury dla wszystkiego w zakresie.

1. 3.1

   napisz rejestr czynności przetwarzania

   Jako administrator wypisz każdą czynność przetwarzania z celem, kategoriami osób i danych, odbiorcami, przekazaniami poza UE oraz, jeśli to możliwe, terminami usunięcia i ogólnym opisem środków bezpieczeństwa. Jako podmiot przetwarzający prowadź rejestr przetwarzania, które wykonujesz dla każdego administratora. Zacznij od listy systemów, którą IT już ma.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   rejestr czynności przetwarzania z systemem i właścicielem przy każdej czynności

   dowód, który zostaje

   rejestr z datą, sprawdzony przez właściciela

   zabezpieczenie: asset-inventory

   podstawa RODO art. 30(1); RODO art. 30(2)

2. 3.2

   napisz politykę prywatności i wskaż role

   Napisz krótką politykę prywatności, którą podpisuje zarząd, i wypisz, kto decyduje, a kto za co odpowiada. Sprawdź, czy musisz wyznaczyć inspektora ochrony danych (IOD), i zapisz odpowiedź oraz powód w obu przypadkach.

   • właściciel zarząd
   • zbuduj i skonfiguruj

   co powstaje

   podpisana polityka prywatności, tabela ról i notatka o inspektorze ochrony danych

   dowód, który zostaje

   polityka z wersją i zatwierdzeniem, tabela i notatka

   podstawa RODO art. 37(1)

3. 3.3

   dodaj ryzyko dla prywatności do analizy ryzyka

   Dodaj do analizy ryzyka ryzyko dla osób i oceń, co wyciek lub utrata zrobiłyby ich danym. Gdy dany rodzaj przetwarzania z dużym prawdopodobieństwem może powodować wysokie ryzyko dla osób, wykonaj ocenę skutków dla ochrony danych przed jego rozpoczęciem. Zapisz, kto zaakceptował które ryzyko.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   rejestr ryzyka z kolumną ryzyka dla osób i ocena skutków tam, gdzie jest potrzebna

   dowód, który zostaje

   rejestr, oceny i zatwierdzenie zaakceptowanych ryzyk

   strona pracyzabezpieczenie: risk-register

   podstawa RODO art. 32(1); RODO art. 35(1)

4. 3.4

   wprowadź warunki dla podmiotów przetwarzających

   Wypisz dostawców, którzy przetwarzają dla Ciebie dane osobowe, sprawdź, czy każdy zapewnia wystarczające gwarancje, i zawrzyj umowę z warunkami, które wymienia RODO. Wymagaj, by każdy podmiot przetwarzający uzyskał Twoją zgodę, zanim skorzysta z kolejnego. Jeśli sam jesteś podmiotem przetwarzającym, spodziewaj się, że klienci poproszą o te same warunki, i wiedz, do czego możesz się zobowiązać.

   • właściciel zakupy
   • zbuduj i skonfiguruj

   co powstaje

   rejestr podmiotów przetwarzających z umową dla każdego i standardowy zestaw warunków, który możesz zaoferować jako podmiot przetwarzający

   dowód, który zostaje

   rejestr, podpisane umowy i zgody na kolejne podmioty

   strona pracyzabezpieczenie: supplier-management

   podstawa RODO art. 28(1); RODO art. 28(2); RODO art. 28(3)

5. 3.5

   ustaw obsługę żądań osób

   Zdecyduj, kto przyjmuje żądanie, jak potwierdzasz, kto pyta, kto szuka danych w każdym systemie i kto odpowiada. Administrator odpowiada w ciągu miesiąca od otrzymania żądania. W razie potrzeby, z uwagi na skomplikowany charakter lub liczbę żądań, można ten termin przedłużyć o kolejne dwa miesiące, a osobę informuje się o przedłużeniu i przyczynach w pierwszym miesiącu. Jako podmiot przetwarzający ustal, jak pomagasz administratorowi.

   • właściciel prawnik lub IOD
   • zbuduj i skonfiguruj

   co powstaje

   procedura obsługi żądań z właścicielami, rejestr i wzory odpowiedzi

   dowód, który zostaje

   procedura i rejestr, w którym każde żądanie ma datę i zamknięcie

   podstawa RODO art. 12(2); RODO art. 12(3)

6. 3.6

   napisz ścieżkę naruszeń

   Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki. Administrator zgłasza je organowi nadzorczemu w ciągu 72 godzin, w miarę możliwości, chyba że naruszenie raczej nie powoduje ryzyka, a osoby, których dane dotyczą, zawiadamia przy wysokim ryzyku. Zapisz, kto decyduje, kto zgłasza i kto prowadzi rejestr każdego naruszenia, i przetestuj to raz.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   procedura naruszeń z tabelą decyzji, wzorami i rejestrem

   dowód, który zostaje

   procedura, rejestr i zapis testu

   strona pracyzabezpieczenie: incident-management

   podstawa RODO art. 33(1); RODO art. 33(2); RODO art. 33(5); RODO art. 34(1)

7. 3.7

   przeszkol osoby w zakresie

   Przeszkol osoby, które przetwarzają dane osobowe, z polityki prywatności, z rozpoznawania żądania i z tego, co robić, gdy coś pójdzie nie tak. Prowadź zapis dla każdej osoby.

   • właściciel HR
   • zbuduj i skonfiguruj

   co powstaje

   krótkie szkolenie dla pracowników w zakresie i lista obecności

   dowód, który zostaje

   lista obecności i materiał z datą

   strona pracyzabezpieczenie: awareness-training

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Sprawdź, że system działa tak, jak opisano, i przedstaw wyniki zarządowi.

1. 4.1

   zbadaj system od wewnątrz

   Niech ktoś, kto nie budował systemu, sprawdzi względem Twoich zasad i normy, że każda część zakresu działa tak, jak opisano. Weź próbkę zapisów, umów z podmiotami przetwarzającymi, żądań i wpisów w rejestrze naruszeń. Zaplanuj audyt, rób notatki i napisz raport z ustaleniami.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   plan i raport z audytu wewnętrznego z ustaleniami

   dowód, który zostaje

   raport z datą i nazwiskiem audytora

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 4.2

   napraw ustalenia i zapisz naprawę

   Dla każdego ustalenia zdecyduj o naprawie, właścicielu i dacie i zapisz, kiedy ją wykonano. Napraw przyczynę, nie tylko objaw, żeby nie wróciło za rok.

   • właściciel szef IT
   • zbuduj i skonfiguruj

   co powstaje

   lista działań korygujących z właścicielami i datami

   dowód, który zostaje

   lista, w której każda pozycja jest zamknięta lub ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 4.3

   przeprowadź przegląd zarządzania

   Przedstaw zarządowi wynik audytu, obraz ryzyka dla prywatności, żądania, naruszenia i otwarte luki i zapisz, co zarząd postanawia. Norma wymaga tego przeglądu, więc sprawdź jego dane wejściowe w swojej kopii.

   • właściciel zarząd
   • udowodnij i utrzymuj

   co powstaje

   zapis przeglądu zarządzania z decyzjami i działaniami

   dowód, który zostaje

   zapis i protokół

   strona pracy

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Wybierz jednostkę certyfikującą, przejdź jej audyt i zajmij się tym, co znajdzie.

1. 5.1

   wybierz jednostkę certyfikującą i sprawdź jej akredytację

   Oceń kilka jednostek. Zapytaj każdą, jaką akredytację ma dla tej normy i jej wydania z 2025 r., od której jednostki akredytującej, i sprawdź odpowiedź u tej jednostki. Zapytaj, co obejmuje audyt i jak przebiega, i uzyskaj odpowiedzi na piśmie. ISO zaznacza, że akredytacja nie jest obowiązkowa.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   wybrana jednostka certyfikująca i zakres jej akredytacji

   dowód, który zostaje

   odpowiedzi na piśmie i sprawdzenie akredytacji

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 5.2

   przygotuj dowody i ludzi

   Zbierz w jednym miejscu politykę, rejestr czynności przetwarzania, analizę ryzyka, umowy z podmiotami przetwarzającymi, rejestry żądań i naruszeń, raport z audytu i zapis przeglądu, uporządkowane według tego, o co pyta norma. Przygotuj osoby, z którymi będą rozmowy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   folder z dowodami i lista osób do rozmów

   dowód, który zostaje

   folder, w którym każda pozycja ma datę

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 5.3

   przejdź audyt i odpowiedz na ustalenia

   Zapewnij audytorowi dostęp, odpowiadaj na pytania i notuj każde ustalenie. Dla każdego uzgodnij naprawę z jednostką certyfikującą i wykonaj ją w czasie, który wyznaczy.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   raport z audytu, odpowiedzi na ustalenia i naprawy

   dowód, który zostaje

   raport, odpowiedzi i zapisy zamknięcia

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

4. 5.4

   przeczytaj certyfikat i powiedz, co obejmuje

   Sprawdź zakres, daty, wydanie i wystawcę podane na certyfikacie i używaj ich tak, jak napisano, gdy odpowiadasz klientowi. Powiedz wprost, co obejmuje, a czego nie, i nie opisuj go jako zgodności z RODO.

   • właściciel prawnik lub IOD
   • zdecyduj i udokumentuj

   co powstaje

   krótkie oświadczenie, co certyfikat obejmuje, dla sprzedaży i działu prawnego

   dowód, który zostaje

   certyfikat i oświadczenie

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Prowadź system przez rok, powtarzaj audyt i przegląd i spełniaj wymagania kontroli nadzorczej jednostki certyfikującej.

1. 6.1

   zapytaj, co następuje po certyfikacie

   Zapytaj jednostkę certyfikującą, co sprawdza po wydaniu certyfikatu, jak często i co się dzieje, gdy ustalenia pozostają otwarte. Wpisz te daty do tego samego kalendarza co własny audyt i przegląd.

   • właściciel zakupy
   • zdecyduj i udokumentuj

   co powstaje

   kalendarz kontroli jednostki i własnych dat wewnętrznych

   dowód, który zostaje

   odpowiedź na piśmie i kalendarz

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

2. 6.2

   powtórz audyt wewnętrzny i przegląd

   Przeprowadź audyt wewnętrzny i przegląd zarządzania ponownie, w stałym rytmie, ze świeżymi dowodami. Aktualizuj rejestr czynności przetwarzania i rejestr podmiotów przetwarzających, gdy zaczynasz nową czynność albo współpracę z nowym dostawcą, i powtórz pracę nad ryzykiem dla prywatności, gdy się zmienią.

   • właściciel wszyscy
   • udowodnij i utrzymuj

   co powstaje

   roczny audyt wewnętrzny i przegląd zarządzania

   dowód, który zostaje

   raporty i protokoły z datą

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

3. 6.3

   zmieniaj zakres świadomie

   Gdy firma dodaje produkt, lokalizację, czynność lub dostawcę, zdecyduj, czy wchodzi do zakresu, i powiadom jednostkę certyfikującą. Jeśli klient później poprosi o więcej, poszerz zakres decyzją, z planem.

   • właściciel zarząd
   • zdecyduj i udokumentuj

   co powstaje

   decyzja o zmianie zakresu z uzasadnieniem

   dowód, który zostaje

   decyzja i powiadomienie jednostki

   podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.

Te same kroki, pogrupowane według osoby, która musi działać.

Każde zabezpieczenie ma własną stronę: czym jest, na co patrzeć przy wyborze, gdzie się psuje i jaki dowód zostawia.

• Rozporządzenie (UE) 2016/679 (RODO) (EUR-Lex)