ISO 27701

Klient, który powierza Ci dane osobowe, może poprosić o certyfikat ISO 27701 w kwestionariuszu due diligence albo w umowie. Katalog ISO opisuje normę jako wymagania dotyczące ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania informacjami o prywatności, wraz ze wskazówkami, jak je stosować. Jest przeznaczona dla organizacji, które kontrolują przetwarzanie danych osobowych, i dla tych, które przetwarzają je w ich imieniu.

Certyfikat pokazuje, że jednostka certyfikująca sprawdziła Twój system zarządzania prywatnością, w zakresie, który wybrałeś, względem normy. Nie jest certyfikatem zgodności z RODO. Strona ISO wymienia wśród korzyści pomoc w wykazywaniu zgodności z przepisami o prywatności, takimi jak RODO. To opis normy sporządzony przez ISO. Przepis stosują organy nadzorcze i sądy, a nic na stronie ISO nie mówi, że certyfikat rozstrzyga sprawę w ich oczach.

Dziś aktualne jest wydanie ISO/IEC 27701:2025, wydanie 2, opublikowane w październiku 2025. ISO wykazuje wydanie z 2019 r. jako wycofane, a jego strona wskazuje wydanie z 2025 r. jako nową wersję.

Oba wydania ISO przedstawia inaczej. Tytuł z 2019 r. nazywał normę rozszerzeniem do ISO/IEC 27001 i ISO/IEC 27002. Tytuł z 2025 r. tego nie robi: to norma o systemach zarządzania informacjami o prywatności, wymagania i wskazówki. Strona ISO odpowiada na pytanie, czy można ją stosować samodzielnie, słowem tak, i opisuje ją jako samą w sobie normę systemu zarządzania. Ta sama strona wymienia też spójność z istniejącymi systemami ISO/IEC 27001 wśród korzyści. Firma, która prowadzi już system ISO 27001, ma więc łatwiejszy start, a firma, która go nie ma, nadal może stosować normę.

Nie odczytano dwóch rzeczy: klauzul żadnego z wydań oraz zasad dotyczących tego, jak długo ważne są certyfikaty wydane względem wydania z 2019 r. i jak przebiega przejście na wydanie z 2025 r. Jeśli masz certyfikat z 2019 r. albo ktoś go Ci zaproponował, zapytaj jednostkę certyfikującą, względem którego wydania certyfikuje i jakie jest przejście.

Nie dla prawa. Żaden przepis UE opisany na tej stronie nie wymaga certyfikatu. RODO czyni administratora odpowiedzialnym za zgodność i każe mu umieć ją wykazać. Nie wskazuje certyfikatu jako sposobu, by to zrobić.

Możliwie dla sprzedaży. O certyfikat mogą pytać administratorzy, którzy używają Cię jako podmiotu przetwarzającego. Zanim zobowiążesz się na rok, ustal, którzy z nich zaakceptowaliby coś mniej: Twój rejestr czynności przetwarzania, warunki dla podmiotów przetwarzających i krótki opis tego, jak obsługujesz żądania i naruszenia.

Pokazuje, że jednostka certyfikująca w określonym dniu znalazła system spełniający normę w zakresie podanym na certyfikacie, z nazwą wystawcy. Nie pokazuje, że każda czynność przetwarzania jest zgodna z prawem, że odpowiedziano na żądanie albo zgłoszono naruszenie na czas, ani że organ nadzorczy się z Tobą zgadza. System poza zakresem nie jest objęty, więc certyfikat na jeden produkt nic nie mówi o Twoich danych kadrowych.

Obowiązki zostają w tekście samego RODO, a praca opisana niżej zostawia zapisy, które przydadzą się tak czy inaczej: rejestr czynności przetwarzania, umowy z podmiotami przetwarzającymi, sposób odpowiadania na żądania osób i ścieżkę naruszeń.

ISO podaje, że nie certyfikuje i nie wydaje certyfikatów. Certyfikacja to pisemne poświadczenie, że system spełnia określone wymagania, a przeprowadza ją zewnętrzna jednostka certyfikująca, co ISO nazywa też oceną zgodności przez stronę trzecią. Firmy nie może certyfikować ISO.

ISO radzi ocenić kilka jednostek certyfikujących, sprawdzić, czy jednostka stosuje właściwą normę dla jednostek certyfikujących, i sprawdzić, czy jest akredytowana. Akredytacja to formalne uznanie, że jednostka certyfikująca działa według norm międzynarodowych. ISO dodaje, że akredytacja nie jest obowiązkowa, a jednostka bez niej niekoniecznie jest niewiarygodna. Aby sprawdzić okazany certyfikat, ISO wskazuje globalną bazę środowiska akredytacyjnego albo bezpośredni kontakt z jednostką certyfikującą lub jednostką akredytującą.

Na tej stronie nie odczytano, które jednostki są akredytowane dla wydania z 2025 r. ani przez kogo. Zapytaj każdą jednostkę o zakres akredytacji i sprawdź go u jednostki akredytującej.

Nic z tego nie jest klauzulą normy odczytaną na potrzeby tej strony. To kolejność, która się sprawdza, a przy każdej pozycji jest tekst RODO, na którym się opiera, jeśli taki istnieje.

1. Zakres i rola. Zdecyduj, które czynności obejmuje system, i dla każdej, czy jesteś administratorem, współadministratorem czy podmiotem przetwarzającym.
2. Rejestr czynności przetwarzania. Administrator prowadzi rejestr z celami, kategoriami osób i danych, odbiorcami, przekazaniami oraz, jeśli to możliwe, terminami usunięcia i ogólnym opisem środków bezpieczeństwa. Podmiot przetwarzający prowadzi własny rejestr przetwarzania, które wykonuje dla każdego administratora.
3. Role. Wskaż, kto odpowiada na poziomie zarządu i kto prowadzi pracę. Sprawdź, czy musisz wyznaczyć inspektora ochrony danych (IOD).
4. Ryzyko dla prywatności. Dodaj ryzyko dla osób do analizy ryzyka i przeprowadź ocenę skutków dla ochrony danych przed przetwarzaniem, które z dużym prawdopodobieństwem może powodować wysokie ryzyko.
5. Dostawcy i podmioty przetwarzające. Korzystaj z podmiotów przetwarzających, które zapewniają wystarczające gwarancje, na podstawie umowy z warunkami, które wymienia RODO, i wymagaj, by podmiot przetwarzający uzyskał Twoją zgodę, zanim skorzysta z kolejnego.
6. Żądania osób. Ułatwiaj wykonywanie praw i odpowiadaj w ciągu miesiąca, z opisanym sposobem przedłużenia terminu i odmowy.
7. Ścieżka naruszeń. Podmiot przetwarzający zgłasza Ci naruszenie bez zbędnej zwłoki. Ty zgłaszasz organowi nadzorczemu w ciągu 72 godzin, w miarę możliwości, chyba że naruszenie raczej nie powoduje ryzyka, a osoby, których dane dotyczą, zawiadamiasz przy wysokim ryzyku.
8. Audyt wewnętrzny i przegląd zarządzania. Sprawdź, że to wszystko działa tak, jak opisano, i raz w roku przedstaw wynik zarządowi.

Pełne kroki, z właścicielami i dowodami, są w planie ISO 27701 na stronie tego obszaru. O środkach bezpieczeństwa, których wymaga RODO, przeczytasz w przewodniku po RODO i w przewodniku po ISO 27001.

Norma jest płatna. Strona korzystała wyłącznie ze źródeł publicznych: stron katalogu ISO dla obu wydań, stron ISO o ocenie zgodności i certyfikacji oraz tekstu RODO w EUR-Lex. Numerów klauzul, załączników i list zabezpieczeń ISO/IEC 27701 nie odczytano i żaden nie jest przytaczany. Sprawdź je w swojej licencjonowanej kopii, zanim określisz zakres albo odpowiesz klientowi. Nie odczytano też stanowiska żadnego krajowego organu nadzorczego wobec certyfikacji: zapytaj prawnika.