Czym jest ISO/IEC 27701?
ISO/IEC 27701 określa wymagania i wytyczne dla ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia Systemu Zarządzania Informacjami o Prywatności (PIMS, Privacy Information Management System). Wydanie z 2019 roku zostało zaprojektowane jako rozszerzenie norm ISO/IEC 27001 i ISO/IEC 27002: organizacja bierze swój działający System Zarządzania Bezpieczeństwem Informacji i dokłada do niego wymiar ochrony danych osobowych, od oceny ryzyka uwzględniającej skutki dla osób, przez podstawy prawne przetwarzania, po realizację praw podmiotów danych.
W październiku 2025 roku opublikowano nowe wydanie ISO/IEC 27701:2025, czyli samodzielną normę opartą na zharmonizowanej strukturze systemów zarządzania (Annex SL), którą można certyfikować niezależnie od ISO/IEC 27001. Dla certyfikatów wydanych według edycji 2019 obowiązuje okres przejściowy do października 2028 roku. W praktyce większość dzisiejszych certyfikacji wciąż opiera się na edycji 2019 jako rozszerzeniu certyfikatu ISO 27001 i tę strukturę odwzorowuje moduł w Guardiso.
Kogo dotyczy?
Norma jest dobrowolna i może ją wdrożyć każda organizacja przetwarzająca dane osobowe, niezależnie od wielkości, branży i jurysdykcji. Najczęściej sięgają po nią firmy, dla których zaufanie do przetwarzania danych osobowych jest warunkiem biznesu: dostawcy SaaS i usług chmurowych, firmy technologiczne obsługujące dane klientów swoich klientów, sektor finansowy i zdrowotny, centra usług wspólnych oraz podmioty przetwarzające duże wolumeny danych pracowniczych i konsumenckich.
Cechą wyróżniającą ISO/IEC 27701 jest podział wymagań według ról: Aneks A edycji 2019 zawiera kontrole dla administratora danych (PII controller), a Aneks B dla podmiotu przetwarzającego (PII processor). Organizacja stosuje ten aneks (lub oba), który odpowiada jej faktycznym rolom w poszczególnych czynnościach przetwarzania. Warunkiem certyfikacji według edycji 2019 jest posiadanie lub równoczesne wdrożenie ISO/IEC 27001, bo PIMS nie istnieje w oderwaniu od SZBI.
Struktura wymagań
Edycja 2019 składa się z czterech głównych bloków wymagań i wytycznych. Klauzula 5 rozszerza wymagania systemu zarządzania ISO/IEC 27001 (kontekst, przywództwo, planowanie, wsparcie, działania operacyjne, ocena i doskonalenie) o wymiar prywatności, w tym o obowiązek uwzględniania w ocenie ryzyka skutków dla osób, których dane dotyczą. Klauzula 6 rozszerza kontrole bezpieczeństwa ISO/IEC 27002 o wytyczne swoiste dla ochrony danych osobowych.
Aneks A definiuje cele i środki nadzoru dla administratora danych: identyfikację celu i podstawy prawnej przetwarzania, zarządzanie zgodą, ocenę skutków dla ochrony danych (DPIA), rejestr czynności przetwarzania, obowiązki informacyjne, realizację praw podmiotów danych, minimalizację, retencję i kontrolę transferów. Aneks B definiuje środki dla podmiotu przetwarzającego: przetwarzanie wyłącznie na udokumentowane polecenie klienta, wsparcie administratora, powiadamianie o naruszeniach, zwrot lub usunięcie danych po zakończeniu usługi, rejestr ujawnień oraz nadzór nad podwykonawcami przetwarzania.
ISO 27701 a RODO
ISO/IEC 27701 nie zastępuje RODO ani nie stanowi formalnego mechanizmu certyfikacji z artykułu 42 RODO. Certyfikat nie jest prawnym dowodem zgodności z rozporządzeniem. Jest jednak jednym z najsilniejszych dostępnych narzędzi rozliczalności (artykuł 5 ustęp 2 i artykuł 24 RODO): niezależna, coroczna weryfikacja działającego systemu zarządzania prywatnością znacząco ułatwia wykazanie, że obowiązki administratora lub podmiotu przetwarzającego są realizowane systemowo, a nie akcyjnie.
Norma została zaprojektowana z myślą o RODO. Jej wymagania odpowiadają kluczowym obowiązkom rozporządzenia: podstawom prawnym (artykuł 6), zgodzie (artykuł 7), obowiązkom informacyjnym (artykuły 13-14), prawom osób (artykuły 15-22), rejestrowi czynności przetwarzania (artykuł 30), bezpieczeństwu przetwarzania (artykuł 32), zgłaszaniu naruszeń (artykuły 33-34), DPIA (artykuł 35), umowom powierzenia (artykuł 28) i transferom (rozdział V). Załącznik D edycji 2019 zawiera oficjalną tabelę mapowania na artykuły RODO, a Guardiso odwzorowuje te powiązania w mapowaniu krzyżowym kontroli.
Jak wygląda certyfikacja?
Certyfikat ISO/IEC 27701 wydaje akredytowana jednostka certyfikująca, według edycji 2019 zawsze w powiązaniu z certyfikacją ISO/IEC 27001 (jako rozszerzenie istniejącego certyfikatu albo audyt połączony obu norm). Audyt przebiega dwuetapowo: Stage 1 obejmuje przegląd dokumentacji PIMS (zakres, role administrator/przetwarzający, rejestr czynności przetwarzania, DPIA, polityki), a Stage 2 weryfikację wdrożenia na próbkach. Audytor prześledzi na przykład obsługę rzeczywistych żądań podmiotów danych, zapisy zgód i postępowanie z naruszeniem.
Cykl certyfikacyjny jest trzyletni, z corocznymi audytami nadzoru i recertyfikacją przed końcem cyklu. Jest zsynchronizowany z cyklem ISO 27001. Organizacje planujące certyfikację powinny uwzględnić przejście na edycję 2025: nowe certyfikacje według edycji 2019 będą stopniowo wygaszane, a istniejące certyfikaty wymagają przejścia do października 2028 roku.
Co daje wdrożenie?
Wdrożenie PIMS porządkuje ochronę danych osobowych w jeden zarządzany system zamiast rozproszonych dokumentów „pod RODO" i przynosi wymierne korzyści biznesowe.
- Niezależnie zweryfikowany dowód rozliczalności z RODO. To mocny argument w rozmowach z klientami korporacyjnymi, organami nadzorczymi i w kwestionariuszach badania dostawcy.
- Skrócenie negocjacji umów powierzenia: certyfikowany PIMS odpowiada na większość pytań klientów o ochronę danych u podmiotu przetwarzającego.
- Jedna spójna dokumentacja zamiast dublowania: ocena ryzyka, incydenty, dostawcy i szkolenia wspólne dla bezpieczeństwa informacji i prywatności.
- Mniejsze ryzyko naruszeń i kar dzięki systemowemu podejściu do minimalizacji, retencji i praw osób, zamiast reagowania dopiero po skardze lub kontroli.
- Przewaga konkurencyjna w przetargach i sprzedaży do sektorów regulowanych, gdzie ochrona danych jest kryterium wyboru dostawcy.
Jak pomaga Guardiso?
Guardiso prowadzi Cię przez wdrożenie ISO/IEC 27701 jako naturalne rozszerzenie pracy wykonanej dla ISO 27001 i RODO, bez dublowania dokumentacji.
- Komplet 70 kontroli PIMS (klauzule 5-6, Aneks A dla administratora, Aneks B dla podmiotu przetwarzającego) tworzony automatycznie po włączeniu standardu, z opisami, statusami i właścicielami.
- Mapowanie krzyżowe na ISO 27001 i RODO: praca wykonana w SZBI i module RODO automatycznie zalicza pokrywające się wymagania PIMS, a luki są jasno widoczne.
- Rejestry prywatności w jednym miejscu: rejestr czynności przetwarzania, DPIA, zgody, żądania podmiotów danych i naruszenia, powiązane z kontrolami i dowodami.
- Polityki i procedury ochrony danych generowane z szablonów i dopasowywane do ról administratora lub podmiotu przetwarzającego.
- Zbieranie dowodów zgodności (zapisy szkoleń, przeglądy dostępów, testy procedur naruszeniowych) z zadaniami cyklicznymi i automatyzacją.
- Portal audytora z kontrolowanym dostępem do dokumentacji PIMS, bez wysyłania plików mailem.