ISO 27701 certificering
ISO 27701 is de internationale norm voor een privacy-informatiemanagementsysteem. De norm vertaalt privacywetgeving naar een systeem met rollen, processen en registraties, zodat u aantoonbaar kunt maken dat u zorgvuldig met persoonsgegevens omgaat.
Op deze pagina leest u wat de norm inhoudt, of u zelfstandig kunt certificeren of moet uitbreiden op ISO 27001, hoe de norm zich verhoudt tot de AVG, welke eisen gelden als u verwerker bent, en wat het certificaat u oplevert in tenders en verwerkersovereenkomsten.
Wij komen deze vraag meestal tegen bij dienstverleners die veel persoonsgegevens voor anderen verwerken en die telkens dezelfde vragen krijgen in leveranciersbeoordelingen.
Wat is ISO 27701 en wat is een privacy-informatiemanagementsysteem?
ISO 27701 beschrijft hoe u privacybeheer inricht als managementsysteem: met beleid, rollen, risicobeoordeling, registraties en een verbetercyclus.
Het idee is hetzelfde als bij ISO 27001, maar dan toegepast op persoonsgegevens. Waar ISO 27001 vraagt welke risico’s uw informatie bedreigen, vraagt ISO 27701 wat de verwerking van persoonsgegevens betekent voor de mensen om wie het gaat.
De norm voegt daar een aantal specifieke onderwerpen aan toe die u uit de privacypraktijk kent: het bijhouden van verwerkingen, het omgaan met verzoeken van betrokkenen, afspraken met verwerkers, bewaartermijnen, doorgifte naar landen buiten de Europese Economische Ruimte en de beoordeling van gegevensbeschermingseffecten.
Wat de norm níét doet, is de AVG vervangen. Een certificaat toont aan dat u een werkend systeem heeft, niet dat u aan elke wettelijke bepaling voldoet. Dat is een belangrijk onderscheid dat in de markt regelmatig verkeerd wordt voorgesteld.
Zelfstandig certificeren of uitbreiden op ISO 27001
Dit is het onderdeel waarover de meeste verouderde informatie rondgaat, dus let hier op.
In de oorspronkelijke opzet was ISO 27701 een uitbreiding. U kon alleen certificeren als u ook ISO 27001 had, want de norm bouwde daar letterlijk op voort. Veel pagina’s op internet beschrijven nog steeds die situatie.
Met de herziening van de norm is dat veranderd. ISO 27701 is nu opgezet als zelfstandige managementsysteemnorm, waardoor certificering zonder ISO 27001 mogelijk is. Voor organisaties waarbij privacy het kernonderwerp is en informatiebeveiliging een afgeleide, is dat een aanzienlijke vereenvoudiging.
Toch is de gecombineerde route in de praktijk vaak nog steeds de verstandigste. De onderwerpen overlappen sterk, en de meeste opdrachtgevers vragen zowel om beveiliging als om privacy. Eén systeem met twee normen erin is dan efficiënter dan twee losse trajecten.
De keuze hangt dus af van uw markt. Vraagt men vooral naar privacy, dan kan zelfstandig. Vraagt men naar beide, bouw dan één systeem.
ISO 27701, de AVG, ISO 27001 en NEN 7510
Vier kaders die elkaar raken en waarvan er telkens één het antwoord is op een andere vraag.
- AVG. Wat het is: Wetgeving, geldt altijd. Wat het aantoont: Niets op zichzelf, u moet naleving zelf onderbouwen. Wanneer kiest u dit: Niet te kiezen, u valt eronder.
- ISO 27701. Wat het is: Norm voor privacybeheer. Wat het aantoont: Dat u privacy structureel beheerst en aantoonbaar bijhoudt. Wanneer kiest u dit: Persoonsgegevens zijn kern van uw dienst.
- ISO 27001. Wat het is: Norm voor informatiebeveiliging. Wat het aantoont: Dat u informatiebeveiliging beheerst. Wanneer kiest u dit: De vraag gaat over beveiliging, breed inzetbaar.
- NEN 7510. Wat het is: Nederlandse zorgnorm op ISO 27001. Wat het aantoont: Beveiliging van patiëntgegevens. Wanneer kiest u dit: U werkt in of voor de Nederlandse zorg.
Het belangrijkste misverstand zit in de eerste rij. Een ISO 27701-certificaat is geen goedkeuring onder de AVG. De wet kent een eigen certificeringsmechanisme dat door de toezichthouder wordt goedgekeurd, en dat is iets anders. Wat het certificaat wel doet, is uw naleving geloofwaardig onderbouwen.
Werkt u in de zorg, dan is de combinatie NEN 7510 met ISO 27701 gebruikelijk: de eerste voor de beveiliging van patiëntgegevens, de tweede voor het privacybeheer eromheen.
Verwerkingsverantwoordelijke of verwerker
De norm maakt onderscheid tussen die twee rollen, en de eisen verschillen wezenlijk.
Bent u verwerkingsverantwoordelijke, dan bepaalt u zelf waarom en hoe u persoonsgegevens verwerkt. De norm vraagt dan onder meer dat u grondslagen vastlegt, betrokkenen informeert, verzoeken afhandelt en beoordeelt wanneer een gegevensbeschermingseffectbeoordeling nodig is.
Bent u verwerker, dan verwerkt u in opdracht van een ander. De nadruk ligt dan op het volgen van instructies, op afspraken over onderaanneming, op het ondersteunen van uw klant bij verzoeken van betrokkenen, en op het melden van incidenten binnen de afgesproken termijn.
Veel organisaties zijn allebei. Voor uw eigen personeelsadministratie bent u verantwoordelijke, voor de gegevens die u namens klanten verwerkt bent u verwerker. De norm gaat daar goed mee om, mits u per verwerking vastlegt in welke rol u zit.
Dat onderscheid bepaalt ook wat het certificaat voor uw klanten waard is. Verwerkt u namens hen, dan is uw certificaat voor hun eigen dossier direct bruikbaar bij het beoordelen van hun leveranciers.
Wat het oplevert in tenders en verwerkersovereenkomsten
De praktische waarde zit in het vervangen van vragen die u anders per klant beantwoordt.
In een leveranciersbeoordeling komen vrijwel altijd dezelfde onderwerpen langs: welke gegevens verwerkt u, waar staan ze, wie heeft toegang, hoe lang bewaart u ze, wie zijn uw subverwerkers en hoe gaat u om met datalekken. Een certificaat beantwoordt die vragen in één keer en met bewijs.
Bij verwerkersovereenkomsten scheelt het onderhandelingstijd. Een klant die weet dat uw privacybeheer is getoetst, stelt minder aanvullende eisen en accepteert eerder uw standaardbijlage.
In aanbestedingen komt privacy steeds vaker terug als criterium, zeker bij overheden, onderwijsinstellingen en zorgorganisaties. Daar is het certificaat een onderscheidend punt, omdat weinig partijen het hebben.
Wat het niet doet: u vrijwaren van aansprakelijkheid. Bij een datalek blijft u verantwoordelijk voor wat er is misgegaan. Het certificaat helpt wel om aan te tonen dat u passende maatregelen had genomen.
Van nulmeting tot certificaat in zes stappen
Het traject volgt dezelfde opzet als andere managementsysteemnormen. Wat verschilt is de inhoud van de registraties.
1. Bepaal scope en rollen
Wij leggen vast welke verwerkingen en organisatieonderdelen meedoen en in welke rol u per verwerking zit. U besluit over de reikwijdte. Dat levert de afbakening op die bepaalt welke eisen op u van toepassing zijn.
2. Voer de nulmeting uit
Wij toetsen uw huidige privacypraktijk tegen de norm en tegen de AVG. U levert uw verwerkingsregister, verwerkersovereenkomsten en procedures aan. Dat levert een lijst met tekorten op, geordend naar risico en inspanning.
3. Werk het verwerkingsregister bij
Wij vullen het register aan met de gegevens die de norm vraagt, waaronder grondslag, bewaartermijn en doorgifte. U betrekt de proceseigenaren. Dat levert het document op waar vrijwel alle andere verplichtingen op steunen.
4. Richt de ontbrekende processen in
Wij stellen de procedures op voor verzoeken van betrokkenen, datalekken, effectbeoordelingen en leveranciersbeoordeling. U wijst eigenaren aan. Dat levert werkende processen op in plaats van beleid dat niemand toepast.
5. Voer interne audit en directiebeoordeling uit
Wij toetsen het systeem onafhankelijk en bereiden de directiebeoordeling voor. U voert die beoordeling werkelijk en legt de besluiten vast. Dat levert de twee verplichte bewijsstukken op.
6. Doorloop de certificerende audit
Wij begeleiden de audit en zijn aanspreekpunt voor de bewijsvoering. U geeft de opdracht aan de certificerende instelling. Dat levert het certificaat op, na afhandeling van eventuele bevindingen.
Wat de doorlooptijd en de omvang bepalen
Een traject duurt bij de meeste organisaties zes tot twaalf maanden. Deze factoren bepalen het verschil.
- Bestaande certificeringen. Heeft u ISO 27001, dan ligt de structuur er al en gaat het vooral om de privacyspecifieke onderdelen.
- Kwaliteit van uw verwerkingsregister. Is dat actueel, dan scheelt dat een aanzienlijk deel van het werk.
- Aantal verwerkingen en systemen. Elk systeem dat persoonsgegevens raakt komt in het register en vraagt onderhoud.
- Uw rol per verwerking. Bent u zowel verantwoordelijke als verwerker, dan gelden er twee sets eisen.
- Aantal subverwerkers. Iedere partij vraagt een overeenkomst en een periodieke beoordeling.
- Doorgifte buiten de Europese Economische Ruimte. Dat vraagt aanvullende onderbouwing per doorgifte.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo begeleidt QENSORA u bij ISO 27701
Wij richten het systeem met u in en begeleiden de audit. Het certificaat komt van een geaccrediteerde instelling, niet van ons.
Wat wij toevoegen is de combinatie van privacy en techniek. De meeste partijen in dit vakgebied zijn juridisch geschoold en kunnen niet beoordelen of een maatregel technisch doet wat er staat. Bij privacy is dat relevant, want de vraag of toegang werkelijk beperkt is, beantwoordt u niet met een beleidsdocument.
Wij bouwen daarnaast bij voorkeur voort op wat er al ligt. Draait er een ISO 27001-systeem, dan wordt dit een uitbreiding en geen tweede stelsel. Eén beleid, één risicomethodiek, één jaarcyclus, met de privacyonderdelen erin.
Wij zeggen ook wanneer certificeren niet nodig is. Vraagt niemand erom, dan levert een goed ingericht privacydossier dezelfde praktische waarde zonder de jaarlijkse cyclus. Zoekt u vooral uitvoerende capaciteit, kijk dan naar het inhuren van een privacy officer.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en privacyvraagstukken. Hij voert de nulmeting zelf en beoordeelt of certificering in uw situatie een verstandige investering is.
Privacy als systeem in plaats van als losse acties
Het verschil tussen een organisatie die privacy beheerst en een die het per incident oplost, zit niet in kennis van de wet. Het zit in de vraag of iemand het bijhoudt en of er een moment is waarop ernaar wordt gekeken.
Wilt u weten of certificering in uw situatie loont en wat u van uw huidige dossier kunt hergebruiken? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk welke route past.
Veelgestelde vragen over ISO 27701 certificering
Kunnen wij ISO 27701 los certificeren?
Ja. In de oorspronkelijke opzet was de norm een uitbreiding op ISO 27001, maar sinds de herziening is zelfstandige certificering mogelijk. Veel informatie op internet is op dit punt verouderd. Of het verstandig is hangt af van uw markt: vraagt men ook naar beveiliging, dan is de combinatie efficiënter.
Toont ISO 27701 aan dat wij AVG-compliant zijn?
Niet formeel. Het certificaat toont aan dat u privacybeheer structureel heeft ingericht en dat een auditor dat heeft getoetst. De AVG kent een eigen certificeringsmechanisme dat door de toezichthouder wordt goedgekeurd. Wat het certificaat wel doet, is uw naleving geloofwaardig onderbouwen richting klanten en toezichthouder.
Wat is het verschil met ISO 27001?
ISO 27001 gaat over de beveiliging van informatie in het algemeen. ISO 27701 gaat specifiek over persoonsgegevens en over de gevolgen voor de mensen om wie het gaat. De structuur is gelijk, dus u kunt beide in één managementsysteem onderbrengen met één beleid en één jaarcyclus.
Hebben wij een functionaris gegevensbescherming nodig voor dit certificaat?
Niet vanwege de norm. De norm vraagt dat verantwoordelijkheden voor privacy zijn belegd, niet dat er een formele functionaris is. Of u er een moet hebben, volgt uit de AVG en hangt af van uw activiteiten. Wel moet duidelijk zijn wie binnen uw organisatie aanspreekbaar is.
Hoelang duurt een traject?
Bij de meeste organisaties zes tot twaalf maanden tot de certificerende audit. Heeft u al ISO 27001 en een actueel verwerkingsregister, dan kan het aanzienlijk korter. Het meeste werk zit in het bijwerken van het register en het inrichten van de processen rond verzoeken en effectbeoordelingen.
Wij zijn verwerker. Gelden er dan andere eisen?
Ja. Als verwerker ligt de nadruk op het volgen van instructies van uw klant, op afspraken over onderaanneming, op ondersteuning bij verzoeken van betrokkenen en op tijdig melden van incidenten. Bent u ook verantwoordelijke voor eigen verwerkingen, dan gelden beide sets eisen naast elkaar.
Wat levert het op in aanbestedingen?
Het is een onderscheidend punt, omdat relatief weinig partijen het certificaat hebben. Bij overheden, onderwijs en zorg komt privacy steeds vaker terug als criterium. Daarnaast vervangt het een groot deel van de vragen in leveranciersbeoordelingen, wat per klant tijd scheelt.
Wat als ons verwerkingsregister niet actueel is?
Dat is de meest voorkomende startsituatie en het is meteen de eerste stap van het traject. Het register bijwerken vraagt gesprekken met de proceseigenaren, ongeveer een uur per proces. Vrijwel alle andere onderdelen van de norm steunen op dat register, dus daar begint het.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
