Wat is ISO 27701? De norm voor privacymanagement

Wat is ISO 27701? ISO/IEC 27701 is de internationale norm voor een privacy-informatiemanagementsysteem, afgekort PIMS. Dat is een managementsysteem waarmee u de verwerking van persoonsgegevens structureel regelt, bewaakt en verbetert. De norm is bedoeld voor verwerkingsverantwoordelijken en verwerkers, in elke sector en van elke omvang.

Sinds oktober 2025 is er een nieuwe versie. ISO 27701 was eerst een uitbreiding op ISO 27001, maar is nu een zelfstandige norm. U kunt er dus ook een certificaat voor halen zonder ISO 27001-certificaat. Voor organisaties met een certificaat op de oude versie geldt een overgangsperiode.

Op deze pagina leest u wat de norm vraagt en wat de nieuwe versie verandert. Daarna ziet u hoe de rollen van verwerker en verwerkingsverantwoordelijke werken en hoe ISO 27701 zich verhoudt tot de AVG. Voor de AVG-kant van uw organisatie, zie onze pagina over AVG en privacy.

Wat is ISO 27701 precies?

ISO 27701 beschrijft hoe u privacy organiseert als managementsysteem. U bepaalt de scope, brengt uw verwerkingen en risico’s in kaart, kiest maatregelen, legt verantwoordelijkheden vast en verbetert continu. Dezelfde cyclus kent u misschien uit ISO 27001.

Het verschil met een losse AVG-aanpak is de samenhang. Een register van verwerkingen, een DPIA en een procedure voor datalekken bestaan bij veel organisaties al, maar staan los van elkaar. Een DPIA is een beoordeling van de privacyrisico’s van een verwerking. Een PIMS verbindt die onderdelen, met vaste momenten voor controle en verbetering.

De norm komt van ISO en IEC, de internationale organisaties voor normalisatie, en is in Nederland verkrijgbaar via NEN. ISO 27701 is een van de normen uit het overzicht informatiebeveiliging.

Van uitbreiding naar zelfstandige norm

De eerste versie verscheen in 2019 als uitbreiding op ISO 27001 en ISO 27002. Wie zich wilde laten certificeren, had daarom ook ISO 27001 nodig. Volgens ISO zelf is de versie van oktober 2025 een zelfstandige managementsysteemnorm, die u ook los kunt gebruiken.

De nieuwe versie volgt de vaste hoofdstukindeling van ISO-normen voor managementsystemen. Het beheer van privacyrisico’s is steviger verankerd en de eisen aan leiderschap en evaluatie zijn aangescherpt. De maatregelen voor verwerkingsverantwoordelijken en verwerkers zijn opnieuw geordend. Ook klimaatverandering is als aandachtspunt toegevoegd.

Voor organisaties met ISO 27001 blijft combineren logisch. De structuur is gelijk, dus beleid, risicobeoordeling, interne audit en directiebeoordeling kunt u voor beide normen tegelijk inrichten.

Wat de nieuwe versie betekent voor uw ISO 27701-certificaat

Heeft u een certificaat op de versie van 2019, dan hoeft u niet direct iets te doen. Er geldt een overgangsperiode van drie jaar. Volgens de Britse accreditatie-instantie UKAS moeten certificatie-instellingen hun klanten uiterlijk 31 oktober 2028 hebben overgezet. UKAS volgt daarin de afspraken binnen het internationale accreditatieforum IAF.

De overstap gaat via een transitie-audit bij uw certificatie-instelling. Die kijkt vooral naar wat er verandert: de nieuwe structuur, het beheer van privacyrisico’s en de herziene maatregelen. Combineer die bij voorkeur met een reguliere audit; dat scheelt een extra bezoek. De precieze planning hoort u van uw certificatie-instelling.

Gebruik de overgang ook als moment om te kiezen. Wilt u de koppeling met ISO 27001 houden, of liever een zelfstandig privacycertificaat? Dat hangt af van wie uw certificaat leest en waarom.

Verwerkingsverantwoordelijke of verwerker

De AVG kent twee hoofdrollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker verwerkt gegevens in opdracht van een ander, bijvoorbeeld als softwareleverancier of salarisverwerker. ISO 27701 kent voor beide rollen eigen maatregelen.

Veel organisaties hebben beide rollen tegelijk. Een IT-bedrijf is verwerkingsverantwoordelijke voor de gegevens van zijn eigen medewerkers. Voor de gegevens die het voor klanten beheert, is het verwerker. Bepaal de rol daarom per verwerking, niet voor de organisatie als geheel. Een auditor wil die keuze onderbouwd zien.

ISO 27701 en de AVG

ISO 27701 helpt u aantonen dat u de AVG serieus naleeft. De AVG vraagt dat u kunt laten zien hoe u met persoonsgegevens omgaat; dat heet de verantwoordingsplicht. Een werkend PIMS levert dat bewijs: vastgelegde keuzes, uitgevoerde controles en doorgevoerde verbeteringen.

Toch is een ISO 27701-certificaat geen AVG-certificaat. Volgens de Autoriteit Persoonsgegevens telt alleen een certificaat van een instelling die daarvoor door de Raad voor Accreditatie is geaccrediteerd. Zo’n AVG-certificaat kunt u op dit moment nog niet aanvragen.

In de praktijk werkt de norm als vertaling van de AVG naar uw processen. Hij raakt onderwerpen als het register van verwerkingen, de rechten van betrokkenen, bewaartermijnen, afspraken met verwerkers en het melden van datalekken. Geeft u klanten liever een assurance-rapport over uw maatregelen, kijk dan naar SOC 2 type 2 of ISAE 3000.

Los certificeren of samen met ISO 27001

Met de nieuwe versie heeft u de keuze. Een zelfstandig ISO 27701-certificaat past bij organisaties waar privacy de hoofdvraag is. Denk aan een HR- of salarisdienstverlener die vooral wordt beoordeeld op zorgvuldige verwerking.

Heeft u ISO 27001 al, of verwerkt u veel gevoelige gegevens, dan ligt een gecombineerd systeem meer voor de hand. Beveiliging en privacy overlappen sterk: toegangsbeheer, logging, leveranciersbeheer en incidentbeheer komen in beide terug. De beveiligingsmaatregelen staan in ISO 27002, het managementsysteem zelf in wat is ISO 27001.

Twijfelt u, kijk dan naar wie uw certificaat leest. Vragen klanten vooral naar informatiebeveiliging, begin dan bij ISO 27001. Gaat het in tenders en verwerkersovereenkomsten om privacy, dan heeft ISO 27701 meer zeggingskracht.

Zo bouwt u een PIMS op

Begin met de scope: welke onderdelen van uw organisatie, welke verwerkingen en welke rol per verwerking. Breng daarna de verwerkingen in kaart, met doel, grondslag, bewaartermijn en betrokken leveranciers. Op basis van de privacyrisico’s kiest u maatregelen en legt u vast wie waarvoor verantwoordelijk is.

Een PIMS bewijst zich pas als het een tijd heeft gedraaid. Een interne audit en een directiebeoordeling laten zien of het systeem doet wat het belooft. Iemand moet daar de regie over voeren; vaak is dat een privacy officer. Heeft u die niet in huis, zie dan privacy officer inhuren.

Waar organisaties op vastlopen

De meeste organisaties hebben de AVG-basis op papier staan. Bij een audit blijkt het lastige vooral in de uitvoering te zitten. Vier punten komen in de praktijk vaak terug.

• Een register dat achterloopt. Het register van verwerkingen is ooit opgesteld, maar nieuwe software en nieuwe leveranciers staan er niet in.
• Subverwerkers buiten beeld. Een verwerker mag andere partijen alleen inschakelen met toestemming van zijn klant, en moet wijzigingen melden. Het overzicht daarvan ontbreekt vaak.
• Bewaartermijnen die blijven liggen. De termijnen staan in het beleid, maar oude gegevens worden niet verwijderd.
• Rechten van betrokkenen zonder oefening. De procedure voor een inzageverzoek bestaat, maar is nooit geprobeerd. Pas bij het eerste echte verzoek blijkt dan waar de gegevens overal staan.

Geen van deze punten is ingewikkeld. Ze vragen vooral een vast ritme, en dat is precies wat een managementsysteem toevoegt. Een ISO 27701-traject begint daarom het best met een eerlijke blik op hoe het in de praktijk loopt.

Veelgestelde vragen over ISO 27701

Is ISO 27701 verplicht?

Nee. Geen wet schrijft ISO 27701 voor, ook de AVG niet. Wel kan een klant of aanbesteding erom vragen, als bewijs dat u zorgvuldig met persoonsgegevens omgaat.

Heeft u ISO 27001 nodig voor ISO 27701?

Sinds de versie van oktober 2025 niet meer, want ISO 27701 is nu een zelfstandige norm. Bij de versie van 2019 was ISO 27001 wel een voorwaarde. Combineren blijft verstandig als u ISO 27001 al heeft, omdat de structuur gelijk is.

Is een ISO 27701-certificaat een AVG-certificaat?

Nee. Een AVG-certificaat moet komen van een instelling die daarvoor door de Raad voor Accreditatie is geaccrediteerd. Het schema daarachter is beoordeeld door de Autoriteit Persoonsgegevens. ISO 27701 helpt u wel om te laten zien hoe u de AVG naleeft.

Wat doet u met een certificaat op de versie van 2019?

Dat blijft bruikbaar tijdens de overgangsperiode. U stapt over via een transitie-audit bij uw certificatie-instelling, volgens de planning van UKAS uiterlijk 31 oktober 2028. Vraag uw certificatie-instelling naar de precieze planning.

Wat is het verschil tussen ISO 27001 en ISO 27701?

ISO 27001 gaat over informatiebeveiliging: het beschermen van alle informatie van uw organisatie. ISO 27701 gaat over privacy: het zorgvuldig en rechtmatig verwerken van persoonsgegevens, met oog voor de rechten van betrokkenen. Beveiliging hoort daarbij, maar privacy vraagt meer, zoals grondslagen, transparantie en bewaartermijnen.