Van informatiebeveiliging naar privacy
ISO 27001 richt zich op het beveiligen van informatie. Privacy gaat verder: mag u persoonsgegevens wel verwerken, voor welk doel, hoe lang bewaart u ze en hoe gaat u om met de rechten van betrokkenen? ISO/IEC 27701 beschrijft een managementsysteem voor privacy-informatie, in het Engels Privacy Information Management System of PIMS.
Een zelfstandige norm
De eerste versie uit 2019 was een uitbreiding op ISO 27001: u kon alleen certificeren in combinatie met een ISMS. De nieuwe versie uit 2025 is een zelfstandige managementsysteemnorm. Organisaties kunnen ISO 27701 daardoor ook los van ISO 27001 invoeren. Wie al een ISMS heeft, kan de twee normen eenvoudig combineren, omdat ze dezelfde structuur volgen.
Verwerkingsverantwoordelijke en verwerker
De norm maakt onderscheid tussen de verwerkingsverantwoordelijke, die bepaalt waarom en hoe persoonsgegevens worden verwerkt, en de verwerker, die dat namens een ander doet. Voor beide rollen gelden aparte beheersmaatregelen. Een softwareleverancier of ICT-dienstverlener is voor klantdata meestal verwerker en voor de eigen personeels- en klantadministratie verwerkingsverantwoordelijke.
Verhouding tot de AVG
ISO 27701 is geen AVG-certificering en betekent niet automatisch dat u aan de AVG voldoet. De norm helpt wel om de AVG-verplichtingen structureel te organiseren, zoals het verwerkingsregister, gegevensbeschermingseffectbeoordelingen, verwerkersovereenkomsten, bewaartermijnen en het afhandelen van verzoeken van betrokkenen. Met interne audits en directiebeoordelingen houdt u die onderwerpen actueel.
Wanneer is het de moeite waard?
Certificering heeft vooral waarde voor organisaties die op grote schaal persoonsgegevens voor klanten verwerken, zoals SaaS-leveranciers, salarisverwerkers en zorg-ICT. Klanten kunnen daarmee eenvoudiger beoordelen of hun gegevens zorgvuldig worden behandeld. Voor andere organisaties kan de norm ook zonder certificering dienen als kader om privacy goed in te richten.