Что это за сертификат?

ISO/IEC 27701 — это расширение системы управления конфиденциальной информацией (PIMS), созданное на основе системы управления информационной безопасностью ISO/IEC 27001. Он определяет требования к обработке персональных данных отдельно для ролей контролера данных и обработчика данных, а также включает сопоставление таблиц со статьями GDPR.

Кому он нужен?

Организации, обрабатывающие персональные данные в соответствии с GDPR или KVKK
Технологические компании, предоставляющие услуги в качестве обработчика данных
Группы, осуществляющие международную передачу данных
Организации, желающие обеспечить соблюдение конфиденциальности в сертифицированной системе.

Обязателен ли он?

Не обязательно. Соответствие законодательству (KVKK, GDPR) само по себе является обязательным; Сертификат ISO/IEC 27701 не является автоматическим подтверждением соответствия, но придает конкретную форму заявлению о соответствии путем создания проверяемой системы управления. Его невозможно получить самостоятельно без сертификата ISO/IEC 27001.

Область применения стандарта

Распространение требований ISO/IEC 27001 на контекст конфиденциальности
Интерпретация средств управления ISO/IEC 27002, ориентированная на конфиденциальность.
Требования, специфичные для контроллера данных: условия обработки, обязательства субъекта данных, конфиденциальность, совместное использование и передача данных.
Требования, специфичные для обработчика данных: соблюдение инструкций клиента, субобработчиков, записей и поддержки.
Инвентаризация персональных данных и учет деятельности по их обработке
Управление правами субъектов данных
Оценка воздействия на защиту данных (DPIA)
Сопоставление приложений с GDPR и другими рамками конфиденциальности

Процесс сертификации

1ОбращениеОпределяются сфера деятельности организации, численность персонала, количество объектов и границы масштабов. На основании этой информации рассчитывается количество аудиторских дней.
2Проверка документов (этап 1)Проверяются документация системы менеджмента, определение объема работ, оценка рисков и записи внутреннего аудита/проверки со стороны руководства; оценивается готовность к выездной проверке.
3Сертификационный аудит (2 этап)На месте проверяется, что система внедрена и эффективна. Выводы классифицируются как значительные/незначительные несоответствия или наблюдения.
4Закрытие несоответствийОрганизация представляет анализ первопричин и план корректирующих действий. Сертификат не выдается до тех пор, пока не будут устранены серьезные несоответствия.
5Выдача сертификатаСертификат выдается после проверки независимым лицом, принимающим решения. Аудиторская группа не может принять решение о сертификации.
6Надзорные аудитыНадзорный аудит проводится не реже одного раза в год в течение срока действия сертификата. Срок первого наблюдения не может превышать 12 месяцев с последнего дня Этапа 2.
7РесертификацияПо истечении трех лет вся система проходит повторный аудит; его необходимо завершить до истечения срока действия сертификата.

Срок действия

Сертификаты системы менеджмента действительны в течение трех лет. В этот период проводится не менее одной надзорной проверки в год; действие сертификата приостанавливается, если надзор не проводится. Ресертификационный аудит завершается в конце третьего года.

Необходимые документы

Запись в торговом реестре и лицензия на деятельность
Организационная структура организации и численность персонала
Список сайтов/филиалов в рамках
Руководство по системе менеджмента или технологическая документация
Записи внутреннего аудита и анализа со стороны руководства
Юридические разрешения, лицензии и эксплуатационные документы, если таковые имеются.

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Численность персонала в объеме (напрямую определяет количество дней аудита)
Количество сайтов и филиалов; применяется ли выборка из нескольких мест
Уровень риска деятельности и сложность процесса
Количество стандартов, подлежащих сертификации — комплексный аудит сокращает количество дней
Трехлетний цикл: сертификация + два надзорных аудита.

Аккредитация

Сертификация системы менеджмента осуществляется в рамках стандарта ISO/IEC 17021-1. Орган по сертификации аккредитован органом по аккредитации, подписавшим соглашение о многостороннем признании IAF (IAF MLA); Это соглашение устанавливает цепочку международного признания, гарантирующую, что документ, выданный в одной стране, будет принят в других странах. EUROLAB имеет международно признанную аккредитацию органов по аккредитации членов IAF в рамках ISO/IEC 17021-1.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения

Связанные сертификации

Частые вопросы

Означает ли наличие сертификата ISO/IEC 27701, что я соблюдаю требования GDPR?

Нет. Соответствие GDPR является юридической оценкой, и только компетентный надзорный орган может принять решение в обязательном порядке. Сертификат показывает, что система, установленная на соответствие требованиям, прошла независимый аудит; это не гарантирует соблюдение законодательства.

Могу ли я получить 27701 без 27001?

№27701 – пристройка; он проверяется либо как дополнение к существующему сертификату 27001, либо вместе с 27001.

Менеджмент защиты персональных данных (ISO/IEC 27701) — сертификация