Hvad ISO 27701 er
ISO/IEC 27701 stiller krav til et ledelsessystem for privatlivsinformation: hvordan en organisation håndterer personoplysninger som dataansvarlig, som databehandler eller som begge dele. Første udgave fra 2019 var en udvidelse af ISO 27001. 2025-udgaven står på egne ben og kan certificeres uden ISO 27001, med sit eget sæt sikkerhedskontroller. Den har separate kontroller for dataansvarlige og databehandlere og kortlægger dem mod GDPR og anden databeskyttelseslovgivning.
Det spørger kunderne om
Spørgsmålene overlapper med en GDPR-leverandørvurdering og er ordnet efter standardens kontrolsæt:
- Om du er certificeret, efter hvilken udgave, og hvad omfanget dækker.
- Din rolle i forhold til kundens data, som for en SaaS-leverandør som regel er databehandler.
- Hvordan du håndterer kundens instrukser, hjælper med anmodninger fra registrerede og fører fortegnelse over behandlingsaktiviteter.
- Underdatabehandlere: hvem de er, hvordan de er forpligtet, og hvordan kunden får besked om ændringer.
- Overførsler ud af EU og de garantier, der gælder for dem.
- Opbevaring, tilbagelevering og sletning ved kontraktens ophør.
- Hvordan et brud på persondatasikkerheden opdages og meldes til kunden.
At svare med et certifikat
Vedhæft certifikatet, og gengiv omfanget og udgaven. Dem, der gennemgår og kender standarden, vil bede om de databehandlerkontroller, du har valgt, og hvordan de er implementeret, ligesom en, der gennemgår efter ISO 27001, beder om anvendelseserklæringen.
Besvarelse uden én
Besvar hver række, som du ville gøre i en GDPR-vurdering: faktum, ejeren, dokumentationen. Din databehandleraftale, din liste over underdatabehandlere og din procedure for brud på persondatasikkerheden besvarer de fleste rækker. Har du ISO 27001 og planlægger at tilføje 27701, så sig det med en dato.
I Responsemate
Databehandleraftalen, listen over underdatabehandlere og eventuelle certifikater ligger i vidensbasen som dokumentation med gennemgangsdatoer, og privatlivsrækkerne i hvert spørgeskema udarbejdes ud fra de samme godkendte svar, så de ikke glider fra hinanden fra kunde til kunde. GDPR-spørgeskemaer til leverandørvurdering.
Spørgsmål, folk stiller
Skal vi have ISO 27001 før ISO 27701?
Ikke længere. I 2019-udgaven var ISO 27701 en udvidelse af ISO 27001 og kunne kun certificeres oven på den. 2025-udgaven er en selvstændig standard for ledelsessystemer, selvom de fleste organisationer stadig driver de to sammen.
Beviser en ISO 27701-certificering, at man overholder GDPR?
Nej, og den, der gennemgår, vil heller ikke læse det sådan. Den viser, at privatliv styres på en struktureret måde med kontroller, der er kortlagt mod GDPR, og det gør privatlivsafsnittet i et spørgeskema lettere at besvare og at stole på.