Hva ISO 27701 er
ISO/IEC 27701 stiller krav til et styringssystem for personvern: hvordan en organisasjon håndterer personopplysninger som behandlingsansvarlig, som databehandler eller som begge deler. Den første utgaven, fra 2019, var en utvidelse av ISO 27001. 2025-utgaven står på egne ben og kan sertifiseres uten ISO 27001, med sitt eget sett sikkerhetskontroller. Den har egne kontroller for behandlingsansvarlige og databehandlere, og mapper dem mot GDPR og andre personvernlover.
Hva kundene spør om
Spørsmålene overlapper med en GDPR-leverandørvurdering, ordnet etter standardens kontrollsett:
- Om dere er sertifisert, etter hvilken utgave, og hva omfanget dekker.
- Rollen deres for kundens data, som for en SaaS-leverandør som regel er databehandler.
- Hvordan dere håndterer kundens instrukser, bistår med forespørsler fra registrerte og fører protokoll over behandlingen.
- Underdatabehandlere: hvem de er, hvordan de er bundet, og hvordan kunden får beskjed om endringer.
- Overføringer ut av EU, og hvilke garantier som gjelder.
- Lagring, tilbakelevering og sletting ved avtalens slutt.
- Hvordan et brudd på personopplysningssikkerheten oppdages og rapporteres til kunden.
Å svare med et sertifikat
Legg ved sertifikatet og gjengi omfanget og utgaven. Vurderere som kjenner standarden, vil be om databehandlerkontrollene dere har valgt og hvordan de er innført, omtrent slik en ISO 27001-vurderer ber om erklæringen om anvendelse.
Å svare uten
Svar på hver rad slik du ville gjort i en GDPR-vurdering: faktum, eier, dokumentasjon. Databehandleravtalen, listen over underdatabehandlere og prosedyren for avvik besvarer de fleste radene. Har dere ISO 27001 og planlegger å legge til 27701, si det, med en dato.
I Responsemate
Databehandleravtalen, listen over underdatabehandlere og eventuelle sertifikater ligger i kunnskapsbasen som dokumentasjon med gjennomgangsdatoer, og personvernradene i hvert spørreskjema får utkast fra de samme godkjente svarene, så de ikke glir fra hverandre mellom kundene. GDPR-spørreskjemaer for leverandørvurdering.
Vanlige spørsmål
Trenger vi ISO 27001 før ISO 27701?
Ikke lenger. Under 2019-utgaven var ISO 27701 en utvidelse av ISO 27001 og kunne bare sertifiseres i tillegg til den. 2025-utgaven er en selvstendig standard for styringssystemer, selv om de fleste organisasjoner fortsatt driver de to sammen.
Beviser en ISO 27701-sertifisering at dere etterlever GDPR?
Nei, og den som vurderer vil ikke lese det slik. Den viser at personvernet styres på en strukturert måte, med kontroller som er mappet mot GDPR, og det gjør personvernseksjonen i et spørreskjema enklere å besvare og å stole på.