Vad ISO 27701 är
ISO/IEC 27701 ställer krav på ett ledningssystem för integritetsskydd: hur en organisation hanterar personuppgifter som personuppgiftsansvarig, som personuppgiftsbiträde eller som båda. Den första utgåvan från 2019 var ett tillägg till ISO 27001. 2025 års utgåva står på egna ben och kan certifieras utan ISO 27001, med en egen uppsättning säkerhetskontroller. Den har separata kontroller för personuppgiftsansvariga och personuppgiftsbiträden och mappar dem mot GDPR och andra integritetslagar.
Vad kunder frågar
Frågorna överlappar med en GDPR-leverantörsbedömning och är ordnade efter standardens kontrolluppsättningar:
- Om du är certifierad, enligt vilken utgåva, och vad omfattningen täcker.
- Din roll för kundens data, vilket för en SaaS-leverantör oftast är personuppgiftsbiträde.
- Hur du hanterar kundens instruktioner, hjälper till med begäranden från registrerade och för register över behandlingen.
- Underbiträden: vilka de är, hur de är bundna och hur kunden informeras om ändringar.
- Överföringar utanför EU, och vilka skyddsåtgärder som gäller.
- Lagring, återlämning och radering när avtalet upphör.
- Hur en personuppgiftsincident upptäcks och rapporteras till kunden.
Att svara med ett certifikat
Bifoga certifikatet och citera dess omfattning och utgåva. Granskare som kan standarden kommer att fråga vilka kontroller för personuppgiftsbiträden du har valt och hur de är införda, ungefär som en granskare av ISO 27001 frågar efter uttalandet om tillämplighet.
Att svara utan
Besvara varje rad som i en GDPR-bedömning: faktumet, ägaren, underlaget. Ditt personuppgiftsbiträdesavtal, din underbiträdeslista och din rutin för personuppgiftsincidenter besvarar de flesta raderna. Om du har ISO 27001 och planerar att lägga till 27701, säg det och ange ett datum.
I Responsemate
Personuppgiftsbiträdesavtalet, underbiträdeslistan och eventuella certifikat ligger i kunskapsbasen som underlag med granskningsdatum, och integritetsraderna i varje frågeformulär skrivs som utkast utifrån samma godkända svar, så att de inte glider isär mellan kunder. GDPR-frågeformulär för leverantörsbedömning.
Vanliga frågor
Behöver vi ISO 27001 innan ISO 27701?
Inte längre. I 2019 års utgåva var ISO 27701 ett tillägg till ISO 27001 och kunde bara certifieras ovanpå den. 2025 års utgåva är en fristående standard för ledningssystem, även om de flesta organisationer fortfarande driver de två tillsammans.
Bevisar en ISO 27701-certifiering att vi följer GDPR?
Nej, och en granskare kommer inte att läsa det så. Det visar att integritetsskyddet hanteras på ett strukturerat sätt, med kontroller som mappar mot GDPR, vilket gör integritetsavsnittet i ett frågeformulär lättare att besvara och att lita på.