Masz już ISO 27001 – co realnie trzeba dobudować, by sięgnąć po ISO 27701?

Operator z certyfikatem ISO 27001 ma za sobą najtrudniejszą część drogi – działający system, audyty i nawyk zarządzania ryzykiem. Ochrona prywatności wymaga jednak innego spojrzenia na te same dane. Sprawdzamy, co da się przenieść wprost, a co trzeba zbudować od podstaw.

Artykuł Partnera

Bezpieczeństwo czy prywatność – czym ISO 27701 różni się od ISO 27001?

Ta sama infrastruktura, inne pytanie. System zarządzania bezpieczeństwem informacji (SZBI) odpowiada na to, jak chronić informacje organizacji przed utratą poufności, integralności i dostępności. Ryzyko liczy się tu z perspektywy firmy – jej ciągłości działania, reputacji i finansów.

System zarządzania prywatnością (PIMS, Privacy Information Management System) przesuwa środek ciężkości. W centrum stoją dane osobowe i prawa osób, których dane dotyczą. Wyciek bazy abonentów to dla operatora incydent bezpieczeństwa, ale dla klienta – realne ryzyko kradzieży tożsamości.

W telekomunikacji ta różnica ma szczególną wagę. Operator przetwarza nie tylko dane identyfikacyjne abonentów, ale też dane transmisyjne i lokalizacyjne, które pozwalają odtworzyć zwyczaje i przemieszczanie się konkretnej osoby.

Gotowy fundament – co z SZBI posłuży wdrożeniu ISO 27701

Dobra wiadomość? Znaczna część pracy jest już wykonana. Działający SZBI dostarcza mechanizmów zarządczych, które system prywatności wykorzystuje bezpośrednio:

• polityki i dokumentacja systemowa,
• metodyka analizy ryzyka,
• audyty wewnętrzne i przegląd zarządzania,
• procedura zarządzania incydentami,
• kontrola dostępu do systemów i danych.

Przed startem warto sięgnąć po aktualne wydanie normy. Edycja z 2025 roku uczyniła normę o zarządzaniu prywatnością samodzielnym systemem zarządzania – wcześniej była rozszerzeniem ISO 27001. Integracja z SZBI pozostaje możliwa i praktyczna, ale wymaga przeglądu odniesień w dokumentacji przygotowanej pod starsze wydanie.

Administrator czy podmiot przetwarzający? Podwójna rola w ISO 27701

Kim jest operator wobec danych, które przetwarza? Odpowiedź rzadko bywa jedna. Norma o zarządzaniu prywatnością rozdziela wymagania według roli organizacji. Administrator decyduje o celach i sposobach przetwarzania, podmiot przetwarzający działa na jego polecenie i w granicach umowy.

Wobec abonentów indywidualnych operator jest administratorem – sam ustala, jakie dane zbiera i jak długo je przechowuje. Klient biznesowy korzystający z hostingu lub usług chmurowych powierza mu natomiast własne dane, czyniąc go podmiotem przetwarzającym. W praktyce oznacza to dwa zestawy obowiązków w jednym systemie – inne dla usług dostępowych, inne dla kolokacji czy chmury.

Pierwszym krokiem wdrożenia powinno być więc przypisanie ról do konkretnych usług. Bez tego nie da się dobrać właściwych wymagań ani wyznaczyć granic odpowiedzialności.

Brakujące elementy – co dobudować z myślą o certyfikacie ISO 27701?

Tu zaczyna się właściwa praca. Nowe elementy muszą działać wewnątrz systemu, a nie obok niego:

• rejestr czynności przetwarzania powiązany z rejestrem aktywów i analizą ryzyka,
• ocena ryzyka z perspektywy osoby, której dane dotyczą, wraz z ocenami skutków dla ochrony danych,
• procedura obsługi żądań osób – dostępu, sprostowania, usunięcia czy sprzeciwu,
• udokumentowane podstawy prawne przetwarzania i zarządzanie zgodami,
• zasady retencji i bezpiecznego usuwania danych,
• umowy powierzenia oraz kontrola transferów poza Europejski Obszar Gospodarczy (EOG),
• procedura incydentów rozszerzona o naruszenia ochrony danych osobowych.

Gotowość tych mechanizmów warto sprawdzić okiem z zewnątrz. Niezależna jednostka certyfikująca nie ocenia deklaracji, lecz praktykę – i nie ma interesu w łagodzeniu wniosków. Taką rolę pełni Bureau Veritas, które w ramach certyfikacji systemu zarządzania według normy ISO 27701 weryfikuje obowiązki zarówno administratora, jak i podmiotu przetwarzającego.

Typowe luki przed audytem ISO 27701 – logi, bazy i podwykonawcy

Gdzie operatorzy najczęściej się potykają? Pierwsza luka to zwykle logi. Brak spójnego okresu przechowywania sprawia, że dane z serwerów RADIUS, DHCP czy systemów monitoringu leżą latami – bo nikt nie zdecydował, kiedy je usunąć. Tymczasem logi wiążą adres IP z konkretnym abonentem, więc są danymi osobowymi.

Druga to rozproszenie danych klientów. Ten sam abonent figuruje w systemie bilingowym, systemie obsługi klienta, narzędziu do zgłoszeń i arkuszu technika. Realizacja żądania usunięcia danych staje się wtedy operacją na kilku systemach, często bez pewności, że obejmie wszystkie kopie.

Trzecia to podwykonawcy instalacyjni. Ekipy montujące przyłącza widzą adresy, numery telefonów i dane umów, a nie zawsze mają podpisaną umowę powierzenia.

Wreszcie umowy, które istnieją, ale nie nadążają za zmianami – nowy dostawca chmury, nowa usługa, nowy zakres danych. Nieaktualna umowa powierzenia to luka równie poważna jak jej brak.

Przewaga w przetargach – co certyfikat ISO 27701 daje operatorowi?

W relacjach z klientami biznesowymi certyfikat to nie kolejny dokument w teczce. Instytucje publiczne i firmy coraz częściej wymagają w przetargach udokumentowanego podejścia do ochrony danych. Certyfikat ułatwia wykazanie zgodności z RODO, bo w miejsce deklaracji przedstawia wynik niezależnej weryfikacji.

Drugą korzyścią jest porządek wewnętrzny – jasne role, znane miejsca przechowywania danych, przewidywalna obsługa żądań i incydentów. Gdy abonent pyta o swoje dane, odpowiedź nie wymaga przeszukiwania pięciu systemów i angażowania trzech działów.

Trzeba jednak postawić sprawę jasno. Certyfikat nie zastępuje obowiązków prawnych ani nie oznacza automatycznej zgodności z RODO. Przepisy nadal obowiązują w pełni – system pomaga je realizować i dokumentować.

Od ochrony firmy do ochrony człowieka – ostatni krok do ISO 27701

Działający SZBI to solidna baza – polityki, analiza ryzyka i audyty nie wymagają budowy od zera. Prywatność wymaga jednak zmiany perspektywy z ochrony firmy na ochronę człowieka. To ta zmiana, a nie liczba nowych dokumentów, decyduje o powodzeniu wdrożenia.

Jeśli planujesz rozszerzyć certyfikowany system o zarządzanie prywatnością informacji, skontaktuj się z ekspertami Bureau Veritas w sprawie niezależnego audytu i certyfikacji według normy ISO/IEC 27701.