Sprawdź nowe podejście do certyfikacji zarządzania prywatnością danych osobowych.
Opublikowano nową wersję normy ISO/IEC 27701:2025!
14 października 2025r., Międzynarodowa Organizacja Normalizacyjna (ISO) opublikowała zaktualizowaną wersję normy ISO/IEC 27701:2025 (PIMS).
Nowa edycja zastępuje wersję z 2019 roku, wprowadzając zmiany, które czynią system zarządzania prywatnością bardziej elastycznym, przejrzystym i w pełni dostosowanym do dynamicznie zmieniającego się otoczenia prawnego i technologicznego.
ISO/IEC 27701:2025 jako niezależny standard
Norma ISO/IEC 27701:2025 jest traktowana jako samodzielny standard i może być wdrażana oraz certyfikowana niezależnie od ISO/IEC 27001. To istotna zmiana względem wersji z 2019 roku, w której funkcjonowała jako rozszerzenie systemu zarządzania bezpieczeństwem informacji.
Jednocześnie pozostaje w pełni kompatybilna z ISO/IEC 27001:2022, co umożliwia jej integrację w ramach zintegrowanych systemów zarządzania. Takie podejście otwiera nowe możliwości dla organizacji średniej wielkości, sektora usługowego oraz instytucji finansowych, które muszą spełniać wymagania DORA i RODO, ale dotychczas nie wdrożyły systemu ISMS.
Nowa struktura ISO 27701:2025
Zaktualizowana wersja normy ISO/IEC 27701:2025 została opracowana na podstawie doświadczeń z wdrożeń wersji 2019 oraz w zgodności z wydaniami ISO/IEC 27001:2022 i ISO/IEC 27002:2023. Wśród kluczowych zmian warto wymienić:
- brak możliwości wyłączeń - wszystkie wymagania zawarte w rozdziałach 4–10 muszą zostać spełnione.
- nową strukturę Załącznika A, który dzieli wymagania na trzy części:
- A.1 - dla administratorów danych (PII Controllers),
- A.2 - dla procesorów danych (PII Processors),
- A.3 - wspólne wymagania dotyczące bezpieczeństwa informacji, spójne z Annex A normy ISO/IEC 27001:2022.
- dodanie Załącznika B, który zawiera praktyczne wskazówki wdrożeniowe, które są fakultatywne, ale stanowią istotne wsparcie przy implementacji.
Struktura normy została uproszczona, a terminologia ujednolicona z innymi normami ISO, co ułatwia integrację i zapewnia spójność podejścia do zarządzania.
Rozszerzone podejście do ryzyka prywatności
Nowa edycja ISO/IEC 27701 precyzyjniej definiuje wymagania w zakresie zarządzania ryzykiem związanym z przetwarzaniem danych osobowych, w tym:
- zagrożeniami wynikającymi z zastosowania sztucznej inteligencji (np. profilowanie, przetwarzanie zautomatyzowane),
- ryzykami związanymi z przetwarzaniem danych w środowiskach chmurowych,
- wymaganiami dotyczącymi międzynarodowego transferu danych.
Nowa struktura systemu PIMS wymaga opracowania spójnego programu zarządzania ryzykiem, który uwzględnia specyfikę zagrożeń dla prywatności, a nie tylko klasyczne incydenty bezpieczeństwa informacji.
Zasady przejścia z ISO 27701:2019 na ISO 27701:2025 (transition)
Zgodnie z oczekiwaniami rynkowymi i doświadczeniem z podobnych aktualizacji norm ISO, przewidywany okres przejściowy wynosi 36 miesięcy od daty publikacji, czyli do października 2028 roku.
Pełne wytyczne International Accreditation Forum (IAF) dotyczące migracji są obecnie finalizowane. Zaleca się jednak rozpoczęcie przygotowań już teraz, w szczególności:
1. Przeprowadzenie weryfikacji aktualnego systemu pod kątem zgodności z wymaganiami wersji 2025.
2. Ustalenie harmonogramu wdrożenia zmian.
3. Konsultację z jednostką certyfikującą w zakresie dostępnych terminów audytów przejściowych.
4. Dokumentowanie wszystkich zmian i dostosowań w systemie zarządzania.
Jak wspiera DEKRA?
W DEKRA na bieżąco analizujemy opublikowaną normę ISO/IEC 27701:2025 i jesteśmy gotowi wspierać Państwa organizację w procesie migracji, informując o:
- ostatecznych zasadach przejścia, które opublikuje IAF,
- terminach i trybie audytów przejściowych,
- wymaganiach adaptacyjnych do nowej wersji normy.
Jeśli Twoja organizacja przetwarza dane osobowe i chce zapewnić zgodność z nowym, samodzielnym standardem PIMS, zachęcamy do kontaktu z naszym zespołem ekspertów.