Normity en ISO 27701

ISO 27701 is de internationale norm voor Privacy Information Management Systems (PIMS). De norm breidt ISO 27001 en ISO 27002 uit met privacy-specifieke eisen en maatregelen, gericht op de verwerking van persoonsgegevens. Organisaties die al ISO 27001-gecertificeerd zijn, kunnen ISO 27701 als uitbreidingscertificering halen.

ISO 27701 is bedoeld voor organisaties die persoonsgegevens verwerken als verwerkingsverantwoordelijke of verwerker — in de praktijk vrijwel iedereen. De norm is vooral waardevol voor cloud-, SaaS- en HR-dienstverleners die aantoonbaar AVG-compliant willen zijn richting opdrachtgevers, en voor organisaties met veel grensoverschrijdende gegevensverwerking.

De AVG is Europese wetgeving met juridische verplichtingen. ISO 27701 is een vrijwillige norm die praktische maatregelen biedt om aan die verplichtingen te voldoen. Een ISO 27701-certificaat bewijst niet automatisch volledige AVG-naleving, maar laat wel zien dat privacy structureel is geborgd in een managementsysteem.

Nee — ISO 27701 is een uitbreiding op ISO 27001. Je moet eerst ISO 27001-gecertificeerd zijn (of gelijktijdig certificeren) voordat je ISO 27701 kunt halen. De twee normen worden vrijwel altijd in één audit-traject door dezelfde geaccrediteerde instelling gecombineerd.

In ISO 27701 zijn PII Controllers (verwerkingsverantwoordelijken) en PII Processors (verwerkers) twee verschillende rollen met elk eigen eisen. De norm kent een basisdeel plus twee aanvullende bijlagen: één voor controllers en één voor processors. Welke bijlage van toepassing is, hangt af van de rol die jouw organisatie speelt.

ISO 27701 vereist onder meer: een DPIA-proces, rechten voor betrokkenen (inzage, verwijdering), transparante verwerkingsdoelen, actuele verwerkingsregisters, privacy by design, meldprocedures voor datalekken en sluitende contracten met sub-verwerkers. Allemaal zaken die ook direct uit de AVG volgen, maar in ISO 27701 systematisch zijn uitgewerkt.

Voor organisaties die al ISO 27001-gecertificeerd zijn, kost de uitbreiding naar ISO 27701 doorgaans drie tot zes maanden extra. Organisaties die beide tegelijk willen halen, kunnen rekenen op een totaal traject van twaalf tot achttien maanden. Het privacymanagementsysteem wordt getoetst in dezelfde audit als het ISMS.

Nee. De AVG voorziet in officiële EU-certificeringsmechanismen (artikel 42), maar die zijn nog niet breed uitgerold. ISO 27701 is internationaal en breed beschikbaar, maar juridisch geen AVG-certificering. Wel geldt ISO 27701 als de sterkste internationaal erkende standaard voor privacy management.