Guida pratica
Guida alla ISO/IEC 27701: Gestione della privacy
Estensione privacy della ISO 27001: registro dei trattamenti, consensi, diritti degli interessati, data breach.
A chi serve
Chi tratta dati personali su larga scala: sanità, HR, marketing, servizi cloud e chi vuole dimostrare conformità GDPR.
- Traduce il GDPR in requisiti verificabili e certificabili.
- Rafforza la posizione nei contratti come responsabile del trattamento.
- Riduce i tempi di risposta a richieste degli interessati e data breach.
In sintesi
- Registro dei trattamenti
- Gestione consensi e DSAR
- Privacy by design
Le tappe del percorso ISO/IEC 27701
- 01
Analisi iniziale
Confronto tra situazione attuale e requisiti della norma, con elenco delle lacune da colmare.
- 02
Contesto e rischi
Definizione del campo di applicazione, delle parti interessate e dei rischi/opportunità.
- 03
Costruzione del sistema
Procedure essenziali, ruoli, moduli e registrazioni proporzionati all'azienda.
- 04
Formazione
Il personale coinvolto viene formato su responsabilità e nuove modalità operative.
- 05
Audit interno e riesame
Verifica interna del sistema e riesame della direzione prima dell'audit esterno.
- 06
Audit di certificazione
L'organismo accreditato verifica il sistema e, se conforme, rilascia il certificato.
Documenti e strumenti da preparare
- Registro dei trattamenti e basi giuridiche
- Gestione consensi, informative e diritti degli interessati
- Procedura data breach con tempistiche di notifica
- Privacy by design nei nuovi progetti
Errori comuni da evitare
- Comprare un sistema documentale "standard" non adattato ai processi reali.
- Scegliere un organismo senza verificarne l'accreditamento nel registro pubblico.
- Coinvolgere solo l'ufficio qualità e non la direzione e i responsabili operativi.
- Trascurare audit interni e riesame: sono requisiti, non formalità.
Approfondisci: enti di certificazione e accreditamenti · verifica un certificato
Domande frequenti
Da dove si parte per adottare la ISO/IEC 27701?
Dall'analisi iniziale: si confronta l'organizzazione attuale con i requisiti della ISO/IEC 27701 (gestione della privacy) e si individua cosa esiste già, cosa va formalizzato e cosa va costruito.
Chi rilascia il certificato ISO/IEC 27701?
Un organismo di certificazione accreditato da un ente di accreditamento. Il consulente aiuta a costruire il sistema, ma non rilascia il certificato: le due figure devono restare indipendenti.
Come si verifica che un certificato ISO/IEC 27701 sia valido?
Consultando il registro pubblico dell'organismo di certificazione o dell'ente di accreditamento, con numero di certificato, ragione sociale e campo di applicazione.
La ISO/IEC 27701 si può integrare con altre norme?
Sì. Le norme ISO di sistema di gestione condividono la stessa struttura di alto livello, quindi documenti, audit interni e riesame della direzione possono essere gestiti in un unico sistema integrato.