ISO 27701 koki merkittävän muutoksen vuonna 2025, kun standardin uusi versio julkaistiin itsenäisenä henkilötietojen hallintajärjestelmästandardina (Privacy Information Management System, PIMS). Aiempi vuoden 2019 versio oli rakennettu ISO 27001 -tietoturvallisuuden hallintajärjestelmän laajennukseksi, mutta uusi versio mahdollistaa tietosuojan hallintajärjestelmän toteuttamisen ja sertifioinnin omana kokonaisuutenaan. Tämä tekee standardista huomattavasti saavutettavamman myös sellaisille organisaatioille, jotka eivät tarvitse tai halua sertifioida koko tietoturvan hallintajärjestelmäänsä, mutta joille henkilötietojen suoja on tärkeää omassa toiminnassa ja uskottavuudessa markkinoilla.
Tausta
Tietosuojan merkitys liiketoiminnassa kasvaa jatkuvasti. Organisaatioiden on pystyttävä osoittamaan asiakkailleen, yhteistyökumppaneilleen ja viranomaisille, että henkilötietoja käsitellään suunnitelmallisesti, lainmukaisesti ja turvallisesti. Juuri tähän tarpeeseen vastaa ISO 27701.
Uudessa vuonna 2025 julkaistussa versiossa PIMS on nostettu itsenäiseksi hallintajärjestelmäksi, jolla on oma rakenne, vaatimukset ja sertifiointipolku. Muutos heijastaa myös markkinoiden kehitystä. Organisaatiot tarvitsevat yhä enemmän nimenomaan tietosuojan johtamiseen tarkoitettuja toimintamalleja, jotka tukevat esimerkiksi GDPR:n vaatimuksia, kansainvälisiä tietovirtoja, pilvipalveluiden käyttöä ja tekoälyyn liittyvien henkilötietoriskien hallintaa. Hallintajärjestelmä parantaa myös tietoturvan tasoa, sillä sen yhteydessä toteutetaan myös tietoturvaohjelmaa – tosin kevyempänä kuin varsinaisessa tietoturvan hallintajärjestelmässä.
Kenelle?
ISO 27701 soveltuu käytännössä kaikille organisaatioille, jotka käsittelevät henkilötietoja. Erityisen hyödyllinen se on organisaatioille, jotka käsittelevät paljon henkilötietoja, arkaluontoisia tietoja tai jotka tuottavat palveluita asiakkailleen, joiden keskiössä on henkilötietojen käsittely. Esimerkkejä:
Standardi soveltuu sekä rekisterinpitäjille että henkilötietojen käsittelijöille. Sen avulla organisaatio voi rakentaa systemaattisen toimintamallin henkilötietojen suojaamiseksi riippumatta siitä, onko se pieni asiantuntijaorganisaatio vai kansainvälinen konserni.
Mten käyttöönotto tapahtuu?
Käyttöönotto noudattaa samaa hallintajärjestelmäajattelua kuin muutkin modernit ISO-standardit, vaikkapa perinteinen ISO 9001 laatujärjestelmä. Organisaatio määrittelee hallintajärjestelmän soveltamisalan sekä tunnistaa henkilötietojen käsittelyyn liittyvät sidosryhmät, vaatimukset, riskit ja mahdollisuudet. Tämän jälkeen laaditaan tietosuojapolitiikka, määritellään vastuut sekä asetetaan tietosuojatavoitteet.
Seuraavaksi rakennetaan tarvittavat prosessit henkilötietojen käsittelyn hallintaan. Tähän kuuluvat esimerkiksi:
Kun toimintamalli on otettu käyttöön, organisaatio seuraa sen toimivuutta mittareiden, sisäisten auditointien ja johdon katselmointien avulla. Viimeisessä vaiheessa haetaan ulkopuolista sertifiointia akkreditoidulta sertifiointielimeltä.
Mitä hyötyjä käyttöönotosta saadaan?
ISO 27701 tuo tietosuojaan samanlaista järjestelmällisyyttä kuin ISO 9001 laatuun tai ISO 27001 tietoturvaan. Organisaatio saa selkeät vastuut, dokumentoidut toimintamallit ja todennettavan menettelyn riskien hallintaan.
Käytännössä tämä tarkoittaa:
Tietosuoja muuttuu yksittäisistä projekteista osaksi organisaation normaalia johtamisjärjestelmää.
Yhä useammat asiakkaat arvioivat toimittajiensa tietosuoja- ja tietoturvakyvykkyyttä ennen yhteistyön aloittamista. ISO 27701 -sertifikaatti tarjoaa riippumattoman osoituksen siitä, että organisaation henkilötietojen käsittely täyttää kansainvälisesti tunnustetun standardin vaatimukset.
Tämä voi tuoda merkittäviä kilpailuetuja:
Monilla toimialoilla tietosuojasta on tullut kilpailutekijä. Kun asiakkaat voivat valita usean palveluntarjoajan väliltä, sertifioitu tietosuojan hallintajärjestelmä voi olla ratkaiseva tekijä luottamuksen rakentamisessa. Tämä on näkynyt myös Opsecin asiakkailla lisääntyneenä kiinnostuksena malliin ja tällä hetkellä valmistautumista tehdäänkin jo muutamilla asiakkailla.
Teksti: Jari Ala-Varvi, tietosuojavastaava