Wdrożenie ISO/IEC 27701

Analiza stanu obecnego

Przeprowadzamy ocenę zgodności istniejącego systemu zarządzania prywatnością, dokumentacji i praktyk operacyjnych z wymaganiami ISO/IEC 27701:2025.

Analiza obejmuje między innymi:

• kontekst organizacji i potrzeby zainteresowanych stron,
• role administratora i podmiotu przetwarzającego,
• strukturę odpowiedzialności za prywatność,
• rejestry procesów i czynności przetwarzania,
• podstawy, cele i zakres przetwarzania,
• zarządzanie ryzykiem dla prywatności,
• realizację praw osób, których dane dotyczą,
• zarządzanie dostawcami i transferami danych,
• reagowanie na incydenty i naruszenia,
• monitorowanie, audyty i przeglądy zarządzania.

Rezultatem jest raport przedstawiający zidentyfikowane luki, ich znaczenie oraz rekomendowaną kolejność działań.

Określenie zakresu PIMS

Wspieramy organizację w ustaleniu granic i zakresu Systemu Zarządzania Informacjami o Prywatności.

Zakres obejmuje całą organizację albo wybrane usługi, procesy, jednostki, systemy lub lokalizacje. Ustalenia uwzględniają kategorie danych i osób, role organizacji, odbiorców danych, podmioty przetwarzające, przepływy transgraniczne oraz zależności od usług chmurowych i pozostałych dostawców.

Inwentaryzacja przetwarzania

Porządkujemy informacje dotyczące procesów przetwarzania i ich właścicieli, wykorzystywanych systemów, źródeł danych, odbiorców, okresów przechowywania oraz przepływów danych.

Prace obejmują również przypisanie roli administratora lub podmiotu przetwarzającego oraz powiązanie procesów z wymaganiami prawnymi, umownymi i wewnętrznymi.

Projekt systemu zarządzania

Na podstawie wyników analizy projektujemy model PIMS dostosowany do struktury organizacji, jej roli w przetwarzaniu oraz skali i charakteru operacji na danych osobowych.

Prace obejmują:

• ustanowienie polityki zarządzania prywatnością,
• określenie ról, odpowiedzialności i uprawnień,
• ustanowienie celów prywatności i mierników,
• zaprojektowanie nadzoru nad procesami przetwarzania,
• określenie zasad ochrony prywatności w projektach i zmianach,
• zaprojektowanie audytów wewnętrznych i przeglądów zarządzania,
• określenie zasad postępowania z niezgodnościami.

Ocena ryzyka dla prywatności

Opracowujemy lub dostosowujemy metodykę zarządzania ryzykiem dla prywatności, a następnie wspieramy organizację w przeprowadzeniu oceny.

Proces obejmuje:

• identyfikację scenariuszy naruszenia prywatności,
• ocenę konsekwencji dla osób, których dane dotyczą,
• ocenę prawdopodobieństwa i poziomu ryzyka,
• określenie właścicieli ryzyka,
• wybór środków ograniczających ryzyko,
• przygotowanie i monitorowanie planu postępowania.

Metodykę integrujemy z oceną ryzyka bezpieczeństwa informacji i oceną skutków dla ochrony danych, jeżeli organizacja stosuje te procesy.

Opracowanie dokumentacji

Przygotowujemy udokumentowane informacje potrzebne do ustanowienia i funkcjonowania PIMS. W zależności od uzgodnionego zakresu dokumentacja obejmuje:

• zakres i model organizacyjny PIMS,
• politykę zarządzania prywatnością,
• metodykę oraz rejestr ryzyka dla prywatności,
• rejestry dotyczące procesów przetwarzania,
• zasady ochrony danych w fazie projektowania i domyślnej ochrony,
• realizację praw osób, których dane dotyczą,
• retencję i bezpieczne usuwanie danych,
• nadzór nad podmiotami przetwarzającymi i dalszym powierzeniem,
• transfery i ujawnianie danych,
• reagowanie na incydenty oraz naruszenia ochrony danych,
• audyty, przeglądy i działania korygujące.

Jeżeli organizacja posiada już odpowiednie polityki i procedury, poddajemy je przeglądowi i dostosowujemy zamiast tworzyć równoległą dokumentację.

Wdrożenie procesów PIMS

Wspieramy właścicieli procesów w przełożeniu wymagań PIMS na działania operacyjne i dowody potwierdzające ich realizację.

Wsparcie obejmuje:

• ustanowienie właścicieli działań i terminów,
• uruchomienie procesu oceny ryzyka dla prywatności,
• włączenie prywatności do projektów i zarządzania zmianą,
• wdrożenie obsługi żądań osób, których dane dotyczą,
• wdrożenie zasad retencji i usuwania danych,
• uporządkowanie nadzoru nad dostawcami,
• wdrożenie reagowania na incydenty i naruszenia,
• uruchomienie monitorowania i raportowania,
• określenie sposobu gromadzenia dowodów.

Szkolenia i budowanie świadomości

Przygotowujemy szkolenia dla kadry zarządzającej, osób odpowiedzialnych za prywatność, właścicieli procesów, zespołów IT i bezpieczeństwa oraz pozostałych pracowników objętych PIMS.

Szkolenia obejmują role i odpowiedzialności, zasady przetwarzania danych, identyfikację ryzyka dla prywatności, ochronę danych w projektach, obsługę żądań oraz zgłaszanie incydentów i naruszeń.

Ocena gotowości do certyfikacji

Przed rozpoczęciem audytu certyfikacyjnego oceniamy, czy PIMS został prawidłowo zaprojektowany, wdrożony i udokumentowany.

Ocena obejmuje:

• przegląd zakresu i dokumentacji PIMS,
• rozmowy z właścicielami procesów,
• weryfikację rejestrów i dowodów działania systemu,
• ocenę zarządzania ryzykiem dla prywatności,
• przegląd realizacji obowiązków administratora i podmiotu przetwarzającego,
• sprawdzenie audytu wewnętrznego i przeglądu zarządzania,
• identyfikację potencjalnych niezgodności.

Rezultatem jest raport oraz lista działań do zakończenia przed audytem certyfikacyjnym.

Audyt wewnętrzny

Przeprowadzamy audyt wewnętrzny PIMS albo wspieramy funkcję audytu wewnętrznego działającą w organizacji.

Zakres audytu jest ustalany z zachowaniem wymaganej niezależności i bezstronności. Jeżeli uczestniczyliśmy bezpośrednio we wdrożeniu określonych elementów PIMS, sposób realizacji audytu uzgadniamy tak, aby nie dochodziło do oceny własnej pracy.

Wsparcie podczas audytu certyfikacyjnego

Wspieramy organizację w przygotowaniu dokumentacji i dowodów, przygotowaniu właścicieli procesów do rozmów z audytorami, analizie ustaleń audytowych oraz zaplanowaniu i realizacji działań korygujących.