Український бізнес, що працює з європейськими клієнтами, рано чи пізно отримує договір обробки даних і анкету на десяток сторінок. Питання однакові: як ви захищаєте персональні дані, хто має до них доступ, як виконуєте права людей. Відповіді на рівні «у нас усе безпечно» вже не працюють.
Що таке ISO/IEC 27701
Це міжнародний стандарт системи управління приватністю. У редакції 2025 року він став самостійним: його можна впроваджувати і сертифікувати окремо, хоча поєднання з ISO/IEC 27001 лишається найпоширенішим. Стандарт містить окремі вимоги для контролерів і для обробників даних.
Що він дає бізнесу
- Готову структуру для виконання вимог GDPR: реєстр обробки, оцінка впливу, робота із запитами людей.
- Зрозумілі відповіді в анкетах клієнтів і на перевірках.
- Аргумент у тендерах, де оцінюють зрілість захисту даних.
- Меншу залежність від окремих людей: процеси описані і повторювані.
Чого стандарт не робить
Сертифікат ISO/IEC 27701 не є сертифікацією за статтею 42 GDPR і не звільняє від відповідальності. Але він показує, що компанія системно керує ризиками для приватності, і це враховують і клієнти, і наглядові органи.
З чого почати
Контролер чи обробник
Від ролі залежать вимоги. Якщо компанія сама визначає, навіщо і як обробляються дані, вона контролер і відповідає перед людьми напряму. Якщо обробляє дані за дорученням клієнта, вона обробник і має виконувати інструкції клієнта, допомагати йому з запитами людей і повідомляти про витоки. Більшість сервісних компаній одночасно контролер для своїх працівників і обробник для клієнтів.
Що просять показати на перевірці
Реєстр операцій з обробки, оцінки впливу для ризикових процесів, договори з субпідрядниками, журнал запитів від людей і записи навчання працівників.
Скільки це займає
Залежить від того, що вже є. Компанія з налагодженою системою ISO/IEC 27001 зазвичай додає вимоги приватності швидше, бо ризик-менеджмент, політики і внутрішній аудит уже працюють. Без такої основи спочатку будують базову систему управління.
Для невеликого бізнесу корисно почати з простої таблиці: які персональні дані збираємо, навіщо, де зберігаємо, кому передаємо і скільки тримаємо. Ця таблиця стає основою реєстру обробки і першим документом, який просить аудитор.
Скласти перелік процесів, де обробляються персональні дані, визначити свою роль у кожному (контролер чи обробник) і перевірити договори з постачальниками. Далі оцінка ризиків, політики і навчання. Етапи і вимоги детально описано на сторінці сертифікація ISO/IEC 27701.
