ISO/IEC 27701:2025 – Nowa era zarządzania prywatnością i danymi osobowymi
14 października 2025 r., w Międzynarodowy Dzień Normalizacji, Międzynarodowa Organizacja Normalizacyjna (ISO) opublikowała nową wersję normy ISO/IEC 27701:2025 - międzynarodowego standardu dotyczącego zarządzania prywatnością i ochroną danych osobowych.
Nowa edycja zastępuje wersję z 2019 roku, wprowadzając zmiany, które czynią ją bardziej elastyczną, przejrzystą i dostosowaną do współczesnych realiów ochrony danych.
PIMS (Privacy Information Management System) jako system samodzielny
Jedną z najważniejszych zmian jest możliwość wdrożenia systemu zarządzania prywatnością (PIMS) jako samodzielnego systemu bez konieczności posiadania certyfikacji ISO/IEC 27001.
Dotychczas norma ISO 27701:2019 była rozszerzeniem systemu bezpieczeństwa informacji, co wymagało wcześniejszego wdrożenia ISMS.
Nowa edycja daje organizacjom większą swobodę mogą one budować system zarządzania prywatnością niezależnie, a jednocześnie w pełni go integrować z już istniejącymi standardami, takimi jak ISO/IEC 27001, ISO 9001 czy ISO/IEC 42001.
Zmiany w strukturze i załącznikach
W ISO/IEC 27701:2025 uproszczono strukturę normy, aby była spójna z aktualnym układem ISO/IEC 27001:2022.
Nowa wersja konsoliduje wcześniejsze załączniki - Annex A (dla administratorów danych) i Annex B (dla procesorów danych) w jedną, trójdzielną strukturę:
- A.1 - wymagania dla administratorów danych (PII Controllers),
- A.2 - wymagania dla procesorów danych (PII Processors),
- A.3 - wspólne wymagania dotyczące bezpieczeństwa informacji, dopasowane do zaktualizowanego załącznika ISO 27001:2022 Annex A.
Dodatkowo wprowadzono Annex B jako zestaw praktycznych wskazówek wdrożeniowych, który pomaga organizacjom zastosować wymagania normy w zależności od ich roli i kontekstu działalności.
Co to oznacza w praktyce
Dla organizacji posiadających już certyfikat ISO/IEC 27701:2019, i przeszły już na wymagania normy ISO/IEC 27001:2022 przejście na wersję 2025 będzie stosunkowo proste.
Zmiany mają charakter porządkujący i integracyjny, nie wprowadzają nowych wymagań, a raczej ułatwiają dostosowanie systemu do aktualnych struktur ISO 27001:2022 i ISO 27002:2022.
W praktyce wystarczy aktualizacja dokumentacji, analiza luk oraz krótkie szkolenie dla zespołów odpowiedzialnych za ochronę danych.
Z kolei dla organizacji, które dopiero planują wdrożenie, nowa norma to znaczne ułatwienie startu mogą one zbudować PIMS niezależnie od ISO/IEC 27001, co obniża próg wejścia i przyspiesza certyfikację w obszarze prywatności.
Znaczenie dla rynku
Publikacja ISO/IEC 27701:2025 potwierdza rosnącą rolę zarządzania prywatnością jako strategicznego elementu bezpieczeństwa informacji.
Nowa wersja normy łączy w sobie dojrzałość standardu bezpieczeństwa z elastycznością podejścia do danych osobowych, co pozwala organizacjom lepiej reagować na zmieniające się przepisy i oczekiwania klientów.
Na stronach certiget.pl i certiget.eu dostępny jest katalog jednostek certyfikujących systemy zarządzania z całego świata, w tym z Polski - z możliwością porównania ofert i wyszukiwania według normy ISO/IEC 27701.
