Az ISO/IEC 27701 az adatvédelmi irányítási rendszerek egyik meghatározó nemzetközi szabványa, amely a személyes adatok kezelésével kapcsolatos szervezeti felelősségek, kockázatok és kontrollok rendszerszintű kezelését támogatja. A szabvány első kiadása 2019-ben jelent meg, az ISO/IEC 27001 információbiztonsági irányítási rendszerre és az ISO/IEC 27002 információbiztonsági kontrollokra épülő kiterjesztéseként. A 2025 októberében publikált második kiadás azonban alapvető szemléletváltást hozott: az ISO/IEC 27701 önálló irányítási rendszerszabvánnyá vált, saját követelményrendszerrel és önálló tanúsítási lehetőséggel.
A változás nem pusztán szerkezeti átdolgozást jelent. Az új kiadás az adatvédelmi irányítás teljes folyamatát egységes keretbe foglalja, a szervezeti környezet meghatározásától és a vezetői felelősségtől kezdve a kockázatkezelésen és a működés szabályozásán át a teljesítményértékelésig és a folyamatos fejlesztésig.
Az ISO/IEC 27701:2025 legfontosabb újdonsága: önálló irányítási rendszerszabvány
A 2019-es kiadás az ISO/IEC 27701-et az ISO/IEC 27001 és az ISO/IEC 27002 kiterjesztéseként határozta meg. Ennek megfelelően az adatvédelmi irányítási rendszer követelményei az információbiztonsági irányítási rendszer keretrendszeréhez kapcsolódtak. A szervezeteknek a szabvány alkalmazásakor az ISO/IEC 27001 követelményeit is figyelembe kellett venniük, ami a gyakorlatban szoros kapcsolatot teremtett az adatvédelem és az információbiztonság irányítása között.
Az ISO/IEC 27701:2025 ezt a függőséget megszünteti. Az új kiadás önálló irányítási rendszerszabványként határozza meg az adatvédelmi információkezelési rendszer, vagyis a Privacy Information Management System (PIMS) követelményeit.
Ennek egyik legfontosabb gyakorlati következménye, hogy az ISO/IEC 27701:2025 szerinti tanúsításnak már nem előfeltétele az ISO/IEC 27001 szerinti tanúsítvány megléte. A szervezetek az adatvédelmi irányítási rendszerüket önállóan is kialakíthatják, működtethetik és tanúsíttathatják, amennyiben teljesítik a szabvány alkalmazandó követelményeit, és megfelelnek a tanúsítás vonatkozó feltételeinek.
Ez különösen azoknak a szervezeteknek jelenthet előnyt, amelyek jelentős mennyiségű személyes adatot kezelnek, de nem kívánnak teljes információbiztonsági irányítási rendszert bevezetni. Ilyenek lehetnek például a személyesadat-feldolgozást végző szolgáltatók, a kiszervezett üzleti folyamatokat támogató vállalkozások, valamint az adatkezelési tevékenységük miatt fokozott ügyfél- és partnerelvárásoknak kitett szervezetek.
Fontos ugyanakkor, hogy az önálló alkalmazhatóság nem jelenti az információbiztonsági követelmények háttérbe szorulását. A személyes adatok bizalmasságának, sértetlenségének és rendelkezésre állásának védelme továbbra is az adatvédelmi kockázatok kezelésének lényeges része.
A követelményrendszer átalakulása és a harmonizált struktúra
A 2025-ös kiadás a 4-10. fejezetekben az ISO irányítási rendszerszabványaira jellemző harmonizált struktúrát követi. Ez a felépítés megkönnyíti a különböző irányítási rendszerek közötti összehangolást, és egységes logika mentén teszi kezelhetővé az adatvédelmi irányítás követelményeit.
A 2019-es kiadásban az önálló adatvédelmi irányítási követelmények elsősorban az 5. fejezetben jelentek meg, míg a további fejezetek az információbiztonsági irányítási rendszerhez kapcsolódó követelményeket és a kapcsolódó adatvédelmi útmutatásokat egészítették ki. A 2025-ös kiadás ezzel szemben önálló követelményeket fogalmaz meg a szervezeti környezetre, a vezetésre, a tervezésre, a támogatásra, a működésre, a teljesítményértékelésre és a fejlesztésre vonatkozóan.
A szabvány fő követelményterületei a következők:
4. fejezet – A szervezet környezete: A szervezetnek meg kell határoznia azokat a belső és külső tényezőket, amelyek hatással vannak az adatvédelmi irányítási rendszer céljaira és eredményességére. Ide tartozik az érintett felek követelményeinek, a releváns jogi és szabályozási kötelezettségeknek, valamint a PIMS alkalmazási területének meghatározása is.
5. fejezet – Vezetés: A vezetőség felelőssége az adatvédelmi irányítás stratégiai szintű támogatása, az adatvédelmi politika kialakítása, valamint a szerepkörök és felelősségek meghatározása. Az adatvédelem így nem kizárólag informatikai vagy jogi feladatként jelenik meg, hanem a szervezeti irányítás szerves részeként.
6. fejezet – Tervezés: A szervezetnek azonosítania és értékelnie kell az adatvédelmi kockázatokat, meg kell határoznia azok kezelésének módját, valamint terveznie kell az adatvédelmi célok eléréséhez szükséges intézkedéseket. A tervezés során a szervezeti környezetet, az adatkezelési folyamatokat és az alkalmazandó követelményeket egyaránt figyelembe kell venni.
7. fejezet – Támogatás: A követelmények a szükséges erőforrásokra, kompetenciákra, tudatosságra, kommunikációra és dokumentált információkra terjednek ki. A megfelelő működéshez nem elegendő a szabályzatok megléte: biztosítani kell a feladatok ellátásához szükséges szervezeti és személyi feltételeket is.
8. fejezet – Működés: A szervezetnek meg kell terveznie, végre kell hajtania és szabályoznia kell az adatvédelmi célok eléréséhez szükséges működési folyamatokat. E terület szorosan kapcsolódik a személyes adatok életciklusához, az adatkezelési tevékenységekhez és a meghatározott kontrollok alkalmazásához.
9. fejezet – Teljesítményértékelés: Az adatvédelmi irányítási rendszer eredményességét megfelelő monitoring-, mérési, elemzési és értékelési módszerekkel kell vizsgálni. A belső audit és a vezetőségi átvizsgálás az irányítási rendszer működésének értékelését szolgálja.
10. fejezet – Fejlesztés: A szervezetnek kezelnie kell a nemmegfelelőségeket, végre kell hajtania a szükséges helyesbítő intézkedéseket, és folyamatosan fejlesztenie kell az adatvédelmi irányítási rendszer alkalmasságát, megfelelőségét és eredményességét.
A harmonizált struktúra jelentős előnye, hogy az adatvédelmi irányítási rendszer kialakítása és auditálása hasonló logika mentén végezhető, mint más irányítási rendszereké. Ez különösen előnyös azoknak a szervezeteknek, amelyek már ISO 9001, ISO 14001 vagy ISO/IEC 27001 szerinti rendszert működtetnek.
Az adatvédelmi kockázatkezelés szerepe
Az új kiadásban az adatvédelmi kockázatok azonosítása, értékelése és kezelése az irányítási rendszer tervezésének központi eleme. A szervezetnek nem elegendő általános adatvédelmi szabályzatokat kialakítania: az intézkedéseket a tényleges adatkezelési tevékenységekhez, a releváns kockázatokhoz és az alkalmazandó követelményekhez kell igazítania.
A kockázatkezelés során figyelembe kell venni a személyes adatok kezeléséből eredő, az érintettek magánszféráját és jogait veszélyeztető kockázatokat, valamint az ezekhez kapcsolódó információbiztonsági kockázatokat is. A két terület összefügg, de nem azonos: egy információbiztonsági intézkedés megfelelő működése önmagában nem garantálja, hogy az adatkezelés minden adatvédelmi követelménynek megfelel.
A szabvány szerinti megközelítés ezért megköveteli, hogy a szervezet a kockázatértékelés eredményei alapján tervezze meg a szükséges intézkedéseket, dokumentálja a döntéseit, és ellenőrizze a meghatározott kontrollok alkalmazását.
Az ISO/IEC 27701 szerinti irányítási rendszer ugyanakkor nem helyettesíti a konkrét adatkezelési műveletekhez szükséges jogi értékeléseket. A GDPR szerinti adatvédelmi hatásvizsgálat, a jogalap meghatározása, az érintetti jogok biztosítása és az adatvédelmi incidensek kezelése továbbra is a vonatkozó jogi követelmények szerint végzendő feladat.
Az A. és B. melléklet átalakítása
A 2025-ös kiadás egyik lényeges változása a kontrollok és az alkalmazásukra vonatkozó útmutatások szerkezeti átrendezése.
A 2019-es kiadás az adatvédelmi kontrollokat többek között a 6-8. fejezetekben mutatta be, az ISO/IEC 27002 kontrollrendszeréhez kapcsolódóan. A 2025-ös kiadás ezzel szemben az A. mellékletben rendszerezi az adatvédelmi irányítási rendszerhez kapcsolódó kontrollokat, míg a B. melléklet a kontrollok megvalósításához nyújt útmutatást.
A kontrollrendszer elkülöníti a személyes adatok kezelőire, a személyes adatok feldolgozóira, valamint a mindkét szerepkör szempontjából releváns kontrollokra vonatkozó elemeket. Ez támogatja a szervezet tényleges adatkezelési szerepéhez igazodó követelmények azonosítását.
A kontrollok kiválasztásakor továbbra is lényeges a kockázatalapú megközelítés. A szervezetnek meg kell határoznia, mely kontrollok szükségesek az azonosított kockázatok kezeléséhez, és dokumentálnia kell a kontrollok alkalmazásával kapcsolatos döntéseit. A B. melléklet útmutatása segíti a kiválasztott kontrollok értelmezését és bevezetését.
A mellékletek átalakítása tehát nem egyszerű átszámozás. A kontrollok és a kapcsolódó útmutatások új elrendezése az önálló irányítási rendszerszabvány felépítéséhez igazodik, és a követelmények gyakorlati alkalmazását hivatott támogatni.
Kapcsolat a GDPR-ral és más szabványokkal
Az ISO/IEC 27701:2025 alkalmazása a GDPR szerinti megfelelés támogatásának egyik lehetséges eszköze. A szabvány rendszerszintű keretet ad az adatvédelmi felelősségek, a kockázatkezelés, a dokumentáció és a kontrollok szervezeti kezeléséhez.
Fontos azonban hangsúlyozni, hogy a szabvány szerinti megfelelőség és a GDPR-nak való jogi megfelelés nem tekinthető automatikusan azonosnak. A tanúsítvány önmagában nem bizonyítja, hogy a szervezet valamennyi adatkezelési művelete jogszerű, és nem helyettesíti az alkalmazandó jogszabályok konkrét követelményeinek vizsgálatát.
A szabvány ugyanakkor jól illeszthető más irányítási rendszerekhez. A harmonizált struktúra lehetővé teszi a közös folyamatok, például a dokumentált információk kezelése, a belső audit, a vezetőségi átvizsgálás, a kompetenciafejlesztés és a folyamatos fejlesztés összehangolását.
Az ISO/IEC 27001 szerinti információbiztonsági irányítási rendszerrel való integráció továbbra is célszerű lehet, különösen azoknál a szervezeteknél, ahol a személyes adatok védelme szorosan összekapcsolódik az információbiztonsági kockázatokkal. Az új kiadás azonban ezt az integrációt már nem előfeltételként, hanem választható szervezeti megoldásként kezeli.
Átállás az ISO/IEC 27701:2019-ről a 2025-ös kiadásra
A 2019-es kiadás szerint működő vagy tanúsított szervezetek számára az átállás során első lépésként a meglévő rendszer és az új követelményrendszer közötti eltéréseket kell azonosítani.
A változások miatt nem elegendő kizárólag a dokumentáció formai felülvizsgálata. Az önálló irányítási rendszerszerkezet megköveteli annak vizsgálatát is, hogy a szervezet megfelelően kezeli-e az adatvédelmi irányítás valamennyi releváns területét, beleértve a szervezeti környezetet, a vezetői felelősséget, a tervezést, a teljesítményértékelést és a fejlesztést.
Az átállás során célszerű különösen az alábbi feladatokra koncentrálni:
- Követelményelemzés: A 2019-es és a 2025-ös kiadás összevetése, az új vagy átalakított követelmények azonosítása.
- Alkalmazási terület felülvizsgálata: Annak ellenőrzése, hogy a PIMS hatóköre megfelelően lefedi-e a szervezet adatkezelési tevékenységeit, folyamatait és felelősségeit.
- Kockázatkezelés felülvizsgálata: Az adatvédelmi és információbiztonsági kockázatok értékelési módszereinek, valamint a kockázatkezelési intézkedéseknek az összehangolása.
- Kontrollok megfeleltetése: A korábban alkalmazott kontrollok és dokumentált eljárások összevetése az új mellékletek felépítésével és tartalmával.
- Dokumentáció és felelősségek aktualizálása: Az adatvédelmi politika, a kapcsolódó eljárások, a felelősségi körök és a szükséges nyilvántartások felülvizsgálata.
- Audit és vezetőségi átvizsgálás: Az új követelmények teljesülésének ellenőrzése, a feltárt eltérések kezelése és a szükséges intézkedések megtervezése.
- Tanúsítási átállás megtervezése: A tanúsító szervezettel egyeztetni kell az alkalmazandó átállási szabályokról, határidőkről és az esetlegesen szükséges kiegészítő audittevékenységekről.
Az átállás pontos ütemezését nem célszerű kizárólag a szabvány megjelenési dátuma alapján meghatározni. A tanúsítási és akkreditációs szabályok, valamint az adott tanúsító szervezet eljárásai szintén meghatározóak. A konkrét átállási határidőket ezért az illetékes tanúsító szervezet aktuális tájékoztatása alapján kell ellenőrizni.
Összegzés
Az ISO/IEC 27701:2025 megjelenése az adatvédelmi irányítás fejlődésének jelentős állomása. A szabvány önálló irányítási rendszerré alakítása megszünteti az ISO/IEC 27001 szerinti tanúsítástól való korábbi függőséget, miközben az adatvédelmi kockázatok kezelését, a vezetői felelősséget és a folyamatos fejlesztést egységes követelményrendszerbe foglalja.
A változás a szervezetek számára nagyobb rugalmasságot biztosít az adatvédelmi irányítás kialakításában, ugyanakkor az új struktúra és a követelmények teljes körű alkalmazása megfelelő tervezést igényel. A 2019-es kiadásról történő átállás során ezért nemcsak a dokumentációt, hanem a teljes irányítási rendszer működését és eredményességét is felül kell vizsgálni.
Azoknak a szervezeteknek, amelyek adatvédelmi folyamataikat átláthatóbbá, kockázatalapúbbá és auditálhatóbbá kívánják tenni, az új kiadás lehetőséget teremt egy önálló, ugyanakkor más irányítási rendszerekkel is integrálható adatvédelmi irányítási rendszer kialakítására.