ISO/IEC 27701.

Un'estensione, non una norma autonoma

ISO/IEC 27701 non si regge da sola. È concepita come un'estensione di ISO/IEC 27001 e ISO/IEC 27002, il che significa che non è possibile certificarsi rispetto a essa senza disporre prima di un sistema di gestione della sicurezza delle informazioni (SGSI) operativo. La norma prende i controlli di sicurezza che già gestite e vi sovrappone requisiti e linee guida specifici per la privacy, trasformando il SGSI in un Sistema di Gestione delle Informazioni sulla Privacy (PIMS). Per un'organizzazione che già opera ISO 27001, si tratta di una mossa efficiente: riutilizzate lo stesso governo, la stessa metodologia di rischio, lo stesso ciclo di audit, ed estendete il perimetro per coprire il trattamento dei dati personali identificativi (PII).

Questa scelta architetturale è il punto centrale. Anziché gestire la privacy come un programma separato con i propri comitati e le proprie evidenze, ISO 27701 vi consente di certificare un unico sistema di gestione che copre sia la sicurezza sia la privacy. La Dichiarazione di Applicabilità viene ampliata, la valutazione del rischio considera ora il rischio per la privacy delle persone e non solo il rischio per l'organizzazione, e lo stesso organismo di certificazione verifica il tutto in un unico incarico.

Obblighi del titolare e del responsabile del trattamento

ISO 27701 ripartisce i suoi requisiti aggiuntivi lungo la stessa linea tracciata dalla normativa sulla protezione dei dati: tra l'organizzazione che agisce come titolare del trattamento (decidendo perché e come i PII vengono trattati) e l'organizzazione che agisce come responsabile del trattamento (trattando PII per conto di altri). Molte organizzazioni sono entrambe contemporaneamente, a seconda del set di dati, perciò la norma vi fornisce due insiemi di linee guida e vi chiede di applicare quello che si adatta a ciascuna attività di trattamento.

• I temi dal lato del titolare del trattamento includono la base giuridica e la finalità, il consenso e la scelta, la trasparenza verso le persone, la gestione delle richieste degli interessati, i registri dei trattamenti, e gli obblighi quando condividete PII con terze parti.
• I temi dal lato del responsabile del trattamento includono l'agire solo su istruzioni documentate, l'assistere il titolare nei suoi obblighi, la gestione dei sub-responsabili, e la restituzione o cancellazione dei PII al termine di un contratto.

In pratica è ciò che un team privacy già fa nell'ambito dei regimi moderni di protezione dei dati, ma ISO 27701 lo organizza in controlli verificabili con evidenze documentate, che è esattamente ciò che trasforma una postura privacy in qualcosa che una terza parte può verificare.

Dove si colloca accanto al GDPR

L'errata interpretazione più comune è che la certificazione ISO 27701 vi renda conformi al GDPR. Non è così, e la norma sta attenta a non affermarlo. Il GDPR è legge e ISO 27701 è una norma di sistema di gestione volontaria. Ciò che 27701 vi offre è un quadro strutturato e certificabile i cui controlli si allineano strettamente ai principi di protezione dei dati, dunque costituisce una prova solida di responsabilizzazione (accountability) e una buona struttura portante operativa. Ma la conformità a uno specifico regime giuridico richiede comunque la vostra analisi legale, i vostri registri, e la vostra gestione dimostrabile dei diritti individuali ai sensi di tale legge.

Il modo pulito di gestirla consiste nell'ancorare la privacy allo stesso SGSI che usate per la sicurezza, certificare il sistema combinato a ISO 27001 più ISO 27701, e mantenere il vostro responsabile della protezione dei dati e il team legale titolari della legge stessa. La norma gestisce la disciplina operativa; loro gestiscono l'interpretazione.