Veel organisaties hebben privacy op papier geregeld. Er is een privacyverklaring. Er is een verwerkingsregister. Er liggen verwerkersovereenkomsten in een map. Misschien is er ook een datalekprocedure en weet iemand waar de belangrijkste AVG-documenten staan.
Dat klinkt georganiseerd.
Toch ontstaat er vaak spanning zodra privacy niet meer alleen een juridisch onderwerp is, maar onderdeel wordt van de dagelijkse bedrijfsvoering. Een klant vraagt hoe privacy aantoonbaar wordt beheerst. Een datalek moet snel worden beoordeeld. Een nieuwe softwareleverancier verwerkt persoonsgegevens. Of een nieuwe verwerking roept de vraag op of een DPIA nodig is.
Op dat moment merk je dat losse documenten niet altijd genoeg zijn.
Deze blog legt uit wanneer privacy meer wordt dan een set AVG-documenten, wat ISO 27701 daarin betekent en hoe je pragmatisch kunt starten met privacybeheer zonder onnodige bureaucratie.
Wat is ISO 27701?
ISO/IEC 27701 is een internationale norm voor privacy-informatiebeheer. De norm helpt organisaties bij het opzetten, implementeren, onderhouden en verbeteren van een Privacy Information Management System, vaak afgekort als PIMS.
In gewone taal: ISO 27701 helpt je om privacy niet alleen juridisch, maar ook organisatorisch te beheersen.
Waar de AVG verplichtingen stelt rond het verwerken van persoonsgegevens, helpt ISO 27701 om privacy structureel te organiseren. Denk aan rollen, verantwoordelijkheden, verwerkingen, privacyrisico’s, leveranciers, datalekken, rechten van betrokkenen, maatregelen en continue verbetering.
De norm is relevant voor organisaties die persoonsgegevens verwerken. Dat kan zijn als verwerkingsverantwoordelijke, bijvoorbeeld wanneer je zelf bepaalt waarom en hoe persoonsgegevens worden verwerkt. Het kan ook zijn als verwerker, wanneer je namens een klant persoonsgegevens verwerkt.
Belangrijk is dat ISO 27701 niet alleen gaat over beleid. Het gaat vooral over samenhang. Wie doet wat? Waar liggen risico’s? Hoe wordt opgevolgd wat is afgesproken? En hoe toon je later aan dat privacy niet alleen op papier bestaat?
Wat is het verschil tussen AVG en ISO 27701?
Het verschil tussen de AVG en ISO 27701 is eenvoudig, maar belangrijk.
De AVG is de wet. Die bepaalt welke verplichtingen je hebt wanneer je persoonsgegevens verwerkt. Denk aan rechtmatige grondslagen, transparantie, beveiliging, rechten van betrokkenen, verwerkersafspraken, datalekken en in bepaalde gevallen een DPIA.
ISO 27701 is geen wet. Het is een managementsysteemnorm. De norm helpt om privacyprocessen structureel in te richten, te beheren, te controleren en te verbeteren.
De kern is deze:
De AVG zegt wat je moet naleven. ISO 27701 helpt je organiseren hoe je dat aantoonbaar doet.
Dat betekent ook dat ISO 27701 de AVG niet vervangt. Een organisatie kan niet zeggen: wij hebben ISO 27701, dus wij voldoen automatisch aan de AVG. De AVG blijft leidend.
Wat ISO 27701 wel kan doen, is helpen om AVG-verplichtingen beheersbaar te maken. Niet als losse juridische checklist, maar als onderdeel van een werkend managementsysteem.
Waarom losse AVG-documenten vaak niet genoeg zijn
Veel organisaties starten logisch en praktisch. Eerst wordt een privacyverklaring opgesteld. Daarna volgt een verwerkingsregister. Vervolgens komen er verwerkersovereenkomsten, een datalekprocedure en misschien een template voor rechtenverzoeken.
Dat is een prima begin. Het probleem ontstaat wanneer die onderdelen los van elkaar blijven bestaan.
Een verwerkingsregister wordt bijvoorbeeld één keer gemaakt, maar daarna nauwelijks bijgewerkt. Verwerkersovereenkomsten staan ergens opgeslagen, maar niemand beoordeelt periodiek of de afspraken nog actueel zijn. Datalekken worden via e-mail afgehandeld, maar niet structureel geëvalueerd. Privacyvragen blijven liggen bij één medewerker, omdat die toevallig het meeste weet.
Dan is privacy op papier geregeld, maar niet bestuurbaar.
Dat is een belangrijk verschil. Documentatie laat zien dat je ergens over hebt nagedacht. Een managementsysteem laat zien dat je het onderwerp blijft beheersen.
Een verwerkingsregister laat bijvoorbeeld zien welke verwerkingen er zijn. Maar als niemand weet wanneer een verwerking opnieuw beoordeeld moet worden, wie eigenaar is van de verwerking en welke risico’s erbij horen, blijft het register vooral een momentopname.
Privacydocumentatie is nuttig, maar documentatie zonder opvolging geeft schijnzekerheid.
Wanneer wordt privacy een managementsysteem?
Privacy wordt een managementsysteem zodra het niet meer genoeg is om alleen te weten welke documenten er zijn. Het wordt een managementvraagstuk wanneer privacy terugkomt in keuzes, risico’s, klantvragen, leveranciers, incidenten en audits.
Dat gebeurt vaak geleidelijk. Niet door één grote verandering, maar door een reeks signalen.
Het eerste signaal is dat privacy meerdere processen raakt. Zolang privacy alleen gaat over één contactformulier op de website, blijft het overzichtelijk. Maar zodra persoonsgegevens voorkomen in HR, sales, support, finance, klantportalen, marketingtools en leveranciersprocessen, ontstaat behoefte aan samenhang. Dan is privacy niet meer één document of één taak. Het raakt meerdere teams, systemen en verantwoordelijkheden.
De vraag wordt dan niet alleen of iets is vastgelegd. De vraag wordt of duidelijk is wie waarvoor verantwoordelijk is, welke risico’s erbij horen en wanneer opnieuw beoordeeld moet worden of de inrichting nog klopt.
Een tweede signaal is afhankelijkheid van meerdere verwerkers. Veel organisaties werken met softwareleveranciers, cloudpartijen, salarisverwerkers, marketingtools en externe dienstverleners. Die partijen verwerken soms persoonsgegevens namens jouw organisatie.
Een verwerkersovereenkomst is dan noodzakelijk, maar geen eindpunt. Je wilt ook weten welke leveranciers kritisch zijn, welke gegevens zij verwerken, welke afspraken zijn gemaakt en of die afspraken nog passen bij de praktijk.
Een derde signaal is dat datalekken aantoonbaar beoordeeld moeten worden. Een datalek is geen puur administratief incident. Het vraagt om beoordeling, vastlegging en opvolging.
Wat is er gebeurd? Welke persoonsgegevens zijn geraakt? Wat is de impact voor betrokkenen? Moet het datalek gemeld worden bij de Autoriteit Persoonsgegevens? Moeten betrokkenen worden geïnformeerd? Welke maatregel voorkomt herhaling?
Als die vragen steeds opnieuw ad hoc worden beantwoord, is privacy kwetsbaar georganiseerd. Niet omdat elk datalek groot is, maar omdat elke beoordeling uitlegbaar moet zijn.
Daarom is een datalekregister meer dan een lijst. Het is onderdeel van privacybeheer. Het laat zien wat er is gebeurd, welke afweging is gemaakt en welke opvolging heeft plaatsgevonden.
Een vierde signaal is dat klanten om bewijs vragen. Grotere klanten, zorginstellingen, financiële partijen en overheden vragen steeds vaker naar privacymaatregelen, beveiliging, verwerkersbeheer en incidentprocedures. Niet alleen omdat zij nieuwsgierig zijn, maar omdat zij zelf ook moeten kunnen aantonen dat hun leveranciers betrouwbaar omgaan met persoonsgegevens.
Op dat moment is “we hebben een privacyverklaring” niet genoeg.
Een klant wil weten hoe privacy is georganiseerd. Wie is verantwoordelijk? Hoe worden datalekken opgevolgd? Hoe worden verwerkers beoordeeld? Hoe blijven maatregelen actueel?
Dat vraagt om meer dan documenten. Het vraagt om aantoonbare structuur.
Een vijfde signaal is dat privacybesluiten afhankelijk zijn van één persoon. In veel organisaties is privacy afhankelijk van één medewerker. Die weet waar alles staat, welke keuzes eerder zijn gemaakt en welke leveranciers gevoelig liggen.
Dat lijkt efficiënt, totdat die persoon afwezig is, vertrekt of te veel andere verantwoordelijkheden krijgt.
Als privacykennis vooral in één hoofd zit, is er geen echte borging. Dan is er wel ervaring, maar geen overdraagbaarheid. En juist overdraagbaarheid is belangrijk wanneer klanten, auditors of toezichthouders vragen hoe iets werkt.
Welke onderdelen horen bij een praktisch privacy management system?
Een privacy management system hoeft geen zwaar programma te zijn. Zeker niet wanneer privacybeheer één van de vele verantwoordelijkheden is. Het gaat niet om meer papierwerk, maar om voldoende structuur om grip te houden.
Een praktisch privacy management system begint met inzicht in verwerkingen. Welke persoonsgegevens verwerk je, met welk doel, op basis van welke grondslag en hoe lang bewaar je ze? Het verwerkingsregister blijft dus belangrijk, maar het is het beginpunt, niet het eindpunt.
Daarna moet je privacyrisico’s kunnen beoordelen. Sommige verwerkingen zijn relatief eenvoudig. Andere verwerkingen kunnen meer impact hebben op betrokkenen, bijvoorbeeld door gevoelige gegevens, grootschalige verwerking, monitoring of gegevensdeling. Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, is een DPIA verplicht. Wil je daar dieper op ingaan? Lees dan ook Van DPIA tot PIA: Privacybeoordelingen begrijpelijk uitgelegd.
Ook rollen en verantwoordelijkheden moeten duidelijk zijn. Wie beheert het privacybeleid? Wie beoordeelt datalekken? Wie houdt verwerkers bij? Wie beslist of een DPIA nodig is? Wie zorgt dat verbeteracties worden opgevolgd?
Daarbij horen ook rechtenverzoeken van betrokkenen. Denk aan inzage, correctie, verwijdering of beperking. Het moet duidelijk zijn hoe zulke verzoeken binnenkomen, wie ze beoordeelt, welke termijn geldt en hoe de afhandeling wordt vastgelegd.
Daarnaast hoort leveranciers- en verwerkersbeheer erbij. Niet alleen de overeenkomst zelf, maar ook het overzicht van welke partijen persoonsgegevens verwerken en hoe kritisch die verwerking is.
Incidenten en datalekken vormen een ander belangrijk onderdeel. Een organisatie moet weten hoe incidenten worden gemeld, beoordeeld, geregistreerd en opgevolgd. Daarbij gaat het niet alleen om melden, maar ook om leren.
Verder zijn maatregelen en bewijsvoering essentieel. Welke organisatorische en technische maatregelen zijn genomen? Wanneer zijn ze beoordeeld? Is zichtbaar dat ze werken? En kun je bij een klantvraag of audit uitleggen waarom deze maatregelen passend zijn?
Tot slot hoort evaluatie erbij. Privacybeheer is geen eenmalige opruimactie. Verwerkingen veranderen, leveranciers veranderen en risico’s veranderen. Daarom moet privacy periodiek terugkomen in overleg, risicoanalyse, audit of managementreview.
Hoe verhoudt ISO 27701 zich tot ISO 27001?
ISO 27001 is voor veel organisaties bekender dan ISO 27701. ISO 27001 richt zich op informatiebeveiliging. Het gaat om het beschermen van informatie op basis van vertrouwelijkheid, integriteit en beschikbaarheid.
ISO 27701 richt zich op privacy-informatiebeheer. De norm helpt om persoonsgegevens verantwoord te beheren en privacyprocessen structureel in te richten.
Kort gezegd: ISO 27001 helpt je informatie te beveiligen. ISO 27701 helpt je persoonsgegevens verantwoord te beheren.
Die twee onderwerpen raken elkaar sterk, maar ze zijn niet hetzelfde.
Je kunt informatie technisch goed beveiligen en toch privacyprocessen slecht georganiseerd hebben. Een systeem kan bijvoorbeeld goed afgeschermd zijn, terwijl niemand weet of de bewaartermijn klopt. Of een leverancier kan veilig werken, terwijl de verwerkersafspraken verouderd zijn. Of een nieuwe verwerking kan technisch netjes worden ingericht, terwijl niemand heeft beoordeeld of een DPIA nodig was.
Beveiliging is dus een belangrijk onderdeel van privacy, maar privacy is breder dan beveiliging.
Voor organisaties die al met ISO 27001 werken, kan ISO 27701 logisch aansluiten. Je hebt dan vaak al structuur voor risico’s, maatregelen, audits, eigenaarschap en continue verbetering. ISO 27701 helpt om privacy explicieter in die structuur te plaatsen.
Twijfel je vooral over de verhouding tussen privacybeheer en informatiebeveiliging? Lees dan ook PIMS of ISMS? Praktische voorbeelden voor de juiste keuze.
Wat betekent dit voor organisaties die praktisch willen blijven?
ISO 27701 is niet alleen relevant voor organisaties met een groot privacyteam of een uitgebreid certificeringsprogramma. De norm is ook waardevol als denkkader voor organisaties die privacy praktisch willen organiseren.
Niet iedere organisatie hoeft direct een certificeringstraject te starten. Niet iedere organisatie heeft behoefte aan uitgebreide handboeken, complexe governance-structuren en zware juridische trajecten.
Maar veel organisaties hebben wel behoefte aan overzicht.
Zeker wanneer klanten vragen gaan stellen, persoonsgegevens in meerdere processen voorkomen of privacy-informatie verspreid raakt over Excel, mailboxen en mappen.
De praktische vraag is dan niet: hoe bouwen we een groot privacyprogramma?
De betere vraag is: welke privacyprocessen moeten structureel worden ingericht, zodat we niet afhankelijk blijven van losse documenten en individueel geheugen?
Begin daarom bij de verwerkingen die het meeste risico of de meeste externe druk opleveren. Denk aan klantgegevens, personeelsgegevens, bijzondere persoonsgegevens, financiële gegevens, klantportalen, monitoring of verwerkingen door belangrijke leveranciers.
Van daaruit kun je bepalen welke structuur minimaal nodig is. Bijvoorbeeld centrale vastlegging, duidelijke eigenaars, periodieke beoordeling, opvolging van incidenten en aantoonbare maatregelen.
Dat hoeft niet zwaar te zijn. Het moet vooral werkbaar zijn.
Waar begin je als privacy nu versnipperd is geregeld?
Als privacy nu verspreid is over documenten, mappen, mailboxen en losse afspraken, is de verleiding groot om alles tegelijk te willen oplossen. Dat is meestal niet nodig.
Begin met de belangrijkste verwerkingen. Kies de processen waar veel persoonsgegevens, gevoelige gegevens of klantvragen samenkomen. Breng in beeld wat er wordt verwerkt, waarom dat gebeurt en welke systemen en leveranciers daarbij betrokken zijn.
Koppel die verwerkingen vervolgens aan risico’s. Welke verwerkingen kunnen schade, klachten, datalekken of complianceproblemen veroorzaken? Welke verwerkingen vragen extra aandacht omdat ze gevoelig, omvangrijk of extern zichtbaar zijn?
Leg daarna verantwoordelijkheden vast. Privacy werkt niet als iedereen een beetje verantwoordelijk is. Maak duidelijk wie eigenaar is van verwerkingen, incidenten, verwerkers, DPIA’s, rechtenverzoeken en verbeteracties.
Richt vervolgens datalek- en incidentbeheer in. Zorg dat incidenten niet alleen worden opgelost, maar ook geregistreerd, beoordeeld en gebruikt voor verbetering. Juist daar ontstaat aantoonbaarheid.
Beheer daarna je verwerkers actief. Een verwerkersovereenkomst is geen eindpunt. Je wilt ook weten welke leveranciers kritisch zijn, welke gegevens zij verwerken en of afspraken nog actueel zijn.
Maak tot slot bewijsvoering onderdeel van het werk. Niet vlak voor een audit bewijs verzamelen, maar tijdens het werk vastleggen wat is besloten, gedaan en opgevolgd. Dat maakt privacybeheer rustiger en betrouwbaarder.
Wanneer is tooling zinvol?
Tooling wordt zinvol wanneer privacy-informatie verspreid raakt over meerdere plekken. Denk aan Excel-bestanden, mailboxen, losse verwerkersovereenkomsten, SharePoint-mappen, incidentmeldingen, auditbevindingen en takenlijstjes.
Op dat moment zit het probleem niet alleen in opslag. Het probleem zit in samenhang.
Waar staat welke verwerking? Welke leverancier hoort daarbij? Welke risico’s zijn beoordeeld? Welke incidenten hebben plaatsgevonden? Welke maatregel is genomen? En wie volgt de openstaande acties op?
Een tool vervangt geen privacybeleid en geen juridische beoordeling. Ook een goede GRC-tool bepaalt niet automatisch of een verwerking rechtmatig is of of een DPIA verplicht is.
Maar tooling kan wel helpen om privacybeheer structureel te maken.
Met CompliTrack kun je privacybeheer koppelen aan de onderdelen die in de praktijk belangrijk zijn: verwerkingen, risico’s, incidenten en datalekken, leveranciers en verwerkers, maatregelen, taken, verbeteracties, audits en bewijsvoering.
Daardoor ontstaat één praktisch systeem waarin zichtbaar wordt wat er speelt, wie verantwoordelijk is en wat nog opvolging vraagt.
Het doel is niet om een zware compliance-suite neer te zetten. Het doel is een praktische basis waarmee privacybeheer zichtbaar en opvolgbaar wordt.
Conclusie
Privacy wordt een managementsysteem zodra het niet meer voldoende is om alleen documenten te hebben.
Wanneer privacy terugkomt in klantvragen, incidenten, leveranciers, audits, DPIA’s, rechtenverzoeken en strategische keuzes, heb je structuur nodig. Niet om meer papierwerk te creëren, maar om te voorkomen dat privacy afhankelijk blijft van losse bestanden, individueel geheugen en ad hoc opvolging.
ISO 27701 helpt om die structuur te begrijpen. Niet als vervanging van de AVG, maar als manier om privacy beheersbaar, uitlegbaar en aantoonbaar te organiseren.
Dat hoeft niet zwaar te zijn. Het begint met overzicht, eigenaarschap, risico’s, opvolging en bewijs dat ontstaat tijdens het werk.
Wil je privacybeheer minder afhankelijk maken van losse documenten, mailboxen en individueel geheugen?
Met CompliTrack breng je privacyrisico’s, datalekken, leveranciers, maatregelen en verbeteracties samen in één praktisch systeem. Zo ontstaat overzicht zonder onnodige complexiteit.
Ontdek hoe CompliTrack helpt bij privacybeheer
Verder lezen
Privacybeheer raakt vaak aan informatiebeveiliging, risicoanalyse en bredere compliance. Deze artikelen helpen om de onderwerpen verder te verdiepen:
