ISO/IEC 27701:2025 Система управления персональными данными
Докажите международным сертификатом, что вы ответственно обращаетесь с персональными данными — как контролёр, обработчик или и то, и другое.
- новая редакция
- 2025
- самостоятельная система
- PIMS
- доказательство соответствия
- GDPR
- срок действия сертификата
- 3 г.
ISO/IEC 27701:2025 стал самостоятельным стандартом
Вторая редакция опубликована в октябре 2025 года. Главное изменение: 27701 больше не является расширением ISO/IEC 27001 и может сертифицироваться самостоятельно.
Сертификаты по редакции 2019 года нужно перевести на новую в переходный период, который органы по сертификации устанавливают до 2028 года. Редакция усиливает акцент на лидерстве, управлении приватностью и персональных данных в ИИ и цифровых экосистемах.
Что такое ISO/IEC 27701
ISO/IEC 27701 устанавливает требования к системе управления персональными данными (PIMS). Она превращает принципы защиты данных в работающие процессы — роли, ответственность, меры и доказательства.
Стандарт разделяет обязанности контролёров и обработчиков персональных данных и согласован с такими регламентами, как GDPR.
С 2025 года его можно внедрять самостоятельно или вместе с ISO/IEC 27001 — такая связка является сильнейшим доказательством безопасности и приватности.
Контролёр, обработчик — или оба?
ISO/IEC 27701:2025 делит контроли по ролям. Выберите свою и посмотрите, сколько из 78 контролей относятся к вам.
- Контроли для контролёра 31
- Контроли для обработчика 18
- Интернет-магазин
- Клиника и лаборатория
- Банк и страховщик
- Школа и университет
- Хостинг и облако
- SaaS-платформа
- Аутсорсинг зарплат
- Колл-центр
- Бухгалтерская фирма
- Маркетинговое агентство
- ИТ-поддержка
Путь одной записи — от регистрации до удаления
Мария делает заказ в интернет-магазине. Вот как PIMS защищает её данные на каждом шаге — и как это доказывается.
Сбор
Мария регистрируется и делает заказ.
- Правовое основание
- Уведомление о конфиденциальности
- Отдельное согласие на маркетинг
Минимизация
Форма запрашивает только нужное — без личного номера.
- Минимизация данных
- Реестр обработки
- Доступ по ролям
Передача
Курьер получает только имя, адрес и телефон.
- Договор с обработчиком
- Только нужные поля
- Оценка поставщика
Хранение
Данные в облаке в ЕС — зашифрованы.
- Шифрование
- Срок хранения
- Резервные копии
Запрос
Мария просит удалить её данные.
- Процедура прав субектов
- Проверка личности
- Ответ в течение 1 месяца
Удаление
Удалено везде — и у курьера.
- Доказательство удаления
- Уведомление получателей
- Запись в реестре
GDPR говорит что. ISO 27701 показывает как.
Регламент устанавливает обязанности. Стандарт превращает их в процессы, ответственность и доказательства, которые выдерживают проверку надзорного органа.
ст. 5 Принципы Политика конфиденциальности, минимизация и сроки хранения ст. 6–9 Правовое основание Основание для каждой цели, управление согласиями ст. 12–22 Права субектов Процедура, сроки и шаблоны для доступа, исправления, удаления ст. 24–25 Подотчётность и защита данных при проектировании Оценка рисков, лидерство и защита по умолчанию ст. 28 Обработчики Договоры, оценка и контроль субподрядчиков ст. 30 Реестр обработки Реестр, поддерживаемый как часть системы ст. 32 Безопасность Общие контроли безопасности, совместимые с ISO 27001 ст. 33–34 Нарушения Процедура инцидентов — уведомление в течение 72 часов ст. 35 ОВЗД Оценка воздействия для рискованной обработки ст. 44–49 Передача за пределы ЕС Контроль передачи и надлежащие гарантии Работающая система, а не папка с документами
Всё, что может запросить аудитор или надзорный орган, — и что команда действительно использует.
Бесплатная консультация- Определённые роли — контролёр и/или обработчик
- Реестр операций обработки
- Политика конфиденциальности и уведомления
- Оценка рисков для данных и ОВЗД
- Процедура прав субектов с шаблонами
- Договоры с обработчиками и субподрядчиками
- Процедура при нарушениях — 72 часа
- Обучение команды и внутренний аудит
Безопасность и конфиденциальность — в одной системе
ISO 27701 теперь сертифицируется самостоятельно, но сильнее всего работает в комбинации.
Структура стандарта
Редакция 2025 года следует общей структуре систем менеджмента — разделы 4–10 плюс меры, разделённые по ролям.
Раздел 4 — Контекст организации
Ваша роль — контролёр, обработчик или обе, — заинтересованные стороны, применимое право, область.
Раздел 5 — Лидерство
Обязательства руководства, политика конфиденциальности, роли и ответственность.
Раздел 6 — Планирование
Оценка и обработка рисков для персональных данных и субъектов данных, цели.
Раздел 7 — Обеспечение
Ресурсы, компетентность, осведомлённость, коммуникации, документированная информация.
Раздел 8 — Деятельность
Применение мер приватности и прав субъектов данных.
Раздел 9 — Оценка результатов
Мониторинг и измерение, внутренний аудит, анализ руководством.
Раздел 10 — Улучшение
Инциденты с персональными данными, корректирующие действия, постоянное улучшение.
Что охватывают меры
Меры разделены по ролям — контролёр или обработчик — и превращают требования GDPR в ежедневную практику.
- 01
Правовое основание и цели
Зачем и на каком основании обрабатывается каждая категория данных.
- 02
Права субъектов данных
Доступ, исправление, удаление, переносимость — с процедурами и сроками.
- 03
Минимизация и хранение
Только нужные данные и только столько, сколько нужно.
- 04
Обработчики и передача
Договоры, субобработчики и передача за пределы ЕС.
- 05
Оценка воздействия
Оценка воздействия на защиту данных (DPIA) для обработки с высоким риском.
- 06
Утечки персональных данных
Выявление, документирование и уведомление в установленный законом срок.
Что вы получаете
Доказательства по GDPR
Структурированные доказательства для клиентов и надзорных органов.
Доверие клиентов
Особенно при обработке данных по поручению клиентов.
Преимущество в тендерах
Международно признанный сертификат в сфере приватности.
Порядок в данных
Вы знаете, какие данные у вас есть, где они и у кого доступ.
Готовность к утечкам
Отработанная процедура реагирования и уведомления.
Синергия с ISO 27001
Общие процессы управления рисками, аудита и улучшения.
Путь к сертификату
Шесть этапов с понятным результатом на каждом.
- 01 1–2 нед.
Карта данных
Реестр операций обработки и потоков данных.
- 02 1–2 нед.
Роли и правовые основания
Контролёр или обработчик, основания, цели.
- 03 2–3 нед.
Риски и DPIA
Оценка рисков для субъектов данных.
- 04 2–4 нед.
Политики и процедуры
Права субъектов, хранение, утечки, обработчики.
- 05 1–2 нед.
Внутренний аудит
Проверка и анализ руководством.
- 06 Этап 1 + 2
Сертификационный аудит
Этап 1 и Этап 2 аккредитованным органом.
Сроки и стоимость — от чего зависят
Стоимость зависит прежде всего от объёма и чувствительности данных. Вот факторы — плюс калькулятор.
Сотрудники и площадки
Определяют объём работ и аудиторские дни.
Объём и чувствительность
Особые категории данных требуют больше мер.
Роль
Контролёр, обработчик или оба.
Наличие ISO 27001
Значительно сокращает внедрение.
Передача за пределы ЕС
Облачные сервисы и поставщики в третьих странах.
Оплата сертификации
Оплачивается отдельно органу по сертификации.
01 Нужен ли ISO 27001, чтобы получить ISO 27701?
С редакции 2025 года — нет. ISO/IEC 27701 теперь самостоятельный стандарт. Однако они дополняют друг друга и часто внедряются вместе.
02 Означает ли сертификат 27701 соответствие GDPR?
Не автоматически — соответствие GDPR оценивают надзорные органы. Сертификат — сильное доказательство того, что у вас работает система защиты данных.
03 Что будет с сертификатами 2019 года?
Их нужно перевести на редакцию 2025 года в переходный период, установленный органами по сертификации (до 2028 года).
04 Подходит ли он небольшим компаниям?
Да, особенно если вы обрабатываете данные по поручению клиентов — например, ИТ, бухгалтерия, маркетинг или HR-услуги.
05 Сколько это длится?
Обычно от 2 до 5 месяцев; меньше, если у вас уже есть ISO 27001.
Такого вопроса нет в списке — спросите нас напрямую, и мы ответим.
Первая консультация — бесплатно
Расскажите о компании и вашей цели. Вы получите чёткий план и предложение в течение одного рабочего дня.