Miksi hankintatiimien tulisi välittää ISO 27701 -standardista?
Jokainen organisaatio, joka jakaa henkilötietoja toimittajan kanssa, ottaa riskin. Tietosuoja-asetukset (GDPR, LGPD, PDPA ja muut) pitävät rekisterinpitäjiä vastuussa käsittelijöidensä yksityisyydensuojakäytännöistä. Toimittajan tietoturvaloukkaus on sinun tietoturvaloukkauksesi sääntelyviranomaisten ja asianomaisten henkilöiden silmissä. Ymmärrä... noudattamatta jättämisen kustannukset puoltaa toimittajien tiukkaa arviointia.
ISO 27701 -sertifiointi tarjoaa riippumattoman ja auditoitavan signaalin siitä, että toimittaja on ottanut käyttöön strukturoidun tietosuojatiedonhallintajärjestelmän. Kaikki sertifioinnit eivät kuitenkaan ole samanlaisia – laajuus, akkreditointi ja jatkuva vaatimustenmukaisuus ovat kaikki tärkeitä. Tämä opas auttaa sinua arvioimaan, mitä todellisuudessa saat.
Mitä ISO 27701 -sertifikaatista tulisi tarkistaa?
ISO 27701 -sertifikaatti on sertifiointilaitoksen myöntämä virallinen asiakirja onnistuneen auditoinnin jälkeen. Tässä on mitä on tarkistettava:
| Sertifikaattielementti | Mitä tarkistaa | Miksi se on tärkeätä |
|---|---|---|
| Sertifiointielin | Onko elimen akkreditoinut tunnustettu kansallinen akkreditointielin (esim. UKAS, ANAB, DAkkS)? Katso oppaamme aiheesta sertifiointielimen valitseminen | Akkreditoimattomilla sertifikaateilla on vähemmän painoarvoa, eivätkä ne välttämättä täytä sääntelyviranomaisten odottamia tarkkuusvaatimuksia. |
| Standardi versio | Viittaako se standardiin ISO 27701:2019 vai ISO 27701:2025? | Vuoden 2025 painos on nykyinen versio. Vuoden 2019 painosta käyttävillä toimittajilla tulisi olla siirtymäsuunnitelma. |
| Soveltamisala | Kattaako soveltamisala sopimukseesi liittyvät palvelut ja tietojenkäsittelyn? | Kapea soveltamisala voi sulkea pois tietyt käsittelytoimet, joihin luotat. |
| Rooli (rekisterinpitäjä/käsittelijä) | Onko toimittaja sertifioitu henkilötietojen rekisterinpitäjäksi, käsittelijäksi vai molemmiksi? | Varmista, että sertifioitu rooli vastaa sopimussuhdettasi. |
| Voimassaolopäivät | Onko sertifikaatti ajan tasalla? Milloin seuraava valvontatarkastus on? | Vanhentuneet tai rauenneet sertifikaatit eivät takaa mitään. |
| Ilmoitus soveltuvuudesta | Mitkä ohjaavat Liite A sisältyvätkö vai eivätkö ne sisälly? | Poissuljetut kontrollit voivat viitata tiedonkäsittelyvaatimuksiisi liittyviin aukkoihin. |
Miten arvioit, onko laajuus riittävä?
Laajuus on kriittisin arvioitava elementti. Toimittajalla voi olla voimassa oleva ISO 27701 -sertifikaatti, mutta se voi olla rajannut sen soveltamisalan kattamaan vain osan liiketoiminnastaan tai osajoukon palveluistaan.
Kysymyksiä laajuuden riittävyyden arvioimiseksi
- Kattaako sertifioinnin soveltamisala nimenomaisesti hankkimanne palvelut?
- Sisältääkö se kaikki sijainnit, joissa tietojasi käsitellään, tallennetaan tai niihin pääsee käsiksi?
- Kattaako se koko tiedon elinkaaren – keräämisen, käsittelyn, tallennuksen, siirron ja poistamisen?
- Kuuluvatko toimittajan käyttämät alihankkijat soveltamisalaan vai onko ne jätetty pois?
- Jos toimittaja toimii useilla lainkäyttöalueilla, kattaako soveltamisala kaikki asiaankuuluvat lainkäyttöalueet?
Jos vastaus johonkin näistä on ”ei” tai ”epäselvä”, tarvitset lisävarmistusta – joko toimittajan lisädokumentaation tai oman due diligence -tarkastuksesi avulla.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Mitä kysymyksiä sinun tulisi kysyä sertifioiduilta toimittajilta?
Itse sertifikaatin lisäksi joukko kohdennettuja kysymyksiä auttaa sinua ymmärtämään toimittajan todellista yksityisyydensuojan kypsyysastetta:
Johtamisjärjestelmää koskevat kysymykset
- Milloin viimeisin valvonta- tai uudelleensertifiointiauditointinne tehtiin ja mitkä olivat sen tulokset?
- Kuinka monta poikkeamaa havaittiin viimeisimmässä auditoinnissanne? Miten ne ratkaistiin?
- Kuinka usein suoritatte PIMS-järjestelmänne sisäisiä auditointeja?
- Kuka on johdon yksityisyydensuojavastaavasi, ja miten hän raportoi ylemmälle johdolle?
- Voitteko jakaa viimeisimmän johdon arvioinnin tuotokset (tarvittaessa muokattuina)?
Operatiiviset kysymykset
- Miten käsittelette rekisteröityjen pyyntöjä saada pääsyä puolestamme käsiteltyihin tietoihin?
- Millainen on tietomurtoilmoitusprosessinne ja aikataulunne?
- Miten hallitsette alikäsittelijöiden muutoksia ja miten meille ilmoitetaan niistä?
- Mitä tietojen säilytys- ja poistoprosesseja sovelletaan tietoihimme sopimuksen päättyessä?
- Voitko tarjota todiste viimeisimmästä yksityisyyden suojaan liittyvästä riskinarvioinnistasi?
Teknisiä kysymyksiä
- Miten omat tietomme erotetaan muiden asiakkaiden tiedoista?
- Mitä salausstandardeja käytetään tallennustilassa ja siirrossa?
- Miten tietojemme käyttöä valvotaan ja kirjataan?
- Missä tietomme fyysisesti säilytetään, ja tehdäänkö siirtoja määriteltyjen lainkäyttöalueidemme ulkopuolelle?
Mitä varoitusmerkkejä toimittajien yksityisyydensuojan arvioinneissa on?
Kaikkia yksityisyyden suojaa koskevia väitteitä esittäviä toimittajia ei voida pitää luottamuksen arvoisina. Tarkkaile näitä varoitusmerkkejä:
| punainen lippu | Mitä se ehdottaa |
|---|---|
| Ei-akkreditoidun laitoksen myöntämä todistus | Auditointi ei välttämättä ole riittävän perusteellinen. Akkreditointi varmistaa, että sertifiointilaitos täyttää kansainväliset pätevyys- ja puolueettomuusstandardit. |
| Soveltamisala ei kata palveluitasi | Toimittaja on saattanut sertifioida eri osan liiketoiminnastaan. Sertifioitu PIMS ei välttämättä hyödy tietojesi käsittelystä. |
| Haluttomuus jakaa Ilmoitus soveltuvuudesta | SoA osoittaa, mitkä kontrollit kuuluvat soveltamisalaan. Sen jakamatta jättäminen (vaikka se olisikin poistettu) voi viitata epämukaviin poikkeuksiin. |
| Ei selkeää tietomurtoilmoitusprosessia | Jos toimittaja ei pysty ilmaisemaan tietoturvaloukkausten käsittelyaikatauluaan ja etenemisprosessiaan, heidän PIMS-järjestelmänsä saattaa olla kehittymätön. |
| Edelleen ISO 27701:2019 -standardin mukainen ilman siirtymäsuunnitelmaa | Vuoden 2025 painos tuo mukanaan merkittäviä muutoksia. Toimittajat, joilla ei ole siirtymäsuunnitelmaa, ovat vaarassa raueta, kun vuoden 2019 painos peruutetaan. |
| Alikäsittelijöitä ei voi nimetä | Jos toimittaja ei pysty toimittamaan ajantasaista alihankkijaluetteloa, hänellä ei välttämättä ole standardin edellyttämää valvontaa. |
| Ei näyttöä jatkuvasta parantumisesta | PIMS, joka perustettiin tarkastusta varten, mutta jota ei hallita aktiivisesti, tarjoaa ajan myötä heikkenevää varmuutta. |
Hallitse kaikkea vaatimustenmukaisuuttasi yhdessä paikassa
ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.
Miten ISO 27701 -standardi tulisi integroida hankintakehykseen?
ISO 27701 -sertifiointi toimii parhaiten osana strukturoitua toimittajan arviointiprosessia, ei erillisenä valintaruutuna:
Porrastettu arviointimenetelmä
- Taso 1 (korkea riski): Toimittajat, jotka käsittelevät suuria määriä arkaluonteisia henkilötietoja, edellyttävät ISO 27701 -sertifiointia, tarkistavat käyttöluvan (SOA), suorittavat yksityiskohtaiset due diligence -tarkastukset ja aikatauluttavat säännölliset uudelleenarvioinnit.
- Taso 2 (keskitason riski): Toimittajilla on pääsy henkilötietoihin, mutta niiden käsittelyn laajuus on rajallinen. Hyväksy ISO 27701 -sertifiointi ensisijaisena näyttönä, jota täydennetään kohdennetuilla kysymyksillä käsittelyn laajuudesta ja tapauksiin reagoinnista.
- Taso 3 (matala riski): Toimittajilla on minimaalinen pääsy henkilötietoihin. Sertifiointi on myönteinen signaali, mutta se ei välttämättä ole pakollinen. Keskity sopimussuojaan.
Sopimusnäkökohdat
Käytä toimittajan ISO 27701 -sertifiointia sopimuksen lähtökohtana, mutta vahvista sitä seuraavilla tavoilla:
- Vaatimus sertifioinnin ylläpitämisestä koko sopimuskauden ajan
- Velvollisuus ilmoittaa sinulle kaikista sertifioinnin muutoksista (laajuuden supistukset, poikkeamat, keskeytykset)
- Tarkastusoikeutta koskevat lausekkeet tilanteisiin, joissa pelkkä todistus ei riitä
- Määritellyt tietomurtoilmoitusaikataulut, jotka on yhdenmukaistettu sääntelyvelvoitteidesi kanssa
- Tietojen poistamisvaatimukset sopimuksen päättyessä, todisteineen
Miten oma ISO 27701 -sertifiointisi vahvistaa hankintaa?
Hankinta on kaksisuuntainen katu. Oman tavoitteen saavuttaminen ISO 27701: 2025 sertifiointi osoittaa toimittajille (ja sääntelyviranomaisille), että otat yksityisyyden suojan vakavasti. Se tarjoaa myös jäsennellyn kehyksen toimittajariskien hallintaan osana PIMS-järjestelmääsi.
Sisällä ISMS.onlinetoimittajien hallinta integroituu suoraan PIMS-järjestelmääsi – se linkittää toimittajien arvioinnit riskeihin, kontrolleihin ja auditointituloksiin yhdessä järjestelmässä. Tämä tekee toimittajien yksityisyyden arvioinnista hallitun ja toistettavan prosessin ad hoc -toimenpiteen sijaan.
Miksi valita ISMS.online yksityisyyden suojan hankinnan hallintaan?
- Integroitu toimittajien hallinta: Arvioi, valvo ja hallinnoi toimittajien yksityisyyden suojaa koskevien vaatimustenmukaisuutta PIMS-järjestelmässäsi – älä erillisessä laskentataulukossa.
- Valmiiksi rakennettu ISO 27701:2025 -kehys: standardin vaatimukset on kartoitettu ja valmis, mukaan lukien toimittajiin liittyvät kontrollit.
- Riskisidonnaiset toimittaja-arvioinnit: Yhdistä toimittajariskit organisaatiosi riskirekisteriin, jotta toimittajien yksityisyyden suojaan liittyvät aukot näkyvät johtotasolla.
- Todistepolku: Säilytä todistukset, todentamisasiakirjat, due diligence -raportit ja kirjeenvaihto yhdessä auditoitavassa paikassa.
- Automatisoidut tarkistussyklit: Aseta muistutuksia sertifikaatin vanhenemisesta, valvontatarkastusten päivämääristä ja säännöllisistä uudelleenarvioinneista.
- Tukea molemmille osapuolille: Olitpa sitten arvioimassa toimittajia tai valmistautumassa omaan sertifiointiisi, alusta kattaa molemmat skenaariot.
- Yhteistyötapa: Jaa asiaankuuluvaa vaatimustenmukaisuustodistusta asiakkaiden ja kumppaneiden kanssa suoraan alustalta.
Oletko valmis vahvistamaan hankintojen yksityisyyden arviointia? Varaa demo nähdä miten ISMS.online tekee toimittajien arvioinnista osan yksityisyyden hallintajärjestelmääsi.
UKK
Pitäisikö meidän vaatia ISO 27701 -sertifiointia kaikilta toimittajilta?
Ei välttämättä. Riskiperusteinen lähestymistapa on käytännöllisempi. Vaadi sertifiointia korkean riskin toimittajilta, jotka käsittelevät merkittäviä määriä henkilötietoja. Vähäriskisten toimittajien kohdalla sertifiointia kannattaa käyttää positiivisena indikaattorina sopimussuojan ja kohdennettujen due diligence -kysymysten rinnalla.
Mitä eroa on ISO 27701:2019- ja 2025-standardien välillä hankintojen kannalta?
Vuoden 2025 painos voidaan saavuttaa erillinen sertifiointi ilman ISO 27001 -standardin tarvetta. Se sisältää myös päivitetyt valvontamekanismit ja paremman yhdenmukaisuuden nykyisten tietosuojamääräysten kanssa. Vuoden 2019 painoksen mukaisesti sertifioiduilla toimittajilla tulisi olla dokumentoitu siirtymäsuunnitelma.
Voiko toimittaja olla ISO 27701 -sertifioitu, mutta sillä voi silti olla yksityisyyden suojaan liittyviä aukkoja?
Kyllä. Sertifiointi tarjoaa varmuuden määritellyn soveltamisalan rajoissa, mutta se ei takaa täydellisyyttä. Toimittajalla voi olla kapea soveltamisala, joka sulkee pois tietyt palvelut, tai heidän henkilötietojen hallintajärjestelmänsä ei välttämättä kata kaikkia sopimukseesi liittyviä käsittelytoimia. Siksi soveltamisalalausunnon ja sovellettavuuslausunnon tarkistaminen on tärkeää.
Kuinka usein meidän tulisi arvioida sertifioidut toimittajat uudelleen?
Tarkista sertifikaatin voimassaolo vähintään vuosittain (valvontatarkastussyklien mukaisesti). Korkean riskin toimittajien osalta suorita yksityiskohtaisempi uudelleenarviointi 12–18 kuukauden välein, jolloin käydään läpi sertifikaatin laajuuden muutokset, tarkastushavainnot, tapahtumahistoria ja alihankkijoiden päivitykset. ISMS.online voi automatisoida nämä muistutukset PIMS-järjestelmässäsi.
Mitä jos toimittaja kieltäytyy jakamasta sovellettavuuslausuntoaan?
Tämä on merkittävä varoitusmerkki. Tarkastuskertomus on vakiomuotoinen auditointiartefakti, ja sen jakaminen (tarvittaessa muokattuna) on yleinen käytäntö. Jos toimittaja kieltäytyy, pyydä yhteenveto poissuljetuista kontrolleista ja kunkin poissulkemisen perustelut. Jos läpinäkyvyys edelleen puuttuu, harkitse, vastaako toimittaja riskinottohalukkuuttasi.
