ISO/IEC 27018 – osebni podatki v oblaku
Smernice za zaščito osebnih podatkov pri ponudnikih javnega oblaka, ki so obdelovalci.
ISO/IEC 27018 vsebuje smernice za zaščito osebnih podatkov, ki jih ponudnik javnega oblaka obdeluje kot obdelovalec po navodilih stranke. Ni samostojen certifikacijski standard in ne nadomešča skladnosti z GDPR.
Katero težavo rešujemo
Ponudnik oblaka obdeluje osebne podatke strank, vendar ne more preprosto dokazati, kako omejuje namen obdelave, ravna z zahtevami posameznikov in razkriva podobdelovalce.
Zakaj je to pomembno
Standard dopolnjuje kontrole varnosti s kontrolami za osebne podatke: namen obdelave, preglednost, razkritja, podobdelovalci in brisanje. Ne nadomešča skladnosti z GDPR.
Za koga je
- Ponudniki javnih oblačnih storitev, ki obdelujejo osebne podatke po navodilih strank.
- Organizacije, ki izbirajo ponudnika oblaka in želijo oceniti obdelavo osebnih podatkov.
- Organizacije z ISO/IEC 27001, ki želijo urediti zasebnost v oblaku.
Kaj obsega delo
- Obdelava osebnih podatkov samo po navodilih stranke.
- Obveščanje o razkritjih, podobdelovalcih in lokaciji obdelave.
- Pomoč stranki pri uveljavljanju pravic posameznikov.
- Vračanje, prenos in varno brisanje osebnih podatkov.
- Povezava s kontrolami ISO/IEC 27001 in 27002.
Potek dela
Ugotovitev vloge (obdelovalec) in vrst osebnih podatkov.
Pregled obstoječih kontrol glede na smernice (GAP analiza).
Pregled pogodb o obdelavi in seznama podobdelovalcev.
Poročilo z ugotovitvami in priporočili.
Kaj potrebujemo od vas
- Opis oblačne storitve in vrst osebnih podatkov, ki jih obdelujete.
- Pogodbe o obdelavi osebnih podatkov in seznam podobdelovalcev.
- Obstoječe politike varnosti in zasebnosti.
Kaj prejmete
- Poročilo GAP analize glede na smernice standarda.
- Seznam pogodbenih in procesnih dopolnitev.
- Priporočila za dopolnitev izjave o uporabnosti in dokumentacije.
Kaj ni vključeno in kje so meje
- Pravno mnenje o skladnosti z GDPR.
- Certifikacija: standard ni samostojen certifikacijski standard.
- Tehnična konfiguracija in testiranje sistemov.
Standard vsebuje smernice, ne zahtev za certifikacijski sistem upravljanja. Presojevalec ni certifikacijski organ in ne izdaja certifikatov. Svetovalni pregled in notranja presoja nista zunanja certifikacijska presoja. Besedila standardov so avtorsko zaščitena in so na voljo pri ISO ali nacionalnem standardizacijskem organu. Na strani ni prepisanih zahtev standarda.
Pogosta vprašanja
Ali je ISO/IEC 27018 certifikacijski standard?
Ne. Standard vsebuje smernice za izvedbo kontrol, ne zahtev za sistem upravljanja. Zunanja potrditev je običajno del certifikacije ISO/IEC 27001, če jo izbrani certifikacijski organ ponuja.
Ali z ISO/IEC 27018 izpolnim zahteve GDPR?
Ne samodejno. Standard pomaga urediti nekatere zahteve za obdelovalce, obveznosti po GDPR pa je treba presojati posebej.
Za koga je standard najbolj uporaben?
Predvsem za ponudnike javnih oblačnih storitev, ki obdelujejo osebne podatke strank. Uporabnikom oblaka lahko služi kot merilo pri izbiri ponudnika.
Katera izdaja velja?
Veljavno izdajo in prehodna pravila preverite pri ISO ali certifikacijskem organu, saj se izdaje standardov posodabljajo.
Viri
- ISO/IEC 27018 – zaščita osebnih podatkov v javnem oblaku (odpre se v novem zavihku)
- Uredba (EU) 2016/679 (GDPR), EUR-Lex (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.