ISO/IEC 27701: управление защитой персональных данных в Грузии

Что охватывает ISO/IEC 27701

ISO/IEC 27701 устанавливает требования к системе управления информацией о конфиденциальности (PIMS). Редакция 2025 года, опубликованная в октябре 2025 года, является самостоятельным стандартом системы менеджмента: теперь организация может сертифицироваться по ISO/IEC 27701, не имея сертификата ISO/IEC 27001. Сертификаты по редакции 2019 года остаются действительными в течение переходного периода, который продлится до октября 2028 года.

Стандарт содержит меры для контролёров и обработчиков персональных данных. Он требует знать, какие персональные данные у вас есть, зачем вы их обрабатываете, кто их получает, как долго вы их храните и как отвечаете на запросы субъектов данных. Риски для конфиденциальности оцениваются и обрабатываются так же системно, как риски информационной безопасности.

Зачем он грузинским организациям

Закон Грузии «О защите персональных данных», принятый в июне 2023 года и действующий с 1 марта 2024 года, значительно приблизил грузинские правила к GDPR. Он ввёл обязательных ответственных за защиту данных для банков, страховщиков, медицинских учреждений и других перечисленных в законе или крупных обработчиков, оценку воздействия на защиту данных для обработки с высоким риском и уведомление о значительных инцидентах в течение 72 часов. С марта 2026 года надзорные функции, которые ранее выполняла Служба по защите персональных данных, перешли к Государственной аудиторской службе Грузии.

ISO/IEC 27701 не заменяет закон, но даёт системный способ показать, что требования закона встроены в повседневную работу. В Грузии мы чаще всего работаем с тремя группами клиентов:

• Банки, микрофинансовые организации и страховщики, которые обязаны назначить ответственного за защиту данных и обрабатывают большие объёмы данных клиентов.
• IT-компании, аутсорсинговые компании и поставщики услуг BPO в Тбилиси и Батуми, которые обрабатывают персональные данные для клиентов из ЕС и заполняют подробные опросники для поставщиков.
• Клиники, лаборатории, гостиницы и интернет-магазины, у которых хранятся чувствительные данные или большие объёмы данных клиентов.

Что делает BALTUM

1. Определение области и оценка несоответствий. Описываем операции обработки, вашу роль контролёра или обработчика и существующие меры безопасности, затем сравниваем их с ISO/IEC 27701:2025 и грузинским законом.
2. Реестры и оценка рисков. Помогаем составить реестр операций обработки, оценку рисков для конфиденциальности и шаблоны DPIA для обработки, где она нужна.
3. Документация. Политика защиты персональных данных, процедура обработки запросов субъектов данных, график сроков хранения, процедура реагирования на инциденты с уведомлением в течение 72 часов, договоры с обработчиками и правила трансграничной передачи.
4. Обучение. Практические занятия для ответственного за защиту данных, сотрудников отдела кадров, службы поддержки клиентов и IT, которые работают с запросами и инцидентами.
5. Внутренний аудит и анализ со стороны руководства. Проводим внутренний аудит, помогаем закрыть замечания и подготовить записи анализа со стороны руководства, которые запросит аудитор.
6. Сопровождение аудита. Помогаем выбрать аккредитованный орган по сертификации и сопровождаем вас на первом и втором этапах.

Продолжительность зависит от области сертификации, количества операций обработки и от того, внедрена ли уже система по ISO/IEC 27001. Реалистичный план мы согласуем после первичной оценки.

Как проходит сертификация

Сертификация представляет собой двухэтапный аудит, который проводит независимый орган по сертификации. На первом этапе проверяются документы и готовность, на втором этапе проверяется, что система работает на практике. Сертификат действует три года, во второй и третий год проводятся надзорные аудиты. Выбирайте орган, аккредитованный по этой схеме органом по аккредитации, подписавшим IAF MLA, и проверяйте сертификат в базе IAF CertSearch. Если у вас уже есть ISO/IEC 27001, два аудита обычно можно совместить и сэкономить аудиторские дни.

Связанные стандарты и материалы

ISO/IEC 27701 хорошо дополняет ISO/IEC 27001. Компании, обслуживающие клиентов из ЕС, часто совмещают его с программой соответствия GDPR. Подробное сравнение грузинского закона и стандарта приведено в статье о том, как согласовать грузинский закон о персональных данных с ISO 27701.

Чтобы обсудить область сертификации, отправьте краткое описание организации и обрабатываемых персональных данных через форму заявки или на info@baltum.org. Мы ответим с предложением дальнейших шагов.

Частые вопросы

Нужен ли ISO/IEC 27001 до ISO/IEC 27701?

Больше не нужен. По ISO/IEC 27701:2025 можно сертифицироваться отдельно. Многие организации всё же совмещают два стандарта, потому что меры защиты персональных данных опираются на те же меры управления доступом, журналирования, резервного копирования и работы с поставщиками, которые охватывает ISO/IEC 27001.

Доказывает ли сертификат ISO/IEC 27701 соответствие грузинскому закону?

Ни один сертификат не подтверждает соответствие закону. Соблюдение Закона «О защите персональных данных» оценивает Государственная аудиторская служба. Сертифицированная система управления конфиденциальностью служит весомым подтверждением того, что вы управляете персональными данными системно, и облегчает проверки регулятора и аудиты клиентов.

У нас сертификат ISO/IEC 27701:2019. Что теперь?

Он остаётся действительным в течение переходного периода, который заканчивается в октябре 2028 года. Мы оцениваем несоответствия относительно редакции 2025 года и помогаем запланировать переходный аудит вместе с надзорным или ресертификационным аудитом.

Обязательно ли нашей компании назначать ответственного за защиту данных?

Закон требует назначить его государственным учреждениям, банкам, страховщикам, микрофинансовым организациям, медицинским учреждениям и ряду других перечисленных секторов, а также при крупномасштабной обработке или систематическом мониторинге. Мы проверяем вашу ситуацию в ходе оценки несоответствий.