Verplichte documenten voor ISO 27701

ISO 27701 noemt alles wat je op papier of digitaal vastlegt "gedocumenteerde informatie". Dat zijn twee soorten stukken. Documenten houd je actueel, zoals je privacybeleid. Registraties laten zien wat je gedaan hebt, zoals een afgehandeld inzageverzoek. De norm zegt niet in welke vorm. Een wiki, een map in je documentbeheer of een privacytool zijn allemaal goed. Het moet wel vindbaar zijn, en je moet weten welke versie geldt. Dat regelt paragraaf 7.5 van de norm.

ISO 27701:2025 heeft dezelfde vaste opbouw als ISO 27001. Daarom vraagt hij ook dezelfde vaste stukken, maar dan voor privacy. Die vaste stukken zijn:

Daarnaast houd je de registraties bij die elk managementsysteem vraagt. Dat zijn bewijzen van de kennis van je mensen, uitkomsten van metingen, het programma en de uitkomsten van je interne audit, de uitkomsten van je directiebeoordeling en afwijkingen met wat je eraan deed. Die lijst is gelijk aan die bij ISO 27001. Hoe je die stukken opzet, staat bij de verplichte documenten van ISO 27001. Heb je ISO 27001 al, dan breid je die stukken uit met privacy. Je hoeft geen tweede set te maken.

De meeste stukken bij ISO 27701 volgen uit de maatregelen in bijlage A. Veel maatregelen zeggen in hun naam al dat je iets vastlegt. Dit zijn de belangrijkste, met het artikel van de AVG dat hetzelfde vraagt:

Bijlage D van de norm laat per onderdeel zien bij welk artikel van de AVG het past. Daarmee leg je je AVG-stukken naast de norm.

Een verwerker heeft vaak minder stukken uit tabel A.1. Hij heeft er meer uit tabel A.2. Denk aan de lijst van subverwerkers die hij aan klanten laat zien, en aan bewijs dat hij gegevens na een opdracht teruggeeft of verwijdert. Een softwarebedrijf dat beide rollen heeft, houdt beide sets bij.

Wat bij een bedrijf met de AVG op orde vaak ontbreekt, is het systeem om de stukken heen. De stukken zelf zijn er dan meestal al. Er is geen vaste eigenaar, geen moment waarop je het register naloopt en geen meting of het werkt. Dat vraagt ISO 27701 wel. Een register dat niemand bijhoudt, levert bij de audit dus vragen op, ook als het verder compleet is.

ISO 27701 vraagt geen privacyhandboek. Een procedure schrijf je waar dat helpt. Denk aan het afhandelen van een inzageverzoek of het melden van een datalek. Daar moeten meerdere mensen weten wat ze doen, en vaak binnen een vaste termijn. Kant-en-klare pakketten met tientallen beleidsstukken maken je systeem vooral zwaarder. Een auditor toetst of je doet wat je opschrijft. Schrijf dus alleen op wat je echt doet.

In fase 1 leest de auditor je stukken. Die regel staat in ISO/IEC 17021-1. Hij gebruikt ze als kaart voor fase 2. Zorg dat deze stukken er dan liggen:

Mist er iets, dan schrijft de auditor dat op als punt voor fase 2. Dat kan je fase 2 vertragen.

In fase 2 kijkt de auditor of je doet wat je stukken zeggen. Hij neemt steekproeven. Hij vraagt bijvoorbeeld naar het laatste inzageverzoek en hoe snel je dat afhandelde. Hij kijkt of een nieuwe verwerking een DPIA kreeg toen dat nodig was. Hij legt een contract met een subverwerker naast je register. De registraties zijn hier het bewijs. Een systeem dat pas een paar weken draait, heeft weinig registraties. Geef het daarom een paar maanden voor je fase 2 plant.

Hoe een certificeerder je stukken bekijkt, hangt ook af van de auditor. Vraag in je offerte welke ervaring de auditor heeft met de AVG en met jouw rol. Vraag ook of hij ISO 27701 en ISO 27001 in één audit kan doen als je beide wilt. Dan hoeft hij dezelfde stukken niet twee keer te lezen.

Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die ISO 27701 geaccrediteerd mogen doen. Zo vergelijk je hun aanpak en hun prijs naast elkaar.