ISO 27701: privacymanagement en certificering

ISO 27701 beschrijft hoe je de omgang met persoonsgegevens als vast proces regelt. Dat proces heet een managementsysteem voor privacy, in het Engels een privacy information management system (PIMS). Je bepaalt welke verwerkingen eronder vallen. Je brengt de risico's voor de mensen van wie je gegevens hebt in kaart. Je kiest maatregelen. Daarna controleer je of die werken, en je verbetert ze waar nodig. De norm is er voor elke organisatie die persoonsgegevens verwerkt, van een klein softwarebedrijf tot een gemeente.

De huidige versie is ISO/IEC 27701:2025. Die verscheen op 14 oktober 2025 en vervangt de versie van 2019. Het grootste verschil is dat de norm nu zelfstandig is. De versie van 2019 was een uitbreiding op ISO 27001. Je kon hem alleen samen met een ISO 27001-certificaat halen. De versie van 2025 heeft zijn eigen hoofdstukken 4 tot en met 10, met dezelfde vaste opbouw als andere managementnormen. Je kunt hem dus los halen. Heb je al ISO 27001, dan kun je beide in één systeem onderbrengen. Wat er verandert en tot wanneer de oude versie geldt, staat bij de overgang naar ISO 27701:2025.

ISO 27701 kijkt naar je rol bij elke verwerking. De norm gebruikt daarvoor twee rollen uit de privacywereld:

Veel bedrijven hebben beide rollen. Een softwarebedrijf is verwerkingsverantwoordelijke voor zijn eigen personeel en verwerker voor de gegevens die klanten in zijn software zetten. De maatregelen in de norm staan daarom in aparte tabellen per rol. Je neemt de tabellen die bij jouw rollen horen.

Geen wet verplicht een ISO 27701-certificaat. Bedrijven halen het om deze redenen:

Een ISO 27701-certificaat is geen AVG-certificaat. De AVG kent in artikel 42 wel een eigen soort certificaat. Dat heet in de wet een certificeringsmechanisme. Zo'n certificaat laat zien dat een bepaalde verwerking aan de AVG voldoet. Daarvoor gelden drie voorwaarden:

Een ISO 27701-certificaat valt daar niet onder. Het is een certificaat voor een managementsysteem. De certificeerder is daarvoor geaccrediteerd op ISO/IEC 17021-1, met ISO/IEC 27706 als extra norm. Bij de versie van 2019 is die extra norm ISO/IEC TS 27006-2. Het certificaat toetst of je privacy goed organiseert. Het toetst niet of een bepaalde verwerking aan de AVG voldoet.

Voor een verwerker betekent dat: een ISO 27701-certificaat telt in de wet niet als bewijs van afdoende garanties, maar een klant mag het wel meewegen. Een goedgekeurd AVG-certificaat telt wel. Dat staat in artikel 28, lid 5.

De norm helpt je wel bij de AVG. Bijlage D van ISO 27701:2025 laat per onderdeel zien bij welk artikel van de AVG het past. Die bijlage is ter informatie. Ze is geen eis. Ook een goedgekeurd AVG-certificaat neemt je verantwoordelijkheid niet over. Je moet zelf aan de AVG blijven voldoen. Dat staat in artikel 42, lid 4.

ISO 27701 vraagt dat je de risico's van je verwerkingen kent en beheerst. De norm schrijft geen vaste techniek voor. In gewone taal vragen hoofdstuk 4 tot en met 10 dat je:

Daarachter staat bijlage A met maatregelen. Daar staan bijvoorbeeld het vastleggen van het doel van een verwerking, een privacyrisicoanalyse (DPIA), afspraken met verwerkers en het omgaan met verzoeken van mensen die hun gegevens willen inzien. Alle eisen en tabellen staan bij de eisen van ISO 27701. Welke stukken je op papier moet hebben, staat bij de verplichte documenten.

Een ISO 27701-traject vanaf nul duurt ongeveer acht maanden. Daarin zit drie tot vier maanden wachten tot een certificeerder tijd heeft. Heb je al ISO 27001, dan ligt de basis er al. Denk aan de interne audit, de directiebeoordeling en de beveiligingsmaatregelen. De eerste stap bij ISO 27701 is je rol bepalen per verwerking. Daarna volgt de certificeringsaudit in twee delen. In fase 1 kijkt de auditor of je klaar bent. In fase 2 kijkt hij of je systeem in de praktijk werkt. Daarna volgt een cyclus van drie jaar. In jaar 1 en 2 volgt een controle-audit. Vóór het certificaat verloopt, volgt in jaar 3 de hercertificering. Elke stap staat bij de stappen naar ISO 27701.

Een auditdag voor ISO 27701 kost €1.000 tot €1.800 exclusief btw. De certificeerder rekent dat tarief maal het aantal auditdagen. Het aantal dagen volgt uit bijlage A van ISO/IEC 27706:2025. Dat is de norm met extra eisen voor certificeerders van ISO 27701. Die bijlage houdt rekening met je rol als verwerkingsverantwoordelijke of verwerker. Een vast aantal dagen per bedrijfsgrootte kunnen we niet geven, want die bijlage hebben we niet ingezien.

Haal je ISO 27701 samen met ISO 27001, dan kan een gecombineerde audit tijd schelen. Eén extra auditdag per audit kost €1.000 tot €1.800. Over de vier audits van drie jaar is dat €4.000 tot €7.200.

Wat de dagen bepaalt en hoe je een offerte narekent, staat bij de kosten van ISO 27701. De regels die voor elke norm gelden, staan bij kosten van certificeren.

Heb je al een ISO 27701-certificaat? Dan kun je in de drie jaar naar een andere certificeerder overstappen. Je begint dan niet opnieuw. De nieuwe certificeerder neemt je cyclus over. Dat regelt Global ACI-TECH-3-002 (IAF MD 2). Heb je een certificaat op de versie van 2019, dan moet je bovendien overgaan naar ISO 27701:2025. De nationale accreditatie-instantie, die in Nederland certificeerders goedkeurt, noemt 15 oktober 2028 als einddatum voor de accreditatie op de versie van 2019. Je hebt voor de overgang toch een audit nodig. Dat is een logisch moment om te kijken of je certificeerder de nieuwe versie al mag doen.

CertificeerWijzer telde op 24 september 2026 8 certificeerders in Nederland met ISO 27701 in hun accreditatie. Die telling komt uit het register van de nationale accreditatie-instantie en uit de lijsten van de Britse accreditatie-instelling UKAS. Bij ISO 27001 zijn dat er 23. Ook verschilt per certificeerder welke versie van ISO 27701 hij mag doen:

Op 17 oktober 2026 hebben we de accreditaties van deze 8 opnieuw bekeken. Er mochten er toen nog steeds 2 de versie van 2025 doen.

Alle 8 hebben ook ISO 27001 in hun accreditatie. Net als bij ISO 27001 loopt de accreditatie niet per sectorcode (IAF-code). Elke certificeerder mag dus elke sector doen. Hij moet wel een auditor inzetten die jouw soort verwerkingen kent. Heeft hij die kennis niet, dan mag hij je aanvraag weigeren. Dat staat in ISO/IEC 17021-1.

Een certificaat van een partij zonder accreditatie telt vaak niet bij een klant of aanbesteder. Dat staat bij niet-geaccrediteerd.

Omdat de keuze klein is, kijk je eerst naar de versie en daarna naar de rest:

Meer keuzepunten staan bij certificeerder kiezen. Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die ISO 27701 geaccrediteerd mogen doen. Zo zie je naast elkaar welke versie ze mogen certificeren en wat het je over drie jaar kost. Het volledige overzicht staat bij certificeerders.

ISO 27701 deelt zijn opbouw met andere managementnormen. Zo kun je hem met een aantal ervan in één systeem en één audit combineren: