ISO/IEC 27701: het privacymanagementsysteem uitgelegd

Wat is ISO/IEC 27701?

ISO/IEC 27701 stelt eisen aan het opzetten, implementeren, onderhouden en voortdurend verbeteren van een privacy information management system. De norm is ontwikkeld door ISO/IEC JTC 1/SC 27. Vacatures die deze norm noemen, vind je op de skillpagina voor ISO 27701.

Een PIMS is een gestructureerd kader om persoonsgegevens (PII) verantwoord te beheren, in lijn met privacywetten en privacynormen. Het gaat om privacy structureel regelen: beleid, rollen, procedures, bewijs en verbetering. Het idee lijkt op een managementsysteem voor informatiebeveiliging, maar dan voor persoonsgegevens. Je legt vast wie waarvoor verantwoordelijk is, welke afspraken gelden en hoe je aantoont dat ze werken.

Welke uitgave van ISO/IEC 27701 geldt nu?

De huidige uitgave is de tweede uitgave, ISO/IEC 27701:2025. ISO geeft oktober 2025 als publicatiedatum, en de norm telt 64 pagina's. Bij ISO staat de uitgave uit 2019 onder "Previously" met de status ingetrokken. De uitgave van 2025 is de opvolger.

ISO beschrijft de norm als een onafhankelijke managementsysteemnorm, die je dus los kunt gebruiken. Kom je in een vacature of document nog een verwijzing naar 2019 tegen, dan ga je bij ISO na wat die verwijzing voor jouw eigen situatie betekent.

Voor wie is ISO/IEC 27701 bedoeld?

De norm is bedoeld voor organisaties die persoonsgegevens (PII) verzamelen, verwerken, opslaan of beheren. Dat geldt voor publieke, private en non-profitorganisaties. ISO schrijft dat de norm is ontworpen voor PII-verantwoordelijken (controllers) en verwerkers (processors).

PII staat voor personally identifiable information. In de Nederlandse praktijk is dat wat de AVG persoonsgegevens noemt. Een controller is in AVG-termen de verwerkingsverantwoordelijke: de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt. Een processor is de verwerker: de partij die dat in opdracht van een ander doet. Wie met persoonsgegevens werkt zonder zelf het doel te bepalen, valt dus ook binnen de doelgroep.

Hoe verhoudt ISO/IEC 27701 zich tot ISO/IEC 27001?

ISO/IEC 27701 sluit aan op bestaande ISO/IEC 27001-systemen, zodat je de implementatie kunt stroomlijnen. Tegelijk kan de norm los worden gebruikt, en ISO beantwoordt die vraag met ja. Over ISO/IEC 27001 zelf lees je meer in het artikel over ISO 27001 en op de skillpagina voor ISO 27001.

Wie al een managementsysteem voor informatiebeveiliging heeft, kan privacyprocessen op dezelfde manier inrichten, bijvoorbeeld met beleid, interne audits en managementreview. Daar kan overlap in zitten. Hoeveel overlap er is, hangt af van de organisatie en van wat het bestaande systeem al regelt.

Hoe verhoudt ISO/IEC 27701 zich tot de AVG?

ISO schrijft dat de norm helpt aantonen dat je voldoet aan wereldwijde privacywetgeving zoals de GDPR. In het Nederlands heet de GDPR de AVG. De AVG is Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016, en de tekst staat op EUR-Lex. Het AVG-artikel voor privacy-professionals legt de basis uit, en de skillpagina voor de AVG toont waar de wet in vacatures terugkomt.

Artikel 42 van de AVG gaat over certificering voor gegevensbescherming. Die certificering is vrijwillig en doet niets af aan de verantwoordelijkheid van de verwerkingsverantwoordelijke of de verwerker om de verordening na te leven. Een managementsysteem laat zien dat je privacy structureel regelt, maar het vervangt de plicht om de AVG na te leven niet. De norm is geen wet. Wie de norm toepast, laat zien hoe de organisatie privacy regelt, en dat is iets anders dan bewijzen dat elke verwerking aan de AVG voldoet.

Wat weet je over certificering van ISO/IEC 27701?

De ISO-pagina over ISO/IEC 27701 beschrijft geen certificering of auditroute voor deze norm. Wil je je organisatie laten certificeren, vraag dan een certificerende instelling welke route voor jouw organisatie geldt. Zij kunnen uitleggen wat er van je verwacht wordt. Een ISO/IEC 27701-certificaat is niet hetzelfde als een AVG-certificaat op grond van artikel 42.

Welke rollen werken met ISO/IEC 27701?

Meerdere functies raken aan een privacymanagementsysteem:

• Privacy officer. Je richt privacyprocessen in en houdt ze bij, verzamelt bewijs en werkt met verwerkingsregisters en beleid. Een PIMS geeft die werkzaamheden een vaste structuur. Bekijk de vacatures voor privacy officers en de werkgeverspagina voor privacy officers om te zien welke organisaties deze functie hebben. Voor de regels rond datalekken lees je het artikel over de meldplicht datalekken.
• Data protection officer (functionaris voor gegevensbescherming). Je adviseert en houdt toezicht op naleving. Je positie is onafhankelijk, dus beheert een DPO bij sommige organisaties het managementsysteem niet zelf. Bekijk de vacatures voor data protection officers.
• Information security officer. De raakvlakken liggen bij beveiligingsmaatregelen en bij een eventueel bestaand managementsysteem voor informatiebeveiliging. Bekijk de vacatures voor information security officers.
• Compliance officer en IT-auditor. Je toetst of het systeem werkt zoals het beschreven is. Bekijk de vacatures voor compliance officers en de vacatures voor IT-auditors.

Wat je als professional kunt doen: leer de AVG-basis, kijk naar de skillpagina's ISO 27701, ISO 27001 en AVG, en bekijk vacatures voor privacy officer en data protection officer om te zien welke normen daar worden genoemd. Privacy-professionals kunnen ook een persoonlijke certificering halen, zoals de CIPP/E. Meer kennis vind je in de kennisbank.