ISO 27701 uitgelegd: privacymanagement, de AVG en wat er in 2025 veranderde

ISO/IEC 27701 is de internationale norm voor een privacy information management system (PIMS): een managementsysteem waarmee een organisatie de verwerking van persoonsgegevens beheerst en dat ook kan aantonen. Tot oktober 2025 was de norm een uitbreiding op ISO 27001. Sinds de editie van 2025 is het een zelfstandige managementsysteemnorm, die je ook zonder ISO 27001-certificaat kunt laten certificeren. Veel informatie over ISO 27701 die online staat, gaat nog uit van de oude situatie. Hieronder staat wat de norm vraagt, wat er in 2025 is veranderd, hoe hij zich verhoudt tot de AVG en waar een auditor op let.

Wat ISO 27701 regelt

ISO 27001 gaat over informatiebeveiliging in brede zin: de vertrouwelijkheid, integriteit en beschikbaarheid van alle informatie van de organisatie. ISO 27701 richt zich op één soort informatie, persoonsgegevens, en voegt een tweede risicoperspectief toe. Bij ISO 27001 kijk je naar het risico voor de organisatie. Bij privacy gaat het ook om het risico voor de betrokkene, de persoon van wie de gegevens zijn. Een datalek dat de organisatie weinig schade doet, kan voor de betrokkenen ernstig zijn, en een PIMS hoort dat verschil zichtbaar te maken in de risicobeoordeling.

Inhoudelijk vraagt de norm om zaken die een organisatie met AVG-plichten grotendeels al zou moeten hebben: een overzicht van verwerkingen met doel en grondslag, een werkwijze voor privacy impact assessments, procedures voor verzoeken van betrokkenen, afspraken met verwerkers, bewaartermijnen en een proces voor het melden van inbreuken. Het verschil zit in de managementsysteemkant. De norm verwacht dat die onderdelen zijn belegd bij iemand, periodiek worden beoordeeld, intern worden geaudit en worden verbeterd als ze niet werken.

De editie van 2025 staat op zichzelf

ISO/IEC 27701:2019 was opgezet als extensie. De eisen waren geformuleerd als aanvullingen op de clausules van ISO 27001 en de maatregelen van ISO 27002, en certificering kon alleen bovenop een ISO 27001-certificaat. Op 14 oktober 2025 verscheen ISO/IEC 27701:2025. Die editie heeft de gangbare structuur van managementsysteemnormen, met eigen clausules 4 tot en met 10 voor context, leiderschap, planning, ondersteuning, uitvoering, evaluatie en verbetering, en een eigen Annex A met maatregelen. Een organisatie kan daarmee een PIMS laten certificeren zonder ISMS-certificaat.

De combinatie met ISO 27001 blijft wel gebruikelijk. Een organisatie die al een ISMS heeft, bouwt het PIMS er meestal in. De structuur is gelijk, dus beleid, risicobeoordeling, interne audit en management review kunnen één cyclus delen.

Voor organisaties met een certificaat op de editie van 2019 geldt een overgangstermijn van drie jaar na publicatie. Certificatie-instellingen noemen oktober 2028 als einddatum. De precieze regeling, en tot wanneer nog audits op de oude editie mogelijk zijn, hoor je van je eigen certificatie-instelling.

Verwerkingsverantwoordelijke of verwerker

De norm maakt, net als de AVG, onderscheid tussen de verwerkingsverantwoordelijke (PII controller), die doel en middelen van de verwerking bepaalt, en de verwerker (PII processor), die in opdracht verwerkt. Voor beide rollen gelden aparte maatregelen. Een verantwoordelijke moet onder meer de grondslag per verwerking vastleggen, betrokkenen informeren en hun rechten kunnen honoreren. Een verwerker moet onder meer alleen op instructie verwerken, subverwerkers melden en gegevens aan het eind van de opdracht teruggeven of verwijderen.

Veel organisaties hebben beide rollen. Ze zijn verantwoordelijke voor de eigen personeels- en klantgegevens en verwerker voor de gegevens die klanten in hun dienst onderbrengen. Een SaaS-leverancier is daar het typische voorbeeld van. De rolbepaling per verwerking is dan het eerste waar een auditor naar vraagt, omdat de keuze van maatregelen ervan afhangt. Welke maatregelen van toepassing zijn en waarom, leg je vast in een verklaring van toepasselijkheid, op dezelfde manier als bij de Statement of Applicability voor ISO 27001.

Hoe de norm zich verhoudt tot de AVG

ISO 27701 is een norm en de AVG is wetgeving. Een certificaat bewijst niet dat een organisatie aan de AVG voldoet. Het is ook geen certificering in de zin van artikel 42 AVG: daarvoor moet een certificeringsmechanisme zijn goedgekeurd door een toezichthouder of door het Europees Comité voor gegevensbescherming, en dat geldt niet voor ISO 27701.

Wat een certificaat wel doet, is de verantwoordingsplicht uit artikel 5, lid 2 AVG ondersteunen. Die plicht vraagt dat een organisatie kan aantonen dat ze de beginselen naleeft, en een extern getoetst managementsysteem is daar een ordelijke manier voor. De overlap met concrete artikelen is groot: het register van verwerkingsactiviteiten (artikel 30), de gegevensbeschermingseffectbeoordeling of DPIA (artikel 35), de verwerkersovereenkomst (artikel 28), de meldplicht bij datalekken (artikel 33) en de beveiligingseis van artikel 32.

Sommige onderdelen van de AVG vallen buiten wat een managementsysteem kan afdekken, zoals de juridische vraag of een grondslag houdbaar is of of een functionaris gegevensbescherming verplicht is. Daar regelt de norm het proces waarmee je tot een besluit komt. Of dat besluit juridisch klopt, toetst een certificatie-instelling niet.

Waar een auditor naar kijkt

Een auditor die een PIMS toetst, begint bij het register van verwerkingen en controleert of het overeenkomt met wat de organisatie werkelijk doet. Een register dat twee jaar niet is bijgewerkt terwijl er nieuwe systemen zijn ingevoerd, valt snel op. Daarna volgen steekproeven: een afgehandeld inzageverzoek met de datum van ontvangst en van het antwoord, een DPIA bij een nieuwe verwerking, een incident dat wel of bewust niet is gemeld met de afweging erbij, en de verwerkersovereenkomsten met de belangrijkste leveranciers.

Het terugkerende zwakke punt is de keten. Organisaties hebben de overeenkomsten met verwerkers getekend, maar kunnen niet laten zien dat ze nagaan of de verwerker zich eraan houdt. Hoe je leveranciers beoordeelt en welk bewijs je kunt vragen, staat in het artikel over third-party risk management. Een tweede punt zijn bewaartermijnen die wel in beleid staan maar niet in de systemen zijn ingericht, zodat gegevens gewoon blijven staan.

Certificeren: los of samen met ISO 27001

Het certificeringstraject verloopt zoals bij andere managementsysteemnormen: een fase 1-audit op opzet en documentatie, een fase 2-audit op werking, daarna jaarlijkse surveillance-audits en na drie jaar hercertificering. Wie al ISO 27001-gecertificeerd is, laat het PIMS meestal door dezelfde certificatie-instelling toetsen, gekoppeld aan een surveillance- of hercertificeringsaudit. Dat scheelt dubbel werk bij de gedeelde onderdelen. Hoe een ISO 27001-traject verder verloopt, staat in het stappenplan voor ISO 27001-certificering.

Een losse ISO 27701-certificering kan passen bij een organisatie waarvan de klanten vooral naar privacy vragen, of die haar informatiebeveiliging al op een andere manier aantoont, bijvoorbeeld met een ISAE 3402- of SOC 2-rapport. De beveiligingsmaatregelen voor persoonsgegevens moeten dan binnen het PIMS zelf zijn ingericht en aantoonbaar werken, omdat er geen ISMS is om naar te verwijzen.

Wanneer ISO 27701 de moeite waard is

De norm is nergens wettelijk verplicht. De aanleiding is meestal een klant of aanbesteding die bewijs vraagt dat persoonsgegevens goed zijn geregeld. Dat speelt vooral bij verwerkers die grote hoeveelheden persoonsgegevens van hun klanten beheren, zoals leveranciers van HR- en salarissoftware of van systemen in de zorg. Voor zo'n verwerker kan een certificaat een deel van de vragenlijsten en audits vervangen die klanten anders zelf uitvoeren.

Voor een organisatie die vooral verwerkingsverantwoordelijke is en geen externe vraag heeft, kan een goed ingericht privacyprogramma zonder certificaat volstaan. De afweging is dan of de discipline van een auditcyclus het werk waard is. Wie dat niet zeker weet, kan beginnen met een gap-analyse tegen de norm, zonder meteen een certificatie-instelling in te schakelen. Dan wordt zichtbaar hoe ver de bestaande AVG-documentatie al komt en wat er ontbreekt aan de managementsysteemkant.