ISO/IEC 27701:2019 · Shqipëria dhe Mali i Zi
Implementimi i standardit ISO 27701 në Shqipëri dhe Mal të Zi
Emërtimi kombëtar: SSH EN ISO/IEC 27701 (Shqipëri) · SK ISO/IEC 27701 (Kosovë) · MEST ISO/IEC 27701:2020 (Mali i Zi)
ISO/IEC 27701 e zgjeron ISO 27001 te menaxhimi i privatësisë (PIMS). Përcakton si organizata — si kontrollues ose përpunues i të dhënave personale — e mbron privatësinë dhe e dëshmon llogaridhënien para klientëve dhe rregullatorëve.
Çfarë është ISO/IEC 27701?
ISO 27701 lindi si përgjigje ndaj GDPR-it: organizatave u nevojitej një mënyrë e certifikuar për të dëshmuar llogaridhënien (accountability) në përpunimin e të dhënave personale. Standardi e ngre ISMS-në me kërkesa specifike privatësie dhe shtojca të veçanta për kontrolluesit (Aneksi A) dhe përpunuesit (Aneksi B), ndërsa Aneksi D i mapon drejtpërdrejt kërkesat me nenet e GDPR-it.
Për kompanitë e IT-së, agjencitë, qendrat e thirrjeve, organizatat shëndetësore dhe financiare që përpunojnë sasi të mëdha të dhënash personale, certifikata PIMS bëhet avantazh i fortë konkurrues — kontrolluesit gjithnjë e më shpesh zgjedhin ekskluzivisht përpunues të certifikuar.
Fazat e implementimit
Fazat reale nëpër të cilat e udhëheqim çdo projekt — nga përgatitja deri te certifikata, e cila vjen vetëm në fund:
Trajnimet dhe auditimi i brendshëm i PIMS-it
Standardi implementohet si zgjerim i ISMS-së ekzistuese.
Kontrolli i bazës: ISO 27001
ISO 27701 nuk certifikohet i pavarur. Kontrollojmë pjekurinë e ISMS-së ekzistuese ose planifikojmë implementimin e njëkohshëm të të dy standardeve.
Roli: kontrollues ose përpunues
Hartëzojmë rrjedhat e të dhënave personale dhe për çdo proces përcaktojmë rolin — prej tij varet cili aneks i standardit vlen.
Zgjerimi i vlerësimit të rrezikut te privatësia
Metodologjia e rrezikut plotësohet me rreziqet ndaj të drejtave të personave, duke përfshirë vlerësimet e ndikimit (DPIA) për përpunimet me rrezik.
Evidenca e përpunimeve dhe bazat ligjore
Regjistri i aktiviteteve të përpunimit, bazat ligjore, afatet e ruajtjes dhe procedurat për të drejtat e personave (qasja, fshirja, kundërshtimi).
Plotësimi i kontrolleve dhe dokumentacionit
Privatësia që në dizajn, kontratat me përpunuesit, transferimet ndërkombëtare të të dhënave dhe njoftimi për shkeljet.
Trajnimet dhe auditimi i brendshëm i PIMS-it
Trajnim i synuar i punonjësve që punojnë me të dhëna personale dhe zgjerimi i auditimit të brendshëm te kërkesat e privatësisë.
Rruga drejt certifikatës
Certifikimi kryhet së bashku me auditimin ISO 27001 ose si zgjerim i certifikatës ekzistuese.
Parakusht i gjithçkaje: sistemi është implementuar dhe zbatuar në praktikë — të gjitha kërkesat e standardit janë përmbushur, është kryer auditimi i brendshëm dhe rishikimi nga drejtuesit.
Certifikatë ekzistuese ISO 27001 ose certifikim i njëkohshëm i të dy standardeve.
Shqyrtim i regjistrit të përpunimeve, procedurave për të drejtat e personave, kontratave dhe hartës së roleve.
Si zbatohet privatësia në praktikë — nga kërkesat e personave deri te reagimi ndaj shkeljes së të dhënave.
Vlefshmëri 3 vjeçare, mirëmbajtje përmes kontrolleve vjetore së bashku me ISO 27001.
Përfitimet e zbatimit të standardit
Sistem privatësie i konfirmuar në mënyrë të pavarur — argument i fortë para rregullatorëve dhe në proceset e due diligence.
Kontrolluesit gjithnjë e më shpesh kërkojnë përpunues të certifikuar; certifikata shkurton kontrollet e furnitorëve.
Siguria dhe privatësia menaxhohen në mënyrë të integruar — pa dyfishim dokumentacioni dhe auditimesh.
Menaxhimi sistematik i privatësisë zvogëlon mundësinë e shkeljeve të të dhënave dhe sanksioneve.
Skenar ilustrues dhe tipik që e dëgjojmë shpesh nga klientët — nuk përfaqëson një klient konkret të emërtuar.
“E kishim ISO/IEC 27001, por pyetjes ‘ku janë të dhënat personale të klientëve dhe kush ka qasje në to’ askush nuk mund t'i përgjigjej saktë. ISO/IEC 27701 na detyroi të hartëzonim përpunimin e të dhënave personale (PII), të ndanim rolin e kontrolluesit dhe të përpunuesit dhe t'i lidhnim kontrollet drejtpërdrejt me kërkesat e GDPR nëpërmjet Shtojcës D.”
— skenar i shpeshtë i klientëve tanë
Lidhja me standardet e ngjashme
ISO 27001 është baza e detyrueshme — 27701 ndan vlerësimin e tij të rrezikut dhe ciklin certifikues. Aneksi D i mapon kërkesat me GDPR-in, ndërsa NIST Privacy Framework është homologu amerikan, i dobishëm për punën me partnerë amerikanë.
Mbajmë trajnime për të gjitha standardet që implementojmë — nga kuptimi bazë deri te auditori i brendshëm.
Pyetje të shpeshta rreth ISO/IEC 27701:2019
A mund ta implementoj ISO 27701 pa ISO 27001?
Jo — 27701 është një zgjerim dhe certifikohet vetëm së bashku me një ISMS ekzistues ose të implementuar njëkohësisht. Të dy standardet mund të futen në një projekt të vetëm.
A do të thotë ISO 27701 pajtueshmëri automatike me GDPR-in?
Jo automatikisht, por mbulon shumicën dërrmuese të kërkesave të GDPR-it, ndërsa Aneksi D përmban një hartëzim të drejtpërdrejtë me nenet e rregullores.
Çfarë është PIMS?
Privacy Information Management System — një ISMS i zgjeruar me kërkesat për mbrojtjen e të dhënave personale në rolet e kontrolluesit dhe përpunuesit.
Sa zgjat implementimi?
Me ISO 27001 ekzistues zakonisht 2 deri në 4 muaj; nëse standardet implementohen së bashku, 6 deri në 10 muaj. Për sisteme të mëdha — mbi 500 të punësuar, disa lokacione ose sistem i integruar me disa standarde — projekti realisht zgjat mbi një vit; edhe këta klientë i udhëheqim.
Sa kushton implementimi i ISO 27701?
Nuk ka çmim fiks që vlen për të gjithë — kostoja varet nga fusha (veprimtaria) e organizatës, madhësia dhe numri i punonjësve, standardi i zgjedhur dhe gjendja aktuale e sistemit. Na dërgoni një përshkrim të shkurtër të organizatës suaj dhe do të përgatisim falas një ofertë orientuese të përshtatur për ju.
Çfarë do të thotë certifikata SSH EN ISO/IEC 27701?
Kur në tender ose në kërkesën e klientit shkruhet SSH EN ISO/IEC 27701, SK ISO/IEC 27701 ose MEST ISO/IEC 27701:2020, bëhet fjalë për të njëjtin standard — vetëm nën emërtimin kombëtar. Shqipëria e adopton si SSH (Standard Shqiptar, DPS), Kosova si SK (Standardi i Kosovës, AKS), Mali i Zi si MEST (ISME); përmbajtja, klauzolat dhe kërkesat që kontrollon audituesi janë identike. Certifikatën e lëshon një organ certifikues i akredituar — në Shqipëri akreditimin e kryen DPA (Drejtoria e Përgjithshme e Akreditimit), në Kosovë DAK (Drejtoria e Akreditimit e Kosovës), në Mal të Zi ATCG — ndërsa njohja e certifikatës jashtë vendit varet nga fushëveprimi për të cilin organi i akreditimit është nënshkrues i marrëveshjeve EA/IAF MLA: sipas regjistrit të EA-s, DPA e ka këtë status edhe për certifikimin e sistemeve të menaxhimit, ndërsa DAK-u ende nuk është nënshkrues i EA MLA-së.
Pse ndryshojnë emërtimet, ndërkohë që standardi është i njëjti?
Çdo vend anëtar i sistemit evropian dhe ndërkombëtar të standardizimit e merr të njëjtin standard në katalogun e vet kombëtar dhe i shton një prefiks kombëtar — në Mal të Zi ky është MEST. Përmbajtja, struktura, klauzolat dhe të gjitha kërkesat që auditori i kontrollon gjatë certifikimit mbeten plotësisht identike, pavarësisht se cili emërtim shkruhet në dokument. Prandaj certifikata e lëshuar sipas njërit emërtim e mbulon plotësisht edhe tjetrin — nuk bëhet fjalë për dy standarde, por për një e të njëjtin, vetëm nën dy emra.
Veprimtaria jonë kryesore është implementimi dhe zbatimi i standardeve: e përgatisim organizatën tuaj në mënyrë që auditimi certifikues të kalojë pa surpriza, ndërsa termat „certifikimi ISO/IEC 27701:2019" dhe „certifikata MEST ISO/IEC 27701" i shpjegojmë sepse pikërisht kështu i kërkojnë klientët. Çfarë nënkuptojnë certifikimi, akreditimi, IAF dhe auditimet mbikëqyrëse — lexoni në faqen Certifikimi / Certifikata ISO, ndërsa për emërtimet në tenderë në faqen Standardet ISO në tenderë.
Standardet që përshtaten si hoje mjalti
Çdo standard e ruan formën e vet, por së bashku formojnë një sistem të vetëm, të fortë dhe të integruar të menaxhimit (SIM) — pa boshllëqe dhe pa mbivendosje. Klikoni mbi një hekzagon për ta hapur atë standard.
Më shumë rreth sistemit të integruar të menaxhimit
Sistemi i integruar i menaxhimit (SIM) bashkon dy ose më shumë standarde ISO — për shembull ISO/IEC 27701 me ISO 9001 ose ISO 14001 — në një kuadër të përbashkët dokumentacioni, objektivash dhe kontrollesh të brendshme, në vend që çdo standard të jetojë në procedurën e vet paralele.
Një strukturë e njëjtë (struktura e nivelit të lartë — HLS) që e ndajnë të gjitha standardet moderne ISO. Falë saj, politika e cilësisë, menaxhimi i rrezikut, auditimet e brendshme dhe rishikimi nga drejtuesit mund të jenë të përbashkëta për disa standarde njëherësh.
Çdo standard veç e veç trajton një pjesë të biznesit — cilësinë, mjedisin, sigurinë, informacionin. Kur një organizatë zbaton disa prej tyre, sistemet e ndara shpejt dyfishojnë të njëjtin dokumentacion dhe të njëjtët auditorë.
Më pak dyfishim procedurash, menaxhim më i thjeshtë, mbikëqyrje më e fortë e proceseve, përdorim më efikas i burimeve dhe përgatitje më e lehtë për një auditim certifikues të kombinuar.
ISO/IEC 27701 mund të implementohet në mënyrë të pavarur ose si pjesë e një sistemi të integruar — vendimi varet nga numri i standardeve që synoni dhe nga ajo nëse do t'i zbatoni njëkohësisht apo në mënyrë graduale.
Kontrolloni gatishmërinë e organizatës suaj
Përgjigjuni disa pyetjeve dhe merrni një vlerësim orientues të nivelit aktual të gatishmërisë së organizatës suaj (ISO/IEC 27701).
Ky vetëvlerësim jep vetëm një rezultat orientues të gatishmërisë. Nuk përbën certifikim, auditim zyrtar apo konfirmim formal të përputhshmërisë.
Disa nga referencat tona
Mbi 400 organizata në Mal të Zi dhe rajon e kanë kaluar implementimin me ne — nga bankat dhe organet shtetërore te prodhimi, IT-ja, laboratorët dhe mikpritja.
Këta janë vetëm disa nga klientët tanë. Më shumë për ne →
Gati për standardizim?
Na kontaktoni për një konsultë falas hyrëse — do të vlerësojmë vëllimin e punës dhe do të propozojmë një plan dhe buxhet realist. Na telefononi ose dërgoni një kërkesë — përgjigjemi brenda 24 orësh.