ISO/IEC 27018 – zaščita osebnih podatkov v javnem oblaku
Smernice za zaščito osebnih podatkov (PII) pri ponudnikih javnega oblaka, ki so obdelovalci.
Katero težavo rešujemo
Ponudnik oblaka obdeluje osebne podatke strank, vendar ne more preprosto dokazati, kako omejuje namen obdelave, ravna z zahtevami posameznikov in razkriva podobdelovalce.
Zakaj je to pomembno
Standard dopolnjuje kontrole varnosti s kontrolami za osebne podatke: namen obdelave, preglednost, razkritja, podobdelovalci in brisanje. Ne nadomešča skladnosti z GDPR.
Za koga je
- Ponudniki javnih oblačnih storitev, ki obdelujejo osebne podatke po navodilih strank.
- Organizacije, ki izbirajo ponudnika oblaka in želijo oceniti obdelavo osebnih podatkov.
- Organizacije, ki že imajo ISO/IEC 27001 in želijo urediti zasebnost v oblaku.
Kaj obsega delo
- Obdelava osebnih podatkov samo po navodilih stranke.
- Obveščanje o razkritjih, podobdelovalcih in lokaciji obdelave.
- Pomoč stranki pri uveljavljanju pravic posameznikov.
- Vračanje, prenos in varno brisanje osebnih podatkov.
- Povezava s kontrolami ISO/IEC 27001 in 27002 ter ISO/IEC 27701.
Potek dela
Ugotovitev vloge (obdelovalec) in vrst osebnih podatkov.
Pregled obstoječih kontrol glede na smernice standarda.
Dopolnitev dokumentacije, pogodb in postopkov.
Priprava dokazil in notranji pregled.
Kaj potrebujemo od vas
- Opis oblačne storitve in vrst osebnih podatkov, ki jih obdelujete.
- Pogodbe o obdelavi osebnih podatkov in seznam podobdelovalcev.
- Obstoječe politike varnosti in zasebnosti.
Kaj prejmete
- GAP analiza glede na smernice standarda.
- Seznam pogodbenih in procesnih dopolnitev.
- Predlog dopolnitve izjave o uporabnosti in dokumentacije.
Kaj ni vključeno in kje so meje
- Pravno mnenje o skladnosti z GDPR.
- Certifikacija: standard vsebuje smernice, ne zahtev za samostojen certifikat.
- Tehnična konfiguracija in testiranje sistemov.
Standard vsebuje smernice, ne zahtev za certifikabilen sistem upravljanja. Plačljivega besedila standarda ne povzemamo in ne ponatiskujemo. Za zahteve v celoti uporabite uradno izdajo standarda.
Pogosta vprašanja
Ali je ISO/IEC 27018 certifikabilen?
Standard vsebuje smernice za izvedbo kontrol, ne zahtev za sistem upravljanja. Zunanja potrditev je običajno del certifikacije ISO/IEC 27001 s širitvijo, če jo certifikacijski organ ponuja.
Ali s tem standardom izpolnim zahteve GDPR?
Ne samodejno. Standard pomaga urediti nekatere zahteve za obdelovalce, obveznosti po GDPR pa je treba presojati posebej.
Katera izdaja velja?
Po javno dostopnih podatkih je bila tretja izdaja objavljena leta 2025. Veljavno izdajo in prehodna pravila preverite pri ISO ali certifikacijskem organu.
Uradni viri
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.