De AVG verplicht organisaties al jaren om zorgvuldig met persoonsgegevens om te gaan. Maar in de praktijk blijft privacy vaak versnipperd: een privacyverklaring op de website, een verwerkingsregister in Excel, losse verwerkersovereenkomsten, incidentele DPIA’s en een paar beleidsdocumenten die niet altijd actueel zijn.
ISO 27701 helpt om privacy structureel te organiseren.
ISO/IEC 27701 is de internationale norm voor een Privacy Information Management System, afgekort PIMS. De norm helpt organisaties om privacy niet als losse juridische verplichting te behandelen, maar als onderdeel van een beheersbaar managementsysteem.
Waar ISO 27001 draait om informatiebeveiliging, richt ISO 27701 zich specifiek op privacy en het beheer van persoonsgegevens. De norm helpt organisaties om rollen, processen, risico’s, maatregelen, documentatie en bewijs rondom privacy aantoonbaar in te richten. ISO beschrijft ISO/IEC 27701 als een standaard voor het opzetten, implementeren, onderhouden en continu verbeteren van een Privacy Information Management System. De norm is bedoeld voor organisaties die als verwerkingsverantwoordelijke of verwerker verantwoordelijk zijn voor persoonsgegevens.
Wat is ISO 27701?
ISO 27701 is een privacy-managementnorm. De norm geeft eisen en richtlijnen voor het inrichten van een PIMS: een managementsysteem waarmee je privacy structureel bestuurt, bewaakt en verbetert.
In de praktijk betekent dit dat je vastlegt:
- welke persoonsgegevens je verwerkt;
- waarom je deze gegevens verwerkt;
- op welke grondslag je dat doet;
- wie verantwoordelijk is;
- welke privacyrisico’s bestaan;
- welke maatregelen je neemt;
- welke verwerkers betrokken zijn;
- hoe rechten van betrokkenen worden afgehandeld;
- hoe datalekken worden gemeld en opgevolgd;
- hoe privacy aantoonbaar wordt gemonitord en verbeterd.
De oorspronkelijke ISO/IEC 27701:2019 was opgezet als uitbreiding op ISO 27001 en ISO 27002 voor privacy management. De ISO-pagina bij de 2019-editie omschrijft dit expliciet als een uitbreiding op ISO/IEC 27001 en ISO/IEC 27002 voor privacy management binnen de context van de organisatie.
Belangrijk om te weten: in 2025 is ISO/IEC 27701 vernieuwd. Volgens ISO is ISO/IEC 27701:2025 nu gepositioneerd als internationale standaard voor het opzetten, implementeren, onderhouden en continu verbeteren van een PIMS. Certificerende partijen beschrijven de grote verandering als volgt: ISO 27701 ontwikkelt zich van een uitbreiding op ISO 27001 naar een zelfstandiger privacy-managementstandaard.
Voor organisaties blijft de praktische boodschap hetzelfde: ISO 27701 helpt om privacy aantoonbaar, systematisch en controleerbaar te maken.
Waarom is ISO 27701 relevant?
Privacy is geen eenmalig project. Organisaties veranderen continu. Nieuwe systemen worden ingevoerd. Nieuwe leveranciers krijgen toegang tot data. Marketingtools worden gekoppeld. Medewerkers gebruiken SaaS-oplossingen. AI-toepassingen verwerken steeds vaker persoonsgegevens. En klanten, toezichthouders en partners verwachten dat privacy op orde is.
Zonder managementsysteem ontstaan vaak dezelfde problemen:
- niemand weet exact waar alle persoonsgegevens staan;
- het verwerkingsregister is niet actueel;
- DPIA’s worden alleen gedaan als iemand eraan denkt;
- verwerkersovereenkomsten zijn verspreid opgeslagen;
- datalekprocedures bestaan wel, maar worden weinig getest;
- privacyrisico’s zijn niet gekoppeld aan maatregelen;
- verantwoordelijkheden zijn onduidelijk;
- bewijs voor audits of klantvragen is lastig te vinden.
ISO 27701 brengt hier structuur in. De norm helpt om privacy te koppelen aan governance, risicoanalyse, documentbeheer, processen, controles en continue verbetering.
Daarmee wordt privacy niet alleen een juridische check, maar een bestuurbaar onderdeel van de organisatie.
ISO 27701 en de AVG
ISO 27701 vervangt de AVG niet. De AVG blijft de wettelijke basis voor privacybescherming in Europa. ISO 27701 helpt wel om veel AVG-verplichtingen praktisch en aantoonbaar te organiseren.
Denk aan onderwerpen zoals:
- privacy governance;
- verwerkingsregister;
- rollen van verwerkingsverantwoordelijke en verwerker;
- rechten van betrokkenen;
- datalekmanagement;
- privacy by design;
- DPIA’s;
- bewaartermijnen;
- informatiebeveiligingsmaatregelen;
- leveranciersmanagement;
- internationale doorgifte;
- monitoring en verbetering.
Een ISO 27701-certificering betekent dus niet automatisch dat een organisatie volledig AVG-compliant is. Maar het helpt wel om aan te tonen dat privacy serieus, gestructureerd en controleerbaar wordt beheerd.
Voor klanten, toezichthouders, partners en auditors is dat belangrijk. Je laat niet alleen zien dat je beleid hebt, maar ook dat je een werkend systeem hebt om privacy te beheren.
Voor wie is ISO 27701 bedoeld?
ISO 27701 is relevant voor vrijwel iedere organisatie die persoonsgegevens verwerkt. Vooral organisaties met veel klantdata, gevoelige gegevens of complexe leveranciersketens hebben er voordeel van.
De norm is interessant voor:
- SaaS-bedrijven;
- IT-dienstverleners;
- e-commerce organisaties;
- zorginstellingen;
- financiële dienstverleners;
- onderwijsinstellingen;
- overheidsorganisaties;
- HR- en payrollbedrijven;
- marketing- en dataplatformen;
- consultancybedrijven;
- organisaties die al ISO 27001 gecertificeerd zijn;
- organisaties die veel vragen krijgen over AVG, beveiliging en privacy.
Voor verwerkers is ISO 27701 vaak commercieel interessant. Je kunt richting klanten aantonen dat je privacyprocessen professioneel zijn ingericht. Voor verwerkingsverantwoordelijken helpt de norm om grip te krijgen op eigen processen en op leveranciers die persoonsgegevens verwerken.
ISO 27701 versus ISO 27001
ISO 27001 en ISO 27701 liggen dicht bij elkaar, maar ze hebben een ander zwaartepunt.
ISO 27001 richt zich op informatiebeveiliging. De centrale vraag is: hoe beschermen we informatie tegen risico’s zoals ongeautoriseerde toegang, verlies, verstoring of misbruik?
ISO 27701 richt zich op privacy management. De centrale vraag is: hoe zorgen we dat persoonsgegevens rechtmatig, transparant, veilig en aantoonbaar worden verwerkt?
In veel organisaties horen deze twee bij elkaar. Privacy zonder informatiebeveiliging is zwak. Maar informatiebeveiliging zonder privacygovernance is ook onvoldoende.
Een organisatie kan technisch goed beveiligd zijn, maar toch privacyrisico’s hebben. Bijvoorbeeld omdat gegevens te lang worden bewaard, betrokkenen onvoldoende worden geïnformeerd, verwerkingen niet goed zijn vastgelegd of verwerkersafspraken ontbreken.
Daarom is ISO 27701 een logische verdieping voor organisaties die al met ISO 27001 werken.
Wat moet je regelen voor ISO 27701?
Een goed PIMS bestaat uit beleid, processen, rollen, risico’s, maatregelen, documentatie en bewijs. Voor ISO 27701 moet je onder andere aantonen dat privacy niet alleen op papier bestaat, maar daadwerkelijk wordt beheerd.
Belangrijke onderdelen zijn:
1. Privacybeleid en governance
Je legt vast hoe privacy binnen de organisatie wordt bestuurd. Wie is verantwoordelijk? Welke rollen bestaan er? Hoe wordt privacy meegenomen in besluitvorming? Hoe wordt gerapporteerd aan management?
2. Scope van het PIMS
Je bepaalt welke onderdelen van de organisatie, processen, systemen en gegevensverwerkingen binnen de scope vallen. Dit is belangrijk, omdat een onduidelijke scope later leidt tot onduidelijke verantwoordelijkheid.
3. Verwerkingsregister
Je houdt bij welke persoonsgegevens worden verwerkt, voor welk doel, op welke grondslag, met welke bewaartermijn en met welke betrokken systemen of leveranciers.
4. Privacyrisicoanalyse
Je beoordeelt privacyrisico’s. Denk aan ongeautoriseerde toegang, te brede gegevensverzameling, onduidelijke toestemming, onvoldoende transparantie, foutieve gegevens, te lange bewaartermijnen of risico’s bij leveranciers.
5. DPIA-proces
Voor verwerkingen met een hoog privacyrisico moet je kunnen bepalen wanneer een DPIA nodig is, hoe deze wordt uitgevoerd en hoe maatregelen worden opgevolgd.
6. Rechten van betrokkenen
Je richt processen in voor inzage, correctie, verwijdering, beperking, bezwaar, dataportabiliteit en andere AVG-rechten.
7. Datalekprocedure
Je legt vast hoe datalekken worden herkend, beoordeeld, geregistreerd, gemeld en opgevolgd.
8. Leveranciers en verwerkers
Je beheert verwerkersovereenkomsten, leveranciersbeoordelingen en afspraken over beveiliging, doorgifte, subverwerkers en incidentmelding.
9. Bewaartermijnen en verwijdering
Je maakt aantoonbaar hoe lang gegevens worden bewaard en hoe gegevens veilig worden verwijderd of geanonimiseerd.
10. Monitoring en verbetering
Je toetst periodiek of privacyprocessen werken. Denk aan interne audits, management reviews, verbeteracties en periodieke controles.