ISO/IEC 27701 – نظام إدارة معلومات الخصوصية (Privacy Information Management System)

يحدّد المعيار متطلبات وإرشادات تنفيذ لنظام PIMS: السياسات، والأدوار، والنظر في المخاطر، والـControls الخاصة بمعالجة البيانات الشخصية – وذلك من منظور المؤسسة بوصفها PII Controller ‏(المسؤول عن المعالجة) و/أو PII Processor ‏(المعالج). وكغيره من معايير أنظمة الإدارة، يتبع في البنود 4–10 البنية الموحّدة لمعايير أنظمة الإدارة من ISO: السياق، والقيادة، والتخطيط، والدعم، والتشغيل، والتقييم، والتحسين. وبذلك فإن PIMS ليس كتالوجًا للإجراءات، بل إطار توجيه يُشغَّل بشكل مستمر بمسؤوليات وأدلة إثبات محدّدة.

يحلّ الإصدار الثاني المنشور في 14 أكتوبر 2025 محلّ إصدار 2019، ويجعل ISO/IEC 27701 معيارًا مستقلًا: فلم تعد شهادة ISO 27001 شرطًا مسبقًا للحصول على شهادة PIMS. وبالتوازي صدر ISO/IEC 27706:2025 بمتطلبات لجهات منح الشهادات الخاصة بعمليات تدقيق PIMS؛ وهو يحلّ محلّ ISO/IEC TS ⁦27006-2⁩ السابق. وتسري على التحوّل فترة انتقالية مدتها ثلاث سنوات: يجب على جهات منح الشهادات إتمام تحوّلها الخاص بحلول نهاية أكتوبر 2027، وتفقد الشهادات القائمة وفق ISO/IEC 27701:2019 صلاحيتها في موعد أقصاه نهاية أكتوبر 2028. ولذلك ينبغي للمؤسسات الحاصلة على الشهادة أن تخطّط للانتقال ضمن دورات التدقيق الرقابي وتجديد الشهادة الاعتيادية.

الاستقلالية لا تعني الانفصال: الإصدار الجديد متوافق مع ISO/IEC 27001:2022 وISO/IEC 27002:2022، ويتبنّى لغة الـControls والمصطلحات المحدّثة فيهما. وبالنسبة للمؤسسات التي لديها نظام ISMS قائم، يبقى التكامل هو الطريق البديهي – سياق مشترك، ومنهجية مخاطر مشتركة، وبيان قابلية تطبيق موسّع ليشمل حماية البيانات بدلًا من بنية موازية. كما تسهّل بنية البنود الموحّدة الجمع مع أنظمة إدارة أخرى، مثل ISO 9001 أو ISO/IEC 42001. والجديد هو حرية الاختيار: يمكن للمؤسسات غير الحاصلة على شهادة ISMS أن تبدأ بـPIMS وأن تضيف الحصول على شهادة أمن المعلومات لاحقًا.

جُمعت Controls الإصدار الجديد في ملحق A موحّد ونُظّمت حسب الأدوار: ‏31 Control لـPII Controller ‏(منها الأسس القانونية، والموافقة، وحقوق أصحاب البيانات، وPrivacy by Design، والشفافية)، و18 Control لـPII Processor ‏(منها المعالجة وفق اتفاق العميل فقط، ودعم المسؤول عن المعالجة، والإعادة والحذف، والإفصاحات، والمعالجون من الباطن)، إضافةً إلى مجموعة ثالثة من Controls الأمن المشتركة لكلا الدورين. ويُلغى التقسيم السابق إلى الملحق A ‏(المسؤول عن المعالجة) والملحق B ‏(المعالج) في إصدار 2019؛ ويتضمن الملحق B الآن إرشادات التنفيذ. وتبقى خطوة تحديد الأدوار خطوة مهمة في تحديد النطاق: فكثير من المؤسسات تجمع بين الدورين بحسب المعالجة، ويجب عليها النظر في مجموعتَي الـControls كلتيهما.

لا يحلّ ISO/IEC 27701 محلّ المتطلبات القانونية، لكنه يحوّل التزامات GDPR المحورية إلى ممارسة تشغيلية: إذ يدعم نظام PIMS موثّق وخاضع للتدقيق مبدأ المساءلة وفق المادة 5 الفقرة 2 من GDPR، ويقدّم للمعالجين أدلة إثبات متينة على «الضمانات الكافية» التي تشترطها المادة 28 من GDPR – مثلًا في مفاوضات اتفاقيات معالجة البيانات (AVV) وعمليات تدقيق العملاء. وتوضيح مهم: شهادة ISO 27701 ليست شهادة وفق المادة 42 من GDPR؛ فمثل هذه الإجراءات يجب أن تعتمدها الجهات الرقابية أو المجلس الأوروبي لحماية البيانات. وتثبت شهادة PIMS وجود نظام إداري فعّال – ويبقى التقييم القانوني لعمليات المعالجة الفردية غير متأثر بها.

تكون الفائدة أكبر للمؤسسات التي تعالج بيانات شخصية لصالح العملاء وتضطر إلى إثبات ذلك بانتظام: المعالجون، ومزوّدو خدمات Cloud وSaaS، ومزوّدو الخدمات المُدارة، حيث تختصر أدلة إثبات PIMS فحوصات العناية الواجبة (Due Diligence) ومفاوضات العقود. وبالنسبة للشركات التي لديها نظام ISMS قائم وفق ISO 27001، يُعدّ التوسيع الطريق الأكثر كفاءة لدمج حماية البيانات في هياكل الحوكمة القائمة. وتستفيد المؤسسات العاملة دوليًا من كون المعيار مصمّمًا بشكل عابر للأنظمة القانونية وقابلًا للتطبيق على عدة أنظمة لحماية البيانات. ومنذ المراجعة :2025 تنضم مؤسسات ترغب في البدء تحديدًا بنظام إدارة حماية البيانات دون الحصول مسبقًا على شهادة ISMS.