ISO/IEC 27701:2025 Kişisel Veri Yönetim Sistemi Belgesi Nedir ve Nasıl Alınır?

28 Tem

3 dakikada okunur

ISO 27701, kuruluşların kişisel verileri korumak ve gizlilik risklerini uluslararası standartlara uygun şekilde yönetmek için oluşturduğu Gizlilik Bilgi Yönetim Sistemidir (PIMS). 2025 sürümüyle birlikte standart, artık bağımsız olarak kurulup belgelendirilebilen bir yapıya kavuşmuştur.

ISO 27701 Nedir?

ISO/IEC 27701, Gizlilik Bilgi Yönetim Sistemi için uluslararası gereklilikleri ve rehberliği belirler. Standart, kişisel olarak tanımlanabilir bilgiler (PII) işleyen kurumların gizlilik risklerini yönetmesine ve veri koruma yasalarına uyum sağlamasına yardımcı olur.

2025 sürümünün en kritik değişikliği: Artık ISO 27701, ISO 27001 Bilgi Güvenliği Yönetim Sistemi'nden tamamen bağımsız olarak uygulanabilir ve belgelendirilebilir. Önceki 2019 sürümü, ISO 27001'in bir eklentisi olarak tasarlanmıştı ve bu belgeyi alabilmek için öncelikle ISO 27001 sertifikasına sahip olmayı zorunlu kılıyordu.

Kimler Bu Belgeyi Alabilir?

ISO 27701, kişisel veri işleyen (veri sorumlusu veya veri işleyen) her tür ve büyüklükteki kuruluşa uygulanabilir. Hedef kitle arasında PII sorumluları, PII işleyenler, gizlilik görevlileri, Veri Sorumlusu (DPO) ve uyum ekipleri yer alır. Yeni bağımsız yapısı sayesinde, özellikle gizlilik yönetimine öncelik veren ancak henüz tam kapsamlı bir bilgi güvenliği sistemine sahip olmayan kurumlar için daha erişilebilir hale gelmiştir.

ISO 27701 ve ISO 27001 Arasındaki Farklar

Özellik	ISO/IEC 27001	ISO/IEC 27701
Sistem Adı	Bilgi Güvenliği Yönetim Sistemi (ISMS)	Gizlilik Bilgi Yönetim Sistemi (PIMS)
Temel Odak	Tüm bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliği (CIA)	Kişisel verilerin (PII) korunması ve gizlilik haklarının yönetimi
Bağımsızlık (2025)	Bağımsız bir standarttır	Artık bağımsız olarak kurulup belgelendirilebilir
Kapsam	Finansal veriler, fikri mülkiyet, ticari sırlar, kişisel veriler dahil tüm bilgiler	Yalnızca gerçek kişilere ait kişisel veriler (PII)

Belge Alma Süreci (Adım Adım)

ISO 27701 belgesi almak için izlenen süreç, diğer ISO yönetim sistemleriyle benzerlik gösterir ve iki aşamalı denetimle tamamlanır.

1. Sistem Kurulumu ve Dokümantasyon

Boşluk Analizi (Gap Analysis): Mevcut veri işleme süreçleriniz ile ISO 27701 gereklilikleri arasındaki farkları belirleyin.
PIMS Dokümantasyonu: Standardın gerektirdiği politika, prosedür ve kayıt formatlarını oluşturun.
Varlık Envanteri ve Veri Kategorizasyonu: Bilgi varlıklarını ve kişisel veri kategorilerini (kimlik, iletişim, özel nitelikli veri vb.) tanımlayın ve sınıflandırın.
Risk Değerlendirmesi ve Kontrol Seçimi: Kişisel veri işleme faaliyetlerinizle ilgili gizlilik risklerini değerlendirin ve uygun kontrolleri (Ek A ve B) belirleyin.
PIMS Gereksinimlerinin Entegrasyonu: Veri sahibi hakları prosedürleri, Gizlilik Etki Değerlendirmesi (DPIA) ve Veri Sorumlusu (DPO) rolünü sisteme dahil edin.

2. Uygulama ve Eğitim

Oluşturulan sistemi hayata geçirin ve tüm personele veri gizliliği ve güvenliği konularında eğitim verin.

3. İç Denetim ve Yönetimin Gözden Geçirmesi

Sistemin etkinliğini iç denetimle kontrol edin ve sonuçları üst yönetime sunun.

4. Belgelendirme Denetimi

1. Aşama Denetim (Doküman İncelemesi): Denetçiler, hazırladığınız dokümantasyonu (PIMS kapsamı, politika, risk değerlendirmesi) inceler ve sisteme geçiş için hazır olup olmadığınızı değerlendirir.
2. Aşama Denetim (Saha Denetimi): Denetçiler kurumunuzu ziyaret ederek, dokümante edilen sistemin sahada uygulanıp uygulanmadığını, çalışanlarla görüşmeler yaparak ve kayıtları inceleyerek doğrular.
Düzeltici Faaliyetler: Denetimlerde tespit edilen uygunsuzluklar varsa, bunları gidermek için düzeltici faaliyetler uygulayın.

5. Sertifika ve SonrasıTüm denetim aşamaları başarıyla tamamlandığında, işletmenize ISO 27701 belgesi verilir. Belge 3 yıl geçerlidir ve yıllık gözetim denetimleri ile sürdürülür.

Sıkça Sorulan Sorular

1. ISO 27701 belgesi nedir?ISO 27701, bir kuruluşun Gizlilik Bilgi Yönetim Sistemi (PIMS) için gereklilikleri belirleyen uluslararası bir standarttır. Kurumların kişisel verileri korumasına, gizlilik risklerini yönetmesine ve veri koruma yasalarına uyumu kanıtlamasına yardımcı olur.

2. ISO 27701 ile ISO 27001 arasındaki temel fark nedir?ISO 27001 genel bilgi güvenliğine odaklanırken, ISO 27701 özel olarak kişisel verilerin korunmasına ve gizlilik yönetimine odaklanır. 2025 sürümünden itibaren ISO 27701, 27001'den bağımsız olarak da alınabilir.

3. ISO 27701 belgesi almak zorunlu mu?Hayır, yasal bir zorunluluk değildir. Ancak GDPR ve KVKK gibi düzenlemelere uyumu göstermek, müşteri güvenini kazanmak ve rekabet avantajı sağlamak için stratejik bir adımdır.

4. ISO 27701 belgesini kimler alabilir?Kişisel veri işleyen (veri sorumlusu veya veri işleyen) her tür ve büyüklükteki kuruluş bu belgeyi alabilir.

5. ISO 27701:2025'in en önemli yeniliği nedir?En önemli yenilik, standardın ISO 27001'in bir eklentisi olmaktan çıkıp bağımsız (stand-alone) bir yönetim sistemi standardı haline gelmesidir. Artık kurumlar, ISO 27001 belgesi olmadan da ISO 27701 belgesi alabilir.

6. ISO 27701 belgesi kaç yıl geçerlidir?Diğer ISO yönetim sistemleri gibi ISO 27701 belgesi de 3 yıl geçerlidir. Yıllık gözetim denetimleri ve 3. yıl sonunda yeniden belgelendirme denetimi ile geçerliliği sürdürülür.

7. ISO 27701, KVKK'ya uyum sağlar mı?Evet, ISO 27701, GDPR başta olmak üzere KVKK gibi küresel veri koruma yasalarıyla uyumu kolaylaştıran bir çerçeve sunar. Gerekli idari ve teknik tedbirleri almak için güçlü bir referans kaynağıdır.

8. ISO 27701 belgesi almak için danışmanlık desteği zorunlu mu?Hayır, zorunlu değildir. Ancak standart, teknik detaylar ve yasal gerekliliklerle iç içe olduğu için danışmanlık almak, süreci hızlandırır, hataları minimize eder ve ilk denemede başarılı olma şansını artırır.

ISO 27701:2025, işletmelere kişisel verileri koruma konusundaki kararlılıklarını uluslararası geçerliliği olan bir sistemle kanıtlama fırsatı sunar. 2025 sürümüyle birlikte bağımsız bir standart haline gelen ISO 27701, ister mevcut bir ISO 27001 sistemini genişleterek, isterse sıfırdan bir gizlilik yönetim sistemi kurarak bu hedefe ulaşmayı mümkün kılar. Bu belge, yasal uyumluluğun ötesinde, müşteri güvenini ve kurumsal itibarı pekiştiren stratejik bir yatırımdır.

Firmanızda ISO 27701 Gizlilik Bilgi Yönetim Sistemi'ni kurmak ve belgelendirme süreci hakkında detaylı bilgi almak için bize ulaşabilirsiniz.