ISO/IEC 27701: Kişisel Veri Yönetim Sistemi ve 2025 Değişiklikleri

ISO/IEC 27701, kuruluşların kişisel verileri (PII) korumak, gizlilik risklerini yönetmek ve GDPR gibi küresel veri koruma yasalarına uyumu kanıtlamak için kurabileceği uluslararası bir Gizlilik Bilgi Yönetim Sistemi (PIMS) standardıdır .

Temel Özellikleri ve Amaçları

• Odak Noktası: ISO 27701, yalnızca gerçek kişilere ait kişisel verilerin (PII) işlenmesi, saklanması ve aktarılması süreçlerindeki gizlilik yönetimine odaklanır .

• Hedef: Standardın amacı, kurumların "gizlilik ilkelerine göre tasarım" (privacy by design) yaklaşımını benimsemesini, veri sahiplerinin (ilgili kişilerin) haklarını korumasını ve bu konuda hesap verebilirliği tesis etmesini sağlamaktır .

• Yasal Uyumluluk Aracı: ISO 27701, doğrudan bir yasa olmamakla birlikte, GDPR, KVKK ve CCPA gibi veri koruma düzenlemelerine uyum sağlamak için güçlü bir yönetim çerçevesi sunar .

ISO/IEC 27001 ile İlişkisi ve 2025'teki Kritik Değişim

Bu iki standart arasındaki ilişki, 2025 yılında yayınlanan yeni sürümle (ISO/IEC 27701:2025) birlikte kökten değişmiştir .

• Eski Durum (2019 Sürümü): ISO 27701, ISO 27001 Bilgi Güvenliği Yönetim Sistemi'nin (ISMS) bir eklentisi (extension) olarak tasarlanmıştı. Bu, ISO 27701 belgesi alabilmek için öncelikle ISO 27001 belgesine sahip olmayı zorunlu kılıyordu .

• Yeni Durum (2025 Sürümü): ISO/IEC 27701:2025 ile standart, ISO 27001'den bağımsız (stand-alone) olarak kurulup belgelendirilebilen bir yapıya kavuşmuştur . Artık bir kurum, ISO 27001 belgesi olmadan da ISO 27701 belgesi alabilir.

Önemli Not: Bu değişiklik, "bağımsızlık" anlamına gelse de, iki standart yüksek derecede uyumlu olacak şekilde tasarlanmıştır. Her ikisi de ISO'nun ortak üst düzey yapısını (Annex SL / HLS) paylaşır. Bu sayede, mevcut bir ISO 27001 sistemine sahip kurumlar, ISO 27701'i bu sisteme entegre ederek (entegre yaklaşım) süreci oldukça verimli hale getirebilir .

ISO 27701 ile ISO 27001 Arasındaki Temel Farklar

Özellik	ISO/IEC 27001	ISO/IEC 27701
Sistem Adı	Bilgi Güvenliği Yönetim Sistemi (ISMS)	Gizlilik Bilgi Yönetim Sistemi (PIMS)
Temel Odak	Tüm bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliği (CIA üçlüsü)	Kişisel verilerin (PII) korunması ve gizlilik haklarının yönetimi
Bağımsızlık (2025 itibarıyla)	Bağımsız bir standarttır	Artık bağımsız olarak kurulup belgelendirilebilir
Kapsam	Finansal veriler, fikri mülkiyet, ticari sırlar, kişisel veriler dahil tüm bilgiler	Yalnızca gerçek kişilere ait kişisel veriler (PII)
Kilit Gereklilikler	Risk değerlendirmesi, 93 kontrol maddesi, Uygulanabilirlik Bildirgesi (SoA)	Veri işleme envanteri, ilgili kişi hakları prosedürleri, Gizlilik Etki Değerlendirmesi (DPIA), Veri Sorumlusu (DPO) rolü

Kimler Bu Belgeyi Alabilir ve Ne Sağlar?

• Hedef Kitle: ISO 27701, veri sorumlusu (PII Controller) veya veri işleyen (PII Processor) sıfatıyla kişisel veri işleyen her tür ve büyüklükteki kuruluşa uygulanabilir .

• Sağladığı Avantajlar:

  • Yasal Uyumluluğu Kanıtlama: ISO 27701, GDPR ve KVKK gibi düzenlemelere uyum sağlandığını uluslararası geçerli bir sistemle belgelemenin en etkili yoludur .

  • Müşteri ve Paydaş Güveni: Kişisel verilere verilen önemi somut olarak göstererek marka itibarını ve güvenilirliği artırır .

  • Rekabet Avantajı: Özellikle veri gizliliğinin kritik olduğu sektörlerde, rakipler arasında öne çıkmayı sağlar.

Sıkça Sorulan Sorular (SSS)

1. ISO/IEC 27701 belgesi nedir?ISO/IEC 27701, bir kuruluşun Gizlilik Bilgi Yönetim Sistemi (PIMS) için uluslararası gereklilikleri belirleyen bir standarttır. Kurumların kişisel verileri korumasına, gizlilik risklerini yönetmesine ve veri koruma yasalarına uyumu kanıtlamasına yardımcı olur .

2. ISO 27701 ile ISO 27001 arasındaki temel fark nedir?ISO 27001 genel bilgi güvenliğine (CIA üçlüsü) odaklanırken, ISO 27701 özel olarak kişisel verilerin korunmasına ve gizlilik yönetimine odaklanır . 2025'ten itibaren ISO 27701, 27001'den bağımsız olarak da alınabilir .

3. ISO 27701 belgesi almak zorunlu mu?Hayır, yasal bir zorunluluk değildir. Ancak, özellikle GDPR ve KVKK gibi düzenlemelere uyumu göstermek, müşteri güvenini kazanmak ve rekabet avantajı sağlamak için stratejik bir adımdır .

4. ISO 27701 belgesini kimler alabilir?Kişisel veri işleyen (veri sorumlusu veya veri işleyen) her tür ve büyüklükteki kuruluş bu belgeyi alabilir .

5. ISO 27701:2025'in en önemli yeniliği nedir?En önemli yenilik, standardın ISO 27001'in bir eklentisi olmaktan çıkıp bağımsız (stand-alone) bir yönetim sistemi standardı haline gelmesidir . Artık kurumlar, ISO 27001 belgesi olmadan da ISO 27701 belgesi alabilir .

6. ISO 27701 belgesi kaç yıl geçerlidir?Diğer ISO yönetim sistemleri gibi ISO 27701 belgesi de 3 yıl geçerlidir. Yıllık gözetim denetimleri ve 3. yıl sonunda yeniden belgelendirme denetimi ile geçerliliği sürdürülür.

7. ISO 27701, KVKK'ya uyum sağlar mı?Evet, ISO 27701, GDPR başta olmak üzere KVKK gibi küresel veri koruma yasalarıyla uyumu kolaylaştıran bir çerçeve sunar. Gerekli idari ve teknik tedbirleri almak için güçlü bir referans kaynağıdır .

8. ISO 27701 belgesi almak için danışmanlık desteği zorunlu mu?Hayır, zorunlu değildir. Ancak standart, teknik detaylar ve yasal gerekliliklerle iç içe olduğu için danışmanlık almak, süreci hızlandırır, hataları minimize eder ve ilk denemede başarılı olma şansını artırır.

Sonuç ve Öneriler

ISO 27701:2025, kişisel veri yönetimini uluslararası standartlara taşımak isteyen kurumlar için güçlü ve artık daha erişilebilir bir araçtır. Bağımsız bir standart haline gelmesi, gizlilik yönetimine öncelik veren ancak henüz tam kapsamlı bir bilgi güvenliği sistemine sahip olmayan kurumlar için de bu belgeyi ulaşılabilir kılmaktadır. İster mevcut bir ISO 27001 sisteminizi genişleterek, isterse sıfırdan bağımsız bir PIMS kurarak bu hedefe ulaşabilirsiniz.

Firmanızda ISO 27701 Gizlilik Bilgi Yönetim Sistemi'ni kurmak ve belgelendirme süreci hakkında detaylı bilgi almak için uzman ekibimizle iletişime geçebilirsiniz.