ISO 27701 checklist: alle onderdelen om na te lopen
Een ISO 27701 checklist loopt de managementeisen (hoofdstukken 4 tot en met 10) en de privacy-maatregelen uit Annex A na. Per onderdeel vraag je twee dingen: is het beschreven, en is het in de praktijk ook zo? De auditor kijkt naar het tweede. Deze checklist is een werkdocument: je vult per regel in wat je hebt en welk bewijs er is. De exacte tekst van de eisen staat in de norm zelf, die je bij NEN koopt. Voor het verhaal achter de eisen lees je de eisen van ISO 27701.
Gebruik de checklist vóór je een nulmeting doet. Dan zie je meteen waar je gaten zitten.
Op deze pagina
Eerst de managementeisen per hoofdstuk, daarna de privacy-maatregelen per thema. Per onderdeel staat de vraag die je jezelf stelt en het bewijs dat de auditor wil zien.
Een checklist is een hulpmiddel, geen vervanging van de norm. Vinkjes zonder bewijs tellen niet. Een auditor vraagt altijd door: “Laat dat eens zien.”
Deel 1: managementeisen (hoofdstukken 4 tot en met 10)
Deze onderdelen gelden voor elk managementsysteem dat volgens de High Level Structure is opgebouwd. Ze vormen het skelet van je PIMS, het privacy information management system.
| Hoofdstuk | Onderwerp | Vraag voor jezelf | Bewijs voor de auditor |
|---|---|---|---|
| 4 | Context en scope | Welke persoonsgegevens verwerk je, en welke rol heb je: verantwoordelijke, verwerker of beide? | Scopedocument, verwerkingsregister |
| 5 | Leiderschap | Heeft de directie een privacybeleid vastgesteld en gecommuniceerd? | Ondertekend beleid, notulen van het besluit |
| 6 | Planning | Heb je een privacy-risicoanalyse gemaakt en doelstellingen gesteld? | Risicoanalyse, lijst met doelstellingen en meetpunten |
| 7 | Ondersteuning | Weten medewerkers wat ze moeten doen, en is dat vastgelegd? | Trainingsregistratie, documentbeheer, competenties |
| 8 | Uitvoering | Werken de processen zoals beschreven? | DPIA’s, verwerkersovereenkomsten, verwerkte verzoeken |
| 9 | Evaluatie | Kijk je zelf kritisch naar het systeem? | Verslag interne audit, verslag directiebeoordeling |
| 10 | Verbetering | Pak je afwijkingen en incidenten structureel aan? | Register van afwijkingen met corrigerende maatregelen |
Een voorbeeld van een ingevulde regel
Hoofdstuk 8 gaat over uitvoering. Stel dat je een webshop runt met klantgegevens. Dan vraag je: “Hoe verwerken wij een verzoek om inzage?” Het antwoord is een procedure met een sjabloon en een logboek met ontvangen verzoeken. Het bewijs is het logboek, met de datum van ontvangst en de datum van afhandeling. Heb je nog nooit een verzoek gehad? Dan laat je de procedure zien en de test die je hebt gedaan. Dat laatste is ook bewijs.
Deel 2: privacy-maatregelen per thema
In de 2025-versie telt Annex A 78 maatregelen: 31 voor verantwoordelijken, 18 voor verwerkers en 29 gedeelde beveiligingsmaatregelen. Welke je nodig hebt, verschilt per rol. De checklist hieronder groepeert ze per thema. Welke maatregelen voor jou gelden, hangt af van je rol. Lees daarvoor verwerker of verwerkingsverantwoordelijke.
| Thema | Vraag voor jezelf | Bewijs voor de auditor |
|---|---|---|
| Grondslag en doel | Kun je per verwerking zeggen waarom je de gegevens gebruikt? | Verwerkingsregister met doel en grondslag per regel |
| Transparantie | Weten betrokkenen welke gegevens je verwerkt en waarom? | Privacyverklaring, de datum waarop je hem laatst bijwerkte |
| Rechten van betrokkenen | Hoe handel je inzage, correctie en verwijdering af? | Procedure, sjabloon, logboek van verzoeken |
| Bewaartermijnen | Weet je hoe lang je elke categorie bewaart en waarom? | Bewaarschema, en het bewijs dat oude gegevens daadwerkelijk worden verwijderd |
| Delen met derden | Weet je aan wie je gegevens doorgeeft? | Lijst van ontvangers, verwerkersovereenkomsten |
| Verwerkers (als je verwerker bent) | Volg je de instructies van je klant, en kun je dat aantonen? | Instructies per klant, verwerkersovereenkomst |
| Beveiliging (de 29 gedeelde maatregelen) | Zijn de persoonsgegevens beschermd tegen onbevoegde toegang? | Je beveiligingsbeleid en toegangsregels, bijvoorbeeld via ISO 27001 |
| Datalekken | Weet iedereen wat er moet gebeuren bij een lek? | Procedure, datalekregister, en het melden bij de AP |
Veel organisaties denken dat een beleidsdocument genoeg is. De auditor wil zien dat het beleid in de praktijk werkt. Een verwerkingsregister dat al jaren niet is bijgewerkt, zie je bij de eerste blik op het document.
Hoe gebruik je de checklist?
Werk in drie rondes. Dat voorkomt dat je halverwege vastloopt.
- Eerst alleen invullen of het bestaat. Ja, deels of nee. Dat is een uur werk per thema, en het geeft je een eerlijk beeld.
- Dan het bewijs controleren. Bij elke ja vraag je: waar staat dat, en wie werkt er mee? Staat het niet op papier, dan is het nog geen ja.
- Dan de gaten prioriteren. Begin met de gaten die je klanten of de AVG het hardst raken: rechten van betrokkenen, datalekken en het verwerkingsregister.
Heb je ISO 27001 al? Dan hergebruik je veel. De beveiligingsrijen zijn bij jou vaak al ingevuld. Lees daarvoor ISO 27701 vs. ISO 27001.
Veelgemaakte fouten
De scope is te smal. Je checklist gaat over de hele organisatie, maar je hebt alleen de klantportal beschreven. De auditor vraagt dan: en de HR-software dan?
Het beleid bestaat, maar niemand kent het. De auditor vraagt een medewerker naar het datalekproces. Als het antwoord onzeker is, is het beleid niet ingevoerd.
Het bewijs is er niet. Je hebt een procedure voor inzageverzoeken, maar geen enkel logboek. Dat betekent dat je de procedure nooit hebt getest, of dat je hem niet gebruikt.
De checklist is eenmalig. Een checklist die je één keer invult en opbergt, helpt niet bij de jaarlijkse controle-audit. Werk hem elk kwartaal bij.
Hoe vaak werk je de checklist bij?
Een checklist veroudert. Een nieuwe verwerking, een nieuwe leverancier of een nieuwe dienst maakt een deel van de antwoorden onjuist. Werk de checklist daarom op drie momenten bij:
- bij elke wijziging van de scope, bijvoorbeeld een nieuwe productlijn of een nieuwe locatie
- elk kwartaal, als vaste herinnering voor de eigenaar van het privacysysteem
- vlak voor de controle-audit, als eindcontrole van het bewijs
Leg per wijziging vast wat er veranderde en wie dat heeft goedgekeurd. Dat logboek is zelf bewijs van een werkend systeem.
Voorbeeld: een ingevulde rij voor een HR-module
Een SaaS-bedrijf voegt een HR-module toe. Die verwerkt salarisgegevens, en de klanten van het bedrijf zijn zelf werkgevers. Bij het thema grondslag vult het bedrijf in:
| Vraag | Antwoord | Bewijs |
|---|---|---|
| Kunnen we per verwerking zeggen waarom we gegevens gebruiken? | Ja, voor de module salarisadministratie: uitvoering van het contract met de werkgever | Regel in het verwerkingsregister, met de rol verwerker |
| Staat de verwerking in de instructies van de klant? | Deels: de klant heeft de module niet expliciet beschreven | Open actiepunt met de datum en de eigenaar |
De tweede rij is nuttig. Een eerlijk open punt, met een eigenaar en een datum, wekt meer vertrouwen dan een vinkje zonder bewijs. De auditor ziet dat het systeem werkt, ook waar het nog niet af is.
Volgende stappen
Met de checklist in beeld kun je een realistische planning maken. Lees het stappenplan voor de volgorde, en de kosten en tijdlijn voor wat het kost. Wil je weten hoe de auditor de checklist toetst? Dat staat op het auditproces.
Bronnen
- ISO/IEC 27701 bij ISO – de norm, de officiële tekst
- NEN – Nederlandse uitgave van de norm
- Autoriteit Persoonsgegevens – de AVG in het kort