Is ISO 27701 verplicht?
Nee, ISO 27701 is niet wettelijk verplicht. Geen Nederlandse of Europese wet schrijft de norm of een certificaat voor. De AVG verplicht je wel om passende maatregelen te nemen en aantoonbaar aan de regels te voldoen, maar laat de manier van aantonen aan jou over. Artikel 42 AVG zegt zelfs uitdrukkelijk dat certificering vrijwillig is. Commercieel wordt ISO 27701 wel steeds vaker een eis, omdat klanten, aanbesteders en partners het in hun inkoopvoorwaarden opnemen.
Verplicht in de praktijk betekent dus meestal: je klant of aanbesteder eist het. Hoe je dat herkent, lees je hieronder. Het basisverhaal over de norm staat op wat is ISO 27701, en de juridische achtergrond op AVG en ISO 27701.
Wat zegt de wet?
De AVG kent een verantwoordingsplicht (artikel 5 lid 2): je moet kunnen laten zien dat je de regels naleeft. Daarbij horen een register van verwerkingen (artikel 30), een procedure voor verzoeken van betrokkenen, passende beveiliging (artikel 32) en, waar nodig, een DPIA (artikel 35). DPIA staat voor data protection impact assessment, een risicoanalyse vooraf. Die plichten gelden voor organisaties die persoonsgegevens verwerken, ongeacht of er een norm bij hoort. Voor het register geldt een uitzondering voor kleine organisaties (minder dan 250 medewerkers), maar die vervalt als de verwerking niet incidenteel is of risico’s meebrengt. In de praktijk heeft dus vrijwel iedereen een register nodig.
Wat de wet niet doet: een specifiek certificaat voorschrijven. Artikel 42 AVG biedt wel een kader voor AVG-certificeringsmechanismen, met criteria die een toezichthouder of de European Data Protection Board (EDPB) goedkeurt. Een voorbeeld is het Europese gegevensbeschermingszegel Europrivacy. ISO 27701 is geen goedgekeurd mechanisme onder dat artikel. Een ISO 27701-certificaat is daarom geen wettelijk bewijs van AVG-naleving. Het is een extern bevestigd managementsysteem, meer niet.
Wat wel verplicht is, ongeacht ISO 27701: in de meeste gevallen een register van verwerkingen (verwerkingsregister), een verwerkersovereenkomst zodra een ander namens jou persoonsgegevens verwerkt (verwerkersovereenkomst), en een melding bij een datalek (datalek melden).
Wanneer wordt het in de praktijk verplicht?
Dit zijn de situaties waarin ISO 27701 in de praktijk ter sprake komt. Geen daarvan komt uit de wet voort.
| Situatie | Wat er gebeurt | Is het verplicht? |
|---|---|---|
| Aanbesteding of inkoopvoorwaarden vragen om een ISO 27701-certificaat | Je moet het certificaat tonen, anders val je af | Ja, binnen die opdracht of relatie |
| Een klant laat je vragen beantwoorden in een vendor-assessment | Je moet privacymaatregelen aantonen, maar het certificaat is één van de manieren | Nee, een eigen beschrijving of audit van de klant kan ook volstaan |
| Een partner in een gereguleerde sector eist privacy-maatregelen | Vaak via een controlevragenlijst of contractclausule | Nee, tenzij het contract een certificaat noemt |
| Je verwerkt gegevens namens een klant | Een verwerkersovereenkomst is verplicht | De overeenkomst wel, ISO 27701 niet |
| Geen klant- of inkoopeis | Je voldoet aan de AVG zonder certificaat | Nee |
De tweede en derde rij zijn de meest voorkomende valkuil. Een klant die vraagt “hoe borgen jullie privacy” wil meestal een helder antwoord en bewijs, niet per se een certificaat.
Hoe herken je een echte eis?
Lees de tekst van de eis zelf, niet de samenvatting van je verkoper of account manager. Drie vragen helpen:
- Staat er “certificaat” of “aantoonbaar voldoen aan”? Het eerste is een harde eis. Het tweede laat meestal ruimte voor andere bewijsvormen.
- Staat er een versie of norm bij? Een eis voor “ISO 27701:2019” is iets anders dan voor de 2025-versie. Zie overstappen naar de 2025-versie als je dat moet begrijpen.
- Is er een alternatief genoemd? Denk aan een eigen auditrapport, een zelfbeoordeling op basis van de norm, of een ander erkend certificaat.
Vragen die je aan de inkoper stelt
| Vraag | Waarom |
|---|---|
| Wordt een certificaat geëist, of volstaat aantoonbare naleving? | Bepaalt of je ISO 27701 echt nodig hebt |
| Welke versie: 2019 of 2025? | Bepaalt welke maatregelen de auditor toetst |
| Geldt de eis voor het hele bedrijf of voor één dienst? | Bepaalt de scope van je traject |
| Per wanneer moet het er zijn? | Bepaalt de planning en het budget |
| Accepteren jullie een certificaat van een andere accreditatie-instelling? | Voorkomt een tweede traject |
Wanneer is het niet nodig?
Voor veel kleinere verwerkers zonder inkoopeis is een certificaat op dit moment niet nodig. Dan volstaat het om de basis op orde te hebben: een verwerkingsregister, afspraken met leveranciers, een werkende procedure voor verzoeken, en een plan voor datalekken.
Een alternatief als je de norm wel wilt gebruiken, maar nog geen certificaat nodig hebt: werk met de eisen als interne checklist. Dat geeft je dezelfde structuur, zonder de kosten van een externe audit. Een werkbare lijst vind je op de ISO 27701 checklist.
Vermijd de uitspraak “wij zijn AVG-gecertificeerd” als je alleen ISO 27701 hebt. Een ISO 27701-certificaat is geen AVG-certificaat in de zin van artikel 42. Gebruik de precieze omschrijving: “ISO/IEC 27701-gecertificeerd voor de scope X”.
Veelgemaakte fouten
Certificeren omdat het “moet”, zonder de eis gelezen te hebben. Dat kost een traject van maanden voor iets wat een klant misschien alleen als zelfbeoordeling wilde.
Denken dat ISO 27001 hetzelfde dekt. Een ISO 27001-certificaat is informatiebeveiliging. Het dekt de privacy-maatregelen uit ISO 27701 niet vanzelf. Lees het verschil op ISO 27701 vs. ISO 27001.
Ervan uitgaan dat een eis voor het hele bedrijf geldt. Een inkoopeis kan zich beperken tot de dienst die de klant afneemt. Dat bepaalt je scope en dus je kosten.
Een zelfverklaring als certificaat presenteren. Een zelfbeoordeling is nuttig, maar het is geen certificaat. Benoem het ook zo.
Voorbeeld: twee bedrijven, twee uitkomsten
Neem twee fictieve SaaS-bedrijven die beide persoonsgegevens van klanten verwerken. Het eerste bedrijf is een kleine boekhoudtool met tien klanten, allemaal mkb. Het tweede is een platform voor personeelsadministratie dat aanbesteders in de zorg als klant heeft.
Het eerste bedrijf krijgt van geen enkele klant een certificaatseis. Zijn klanten vragen wel een verwerkersovereenkomst en een antwoord op een vragenlijst. Het bedrijf legt het verwerkingsregister vast, maakt een DPIA voor de loonkoppeling en gebruikt de checklist als interne toets. Een certificaat is voor dit bedrijf op dit moment niet nodig.
Het tweede bedrijf ziet in de aanbestedingsdocumenten de eis “ISO/IEC 27701-certificaat, geldig op de datum van gunning”. Hier is het verplicht, binnen die opdracht. Het bedrijf begint met de nulmeting, kiest een geaccrediteerde certificeerder en plant de audit ruim voor de gunning.
Dezelfde AVG, twee verschillende antwoorden. Het verschil zit in de eis van de klant, niet in de wet.
Twijfel je of jouw klant een certificaat echt eist? Vraag het dan letterlijk. Een korte e-mail met de vraag “Is een ISO 27701-certificaat een harde eis, of accepteren jullie ook een zelfbeoordeling?” levert meestal een helder antwoord op. Bewaar dat antwoord bij je contract.
Veelgestelde vragen over verplicht
Mag ik zeggen dat we AVG-compliant zijn zonder certificaat? Dat kan, maar wees concreet over wat je hebt gedaan. Noem je maatregelen, je register en je procedures. Een algemene claim van compliance zonder bewijs is een risico, zeker richting klanten.
Telt een ISO 27001-certificaat als bewijs voor privacy? Gedeeltelijk. ISO 27001 gaat over informatiebeveiliging. Privacy-specifieke maatregelen zoals rechten van betrokkenen en bewaartermijnen vallen daar niet vanzelf onder. Het verschil staat op ISO 27701 vs. ISO 27001.
Moet ik een certificaat halen voor een aanbesteding die “privacy-gecertificeerd” vraagt? Lees eerst de exacte formulering in de aanbesteding. Vraag de aanbesteder bij twijfel welke norm en welke versie bedoeld is, schriftelijk. Dat voorkomt dat je een traject start dat niet gevraagd is.
Volgende stappen
Als er een echte eis ligt, begin je met de nulmeting en daarna met de kosten en tijdlijn. Heb je de eis nog niet gelezen? Doe dat eerst. Veel trajecten starten te vroeg omdat niemand de eisteksten heeft nagelezen.
Meer vragen die vaak samen komen, staan op veelgestelde vragen.
Bronnen
- Artikel 42 AVG (gdpr-info.eu) – over vrijwillige certificering
- Autoriteit Persoonsgegevens – de AVG in het kort
- NEN – de Nederlandse normuitgever voor ISO 27701