28 Januarie is Wêreldwye Privaatheidsdag – 'n geleentheid om die reg op dataprivaatheid en -beskerming te vier wat baie van ons vandag as vanselfsprekend aanvaar. Dit was natuurlik nie altyd so nie. Slegs op hierdie datum in 1981 het die Raad van Europa uiteindelik onderteken Konvensie 108, “vir die Beskerming van Individue met Betrekking tot Outomatiese Verwerking van Persoonlike Data.”

Alhoewel dit soms stadig kan beweeg, staan ​​dataprivaatheidswetgewing selde stil. Hierdie jaar sal voldoeningsprofessionele persone baie hê om oor na te dink, aangesien verskeie bepalings van die VK se Data (Use and Access) Act (DUAA) in werking tree. Hulle kan oorweeg om na ISO 27701 te wend om hul pogings te stroomlyn.

Waarom privaatheid belangrik is

Sekuriteit en privaatheid is twee kante van dieselfde muntstuk. Sonder die beskerming wat deur mense, prosesse en tegnologie moontlik gemaak word, sou geen organisasie sy verpligtinge kon nakom om kliënte- en werknemersprivaatheidsregte te handhaaf nie. Dit is belangrik vir Britse maatskappye in die konteks van die AVG, wat reguleerders bemagtig om potensieel groot boetes (tot £17 miljoen of 4% van die wêreldwye omset) te hef vir ernstige nie-nakoming. Maar daar is ander dwingende sake-redes waarom privaatheid 'n strategiese prioriteit moet wees:

  • Vermyding van bedryfskoste wat verband hou met ernstige oortredings. Dit kan ekstra kontant insluit wat nodig is om IT-oortyd te betaal, derdeparty-forensiese kundiges, regspanne en om kliënte en reguleerders in kennis te stel.
  • Vermyding van potensieel duur groepsgedinge na 'n groot data-oortreding
  • Versterk kliëntevertroue en -lojaliteit. 'n Groot oortreding kan 'n ernstige langtermyn-reputasie beïnvloed. Maar omgekeerd het organisasies wat kliënteprivaatheid en -deursigtigheid bo datahantering prioritiseer, 'n goeie geleentheid om nouer verhoudings met hul kliënte te bou.
  • Die bevordering van mededingende voordeel en uitbreiding deur die aanvaarding van beste praktyk privaatheidstandaarde soos ISO 27701, wat kan help om reguleerders, vennote en kliënte in nuwe markte gerus te stel, en regulatoriese nakoming te stroomlyn

Wat is nuut met die DUAA in 2026?

Volgens die IO (voorheen ISMS.online) studie, Die stand van inligtingsekuriteitsverslag 2025, die deel van Amerikaanse en Britse firmas wat vereis dat verskaffers aan die AVG moet voldoen, het tussen 2024 en 2025 van 9% tot 34% gestyg. Dit illustreer beide die sakedryfvere agter voldoening, en die feit dat daar nog baie werk is om te doen voordat die regulasie ten volle in die sakegemeenskap omarm word.

Die nuwe DUAA is deels ontwerp as 'n reaksie op kommer dat GDPR-nakoming te veel burokrasie vir firmas behels. een studie beweer dat minder as 2% van organisasies gereed is vir die nuwe wet. Baie (47%) noem opdaterings aan bestuur, opleiding en verskafferbestuur as hul grootste uitdagings. Dit sal moet verander. Van die verwagte veranderinge aan die privaatheidswetgewing wat dit vanjaar sal inlui, is:

  • Meer permissiewe reëls oor outomatiese besluitneming (ADM). Dit sal organisasies toelaat om op 'n wyer reeks wettige basisse staat te maak om besluite oor individue te neem solank waarborge in plek is.
  • Verslappende wette wat die omstandighede waaronder lae-risiko koekies sonder uitdruklike toestemming gebruik kan word, sal uitbrei.
  • Invoering van 'n "erkende wettige belang" – 'n nuwe regsbasis vir die verwerking van data vir doeleindes van openbare belang (bv. misdaadvoorkoming)
  • Nuwe vereistes vir die hantering van klagtes oor data-onderwerpe, insluitend elektroniese klagtevorms en erkenning van klagtes binne 30 dae
  • 'n Verhoging in potensiële boetes kragtens die Regulasies vir Privaatheid en Elektroniese Kommunikasie (wat koekies beheer) om in lyn te kom met die AVG (£17.5 miljoen of 4% van omset)
  • 'n Nuwe vereiste om die ICO se Kinderkode te volg indien aanlyndienste waarskynlik deur kinders verkry sal word.

Al hierdie dinge sal opdaterings aan besigheidsprosesse vir die hantering van klagtes en die assessering van verpligtinge om kinders se privaatheidsregte te handhaaf, vereis. Gegewe die potensieel hoë boetes wat betrokke is, moet organisasies met nie-voldoenende koekie- en elektroniese bemarkingspraktyke ook PECR-nakoming prioritiseer.

Edward Machin, raadgewer in die data-, privaatheids- en kuberveiligheidsgroep by Ropes & Gray, deel die volgende twee datums vir die dagboek in 2026:

Januarie 2026 (ongeveer ses maande na Koninklike Goedkeuring)Die belangrikste veranderinge aan databeskermingswetgewing, uiteengesit in Deel 5 van DUAA, tree in werking, met die uitsondering van veranderinge aan die klagteprosedure vir datasubjekte.

Nog nie bekend vir 2026 nieBepalings wat staatmaak op tegniese infrastruktuur of meer aanlooptyd benodig, sal in werking tree, insluitend maatreëls wat afhanklik is van nuwe tegnologie (bv. sekere registers of dienste) en die klagteprosedure vir data-onderwerpe.

“Organisasies moet hul DUAA-voorbereidings verdeel tussen die bepalings wat vereis dat hulle spesifieke aksies neem, soos die implementering van 'n klagteprosedure vir data-onderwerpe, en dié wat meer buigsaamheid toelaat met betrekking tot huidige praktyke, soos die reëls rondom versoeke om toegang tot inligting, outomatiese besluitneming en koekies,” sê hy vir IO.

“In elk geval sal DUAA in die meeste gevalle 'n evolusie van organisasies se voldoeningsprogramme vereis eerder as grootskaalse veranderinge. Maar organisasies moet veral 'n plan in plek hê om die Deel 5-vereistes aan te spreek om te verseker dat hulle nie in die nuwe jaar se veranderinge verlore raak nie.”

ISO 27701 Word Volwassen

Vir voldoeningspanne wat reeds wonder hoe hulle vanjaar nog 'n regulatoriese stortvloed gaan hanteer, is daar goeie nuus. ISO 27701 is nou 'n afsonderlike standaard, eerder as 'n uitbreiding van ISO 27001. Dit beteken dat organisasies 'n laer koste, vinniger en meer buigsame manier het om beste praktyke vir datahantering en -verwerking te bereik.

ISO 27701 bied 'n gestruktureerde raamwerk vir die vestiging, implementering, instandhouding en voortdurende verbetering van 'n Privaatheidsinligtingbestuurstelsel (PIMS). Dit sluit uitvoerbare beheermaatreëls in vir:

  • Beskerming van persoonlik identifiseerbare inligting (PII) van die soort wat deur die GDPR (en DUAA) gereguleer word
  • Wetlike nakoming, deursigtigheid en data-onderwerpregte (vir PII-beheerders)
  • Kontraktuele nakoming en verwerking (vir PII-verwerkers)

Rob Rachwald, visepresident van handelsmerk- en produkbemarking by Zero Networks, beskryf ISO 27701 as "die ultieme kookboek" om die DUAA se vereistes aan te pak.

“Terwyl die DUAA die VK GDPR meer pragmaties maak, vereis dit sterker verantwoordbaarheid en bewys van bestuur, veral rondom die bestuur van versoeke om toegang tot onderwerpe en die implementering van waarborge vir ADM,” sê hy vir IO.

“ISO 27701 bied 'n wêreldwyd erkende PIMS-bloudruk wat reeds die vereiste prosesse vir data-onderwerpregte, datakartering en privaatheid deur ontwerp uiteensit, wat organisasies in staat stel om onmiddellik “redelike en proporsionele” voldoening te demonstreer, en sodoende 'n regulatoriese las in iets ouditeerbaars te omskep.”

Die standaard verteenwoordig dus 'n toenemend belangrike pilaar van enige effektiewe risikobestuursbenadering, saam met ISO 27001 en 42001. Privaatheidspogings word toenemend verbind met dié in die inligtingsekuriteit- en KI-bestuursruimte. Organisasies wat na al drie holisties kyk, sal die beste geplaas wees om voldoening as 'n springplank vir besigheidsukses in 2026 te gebruik.