Wat vereis Klausule 5?
Klausule 5 vestig die leierskap- en bestuursfondamente vir u Privaatheidsinligtingbestuurstelsel (PIMS). Dit verseker dat privaatheid van die bopunt van die organisasie af gedryf word, met duidelike aanspreeklikheid, 'n gedefinieerde beleid en toegewyse verantwoordelikhede. Die klousule het drie subklousules wat verbintenis, beleid en rolle dek.
5.1 Leierskap en toewyding
Topbestuur moet leierskap en toewyding met betrekking tot die PIMS demonstreer deur:
- Verseker dat die privaatheidsbeleid en privaatheidsdoelwitte vasgestel is en versoenbaar is met die strategiese rigting van die organisasie.
- Om die integrasie van die PIMS-vereistes in die organisasie se besigheidsprosesse te verseker
- Verseker dat die hulpbronne wat vir die PIMS benodig word, beskikbaar is
- Kommunikeer die belangrikheid van effektiewe privaatheidsbestuur en voldoening aan PIMS-vereistes
- Verseker dat die PIMS sy beoogde uitkomste bereik
- Die leiding en ondersteuning van persone om by te dra tot die doeltreffendheid van die PIMS
- Bevordering van voortdurende verbetering
- Ondersteuning van ander relevante bestuursrolle om hul leierskap te demonstreer soos dit van toepassing is op hul verantwoordelikheidsgebiede
Hierdie agt verantwoordelikhede maak dit duidelik dat privaatheid nie 'n gedelegeerde IT-funksie is nie. Topbestuur moet aktief betrokke en aanspreeklik wees.
5.2 Privaatheidsbeleid
Topbestuur moet 'n privaatheidsbeleid opstel wat:
- Is gepas vir die doel van die organisasie
- Verskaf 'n raamwerk vir die bepaling van privaatheidsdoelwitte
- Sluit 'n verbintenis in om aan toepaslike vereistes te voldoen
- Sluit 'n verbintenis tot voortdurende verbetering van die PIMS in
Die privaatheidsbeleid moet ook aan drie beskikbaarheidsvereistes voldoen:
- Wees beskikbaar as gedokumenteerde inligting
- Binne die organisasie gekommunikeer word
- Wees beskikbaar vir belangstellende partye, soos toepaslik
Let daarop dat die privaatheidsbeleid waarna hier verwys word, die bestuurstelselbeleidsdokument is, nie die eksterne privaatheidskennisgewing wat aan datasubjekte verskaf word nie. Beide is nodig, maar hulle dien verskillende doeleindes.
Begin maklik met 'n persoonlike produkdemonstrasie
Een van ons aanboordspesialiste sal jou deur ons platform lei om jou te help om met selfvertroue te begin.
5.3 Rolle, verantwoordelikhede en owerhede
Topbestuur moet verseker dat die verantwoordelikhede en magte vir rolle wat relevant is tot die PIMS binne die organisasie toegeken en gekommunikeer word. Spesifiek moet topbestuur die verantwoordelikheid en magte toeken vir:
- Verseker ooreenstemming — Dat die PIMS voldoen aan die vereistes van ISO 27701:2025
- Verslagdoening van prestasie — Dat die prestasie van die PIMS aan die topbestuur gerapporteer word
Dit beteken nie dat een persoon alles moet doen nie. Verantwoordelikhede kan versprei word oor rolle soos 'n Databeskermingsbeampte (DPO), privaatheidsbestuurder, PIMS-leier of voldoeningspan. Die belangrikste vereiste is dat verantwoordelikhede duidelik gedefinieer, gedokumenteer en gekommunikeer word.
Hoe hou dit verband met GDPR?
Klausule 5 ondersteun verskeie BBP vereistes:
- Artikel 24 — Verantwoordelikheid van die beheerder om toepaslike maatreëls te implementeer en voldoening te kan demonstreer
- Artikel 37 tot 39 (verwante bepalings, nie formeel gekarteer in Aanhangsel D nie) (verwante bepalings, nie formeel gekarteer in Aanhangsel D nie) — Aanwysing, posisie en take van die Databeskermingsbeampte, wat ooreenstem met die roltoewysingsvereistes in 5.3
- Voordrag 39 — Deursigtigheidsbeginsel, ondersteun deur 'n duidelike privaatheidsbeleid
Organisasies wat onderworpe is aan die AVG moet verseker dat hul DPO-rol (waar aangestel) weerspieël word in die PIMS-roltoewysings kragtens Klousule 5.3.
Wat het verander van ISO 27701:2019?
Belangrike veranderinge in Klousule 5 in vergelyking met die 2019-uitgawe:
Vir 'n breër oorsig van veranderinge, sien wat is nuut in ISO 27701:2025.
- Selfstandige vereistes — In 2019 het Klausule 5.3 ISO 27001 Klausule 5 aangevul. Nou is die leierskapvereistes volledig en selfstandig.
- Privaatheidspesifieke beleid — Die beleidsvereistes verwys nou eksplisiet na privaatheid eerder as om op 'n gewysigde inligtingsekuriteitsbeleid staat te maak
- Agt verbintenisareas — Die vereistes vir leierskapsverbintenis word nou duidelik opgesom, wat dit vir ouditeure makliker maak om te assesseer
- Vereenvoudigde rolvereistes — Die 2025-uitgawe fokus op ooreenstemmingsversekering en prestasieverslagdoening, eerder as om spesifieke privaatheidsrolle te lys.
Vir die volledige kartering, sien die Aanhangsel F korrespondensietabel.
Watter bewyse verwag ouditeure?
Wanneer ouditeure voldoening aan Klousule 5 beoordeel, sal hulle tipies kyk na:
Die privaatheidsbeleidvereiste hou direk verband met A.3.3 Beleide vir inligtingsekuriteit in die Aanhangsel A-kontrolestel.
KISO's wat privaatheid in hul sekuriteitsprogram integreer, moet ons CISO-gids tot ISO 27701:2025.
- Bestuur hersien notule — Bewyse van topbestuur se betrokkenheid by PIMS-prestasie en -besluite
- Privaatheidsbeleiddokument — ’n Goedgekeurde, huidige beleid wat aan al vier inhoudvereistes en drie beskikbaarheidsvereistes voldoen
- Hulpbrontoekenning — Bewyse van begroting en personeel wat toon dat voldoende hulpbronne vir die PIMS verskaf word
- Rolbeskrywings — Gedokumenteerde toewysings van PIMS-verantwoordelikhede, insluitend wie aan topbestuur rapporteer
- Kommunikasie rekords — Bewyse dat die beleid en die belangrikheid daarvan aan personeel gekommunikeer is
- Organisatoriese grafiek — Wys waar privaatheidsrolle binne die organisasie se struktuur geleë is
Bevry jouself van 'n berg sigblaaie
Integreer, brei uit en skaal jou nakoming, sonder die gemors. IO gee jou die veerkragtigheid en vertroue om veilig te groei.
Verwante klousules
| klousule | Verhoudings |
|---|---|
| Klousule 4: Konteks | Die privaatheidsbeleid en leierskapsrigting moet versoenbaar wees met die konteksanalise |
| Klousule 6: Beplanning | Die beleid bied die raamwerk vir die bepaling van privaatheidsdoelwitte (6.2) |
| Klousule 7: Ondersteuning | Hulpbronne, bevoegdheid en bewustheidsvereistes hang af van leierskap wat voldoende ondersteuning bied |
| Klousule 9: Prestasie-evaluering | Bestuursbeoordeling (9.3) is waar topbestuur sy leiersrol in die praktyk uitoefen |
Sien ook Klousule 8 (Bedryf) vir hoe leierskapsriglyne geoperasionaliseer word.
Hoekom kies ISMS.aanlyn vir voldoening aan Klousule 5?
ISMS.aanlyn bied die gereedskap om leierskap en bestuur te demonstreer:
Vir sertifiseringbeplanning, sien die losstaande sertifiseringsgids.
- Beleidsbestuur — Skep, keur en weergawebeheer jou privaatheidsbeleid met volledige ouditspoor en verspreidingsopsporing
- Roltoewysing — Definieer en dokumenteer PIMS-rolle met verantwoordelikhede, magte en rapporteringslyne
- Bestuur hersiening — Gestruktureerde sjablone vir bestuursoorsigvergaderings met agendapunte, insette en aksieopsporing
- Kommunikasie dop — Teken aan en bewys hoe privaatheidsbeleide en -verwagtinge aan personeel gekommunikeer word
- Rapportering oor paneelbord — Voorsien topbestuur van vinnige PIMS-prestasiedata vir ingeligte besluitneming
Vrae & Antwoorde
Wie tel as "topbestuur" vir Klousule 5?
Topbestuur word gedefinieer as die persoon of groep mense wat die organisasie op die hoogste vlak lei en beheer. In die praktyk beteken dit tipies die uitvoerende hoof, direksie, senior leierskapspan of ekwivalent. Die sleuteltoets is of hulle die gesag het om hulpbronne toe te ken, beleidsrigting te bepaal en strategiese besluite oor die PIMS te neem.
Is die privaatheidsbeleid dieselfde as 'n privaatheidskennisgewing?
Nee. Die privaatheidsbeleid wat deur Klousule 5.2 vereis word, is 'n interne bestuurstelseldokument wat die algehele rigting en beginsels vir privaatheidsbestuur bepaal. 'n Privaatheidskennisgewing (of privaatheidsverklaring) is 'n eksterne dokument wat aan datasubjekte verskaf word wat verduidelik hoe hul persoonlike inligting verwerk word. Beide is nodig, maar hulle dien verskillende gehore en doeleindes.
Het die organisasie 'n aangewese databeskermingsbeampte nodig?
ISO 27701:2025 vereis nie 'n DPO nie. Dit vereis dat verantwoordelikhede en magte toegeken en gekommunikeer word. Indien u toepaslike wetgewing (soos GDPR Artikels 37 tot 39) egter 'n DPO vereis, moet hierdie rol in u Klousule 5.3 roltoewysings weerspieël word. Selfs waar dit nie wetlik vereis word nie, is die aanwysing van 'n privaatheidsleier of ekwivalent goeie praktyk.
Om leierskap aan boord te kry, is dikwels die eerste struikelblok — ons gids oor kry bestuur se inkoop bied praktiese strategieë.
Deel ons uitvoerende opsomming vir raadslede om senior leiers 'n bondige oorsig van die standaard te gee.
