Статьи GDPR о безопасности: защитная часть закона о приватности
GDPR в основном касается законной обработки персональных данных, но несколько его статей по сути являются требованиями безопасности. Вот как они соотносятся со стандартами, которыми уже пользуются специалисты по безопасности.
GDPR — закон о приватности. Большая его часть посвящена тому, можно ли вообще обрабатывать персональные данные, как сообщать об этом людям и какие права у них есть. Но несколько статей возлагают обязанности по безопасности, и именно в них службы безопасности сталкиваются с регламентом. ControlMapping соотносит только эти статьи: целостность и конфиденциальность (статья 5(1)(f)), подотчётность (24), защита данных по умолчанию и в дизайне (25), обработчики (28), записи о деятельности по обработке (30), безопасность обработки (32), уведомление о нарушениях (33 и 34), оценка воздействия (35) и должностные лица по защите данных (37–39).
Как ISO 27001 их охватывает
Из 13 статьи по безопасности GDPR 12 (92%) сопоставлены с чем-либо в ISO 27001, 0 связаны лишь косвенно, а для 1 в наших данных нет сопоставления. Открыть отчёт о разрывах →
Почти каждая статья GDPR, связанная с безопасностью, соотносится с ISO 27001. СУИБ даёт меры безопасности на основе рисков (статья 32), управление инцидентами, которое может обеспечить уведомление о нарушении (статьи 33 и 34), контроль поставщиков для обработчиков (статья 28) и документированные зоны ответственности. Единственная статья без соответствия в ISO — статья 38 о положении DPO, которая касается независимости и линий отчётности; ISO 27001 их не рассматривает.
Статья за статьёй
| GDPR | Требование | Совпадение | ISO 27001 |
|---|---|---|---|
| Art.5(1)(e) | Principles relating to processing of personal data | Редакционные материалы | A.5.14A.8.10A.8.11A.5.31 |
| Art.24(1) | Responsibility of the controller | Редакционные материалы | Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2 |
| Art.25(1) | Data protection by design and by default | Редакционные материалы | A.8.25A.8.26A.8.28A.8.29 |
| Art.28(1) | Processor | Редакционные материалы | A.5.19A.5.20A.5.21A.5.22 |
| Art.29 | Processing under the authority of the controller or processor | Редакционные материалы | A.6.1A.6.4A.8.16 |
| Art.30(1) | Records of processing activities | Редакционные материалы | A.5.9A.5.11A.7.14 |
| Art.32(1)(a) | Security of processing | Редакционные материалы | A.8.24A.5.16A.5.18A.5.29 |
| Art.33(1) | Notification of a personal data breach to the supervisory authority | Редакционные материалы | A.5.5A.5.24A.5.25A.5.26 |
| Art.34(1) | Communication of a personal data breach to the data subject | Редакционные материалы | A.5.5A.5.26A.6.8Clause 7.4 |
| Art.35(1) | Data protection impact assessment | Редакционные материалы | Clause 6.1.2Clause 6.1.3 |
| Art.37(1) | Designation of the data protection officer | Редакционные материалы | A.5.2A.5.4 |
| Art.38 | Position of the data protection officer | Нет сопоставления в наших данных | — |
| Art.39(1) | Tasks of the data protection officer | Редакционные материалы | A.5.2A.5.4A.6.3Clause 7.3 |
Что GDPR добавляет сверх ISO 27001
Даже внутри статей о безопасности GDPR местами конкретнее:
- Сроки уведомления о нарушениях. Сообщите надзорному органу в течение 72 часов с момента, когда стало известно о нарушении персональных данных (статья 33), а затем пострадавшим без неоправданной задержки, если риск для них высок (статья 34). ISO требует управления инцидентами, но не регуляторного уведомления по таймеру.
- Псевдонимизация и шифрование названы в статье 32 как меры, которые нужно рассмотреть.
- Защита данных по умолчанию и в дизайне (статья 25) касается того, как системы проектируются и настраиваются, а не только защиты.
- Оценка воздействия (статья 35) для обработки с высоким риском — это оценка в области приватности, и она шире, чем оценка рисков ИБ в ISO.
В обратную сторону
Из 123 Контроли приложения A и разделы ISMS ISO 27001 47 (38%) сопоставлены с чем-либо в GDPR, 47 связаны лишь косвенно, а для 29 в наших данных нет сопоставления. Открыть отчёт о разрывах →
При переходе от GDPR к ISO 27001 большая часть приложения A соотносится или косвенно связана, но пункты СУИБ, физическая безопасность и несколько технических мер не имеют аналога в GDPR. GDPR не требует системы управления и не предписывает технические меры; он требует мер, соразмерных риску, и оставляет выбор за вами.
Как использовать пересечение
- Рассматривайте статью 32 как требование к вашей СУИБ: включите её в правовые и договорные требования (ISO A.5.31) и ссылайтесь на неё из оценки рисков.
- Расширьте процесс инцидентов на нарушения персональных данных: решение о необходимости уведомления, 72-часовой срок и учёт всех нарушений, уведомлённых или нет (статья 33(5)).
- Применяйте контроль поставщиков к обработчикам с условиями статьи 28 в договорах.
- Выходите за рамки безопасности ради приватности: ISO/IEC 27701 расширяет СУИБ до управления приватностью.
Каждая ссылка на GDPR на этом сайте отражает редакционное суждение ControlMapping, так как официального соответствия не существует. Сравнение ISO 27001 и GDPR и страница стандарта GDPR перечисляют каждое соответствие с обоснованием, а анализ разрывов позволяет экспортировать их.
Вопросы
Что требует статья 32 GDPR?
Безопасность обработки: надлежащие технические и организационные меры, обеспечивающие уровень безопасности, соответствующий риску, включая, где это уместно, псевдонимизацию и шифрование, постоянную конфиденциальность, целостность, доступность и устойчивость систем и услуг обработки, своевременное восстановление доступа к данным и их наличия после инцидента, а также регулярное тестирование и оценку эффективности мер.
Делает ли ISO 27001 вас соответствующими GDPR?
Нет. Он поддерживает обязанности по безопасности, особенно статью 32, но GDPR также требует законного основания, прозрачности, соблюдения прав субъектов данных и многого другого, что ISO 27001 не охватывает.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.