ISO 27701: manfaat dan bedanya dengan ISO 27001

Apa itu ISO 27701?

ISO/IEC 27701 adalah standar sistem manajemen informasi privasi, atau privacy information management system (PIMS). Standar ini ditujukan kepada organisasi yang mengendalikan atau memproses informasi pribadi. Pengelolaannya mencakup tanggung jawab, risiko privasi, dan perbaikan yang berkelanjutan.

Katalog ISO mencantumkan edisi kedua, ISO/IEC 27701:2025, terbit Oktober 2025. Panduan ini memakai ringkasan publik penerbit standar untuk menjelaskan arah persiapan. Rincian persyaratan perlu dibaca dari naskah standar yang diperoleh secara sah.

Apakah harus punya ISO 27001 lebih dulu?

Untuk edisi 2025, ISO menjelaskan bahwa penerapan dan sertifikasi ISO 27701 dapat dilakukan secara mandiri dari ISO 27001. Organisasi yang sudah menjalankan sistem keamanan informasi tetap dapat mengintegrasikan pengelolaan privasinya.

Ini berbeda dari edisi 2019, yang merupakan ekstensi ISO 27001 dan ISO 27002. Katalog ISO menandai edisi internasional 2019 sebagai withdrawn. Karena itu, jangan langsung memakai penjelasan atau template lama yang menganggap kedua standar selalu harus diterapkan bersama.

Bedakan pula status standar internasional dan SNI. Pada pemeriksaan 27 September 2026, katalog BSN masih menampilkan SNI ISO/IEC 27701:2019 berstatus berlaku. Jangan menyebutnya otomatis berubah menjadi edisi 2025. Cocokkan nomor dan edisi yang diminta dalam kontrak atau tender.

Jika sudah memiliki sertifikat edisi lama, minta penjelasan tertulis tentang status sertifikat dan ketentuan transisi dari lembaga penerbit. Status withdrawn pada katalog standar saja tidak cukup untuk menyimpulkan tanggal berakhirnya sertifikat organisasi Anda. Panduan ini tidak menetapkan tenggat transisi sertifikasi.

Apa bedanya dengan ISO 27001 dan UU PDP?

Rujukan	Fokus pemeriksaan
ISO 27001	Sistem manajemen keamanan informasi: kerahasiaan, keutuhan dan ketersediaan informasi dalam lingkup yang dipilih.
ISO 27701	Sistem manajemen privasi atas informasi pribadi. Edisi 2025 dapat berdiri sendiri atau diintegrasikan dengan pengelolaan keamanan.
UU PDP	Kewajiban hukum sesuai kegiatan pemrosesan data pribadi, termasuk dasar dan tujuan pemrosesan serta tanggung jawab pihak terkait.

Sertifikat tidak menggantikan pemeriksaan hukum. UU PDP Pasal 20 tetap meminta dasar pemrosesan; Pasal 27–28 mengatur pemrosesan yang terbatas, spesifik, sah, transparan dan sesuai tujuan. Pasal 51 mengatur pemrosesan oleh prosesor berdasarkan perintah pengendali. Kepemilikan sertifikat bukan alasan tersendiri untuk menggunakan data bagi tujuan baru.

Contoh fiktif: aplikasi penggajian memiliki pengamanan akses yang baik, tetapi tim belum dapat menjelaskan alasan penggunaan data pegawai untuk kegiatan lain. Pemeriksaan keamanan dan pemeriksaan tujuan penggunaan data menjawab pertanyaan yang berbeda. Mulai dari panduan kepatuhan UU PDP untuk menilai kewajiban yang sesuai kegiatan.

Kapan layak dipertimbangkan?

Sebagai pertimbangan bisnis, periksa apakah pelanggan meminta sertifikat tertentu, tim perlu menata pengelolaan privasi, atau beberapa layanan memerlukan pembagian tanggung jawab yang lebih jelas. Simpan persyaratan pelanggan secara tertulis: edisi, lingkup layanan, serta kebutuhan akreditasi jika disebutkan.

ISO membedakan penerapan standar dan sertifikasi. Sertifikat diterbitkan lembaga sertifikasi, bukan ISO. Jangan memilih proyek hanya berdasarkan janji “pasti lulus” atau menganggap semua sertifikat mencakup seluruh produk perusahaan.

Lanjutkan ke persiapan ISO 27701 untuk menyusun pekerjaan tim, lalu gunakan checklist persiapan. Untuk keamanan informasi, tersedia pengantar ISO 27001.