ISO 27701认证：企业隐私保护与风险管理的黄金准则

发布机构：ISO/IEC JTC1/SC27（信息安全、网络安全和隐私保护技术委员会）第五工作组开发。

发布时间：zui初于2019年发布，作为对ISO/IEC27001信息安全管理体系的扩展。2025年发布的新版标准已成为一项独立的管理体系标准，组织无需事先获得ISO/IEC27001认证即可直接申请。

目的：为负责处理个人身份信息的组织提供指导，并为建立、实施、维护和持续改进隐私信息管理体系制定框架，旨在帮助组织管理个人信息、证明符合全球隐私法规、有效管理隐私风险并赢得信任。

适用范围：适用于所有类型和规模的组织，包括公共和私营公司、政府实体以及非盈利组织。

适用对象：作为PII控制者或处理者的组织，即确定处理PII的目的和手段的隐私利益相关者，或代表并按照PII控制者的说明处理PII的隐私利益相关者。

隐私方针与目标：组织应制定隐私方针，由zui高管理者签发，向内外公开承诺公司保护隐私的决心和原则。同时，应设定具体的隐私保护目标，这些目标必须是SMART的（具体的、可衡量的、可实现的、相关的、有时限的）。

隐私影响评估（PIA）：组织应在启动新产品、新服务、新业务模式，或者数据处理方式发生重大变化时，进行隐私影响评估，以识别并降低潜在风险。

数据处理规则：

合法性：组织应合法、正当且必要地收集个人信息，明确告知信息主体处理目的、方式及范围，并留存记录。

用户同意管理：获取个人信息需获得主体明确同意，记录同意的时间、方式及撤回路径。未经个人信息主体同意，不得将数据用于广告或营销活动。

zui小必要原则：系统设计需确保数据收集、处理仅.限于必要范围，避免过度采集。

数据分类分级：组织应根据数据的敏感程度进行分类，并采取不同等级的保护措施。

用户权利保障：组织应积极响应用户请求（如修改权、删除权、访问权），并留存操作记录。

风险管理：组织应制定风险管理和控制措施，定期评审并持续改进隐私信息管理体系。

记录管理：组织应保留完整的记录，以证明隐私信息管理体系的运行有效性，包括处理活动记录、风险评估报告、内部审核记录等。

申请条件：

组织需合法成立并持有有效营业执照，符合国家和地方法规。

已构建符合ISO27701要求的隐私信息管理体系（PIMS），并运行3-6个月。

特定行业需满足额外法规要求（如金融、医疗领域的专项要求）。

认证流程：

监督审核与再认证：

在证书有效期内，认证机构每年进行一次监督审核，以确认获证组织的PIMS是否持续满足标准要求并得到有效运行。

证书到期前，组织需进行再认证审核以换发新证书。

增强信任：展示组织对隐私保护的承诺，提升客户满意度与忠诚度。

合规保障：满足国内外严格法规要求，降低法律风险。

竞争优势：在涉及敏感数据的行业（如金融、医疗）中脱颖而出。

全球化支持：消除跨境数据流动障碍，促进国际合作。