基本介绍

ISO27701隐私信息管理体系认证

ISO27701隐私信息管理体系(PIMS)，是ISO国际标准化组织和IEC国际电工委员会联合发布的隐私信息管理体系国际标准，它是对ISO27001信息安全管理体系的扩展，在全球普遍受到认可且具国际权威性。

它是ISO标准委员会以ISO27001为基准，以ISO27552为蓝本，建立发布的隐私信息管理体系标准，为保护个人隐私提供指导。ISO/IEC 27701标准的发布，填补了隐私信息管理体系的空白，将隐私保护的原则、理念和方法，融入到信息安全保护体系中，并且对PII控制者和PII处理者进行了较为详细且落地性强的规定，给企业在隐私保护和信息安全方面给出了指导建议。

ISO27701通过对隐私保护的控制对ISO27001进行补充，有效协助组织对隐私风险进行识别、分析、采取措施，确保符合高级别的隐私保护合规要求，将风险降到可接受水平并维持该水平，最终帮助组织建立完善的隐私信息管理体系，实现有效的隐私管理。

术语解释：

PII：个人可识别信息(也译作个人身份信息)，可用于识别此类信息相关的 PII主体的任何信息；直接或间接链接到 PII 主体的信息；

PII控制者：确定处理PII的目的和手段隐私利益相关者（或隐私利益相关者们），但不包括出于个人目的使用数据的自然人；

PII处理者：代表并按照 PII 控制者的说明处理PII的隐私利益相关者。

IS027701的核心内容包括以下方面:

1）风险评估和治理

组织应该进行个人信息相关的风险评估，并制定相应的风险治理计划，以识别潜在的隐私风险并采取相应的控制措施。

2）法规合规

组织需要遵守适用的隐私法律法规，并确保个人信息处理活动的合规性，包括明确数据处理目的、合法获取个人信息、保护敏感数据等。

3）数据主体权益保护

组织应该确保数据主体对其个人信息的访问、修改和删除等权益得到充分保护，并提供适当的机制来应对数据主体的请求和投诉。

4）内部控制和流程管理

组织需要建立和实施内部控制机制，包括访问控制、员工培训、数据备份和恢复等，以确保个人信息的安全性和保密性。

5）外部供应商管理

组织需要审查和监控与个人信息处理相关的外部供应商，确保其符合隐私要求，并签订合适的合同和协议以保护个人信息的安全。

认证适用范围：

ISO27701标准设计的目的在于借助更多的要求增强现有 ISMS，以建立、实施、维护和持续改进隐私信息管理体系 (PIMS)。标准概述了适用于个人身份信息 (PII) 控制者和 PII 处理者的框架， 以有效管理隐私控制，降低个人隐私权面临的风险。

它适用于所有类型和规模的组织，涉及信息领域服务的任何大型或小型组织都可以申请认证，包括公共和私营公司、政府实体以及非盈利组织。