# ISO/IEC 27701 隐私信息管理体系：用一张证书回应隐私尽调 > 欧洲客户的隐私尽调往往比安全尽调更细。ISO/IEC 27701 把控制者和处理者的隐私责任做成可审核的管理体系，是目前国际上认可度最高的隐私管理认证。 来源页面: https://assurelane.ai/frameworks/iso-27701/ 更新: 2026-10-10 · 来源核验: 2026-10-10 ## 要点速览 - 全称: ISO/IEC 27701:2025 信息安全、网络安全与隐私保护——隐私信息管理体系 - 发布/监管方: 经认可的认证机构 - 成果: 隐私信息管理体系（PIMS）认证证书 - 适用对象: 作为个人信息控制者或处理者的组织 - 地区: 全球，欧洲客户认可度较高 - 典型周期: 已有 ISO 27001 时常见 2–4 个月 - 有效期: 证书 3 年有效，每年监督审核 ## 关键时间线 - 2019-08: 首版发布，作为 ISO/IEC 27001 的扩展 - 2025-10: 2025 版发布，成为可独立认证的标准 ## ISO/IEC 27701 是什么？ ISO/IEC 27701 规定了**隐私信息管理体系（PIMS）**的要求。2019 年首版作为 ISO/IEC 27001 的扩展发布；2025 年 10 月发布的新版成为**独立的管理体系标准**，组织可以不依赖 27001 单独申请认证。 它的核心价值在于：把个人信息控制者和处理者在 GDPR 等隐私法律下的责任，转化为可审核的控制措施和记录。 ## 核心内容 - **组织隐私环境**：识别适用的隐私法律、合同义务和相关方要求 - **角色区分**：控制者（PII controller）和处理者（PII processor）分别适用不同的附加控制 - **控制者控制**：处理目的与合法性基础、同意管理、隐私影响评估、数据主体权利、最小化与保存期限、跨境传输 - **处理者控制**：按客户指示处理、子处理者管理、协助客户响应权利请求、数据返还与删除 - **隐私风险评估**：与信息安全风险评估相衔接 ## 哪些企业适合做 ISO/IEC 27701？ - 向欧洲企业客户提供处理个人数据的 SaaS 或外包服务，经常被要求签 DPA 并回答隐私问卷 - 已有或正在建设 ISO/IEC 27001，希望以较小增量覆盖隐私 - 处理大量消费者数据的 App 和平台，希望向渠道和合作方证明隐私管理成熟度 ## ISO/IEC 27701 怎么准备？ 1. 梳理处理活动清单（RoPA），明确每类数据中你的角色 2. 对照适用法律（如 [GDPR](https://assurelane.ai/frameworks/gdpr/)、[CCPA/CPRA](https://assurelane.ai/frameworks/ccpa-cpra/)、中国《个人信息保护法》）识别义务 3. 建立隐私方针、隐私影响评估流程、权利请求响应流程和子处理者管理 4. 与信息安全管理体系整合内审和管理评审 5. 由认证机构审核 ## ISO/IEC 27701 与其他框架是什么关系？ | 框架 | 关系 | | --- | --- | | [ISO/IEC 27001](https://assurelane.ai/frameworks/iso-27001/) | 安全是隐私的基础；可一体化审核 | | [GDPR](https://assurelane.ai/frameworks/gdpr/) | 27701 提供体系化证据，但不能替代法律合规 | | [SOC 2](https://assurelane.ai/frameworks/soc-2/) 隐私类别 | 面向美国客户时，也可在 SOC 2 中加入隐私或保密类别 | ## 常见问题 ### 有了 ISO 27701 就等于符合 GDPR 吗？ 不等于。GDPR 是法律，没有官方认证可以“证明合规”。27701 提供一套与 GDPR 等法规对应的管理体系，可以作为客户尽调中有力的证据，但法律义务仍需逐项履行。 ### 2025 版和 2019 版有什么区别？ 2019 版是 ISO/IEC 27001 的扩展，只能和 27001 一起认证；2025 版成为独立的管理体系标准，可以单独认证。已持有 2019 版证书的企业需按认证机构的过渡安排转换。 ### 我们是 B2B SaaS，算控制者还是处理者？ 对客户上传的业务数据，你通常是处理者；对自己的员工、客户联系人和营销数据，你是控制者。27701 对两种角色有不同的控制要求。 ## 参考来源 - [ISO — ISO/IEC 27701](https://www.iso.org/standard/27701) - [Kiwa — ISO/IEC 27701:2025 published](https://www.kiwa.com/en/nl/about-kiwa/news/isoiec-277012025-published-updated-privacy-standard-offers-organizations-more-guidance/) --- 本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。