ISO/IEC 27701 是什么？
ISO/IEC 27701 规定了隐私信息管理体系（PIMS）的要求。2019 年首版作为 ISO/IEC 27001 的扩展发布；2025 年 10 月发布的新版成为独立的管理体系标准，组织可以不依赖 27001 单独申请认证。
它的核心价值在于：把个人信息控制者和处理者在 GDPR 等隐私法律下的责任，转化为可审核的控制措施和记录。
核心内容
- 组织隐私环境：识别适用的隐私法律、合同义务和相关方要求
- 角色区分：控制者（PII controller）和处理者（PII processor）分别适用不同的附加控制
- 控制者控制：处理目的与合法性基础、同意管理、隐私影响评估、数据主体权利、最小化与保存期限、跨境传输
- 处理者控制：按客户指示处理、子处理者管理、协助客户响应权利请求、数据返还与删除
- 隐私风险评估：与信息安全风险评估相衔接
哪些企业适合做 ISO/IEC 27701？
- 向欧洲企业客户提供处理个人数据的 SaaS 或外包服务，经常被要求签 DPA 并回答隐私问卷
- 已有或正在建设 ISO/IEC 27001，希望以较小增量覆盖隐私
- 处理大量消费者数据的 App 和平台，希望向渠道和合作方证明隐私管理成熟度
ISO/IEC 27701 怎么准备？
- 梳理处理活动清单（RoPA），明确每类数据中你的角色
- 对照适用法律（如 GDPR、CCPA/CPRA、中国《个人信息保护法》）识别义务
- 建立隐私方针、隐私影响评估流程、权利请求响应流程和子处理者管理
- 与信息安全管理体系整合内审和管理评审
- 由认证机构审核
ISO/IEC 27701 与其他框架是什么关系？
| 框架 | 关系 |
|---|---|
| ISO/IEC 27001 | 安全是隐私的基础；可一体化审核 |
| GDPR | 27701 提供体系化证据，但不能替代法律合规 |
| SOC 2 隐私类别 | 面向美国客户时，也可在 SOC 2 中加入隐私或保密类别 |