一、标准简介

ISO/IEC 27701 是国际标准化组织（ISO）与国际电工委员会（IEC）联合技术委员会 ISO/IEC JTC 1/SC 27 制定的隐私信息管理体系（PIMS，Privacy Information Management System）标准，规定了组织建立、实施、运行、监视、评审、维护和持续改进 PIMS 的要求与实施指南，核心是保护个人可识别信息（PII）——即可识别特定个人的信息。

与 ISO/IEC 27001/27002 的关系（这是理解本标准的关键）：

  • 2019 年 8 月发布的初版（ISO/IEC 27701:2019）：定位为 ISO/IEC 27001 与 ISO/IEC 27002 的扩展——第 5 章是对 27001 条款的 PIMS 扩展要求，第 6 章是对 27002 控制的 PIMS 实施指南，第 7/8 章分别是针对 PII 控制者/处理者的隐私控制，附录 A/B 为控制目标与控制措施。实践中 2019 版要求组织先有 ISO 27001 的 ISMS 才能叠加 27701。
  • 2025 年 10 月发布的第二版（ISO/IEC 27701:2025）：已演变为独立的管理体系标准（标题改为《信息安全、网络安全和隐私保护——隐私信息管理体系——要求与指南》），可单独实施和认证，不再强制以 27001 为前置，但仍与 27001:2022、27002:2022、42001 等标准保持结构兼容、支持整合。

两个核心角色概念：

  • PII 控制者（PII Controller）：决定 PII 处理目的和方式的一方，对处理承担主要责任和问责。对应 GDPR 的 data controller；在我国《个人信息保护法》语境下大致对应"个人信息处理者"中做决定的那一方。
  • PII 处理者（PII Processor）：代表控制者处理 PII 的一方。对应 GDPR 的 data processor；在个保法语境下大致对应"受托人"。同一组织在不同业务中可同时扮演两种角色。

二、核心内容详解

1. 管理体系条款（2025 版采用协调结构 HLS，第 4–10 章）

与 27001:2022 相同的管理框架，但注入隐私视角：

  • 第 4 章 组织环境：梳理全球/属地隐私法律法规（如 GDPR、个保法）并映射到内部控制；建立 PII 处理活动清单；识别隐私相关的相关方；识别共同控制者关系。
  • 第 5 章 领导作用：最高管理者对隐私保护的承诺；任命数据保护负责人（DPO）；制定隐私方针；明确共同控制者场景下的职责。
  • 第 6 章 策划：隐私风险评估（见下文第 4 节）；编制适用性声明（SoA）；设定可测量的隐私目标。
  • 第 7 章 支持：隐私岗位能力与全员意识培训；内外部隐私沟通机制；成文信息管理。
  • 第 8 章 运行：DPIA（隐私影响评估，触发条件强化）、同意全生命周期管理、数据主体权利响应、隐私事件响应、默认隐私保护（Privacy by Default）、跨境传输的传输影响评估（TIA）。
  • 第 9 章 绩效评价：隐私 KPI、PIMS 内审、管理评审。
  • 第 10 章 改进：不符合纠正、持续改进。

2. 针对 PII 控制者的控制（约 31 项）

围绕"处理的合法性"，对应 GDPR 第 5–7、12–22、25、28、35 条等要求：

  • 收集与处理的条件：
  • 识别并记录处理目的；识别处理的合法性基础（如同意、合同履行、法定义务等）；
  • 同意管理：确定何时以同意为依据、获取并记录同意，同意可撤回、可刷新，形成完整生命周期管理；
  • 隐私影响评估（DPIA）：对高风险处理活动强制开展；
  • 与 PII 处理者的合同必须包含隐私义务条款；共同控制者之间职责书面约定；
  • 默认隐私保护：默认采用最高隐私设置。
  • 数据最小化与准确性：收集限于必要范围；不得超目的使用；保持 PII 准确并可更正；实施留存期限表，到期安全删除。
  • 跨境传输：建立传输机制（如标准合同）；在无充分性认定的情况下开展传输影响评估（TIA）；保留全部跨境传输记录；向第三方披露（含执法机关请求）受控。
  • 对 PII 主体（数据主体）的义务：隐私声明告知；响应主体权利请求——访问、更正、删除、撤回同意、可携带、限制处理；自动化决策（含画像）设专门控制。

3. 针对 PII 处理者的控制（约 18 项）

核心是"按指示办事 + 协助控制者"：

  • 仅按控制者书面指示处理 PII；协助控制者履行其义务（如响应主体权利请求、开展 DPIA）；
  • 转委托（分处理者）管理：转委托须经控制者授权，对分处理者施加同等隐私义务并监督；
  • 合同终止或到期时返还或删除 PII；跨境传输提供保障措施；
  • 发现疑似隐私事件及时通知控制者；接受控制者的审计/检查；自身人员保密义务。

4. 共享信息安全控制与实施指南

  • 共享信息安全控制（约 29 项）：PIMS 复用的信息安全基础控制，与 27002:2022 对齐。
  • 附录 B（2025 版新增）：控制实施指南，帮助组织把要求落地。

5. 隐私风险评估

与 27001 的信息安全风险评估不同，PIMS 的风险评估以对数据主体权利和自由的风险为中心：评估可能性与影响，处置方式包括实施技术/管理控制、修订流程、书面接受残余风险、回避高风险处理。DPIA（对应我国个保法的"个人信息保护影响评估"）是其中的关键工具，高风险场景必须先评估再处理。

三、对企业的帮助

  1. 隐私合规的体系化支撑：为 GDPR、我国《个人信息保护法》（含合规审计、个人信息保护影响评估义务）等提供可落地的管理框架。注意：认证不等于"合规免责"，但它是向监管展示尽责努力的最有力证据之一。
  2. 出海通行证：在 GDPR、CCPA、LGPD 等语境下，国际互认的证书是通用语言，可缩短客户安全/隐私问卷与尽调周期。
  3. 客户与公众信任：第三方背书的隐私管理能力，比自声明的"我们重视隐私"可信得多，尤其适合处理海量个人信息的业务。
  4. 供应链与招投标：作为受托方（云服务商、外包商）向甲方证明隐私保护能力；大型企业采购、政企项目中日益成为加分项。
  5. 与现有体系整合降本：与 ISO 27001 同源同构，已有 27001 的企业叠加成本低；2025 版独立后，未做 27001 的数据密集型企业也可直接切入。
  6. 与等保、数据安全法的衔接：等保 2.0、数据安全法侧重网络安全与数据安全通用要求，27701 补上"个人信息全生命周期"的精细化一环，三者互补；但 27701 不能替代等保测评等法定要求。

四、最新版本

  • 现行版本为 ISO/IEC 27701:2025（第二版），2025 年 10 月 14 日发布，取代 2019 版。
  • 最大变化：从"27001/27002 的扩展"变为独立标准——可单独实施和认证，不再强制要求先有 ISO 27001 证书；对未建 ISMS 的数据密集型企业（如数据经纪商、分析公司、专业分处理商）是重大利好。
  • 内容更新：结构对齐 27001:2022/27002:2022（93 项控制体系）；控制者/处理者控制重组（控制者约 31 项、处理者约 18 项、共享信息安全控制约 29 项）；新增对云服务、AI 相关处理、IoT、生物识别、健康数据的指引；附录 B 新增实施指南；隐私风险管理要求更明确。
  • 过渡期：2019 版向 2025 版转换的具体截止日期和认可安排应以认可机构及认证机构正式通知为准。新申请建议直接按 2025 版准备。

五、适合做认证的企业

  • 处理海量个人信息的企业：互联网、SaaS、电商、金融、医疗、教育、智能硬件等；
  • 出海企业：业务触达欧盟、东南亚、中东等有数据保护立法的市场；
  • 数据受托方：云服务商、数据标注/分析公司、呼叫中心、外包客服等，需要向甲方证明隐私保护能力；
  • 已有 ISO 27001 想补隐私短板的企业：整合实施成本最低；
  • 面临监管问询或并购尽调的企业：证书是隐私尽责的硬证据。

主要信息来源

  • DNV《ISO/IEC 27701 Revision: Privacy Information Management System》（2025 版发布与主要变化）
  • Kiwa《ISO/IEC 27701:2025 published》（2025-10）
  • ISO/IEC 27701:2025 官方标准页
  • TÜV SÜD《A Call for Global Privacy Framework》

标签：隐私保护 · ISO/IEC 27701 · 标准解读