ISO27701是ISO27000系列中的一個重要標(biāo)準(zhǔn)，它擴(kuò)展了ISO27001和ISO27002的要求，專注于隱私信息的保護(hù)。該標(biāo)準(zhǔn)的發(fā)布旨在填補(bǔ)隱私信息管理體系的空白，將隱私保護(hù)的原則、理念和方法融入到信息安全保護(hù)體系中，幫助組織更好地管理隱私風(fēng)險，確保合規(guī)性，并增強(qiáng)利益相關(guān)者的信任。
ISO27701標(biāo)準(zhǔn)適用于所有類型和規(guī)模的組織，包括公共和私營公司、政府實體以及非盈利組織。它詳細(xì)規(guī)定了個人可識別信息（PII）控制者和PII處理者的隱私保護(hù)要求，為企業(yè)在隱私保護(hù)和信息安全方面提供了指導(dǎo)建議。
ISO27701標(biāo)準(zhǔn)主要內(nèi)容與要求
隱私管理體系的建立與維護(hù)：
組織必須建立并維護(hù)一個隱私管理體系，以有效識別、評估、監(jiān)控和應(yīng)對隱私風(fēng)險。
隱私風(fēng)險評估與應(yīng)對：
組織需定期對其隱私風(fēng)險進(jìn)行評估，識別潛在威脅和漏洞，并采取措施降低風(fēng)險。
隱私政策與通知：
組織必須制定清晰、透明的隱私政策和通知，明確告知客戶、員工及合作伙伴其隱私實踐。
數(shù)據(jù)主體權(quán)利保障：
ISO27701強(qiáng)調(diào)尊重數(shù)據(jù)主體的權(quán)利，包括訪問權(quán)、更正權(quán)、刪除權(quán)（被遺忘權(quán)）和反對處理權(quán)等。
數(shù)據(jù)處理與委托處理：
組織在處理個人數(shù)據(jù)時，必須確保遵守適用的隱私法規(guī)和標(biāo)準(zhǔn)。對于委托第三方處理個人數(shù)據(jù)的情況，組織應(yīng)確保委托處理方同樣符合隱私法規(guī)和標(biāo)準(zhǔn)。
隱私保護(hù)控制：
ISO27701分別從PII控制者和PII處理者的角度，補(bǔ)充說明了收集和處理PII的條件、對PII主體的隱私保護(hù)義務(wù)。
信息安全與隱私保護(hù)的統(tǒng)一流程：
原有的以業(yè)務(wù)和資產(chǎn)為主線的信息安全風(fēng)險評價中增加隱私生命周期處理風(fēng)險。組織應(yīng)在整個風(fēng)險評估過程中確保信息安全與PII保護(hù)之間的關(guān)系得到適當(dāng)管理。
