ISO27701是ISO27000系列中的一個(gè)重要標(biāo)準(zhǔn)，它擴(kuò)展了ISO27001和ISO27002的要求，專注于隱私信息的保護(hù)。該標(biāo)準(zhǔn)的發(fā)布旨在填補(bǔ)隱私信息管理體系的空白，將隱私保護(hù)的原則、理念和方法融入到信息安全保護(hù)體系中，幫助組織更好地管理隱私風(fēng)險(xiǎn)，確保合規(guī)性，并增強(qiáng)利益相關(guān)者的信任。
ISO27701標(biāo)準(zhǔn)適用于所有類型和規(guī)模的組織，包括公共和私營(yíng)公司、政府實(shí)體以及非盈利組織。它詳細(xì)規(guī)定了個(gè)人可識(shí)別信息（PII）控制者和PII處理者的隱私保護(hù)要求，為企業(yè)在隱私保護(hù)和信息安全方面提供了指導(dǎo)建議。
ISO27701標(biāo)準(zhǔn)主要內(nèi)容與要求
隱私管理體系的建立與維護(hù)：
組織必須建立并維護(hù)一個(gè)隱私管理體系，以有效識(shí)別、評(píng)估、監(jiān)控和應(yīng)對(duì)隱私風(fēng)險(xiǎn)。
隱私風(fēng)險(xiǎn)評(píng)估與應(yīng)對(duì)：
組織需定期對(duì)其隱私風(fēng)險(xiǎn)進(jìn)行評(píng)估，識(shí)別潛在威脅和漏洞，并采取措施降低風(fēng)險(xiǎn)。
隱私政策與通知：
組織必須制定清晰、透明的隱私政策和通知，明確告知客戶、員工及合作伙伴其隱私實(shí)踐。
數(shù)據(jù)主體權(quán)利保障：
ISO27701強(qiáng)調(diào)尊重?cái)?shù)據(jù)主體的權(quán)利，包括訪問(wèn)權(quán)、更正權(quán)、刪除權(quán)（被遺忘權(quán)）和反對(duì)處理權(quán)等。
數(shù)據(jù)處理與委托處理：
組織在處理個(gè)人數(shù)據(jù)時(shí)，必須確保遵守適用的隱私法規(guī)和標(biāo)準(zhǔn)。對(duì)于委托第三方處理個(gè)人數(shù)據(jù)的情況，組織應(yīng)確保委托處理方同樣符合隱私法規(guī)和標(biāo)準(zhǔn)。
隱私保護(hù)控制：
ISO27701分別從PII控制者和PII處理者的角度，補(bǔ)充說(shuō)明了收集和處理PII的條件、對(duì)PII主體的隱私保護(hù)義務(wù)。
信息安全與隱私保護(hù)的統(tǒng)一流程：
原有的以業(yè)務(wù)和資產(chǎn)為主線的信息安全風(fēng)險(xiǎn)評(píng)價(jià)中增加隱私生命周期處理風(fēng)險(xiǎn)。組織應(yīng)在整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程中確保信息安全與PII保護(hù)之間的關(guān)系得到適當(dāng)管理。
