ISO 27701基于ISO 27001的架構(gòu)，增加了隱私管理的特定要求和控制措施，以確保組織在處理個(gè)人信息時(shí)遵循隱私原則和法規(guī)要求。它涵蓋了隱私策略、隱私風(fēng)險(xiǎn)評(píng)估、個(gè)人信息的收集、存儲(chǔ)、使用、共享和刪除等全生命周期管理，以及對(duì)隱私事件的處理和監(jiān)督機(jī)制等方面。
ISO 27701隱私信息管理體系認(rèn)證范圍的要求規(guī)范
組織范圍：適用于任何類型和規(guī)模的組織，包括公共和私營(yíng)公司、政府機(jī)構(gòu)、非盈利組織等。只要組織有處理個(gè)人信息的活動(dòng)，無(wú)論其行業(yè)、性質(zhì)和規(guī)模如何，都可以申請(qǐng)ISO 27701認(rèn)證。
業(yè)務(wù)范圍：涵蓋組織內(nèi)與個(gè)人信息處理相關(guān)的所有業(yè)務(wù)活動(dòng)和流程，包括個(gè)人信息的收集、存儲(chǔ)、使用、共享、傳輸、刪除等全生命周期管理。例如，對(duì)于電商企業(yè)，涉及客戶下單、支付、物流配送等環(huán)節(jié)中收集和處理的客戶個(gè)人信息；對(duì)于醫(yī)療機(jī)構(gòu)，包括患者掛號(hào)、診療、病歷管理等過(guò)程中產(chǎn)生的患者個(gè)人健康信息。
數(shù)據(jù)范圍：涉及組織所處理的所有個(gè)人可識(shí)別信息（PII）。PII是指能夠直接或間接識(shí)別個(gè)人身份的信息，如姓名、身份證號(hào)碼、聯(lián)系方式、地址、出生日期、生物識(shí)別信息等。無(wú)論是紙質(zhì)記錄、電子數(shù)據(jù)還是其他形式存儲(chǔ)的個(gè)人信息，都在認(rèn)證范圍內(nèi)。
系統(tǒng)和技術(shù)范圍：包括用于處理、存儲(chǔ)和傳輸個(gè)人信息的信息系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)庫(kù)、應(yīng)用程序等技術(shù)設(shè)施。例如，企業(yè)的客戶關(guān)系管理系統(tǒng)、人力資源管理系統(tǒng)、網(wǎng)站服務(wù)器等，只要這些系統(tǒng)涉及個(gè)人信息的處理，就需要納入認(rèn)證范圍。
合作伙伴范圍：如果組織將個(gè)人信息處理活動(dòng)委托給第三方合作伙伴，如外包商、云服務(wù)提供商、數(shù)據(jù)處理商等，這些合作伙伴也應(yīng)納入認(rèn)證范圍。組織需要確保合作伙伴遵守ISO 27701標(biāo)準(zhǔn)的要求，對(duì)個(gè)人信息進(jìn)行妥善保護(hù)。
