2019年8月6日，國際標準化組織(ISO)和國際電工委員會(IEC)發(fā)布了ISO/IEC 27701(ISO 27701)——ISO/IEC 27001和ISO/IEC 27002的隱私擴展，旨在幫助組織機構(gòu)保護和控制所處理的個人信息。
ISO 27701合規(guī)首先要求ISO 27001合規(guī)。二者互為補充。遵從ISO 27701要求的組織機構(gòu)會留下其PII處理方式的書面證據(jù)，可用于推動與商業(yè)合作伙伴就PII處理問題簽訂協(xié)議，明確該組織機構(gòu)與其他利益相關者間的PII處理方式。盡管GDPR尚未確立官方認證方法，近期報告表明，ISO 27701或可在近期改變這一現(xiàn)狀。
新發(fā)布的標準適用于PII控制者（及聯(lián)合控制者）和處理者（包括下級處理者），無論其運營的行業(yè)和司法轄區(qū)，也包括到GDPR和SO/IEC 29100、ISO/IEC 27018及ISO/IEC 29151安全框架的映射。
通過PIMS的擴展以及與隱私相關的控制來增強現(xiàn)有的信息安全管理體系(ISMS)，簡化復雜的重疊隱私法的管理，創(chuàng)建一個以證據(jù)為基礎的隱私計劃，并通過公認的認證形式表明該計劃的合規(guī)性，并作為潛在的GDPR合規(guī)性的基礎?，F(xiàn)在發(fā)布的ISO27701認證標準還實現(xiàn)了其他一些目的。一方面，它充當PIMS與ISMS或ISO27001之間關系和連接的概述。它還詳述了所需的功能，并列出了PIMS數(shù)據(jù)處理器和控制器的隱私控制。在更大范圍內(nèi)，ISO27701認證將信息隱私要求映射到相關的ISO標準和GDPR。
客戶若想雇傭供應商代表自己處理和維護PII，應考慮以合同的形式要求這些供應商不僅遵從ISO 27001，還要遵從ISO 27701，或者在數(shù)據(jù)敏感度適用的情況下取得符合該標準的認證。即使客戶不要求供應商經(jīng)過獨立第三方的新標準合規(guī)認證，可能也想要更新合同，確保供應商能夠符合ISO 27701的要求。鑒于ISO 27701才剛發(fā)布，合同中也可寫入供應商符合新標準要求的合理時延。
