2019年8月6日，國際標(biāo)準(zhǔn)化組織(ISO)和國際電工委員會(huì)(IEC)發(fā)布了ISO/IEC 27701(ISO 27701)——ISO/IEC 27001和ISO/IEC 27002的隱私擴(kuò)展，旨在幫助組織機(jī)構(gòu)保護(hù)和控制所處理的個(gè)人信息。
ISO 27701合規(guī)首先要求ISO 27001合規(guī)。二者互為補(bǔ)充。遵從ISO 27701要求的組織機(jī)構(gòu)會(huì)留下其PII處理方式的書面證據(jù)，可用于推動(dòng)與商業(yè)合作伙伴就PII處理問題簽訂協(xié)議，明確該組織機(jī)構(gòu)與其他利益相關(guān)者間的PII處理方式。盡管GDPR尚未確立官方認(rèn)證方法，近期報(bào)告表明，ISO 27701或可在近期改變這一現(xiàn)狀。
新發(fā)布的標(biāo)準(zhǔn)適用于PII控制者（及聯(lián)合控制者）和處理者（包括下級處理者），無論其運(yùn)營的行業(yè)和司法轄區(qū)，也包括到GDPR和SO/IEC 29100、ISO/IEC 27018及ISO/IEC 29151安全框架的映射。
新標(biāo)準(zhǔn)ISO/IEC 27701認(rèn)證的主要目標(biāo)
通過PIMS的擴(kuò)展以及與隱私相關(guān)的控制來增強(qiáng)現(xiàn)有的信息安全管理體系(ISMS)，簡化復(fù)雜的重疊隱私法的管理，創(chuàng)建一個(gè)以證據(jù)為基礎(chǔ)的隱私計(jì)劃，并通過公認(rèn)的認(rèn)證形式表明該計(jì)劃的合規(guī)性，并作為潛在的GDPR合規(guī)性的基礎(chǔ)?，F(xiàn)在發(fā)布的ISO27701認(rèn)證標(biāo)準(zhǔn)還實(shí)現(xiàn)了其他一些目的。一方面，它充當(dāng)PIMS與ISMS或ISO27001之間關(guān)系和連接的概述。它還詳述了所需的功能，并列出了PIMS數(shù)據(jù)處理器和控制器的隱私控制。在更大范圍內(nèi)，ISO27701認(rèn)證將信息隱私要求映射到相關(guān)的ISO標(biāo)準(zhǔn)和GDPR。
客戶若想雇傭供應(yīng)商代表自己處理和維護(hù)PII，應(yīng)考慮以合同的形式要求這些供應(yīng)商不僅遵從ISO 27001，還要遵從ISO 27701，或者在數(shù)據(jù)敏感度適用的情況下取得符合該標(biāo)準(zhǔn)的認(rèn)證。即使客戶不要求供應(yīng)商經(jīng)過獨(dú)立第三方的新標(biāo)準(zhǔn)合規(guī)認(rèn)證，可能也想要更新合同，確保供應(yīng)商能夠符合ISO 27701的要求。鑒于ISO 27701才剛發(fā)布，合同中也可寫入供應(yīng)商符合新標(biāo)準(zhǔn)要求的合理時(shí)延。
