一問一答什么是ISO27701隱私信息管理體系

一問一答什么是ISO27701隱私信息管理體系QISO27701是什么？ISO/IEC27701是國際標(biāo)準(zhǔn)化組織發(fā)布的隱私信息管理體系標(biāo)準(zhǔn)，全稱《安全技術(shù)—擴展ISO/IEC27001和ISO/IEC27002的隱私信息管理—要求與指南》。該標(biāo)準(zhǔn)基于PII相關(guān)組織和利益相關(guān)方要求；明確隱私影響評估的要求；針對組織作為PII控制者/形成PIMS（隱私信息管理體系）。該標(biāo)準(zhǔn)適用于所有類型和規(guī)模的組織，包括公共和私營公司、政府機構(gòu)和非盈利組織。QISO27701產(chǎn)生的背景是什么？2018年歐盟GDPR生效，就提出了以第三方認(rèn)證作為數(shù)據(jù)（特別是個人數(shù)據(jù)）傳輸?shù)幕A(chǔ)，但并未明確采信哪個標(biāo)準(zhǔn)。實際上包括GDPR在內(nèi)，各國與隱私相關(guān)的法律不盡相同，加州法案，以及澳大利亞或日本等國國的《個人信息保護法》也于11?1日生效。因此，當(dāng)前急需一種國際通行的隱私管理標(biāo)準(zhǔn)。2021年，歐盟對第三方認(rèn)證的要求做出了司法解釋，其采信的第三方認(rèn)證需由監(jiān)管機構(gòu)認(rèn)可或國家認(rèn)可機構(gòu)認(rèn)可。國家認(rèn)可機構(gòu)認(rèn)可制度實際是IAF國際認(rèn)可論壇圍繞ISO相關(guān)標(biāo)準(zhǔn)確立的認(rèn)可機制。ISO27701標(biāo)準(zhǔn)的推出，很大程度上可以滿足各國相關(guān)隱私保護法律法規(guī)的要求。Q國際和國內(nèi)關(guān)于隱私保護的主要法律法規(guī)有哪些?國內(nèi)與隱私保護相關(guān)的法律法規(guī)包括：《中華人民共和國網(wǎng)絡(luò)安全法》、《中華人民共和國數(shù)據(jù)安全法》和《中華人民共和國個人信息保護法》等。國際上與隱私保護相關(guān)的法律法規(guī)包括a美國童在線隱私權(quán)保護法案》、《健康保險攜帶和責(zé)任法》和《有效保護隱私權(quán)的自律規(guī)范》等；b歐盟:GDPR、《關(guān)于在個人數(shù)據(jù)處理過程中保護當(dāng)事人及此類數(shù)據(jù)自由流通的指令》等；c日本：《個人信息保護法》等；d加拿大：《隱私法》和《個人信息保護與電子文件法》等；e國際交流：OECD《關(guān)于保護隱私和個人數(shù)據(jù)國際流通的指南》和《APEC隱私保護框架》等。QISO27701與其他標(biāo)準(zhǔn)的關(guān)系如何？ISO/IEC27701的框架基于ISO/IEC27001，同樣遵循了ISO的管理體系標(biāo)準(zhǔn)高層結(jié)構(gòu)HLS，故與其它IS兼容性，便于組織實施整合的管理體系。同時，作為ISO標(biāo)準(zhǔn)中尾數(shù)為01的要求類標(biāo)準(zhǔn)，其有助于構(gòu)建持續(xù)改進的管理QISO27701的核心術(shù)語PII、PII控制者和PII處理者是什么含義？；（PII控制者：確定處理個人可識別信息（PII）的目的和手段人目的使用數(shù)據(jù)的自然人；PII處理者：代表并按照PII控制者的說明處理個人可識別信息（PIQISO27701適合于哪些組織？ISO/IEC27701適用于所有組織，無論其規(guī)模、行業(yè)或業(yè)務(wù)性質(zhì)如何。Q實施ISO27701有什么價值？隱私信息管理體系提供了一套一致的隱私實踐（即控制）可以根據(jù)任何隱私法進行映射實施ISO27701可以提高組隱私信息管理體系提供了套致的隱私實踐（即控制可以根據(jù)任何隱私法進行映射。實施ISO27701可以提高組織管理數(shù)據(jù)安全和隱私風(fēng)險的能力，同時減輕組織合規(guī)負(fù)擔(dān)、降低組織合規(guī)風(fēng)險，幫助企業(yè)提供盡職證明，傳達可信Q組織申請ISO27701有什么前提？正式認(rèn)證前，組織應(yīng)已建立同時滿足ISO/IEC27001標(biāo)準(zhǔn)的信息安全管理體系及ISO/IEC27701標(biāo)準(zhǔn)的隱私信息管理體QISO27701標(biāo)準(zhǔn)的架構(gòu)如何？ISO/IEC27701標(biāo)準(zhǔn)第1章到至第4章，給出了標(biāo)準(zhǔn)的范圍、引用文件、術(shù)語和定義以及總則。標(biāo)準(zhǔn)管理要求分布在第5章至第8章，其中第5章為ISO/IEC27001的要求關(guān)于PII相關(guān)的擴展，第6章為ISO/IEC27002的要求關(guān)于PII相關(guān)的擴展，第7章為針對PII控制者角色的管理要求，第8章為針對PII處理者角色的管理要求。附錄A-F給出了特定的控制目標(biāo)與控制措施以及與其他標(biāo)準(zhǔn)和法規(guī)的映射關(guān)系。Q實施ISO27701需要組織的哪些部門參與？實施ISO/IEC27701至少需要組織業(yè)務(wù)部門、技術(shù)研發(fā)部門、客戶服務(wù)部門、信息安全部門和法務(wù)部門參與。Q組織實施ISO27701的步驟有哪些？實施ISO/IEC27701的步驟包括風(fēng)險評估、隱私影響分析、內(nèi)審及管理評審。QISO27701認(rèn)證有哪些流程，初次獲證一般需要多長時間？ISO/IEC27701的認(rèn)證流程與ISO/IEC270進場至