《信息安全、网络安全和隐私保护- 隐私信息管理体系 - 要求》专业解读与实践应用指南（雷泽佳编写-2024）.docxVIP

ISO/IEC27701.2

《信息安全、网络安全和隐私保护—隐私信息管理体系-要求》

专业解读与实践应用指南

（雷泽佳编制，2024年12月）

《信息安全、网络安全和隐私保护-隐私信息管理体系-要求》专业解读与实践应用指南

雷泽佳翻译，2024年11月PAGEII

PAGEII

目次

TOC\o1-4\h\u23367引言 4

161331范围 1

229082规范性引用文件 1

176943术语和定义 1

179544组织环境 6

123314.1理解组织及其环境 6

19914.2理解相关方的需求和期望 16

261744.3确定隐私信息管理体系的范围 30

265354.4隐私信息管理体系 35

263555领导作用 37

42655.1领导作用和承诺 37

179575.2隐私方针 47

208745.3角色、职责和权限 55

83856策划 65

164086.1应对风险和机遇的措施 65

224136.1.1总则 65

70226.1.2隐私风险评估 78

125416.1.3隐私风险应对 91

33066.2隐私目标及其实现的策划 99

89046.3变更的策划 4

97127支持 9

187217.1资源 9

104317.2能力 14

1937.3意识 30

237707.4沟通 35

5427.5成文信息 40

296567.5.1总则 40

39747.5.2创建和更新 46

270337.5.3成文信息的控制 51

53728运行 68

253898.1运行的策划和控制 68

204838.2隐私风险评估 75

271228.3隐私风险应对 84

17289绩效评价 89

32579.1监视、测量、分析和评价 89

207529.2内部审核 107

324969.2.1总则 107

193469.2.2内部审核方案 109

199939.3管理评审 116

29919.3.1总则 116

184659.3.2管理评审输入 121

95039.3.3管理评审输出 127

1672510改进 130

2164610.1持续改进 130

793810.2不符合及纠正措施 133

引言

总则

几乎所有组织都会处理个人可识别信息（PII）。此外，处理PII的数量和种类都在增加，组织需要与其他组织合作处理PII的情况也在增多。在处理PII时保护隐私是一种社会需求，也是全世界专项立法或法规的主题。

本标准包括与以下标准内容的对应关系：

——ISO/IEC29100中规定的隐私框架和原则；

——ISO/IEC27018;

——ISO/IEC29151；以及

——欧盟通用数据保护条例。

注：这些内容可以根据当地立法或法规进行解释。

本标准可供个人可识别信息（PII）控制者（包括作为共同PII控制者的控制者）和PII处理者（包括使用分包PII处理者的处理者以及作为PII处理者分包商的处理者）使用。

通过遵守本标准中的要求，组织可以生成其如何处理PII的证据。此类证据可用于促进与业务合作伙伴之间涉及PII处理的相互协议。这也有助于与其他相关方的关系处理。使用本标准可以为此类证据提供独立核查。

本标准最初为ISO/IEC27552。

与其他管理体系标准的兼容性

本标准采用国际标准化组织（ISO）制定的框架，以提高其管理体系标准之间的一致性。

本标准使组织能够将其隐私信息管理体系（PIMS）与其他管理体系标准的要求相一致或相整合，特别是与ISO/IEC27001中规定的隐私信息管理体系相一致或相整合。

《信息安全、网络安全和隐私保护-隐私信息管理体系-要求》专业解读与实践应用指南

雷泽佳翻译，2024年11月PAGEII

PAGEII

信息安全、网络安全和隐私保护

—隐私信息管理体系-要求和指南

范围

本标准规定了建立、实施、保持和持续改进隐私信息管理体系（PIMS）的要求。

本标准提供了实施本标准中要求的指南。

本标准旨在对个人可识别信息（PII）处理负有责任和职责的PII控制者和PII处理者提供指导。

本标准适用于所有类型和规模的组织，包括公共和私营公司、政府实体和非营利组织。

规范性引用文件

下列文件对于本标准的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本标准。凡是不注日