ISO_IEC 27701_2019 隐私信息管理体系要求培训课件.pptxVIP

ISO/IEC27701:2019隐私信息管理体系要求培训课件

汇报人：XXX

XXX

目录

CONTENTS

隐私信息管理体系概述

ISO/IEC27701:2019核心要求

隐私信息管理控制措施

实施与运行

审核与认证

案例分析与最佳实践

01

隐私信息管理体系概述

PART

定义与背景

ISO/IEC27701是国际标准化组织（ISO）和国际电工委员会（IEC）联合发布的隐私信息管理体系（PIMS）标准，作为ISO/IEC27001信息安全管理体系的扩展，专门针对个人身份信息（PII）的保护需求设计。

标准定位

该标准起源于ISO/IEC27552，旨在填补隐私信息管理体系的空白，通过将隐私保护原则融入信息安全框架，为组织提供可落地的隐私管理指导。

发展历程

适用于所有处理个人数据的组织（包括PII控制者和处理者），无论其规模或行业，帮助实现全球隐私法规（如GDPR）的合规性。

适用范围

与ISO27001的关系

1

2

3

4

基础依赖

ISO/IEC27701必须建立在已通过ISO/IEC27001认证的信息安全管理体系（ISMS）基础上，是对ISMS在隐私保护领域的专项扩展。

在ISO27001的114项安全控制措施基础上，新增了35项隐私专属控制要求，例如数据主体权利管理、隐私影响评估（PIA）等。

控制措施补充

框架协同

两者共享相同的PDCA（计划-实施-检查-改进）管理模型，但27701额外定义了隐私角色（如DPO）和责任矩阵。

认证关联

组织需先通过ISO27001认证，才能单独申请27701扩展认证，形成信息安全+隐私保护的双体系认证。

隐私信息管理的重要性

风险管理

提供结构化方法识别隐私风险（如数据泄露、滥用），并实施针对性控制措施，将风险降至可接受水平。

信任构建

通过国际权威认证向客户、合作伙伴证明组织对数据隐私的保护能力，增强市场竞争力。

合规驱动

帮助组织系统化满足GDPR、CCPA等全球隐私法规要求，降低法律处罚风险（如高额罚款或诉讼）。

02

ISO/IEC27701:2019核心要求

PART

ISO/IEC27701作为ISO/IEC27001的隐私扩展框架，要求组织在现有信息安全管理体系(ISMS)基础上，增加针对个人身份信息(PII)的专项控制措施，形成完整的隐私信息管理体系(PIMS)。

隐私信息管理框架

体系扩展设计

框架需涵盖PII的收集、存储、处理、共享、传输及销毁各环节，确保符合GDPR等全球隐私法规要求，例如数据处理记录需保留至数据删除后6个月。

全生命周期覆盖

组织需建立PDCA循环（计划-实施-检查-改进），通过定期内部审核、管理评审和纠正措施，持续优化隐私控制措施的有效性。

持续改进机制

角色与职责

数据控制者义务

明确数据控制者需对PII处理目的和方式负责，包括制定数据处理协议(DPA)、实施数据保护影响评估(DPIA)及确保第三方处理者的合规性。

01

数据处理者要求

处理者需按控制者指示处理数据，提供足够技术保障（如加密、访问控制），并协助控制者响应数据主体权利请求（如访问、删除）。

隐私专员职能

设立数据保护官(DPO)或隐私专员，监督PIMS运行，充当监管机构联络点，并定期向最高管理层报告隐私风险状况。

员工意识培训

所有接触PII的员工需接受隐私政策、事件报告流程及安全操作培训，例如禁止通过未加密邮件传输敏感数据。

02

03

04

隐私风险评估

识别PII资产

通过数据流图梳理PII存储位置（如CRM系统、云服务器）和处理活动（如跨境传输、自动化决策），识别潜在泄露或滥用场景。

风险处置优先级

采用定量或定性方法（如DREAD模型）评估风险等级，优先处理高风险项（如生物识别数据存储未加密），制定缓解措施时间表。

法律合规映射

评估处理活动是否符合适用法规（如GDPR的合法性基础要求、中国《个人信息保护法》的最小必要原则），记录合规差距及整改计划。

03

隐私信息管理控制措施

PART

7，6，5！4，3

XXX

数据主体权利管理

访问权保障

建立标准化流程确保数据主体能够获取其个人信息副本，包括处理目的、数据类型、接收方类别等完整信息，需在30天内响应请求。

限制处理权

开发系统功能标记特定数据为受限处理状态，在此状态下仅允许存储而禁止任何进一步处理操作。

更正机制

实施自动化工具和人工审核相结合的系统，允许数据主体对不准确或不完整的个人信息提出修改要求，并在数据库中进行实时更新。

删除权（被遗忘权）

制定数据擦除策略，明确法律依据和技术实现方式，包括备份数据的清理周期和第三方数据共享终止程序。

数据处理透明度

01.

隐私声明设计

要求隐私声明包含数据处理法律依据、保留期限、跨境传输机制等要素，使用分层展示方式确保不