熱線：
Q Q：ISO27701隱私信息管理體系PIMS認(rèn)證
發(fā)布時(shí)間：2020-10-28 作者：廣匯聯(lián)合 來(lái)源：廣匯聯(lián)合
ISO27701最初開(kāi)發(fā)為ISO27552,它為建立、實(shí)施、維護(hù)和持續(xù)改進(jìn)隱私信息管理體系（PIMS）提供了特定要求和指導(dǎo)，作為對(duì)隱私信息安全管理體系（ISMS）中定義的擴(kuò)展。ISO27001不僅考慮了信息安全性，還考慮了處理PII所需的隱私保護(hù)。像ISO27001標(biāo)準(zhǔn)一樣，ISO27701并不希望組織在所有情況下都采用每種控件。相反它要求組織了解處理PII的特定上下文，并以適合其處理活動(dòng)的方式調(diào)整特定的控件集以及這些控件的相關(guān)實(shí)現(xiàn)。
為了更好地理解新標(biāo)準(zhǔn)，應(yīng)理解以下關(guān)鍵術(shù)語(yǔ):控制器，聯(lián)合控制器，處理器和子處理器。這些或類似術(shù)語(yǔ)在包括GDPR在內(nèi)的許多隱私法律和法規(guī)中都可以找到。通常，“控制者”是指示首先收集和處理PII的原因的實(shí)體，“聯(lián)合控制者”是兩個(gè)或多個(gè)共同提供此方向的實(shí)體。“處理器”是代表該控制器負(fù)責(zé)處理此類數(shù)據(jù)的獨(dú)立法律實(shí)體（即,不是雇員），“子處理器”是由另一處理器聘用的處理器。
新發(fā)布的標(biāo)準(zhǔn)既適用于PII的控制器（以及聯(lián)合控制器），也適用于PII的處理器（包括子處理器），而不管其運(yùn)營(yíng)所在的管轄區(qū)和部門如何，并且還包括對(duì)GDPR和ISO/IEC的映射29100，ISO/IEC27018和ISO/IEC29151安全框架。ISO/IEC 27701要求與其他隱私法律的映射，例如《 2018年加利福尼亞消費(fèi)者隱私法案》（CCPA），《格拉姆-里奇-布萊利法案》（GLBA）和《 1996年健康保險(xiǎn)攜帶和責(zé)任法案》（HIPAA）應(yīng)該是預(yù)期的，并且將通過(guò)提供證明遵守這些監(jiān)管制度的通用標(biāo)準(zhǔn)來(lái)幫助組織。
下面概述了適用于控制器和處理器的某些關(guān)鍵ISO/IEC 27701關(guān)鍵要求：
適用于控制器和處理器的要求
保密，被授權(quán)訪問(wèn)PII的個(gè)人必須簽署保密協(xié)議。
分析風(fēng)險(xiǎn)，必須進(jìn)行隱私風(fēng)險(xiǎn)評(píng)估以識(shí)別PII處理風(fēng)險(xiǎn)。
監(jiān)督，組織必須任命一個(gè)負(fù)責(zé)開(kāi)發(fā)，實(shí)施，維護(hù)和監(jiān)視其治理和隱私計(jì)劃的人員。
訓(xùn)練，需要對(duì)有權(quán)使用PII的人員進(jìn)行隱私意識(shí)培訓(xùn)。
內(nèi)部流程，組織必須采用各種政策和程序，例如針對(duì)違反PII的事件響應(yīng)計(jì)劃。
保持記錄中，ISO/IEC 27701要求組織保留所有PII處理活動(dòng)的記錄，包括管轄區(qū)之間的PII轉(zhuǎn)移和向第三方的披露。
控制器特定要求
隱私權(quán)聲明，組織必須提供隱私政策，其中包含有關(guān)PII收集，使用和處理的特定信息。
處理器合同要求，組織必須與處理者簽訂書面合同，處理特定項(xiàng)目，例如保護(hù)PII，將處理限制為收集PII的特定目的，并提供違反PII的通知。
個(gè)人權(quán)利，ISO/IEC27701要求組織實(shí)施各種機(jī)制，以容納個(gè)人訪問(wèn)，更正和刪除其PII的權(quán)利，以及反對(duì)或限制PII的處理等。
設(shè)計(jì)和默認(rèn)情況下的隱私。組織必須采取措施，通過(guò)設(shè)計(jì)和默認(rèn)來(lái)實(shí)施隱私原則。
處理器特定要求
處理限制。組織必須僅根據(jù)控制器或處理器的書面說(shuō)明來(lái)處理PII（取決于客戶的角色）。
協(xié)助個(gè)人權(quán)利。ISO/IEC 27701要求處理者采取措施，協(xié)助客戶遵守個(gè)人權(quán)利。
轉(zhuǎn)讓和披露。加工商必須提前將司法管轄區(qū)之間的PII轉(zhuǎn)移或其任何預(yù)期變更告知客戶。
分包商。ISO/IEC27701要求處理器僅根據(jù)客戶合同的條款委聘分包商處理PII。
