ISO 27701基于ISO 27001的架構(gòu)，增加了隱私管理的特定要求和控制措施，以確保組織在處理個人信息時遵循隱私原則和法規(guī)要求。它涵蓋了隱私策略、隱私風(fēng)險評估、個人信息的收集、存儲、使用、共享和刪除等全生命周期管理，以及對隱私事件的處理和監(jiān)督機制等方面。
ISO 27701隱私信息管理體系認證范圍的要求規(guī)范
組織范圍：適用于任何類型和規(guī)模的組織，包括公共和私營公司、政府機構(gòu)、非盈利組織等。只要組織有處理個人信息的活動，無論其行業(yè)、性質(zhì)和規(guī)模如何，都可以申請ISO 27701認證。
業(yè)務(wù)范圍：涵蓋組織內(nèi)與個人信息處理相關(guān)的所有業(yè)務(wù)活動和流程，包括個人信息的收集、存儲、使用、共享、傳輸、刪除等全生命周期管理。例如，對于電商企業(yè)，涉及客戶下單、支付、物流配送等環(huán)節(jié)中收集和處理的客戶個人信息；對于醫(yī)療機構(gòu)，包括患者掛號、診療、病歷管理等過程中產(chǎn)生的患者個人健康信息。
數(shù)據(jù)范圍：涉及組織所處理的所有個人可識別信息（PII）。PII是指能夠直接或間接識別個人身份的信息，如姓名、身份證號碼、聯(lián)系方式、地址、出生日期、生物識別信息等。無論是紙質(zhì)記錄、電子數(shù)據(jù)還是其他形式存儲的個人信息，都在認證范圍內(nèi)。
系統(tǒng)和技術(shù)范圍：包括用于處理、存儲和傳輸個人信息的信息系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)庫、應(yīng)用程序等技術(shù)設(shè)施。例如，企業(yè)的客戶關(guān)系管理系統(tǒng)、人力資源管理系統(tǒng)、網(wǎng)站服務(wù)器等，只要這些系統(tǒng)涉及個人信息的處理，就需要納入認證范圍。
合作伙伴范圍：如果組織將個人信息處理活動委托給第三方合作伙伴，如外包商、云服務(wù)提供商、數(shù)據(jù)處理商等，這些合作伙伴也應(yīng)納入認證范圍。組織需要確保合作伙伴遵守ISO 27701標(biāo)準(zhǔn)的要求，對個人信息進行妥善保護。
