ISO/IEC 27701 隱私資訊管理系統（PIMS）

個人資料從蒐集、使用、委外到刪除，涉及不同部門與服務商。隱私資訊管理系統（PIMS）協助企業釐清處理目的、角色、風險與責任，讓政策能落實到日常作業。本頁整理新版定位、條款重點與轉版準備。

討論隱私管理與轉版需求

**ISO/IEC 27701:2025 於 2025 年 10 月 14 日發布，取代 2019 年版。**新版是可獨立使用的管理系統標準，可單獨導入與申請驗證，也可與 ISO/IEC 27001 整合；取得 ISO/IEC 27001 證書不再是新版的先決條件。ISO/IEC 27002 本身是控制指引，不能將它描述為必須先取得的管理系統證書。ISO 官方目錄

新版採用 ISO 管理系統協調架構（Annex SL），第 4～10 章涵蓋組織環境、領導力、規劃、支援、運作、績效評估與改善。2019 版原本已有隱私風險與治理要求；本次主要變化是建立完整、獨立的 PIMS 架構及重整控制與指引。

PIMS 適用於個人識別資訊（PII）控制者及處理者。組織可能在不同業務同時扮演兩種角色，應按實際處理活動判定。制度可支持適用個資義務的管理，但取得證書不等於自動符合 GDPR、CCPA、LGPD 或所有地區法律。

2019 版證書與過渡安排

標準被新版取代，與既有證書何時失去認可效力，是不同事項。**不能把單一機構的轉版期限套用到所有證書。**截至本頁查核日，公開方案例如：

資料依據：UKAS 轉換公告、ENAC 轉換計畫。請向原驗證機構取得適用的書面轉版計畫，預留缺失改善與驗證決定時間。能否併同監督或重新驗證稽核執行，以及所需額外稽核時間，依受理方案確認。

ISO/IEC 27706:2025 的角色

ISO/IEC 27706:2025 是提供 PIMS 稽核與驗證之機構的要求，配合 ISO/IEC 17021-1 使用，取代 ISO/IEC TS 27006-2:2021。企業申請的是 ISO/IEC 27701 驗證；27706 用來規範驗證機構的能力與作業。ISO 27706 官方說明

1. 獨立管理系統定位：不再以依附 ISMS 的延伸標準形式運作，可依個資活動界定 PIMS 範圍。
2. 完整管理架構：第 4～10 章建立 PIMS 自身的要求，可整合既有管理審查、稽核與文件流程。
3. 控制項與指引重整：附錄 A 集中控制，附錄 B 提供實施指引，附錄 F 協助新舊版對照。
4. 個資安全仍須管理：獨立運作並未取消資訊安全工作，隱私風險處置須連結適當的資訊安全措施。
5. 變更規劃：6.3 納入 PIMS 變更的規劃，實務可用於資料用途、平台、供應商或組織責任調整。
6. 範圍與證據更新：檢查處理者／控制者角色、SoA、風險與流程證據的對應；可保留仍有效的既有制度。

以下為導讀與實務準備方向；列舉的表單、指標及工作方式，可依組織規模、處理活動與適用要求調整。

4. 組織所處之環境

• 4.1 組織環境：分析影響 PIMS 的內外部議題，例如資料用途、技術、營運模式及法規環境；判定氣候變遷是否為相關議題。
• 4.2 利害關係人：辨識與 PII 處理相關的當事人、客戶、合作方及監管機關等，以及需由系統處理的要求。相關方也可能有氣候要求。
• 4.3 範圍：說明納入的活動、服務、據點、資料流及處理角色，檢查與外部服務的介面。
• 4.4 系統：建立、實施、維持並持續改善 PIMS 及必要流程。

**實務查核方向：**從一項招募、行銷或代客處理活動追蹤資料來源、目的與接收方，確認範圍與實際流程一致。各地法規須先判定適用性，不能一概認定全部適用。

5. 領導力

最高管理者應展現領導與承諾，建立隱私政策並配置資源，將 PIMS 要求融入業務流程。角色、責任及權限應明確並在組織內溝通。

可由法務、資訊、人資、行銷及營運共同管理資料流與決策。舊版已有領導責任，新版獨立架構下仍需能證明管理階層參與與制度有效性。

6. 規劃

• 6.1.2 隱私風險評估：建立一致的方法與準則，考量個資處理對當事人的影響，以及 PII 的資訊安全風險。
• 6.1.3 隱私風險處置：決定必要控制與處置計畫，建立適用性聲明（SoA），並記錄相關資訊安全方案。附錄 A 是比對依據，必要時可增加其他來源或自行設計的控制。
• 6.2 隱私目標：設定可評估、可行時可量測的目標，安排負責人、資源、完成時間及評估方式。
• 6.3 變更規劃：以有規劃的方式調整 PIMS。例如新增資料用途時，可先確認告知、適用依據、權限與保存規則，再追蹤執行結果。

**實務查核方向：**風險、控制、SoA、責任人與證據之間應能相互追溯。SoA 的建立屬規劃階段，不能等到第 8 章執行完才補寫。

7. 支援

提供管理系統所需資源，確保相關人員能力與隱私意識，建立內外部溝通安排，並管制必要文件化資訊。

可準備風險評估、SoA、處理活動、訓練、權利請求、事件與變更紀錄。文件種類及詳細程度依實際需要決定；既有文件可整合使用。紀錄本身包含個資時，也應限制存取並設定保存安排。

8. 運作

• 8.1 運作規劃與管制：讓規劃的流程及控制進入日常作業，管理相關變更與外部提供的流程、產品或服務。
• 8.2 隱私風險評估：依規劃的週期，以及重大變更等適用情況重新評估並保留結果。
• 8.3 隱私風險處置：執行處置計畫並留下結果證據。

實務可追蹤一筆權利請求或委外資料刪除作業，確認身分核實、處理、回覆及下游通知均有責任歸屬。控制者與處理者應依各自角色落實適用控制。

9. 績效評估

決定監測、量測、分析與評估的方法及時間，安排內部稽核與管理審查。可使用權利請求處理時間、逾期比例、重複缺失或風險處置進度等指標，解讀趨勢時應考量案件數與嚴重程度。

管理審查應將系統狀況、相關變化與績效結果轉成可執行的改善或變更決策。內部稽核需涵蓋新版適用要求，並維持客觀性與公正性。

10. 改善

10.1 持續改善關注 PIMS 的適合性、充分性與有效性；10.2 不符合與矯正措施處理偏離要求的情況，評估原因、必要措施及其有效性。

隱私事件應依事件程序及適用義務處理，再判斷是否構成管理系統不符合；事件與不符合不能完全畫上等號。可將事件、請求與稽核發現用於改善流程。

附錄 A：控制項構成與 SoA

本頁採 SGS 正式版逐項對照資料的計數：31 + 18 + 29，共 78 項控制。部分公開導讀列出不同數字，實際導入時應以合法取得的正式標準及控制清冊逐項核對。

控制重整包含既有內容的移轉與調整，不能據此推論資訊安全責任消失。本頁不採用未確認計算基礎的「刪除約 52 項」說法。SGS 正式版修訂與控制對照

SoA 應說明必要控制、納入理由、實施狀態及附錄 A 控制排除的理由，檢查有無遺漏必要措施。可以更新既有 SoA 並保留新舊對照，不必把全部文件從頭重寫；也不能只因不方便執行就排除控制。第 4～10 章管理系統要求不能套用控制選擇的邏輯任意排除。

附錄 B～F：指引與對照用途

C～F 為資料性對照。法規對照表可協助找出相關控制，不能代替法律適用性分析或證明全面合規。

Step 1：差距分析與角色盤點

確認現行證書、認可方案、PIMS 範圍及控制者／處理者角色；比較第 4～10 章、附錄 A 與既有制度，整理差距、可沿用證據及改善責任。可運用附錄 F 建立新舊對照。

Step 2：成立跨部門專案團隊

由管理階層支持，邀集法務、資訊、人資、營運、行銷與採購等相關人員，訂定文件更新、訓練、流程試行、內稽、管理審查及外部稽核時程。

Step 3：分層訓練

• 高階主管：獨立 PIMS 的責任、範圍、資源與重大風險決策。
• 內稽人員：新版條款、控制對照、SoA 與證據查核。
• 各部門：資料用途、權利請求、事件通報、委外與跨境資料流程。

Step 4：修訂文件與 SoA

更新政策、風險評估、處置計畫、SoA、變更及事件處理流程，調整合約與表單。保留仍適用的流程，清楚標示修訂原因、核准與版本；避免僅更換年份。

Step 5：執行、累積證據與內部確認

實際執行新版制度，累積請求處理、風險處置、供應商管理與變更紀錄，完成內部稽核、必要矯正及管理審查。所需運行時間依範圍、複雜度與證據充分性規劃，沒有可套用所有企業的固定天數。

Step 6：安排轉版稽核與驗證決定

向具適用資格的獨立驗證機構確認方案，評估併同監督、重新驗證或另行稽核的安排，完成缺失處理後由機構作成驗證決定。初次導入者依新版申請初次驗證；換版不代表證書一定重新取得完整三年效期。

27701 仍只是 27001 的隱私附錄？

2025 版已是獨立標準，需確認 PIMS 自身的範圍、要求與證據；既有 ISMS 可支援整合，但不能自動取代隱私管理工作。

沒有 27001 證書就不能申請？

新版不以取得 27001 證書為前提。仍須建立必要的個資安全措施，並確認受理機構提供的新版驗證方案。

附錄 A 必須全選，或可自由刪減？

應依角色、風險與適用要求決定必要控制，完整比對附錄 A，記錄排除理由；需要時增加控制，不能任意挑選。

SoA 與所有程序都必須重寫？

應更新對照、適用理由與證據，可以沿用有效內容。轉版的重點是補足差距並證明執行，而非文件數量。

隱私管理只屬於法務或 IT？

資料處理分布於各部門，管理者需配置責任與資源，讓招募、行銷、服務及委外流程一起落實。

已有 27001 或 27701 證書就代表所有個資法都合規？

證書具有特定範圍與評估依據。組織仍須辨識適用法律、合約與實際處理義務，持續檢視跨境、告知及當事人權利等安排。

可依需求約定處理活動清冊、資料流與角色表、差距分析、SoA 更新、內部稽核準備及教育訓練。實際服務範圍、排程與費用需另行確認；驗證決定由受理的獨立機構作成。

• ISO/IEC 27001 資訊安全管理系統
• ISO 管理系統企業內訓
• ISO 管理系統服務總覽

初談可先準備一項處理活動的資料流概況、現行政策、證書方案及去識別化紀錄。聯絡凱騰

本頁於 2026 年 9 月 29 日依 ISO 官方目錄、SGS 公開修訂對照及認可機構公告整理；內容為轉版導讀與實務建議，未取得付費標準全文進行逐條符合性查核。實際條文及適用轉換方案應以正式文件與受理機構最新公告為準。