个人信息从收集、使用、委外到删除，往往涉及不同部门与服务商。隐私信息管理体系（PIMS）帮助组织明确处理目的、角色、风险与责任，让政策落实到日常工作。本页介绍新版定位、条款重点和转版准备。
一、2025 版改版与转版时间
**ISO/IEC 27701:2025 于 2025 年 10 月 14 日发布，取代 2019 版。**新版是可独立使用的管理体系标准，可独立导入和申请认证，也可与 ISO/IEC 27001 整合；取得 ISO/IEC 27001 证书不再是前提。ISO/IEC 27002 是控制指南，不是必须先取得的管理体系证书。ISO 官方目录
新版采用 ISO 管理体系协调结构（Annex SL），第 4 至第 10 章涵盖组织环境、领导力、规划、支持、运行、绩效评价和改善。2019 版已有隐私风险与治理要求；本次主要变化是建立完整、独立的 PIMS 架构，并重新整理控制与指南。
PIMS 适用于个人可识别信息（PII）控制者及处理者。同一组织可在不同业务中承担不同角色，应按实际处理活动判断。体系可协助管理适用的个人信息义务，但取得证书并不代表自动符合 GDPR、CCPA、LGPD 或所有地区法律。
2019 版证书与转换安排
标准被新版取代，与现有证书何时失去认可效力是两回事。**不能把单一认可方案的期限套用到所有证书。**截至本页核对日，公开安排例如：
| 认可方案 | 已公布的转换安排 | 组织应确认的事项 |
|---|---|---|
| UKAS | 认证机构须在 2028 年 10 月 31 日前完成既有获证客户的转换。 | 证书是否属于该认可方案、认证机构受理及审核期限。 |
| ENAC（2026 年 7 月公告） | 2027 年 7 月 1 日起，初次及再认证审核采用新版；2030 年 7 月 1 日起旧版证书不再具有认可地位。 | 新版认证资格、证书到期日及适用程序。 |
来源：UKAS 转换公告、ENAC 转换计划。请向原认证机构索取书面转换计划，并预留缺失改善和认证决定所需时间。能否结合监督或再认证审核执行，以及是否需要增加审核时间，应向受理方案确认。
ISO/IEC 27706:2025 的作用
ISO/IEC 27706:2025 规定 PIMS 审核与认证机构的要求，并与 ISO/IEC 17021-1 配合使用，取代 ISO/IEC TS 27006-2:2021。组织申请的是 ISO/IEC 27701 认证；27706 规范认证机构的能力和运作。ISO 27706 官方说明
二、主要修订内容
- **独立管理体系：**新版不再只是依附 ISMS 的扩展标准，可按个人信息处理活动界定 PIMS 范围。
- **完整管理架构：**第 4 至第 10 章形成 PIMS 自身要求，可与现有管理评审、审核和文件流程整合。
- **重新整理控制与指南：**附录 A 汇总控制，附录 B 提供实施指南，附录 F 协助新旧版对照。
- **个人信息安全仍须管理：**独立运行不代表可省略信息安全；隐私风险处置仍须连接适当的信息安全措施。
- **规划变更：**6.3 纳入 PIMS 变更规划，可用于资料用途、平台、供应商或组织责任调整。
- **更新范围与证据：**检查控制者/处理者角色、适用性声明（SoA）、风险和流程证据之间的对应关系；仍有效的既有制度可以保留。
三、第 4 至第 10 章重点
以下为阅读与实务准备方向，表单、指标及工作方法可按组织规模、处理活动和适用要求调整。
4. 组织环境
- **4.1 组织环境：**分析影响 PIMS 的内外部议题，例如资料用途、技术、经营模式和法规环境，并判断气候变化是否相关。
- **4.2 利害关系人：**识别与 PII 处理有关的数据主体、客户、合作方、监管机构等，并确定体系需回应的要求；相关方也可能提出气候要求。
- **4.3 范围：**说明纳入的活动、服务、地点、数据流和处理角色，并检查与外部服务的接口。
- **4.4 管理体系：**建立、实施、维护并持续改善 PIMS 及必要流程。
**实务检查：**沿着一项招聘、营销或受托处理活动，追踪数据来源、目的和接收方，确认范围与实际流程一致。先判断各地法律是否适用，不要假设所有地区的法规都适用。
5. 领导力
最高管理层应展现领导承诺、建立隐私方针、提供资源，并将 PIMS 要求纳入业务流程。角色、责任和权限应明确，并在组织内沟通。法务、IT、人力资源、营销及运营可共同管理数据流和相关决定。旧版已有领导责任，新版独立架构下仍须证明管理层参与及体系有效性。
6. 规划
- **6.1.2 隐私风险评估：**建立一致的方法和准则，同时考虑个人信息处理对个人的影响，以及 PII 的信息安全风险。
- **6.1.3 隐私风险处置：**决定必要控制与处置计划，建立 SoA，并记录相关信息安全措施。附录 A 可作为比对依据，必要时可以增加其他来源或组织自行设计的控制。
- **6.2 隐私目标：**设定可评价、可行时可量化的目标，并安排负责人、资源、期限和评价方式。
- **6.3 变更规划：**有计划地调整 PIMS。例如新增资料用途前，先确认告知、适用依据、访问权限和保存规则，再追踪落实情况。
**实务检查：**风险、控制、SoA、负责人和证据应能相互追溯。SoA 属于规划工作，不应等到第 8 章运行结束后才补写。
7. 支持
提供体系所需资源，确保人员具备能力并了解隐私要求，安排内外部沟通并管制必要的文件化信息。可准备风险评估、SoA、处理活动、培训、权利请求、事件和变更记录。文件类型及细节按实际需要决定，现有文件可以整合。记录本身含个人信息时，也要限制访问并设定保存安排。
8. 运行
- **8.1 运行规划与控制：**将规划的流程和控制落实到日常工作，管理相关变更及外部提供的流程、产品或服务。
- **8.2 隐私风险评估：**按规划周期重新评估，并在重大变更等适用情形下更新，保留评估结果。
- **8.3 隐私风险处置：**执行处置计划并保留结果证据。
可抽查一项权利请求或委外资料删除作业，确认身份核验、处理、回复和通知下游单位都有明确责任人。控制者和处理者应根据各自角色落实适用控制。
9. 绩效评价
确定监测、量测、分析和评价的方法与时间，并安排内部审核和管理评审。可参考权利请求处理时间、逾期比例、重复缺失及风险处置进度等指标；解释趋势时应同时考虑案件数量和严重程度。
管理评审应将体系状态、相关变化和绩效结果转化为可执行的改善或变更决定。内审应涵盖新版适用要求，并保持客观与公正。
10. 改善
10.1 持续改善关注 PIMS 的适宜性、充分性和有效性；10.2 不符合与纠正措施处理偏离要求的情形，并评估原因、必要行动和措施效果。
隐私事件应按事件流程及适用义务处理，再判断是否构成管理体系不符合；两者不能一概而论。事件、权利请求和审核发现都可用于改进流程。
附录 A：控制与 SoA
本页依据 SGS 对正式版的逐项对照，采用 31 + 18 + 29，共 78 项控制的统计。部分公开摘要数字不同，实际导入时应使用合法取得的正式标准及控制清单逐项核对。
| 表格 | 适用角色 | 控制项数量 |
|---|---|---|
| A.1 | PII 控制者 | 31 |
| A.2 | PII 处理者 | 18 |
| A.3 | 控制者与处理者共用的信息安全控制 | 29 |
| 合计 | 根据角色、风险和要求判断适用性 | 78 |
控制经过重新整理，包含既有内容的迁移和调整，不能据此推断信息安全责任消失。本页不采用缺乏证实的“删除约 52 项”说法。SGS 新版变化与控制对照
SoA 应说明必要控制、纳入理由、实施状态及排除附录 A 控制的理由，并检查是否遗漏必要措施。可更新既有 SoA 并保留新旧对照，不必从头重写所有文件；也不能只因执行不便而排除控制。第 4 至第 10 章的管理体系要求不能套用控制选择逻辑随意排除。
附录 B 至 F：指南与对照
| 附录 | 用途 |
|---|---|
| B | 控制者与处理者的实施指南，属于规范性附录；依 6.1.3 考虑其指南，但不表示每个实施范例都必须照抄。 |
| C | 与 ISO/IEC 29100 隐私框架对照。 |
| D | 与 GDPR 对照。 |
| E | 与 ISO/IEC 27018、ISO/IEC 29151 对照。 |
| F | 与 ISO/IEC 27701:2019 对照，支持转版盘点。 |
C 至 F 为资料性对照。法规对照表可协助找出相关控制，但不能取代法律适用性分析或证明全面合规。
四、企业转版六步骤
步骤 1：差距分析与角色盘点
确认现有证书、认可方案、PIMS 范围及控制者/处理者角色。对照第 4 至第 10 章、附录 A 和现有制度，整理差距、可沿用证据及改善责任；可利用附录 F 建立新旧版对照。
步骤 2：成立跨部门项目团队
由管理层支持，邀请法务、IT、人力资源、运营、营销、采购等相关人员参与，规划文件更新、培训、流程试行、内审、管理评审和外部审核时程。
步骤 3：分层培训
- 高阶主管：独立 PIMS 的责任、范围、资源及重大风险决策。
- 内审人员：新版条款、控制对照、SoA 和证据核查。
- 各部门：资料用途、权利请求、事件报告、委外和跨境资料流程。
步骤 4：更新文件与 SoA
更新方针、风险评估、处置计划、SoA、变更和事件流程，并按需要调整合同及表单。保留仍适用的流程，明确记录修订原因、核准和版本；只更换年份并不构成转版。
步骤 5：执行、积累证据并内部确认
实际运行新版制度，积累权利请求处理、风险处置、供应商管理和变更记录，完成内审、必要纠正措施及管理评审。运行时间按范围、复杂度和证据充分性规划，没有适用于所有企业的固定天数。
步骤 6：安排转版审核与认证决定
向具备适用资格的独立认证机构确认方案，评估能否结合监督或再认证审核，或是否需要单独审核。完成缺失处理后，由认证机构作出认证决定。首次导入者依新版申请初次认证；转版不代表证书一定重新取得完整三年期限。
五、转版常见误区
27701 仍只是 27001 的隐私附录吗？
2025 版已成为独立标准，应单独确认 PIMS 范围、要求和证据。既有 ISMS 可支持整合，但不会自动取代隐私管理工作。
没有 27001 证书就不能申请吗？
新版不要求先取得 27001 证书，但仍须建立必要的个人信息安全措施，并确认认证机构提供的新版认证方案。
附录 A 必须全选，还是可以随意删减？
根据角色、风险和适用要求确定必要控制，完整核对附录 A 并记录排除理由；必要时增加控制，不能任意挑选。
SoA 和所有程序都必须重写吗？
更新对照、适用理由和证据即可保留仍有效的内容。转版重点是补足差距并证明执行，不是增加文件数量。
隐私管理只属于法务或 IT 吗？
个人信息处理分布在各部门。应明确责任和资源，让招聘、营销、服务与委外流程共同落实管理要求。
已有 27001 或 27701 证书就代表符合所有个人信息法律吗？
证书有特定范围和评估依据。组织仍须识别适用法律、合同和实际处理义务，并持续检查跨境传输、告知及个人权利安排。
服务范围与需求咨询
可根据需求讨论处理活动清单、数据流与角色表、差距分析、SoA 更新、内审准备和教育培训。服务范围、时程及费用另行确认；认证决定由受理申请的独立机构作出。
初次讨论可准备一项处理活动的数据流概况、现行方针、认证方案及去标识化记录。联系凯腾
资料来源与核对范围
本页于 2026 年 9 月 29 日依据 ISO 官方目录、SGS 公开新版对照及认可机构公告整理，属于转版导读和实务建议；未取得付费标准全文进行逐条符合性审核。实际要求及适用转换方案应以正式文件和受理机构最新公告为准。