厘清公有云个人信息处理角色、指示与次级处理者，并明确服务退出时的数据返还、删除及保留条件。
适用范围与定位
ISO/IEC 27018 为公有云中担任个人可识别信息处理者的服务商提供隐私保护指引。它补充合同和法律义务，不取代隐私法律或完整的 PIMS。
管理重点
- 记录客户指示、处理目的、数据类别及服务商角色；识别次级处理者及其核准或通知安排。
- 针对访问、披露、安全事件、个人权利请求、保存期限及客户数据使用设定保护措施。
实施步骤
- 记录客户指示、处理目的、数据类别及服务商角色；识别次级处理者及其核准或通知安排。
- 针对访问、披露、安全事件、个人权利请求、保存期限及客户数据使用设定保护措施。
- 定义服务结束时的数据返还与删除步骤、备份时程、依法保留的例外及完成证据。
- 检视合同与处理记录；确认次级处理者透明度；测试事件通知和权利请求支持；保留退场证据。
服务讨论
评估服务与处理活动
开始检视时，先为每项云端服务画出资料流：资料由谁收集、谁决定目的、云服务商承担什么处理角色、有哪些次级处理者、资料存放或访问地点为何，以及客户可提出哪些指示。一个组织在不同服务中可能同时具有不同角色，因此应按活动和契约分别记录，而非只看公司名称或供应商宣传。
接着将资料流与控制证据配对。例如，访问权限可对应授权与审查记录；事件管理可对应通知流程、时限及联络窗口；个人权利请求可对应转交、协助与追踪机制；服务变更可对应次级处理者通知与客户回应安排。证据应显示控制如何运行，单独一份政策文件不能证明所有措施均已执行。
规划服务退出与例外
退场流程应说明客户如何取回资料、删除请求如何提出和确认、备份如何依周期处理、法律保留如何记录，以及无法立即删除时如何限制访问。应明确每个步骤由客户、云服务商或次级处理者负责，并保留完成通知或其他适当证据。若契约条款与技术实际能力不一致，应先处理差异，再作出对外承诺。
云端架构、数据类别、跨境访问和外包层级会影响评估深度。项目成果可按需要包括数据与角色清册、控制差距、契约问题清单、事件演练重点及退出流程建议。适用法律解释、契约定稿和具体系统配置应由组织与适当专业人员确认，不能仅凭采用 ISO/IEC 27018 就推定已符合所有隐私法要求。
持续监控与定期复核
服务上线后，应定期检视处理活动、权限、次级处理者和保存期限是否仍与核准安排相符。发生资料类别、用途、服务区域、次级处理者或客户指示变更时，应判断是否需要重新评估契约、风险和控制证据。事件处理演练可验证通知窗口、责任分工、证据保留及客户协助流程是否可在约定时限内执行。
在选择云服务商时，可把资料处理、事件通报、稽核或证明文件、分包管理、跨境传输和退出协助列入采购问题。取得第三方报告有助于理解控制设计与运行期间，但仍应确认报告期间、覆盖服务、例外事项及自身责任是否被纳入。供应商证明不能替代组织对自身处理活动和法律义务的判断。