ISO/IEC 27701
ISO/IEC 27701 隱私資訊管理系統輔導
ISO/IEC 27701 隱私資訊管理系統輔導協助處理個資且需要整合隱私風險及管理流程的組織，讓個資處理目的、角色、權利與供應商責任可追溯。沃達從適用範圍、現有流程及證據出發，協助安排責任、導入與內部檢視。
For Your Business
適用對象與啟動時機
蒐集、使用或代客處理個人資料的組織，在服務上線、資料流程改變或客戶要求隱私管理證明時，可評估導入。已採2019版的企業，應按2025版的新架構檢視差距。
先確認組織在不同資料處理活動中的角色。相同公司可能在不同服務中具有不同責任，不能只用一個名稱概括。
The Challenge
企業常見挑戰
公開的隱私政策與實際資料流不同，或資料交給供應商後就不知道如何保留刪除，會使責任難以落實。權利請求若沒有確認身分及內部處理流程，也可能延誤或過度提供資料。
只把資安措施套到個資上仍不足，還要看資料為何處理、由誰決定，以及相關人的權利與影響。
Our Approach
方法與適用要求
ISO/IEC 27701:2025 是第二版隱私資訊管理系統要求與指引，取代2019版，為可獨立使用的管理系統標準。適用個人識別資訊控制者與處理者，可與ISO/IEC 27001整合，但不以先有27001作為制度導入前提。
角色、目的與資料流
輔導盤點處理目的、資料來源、流向與相關角色，釐清組織及委外服務的責任。依活動界定範圍，避免一份政策涵蓋不了實際處理方式。
權利請求與資料處置
整理請求受理、身分確認、內部查找、存取及保留刪除的流程。具體法定條件依適用地區確認，制度使執行與證據保持一致。
影響與外部介面
檢視處理變更、風險與隱私影響，整理供應商及跨境資料介面。管理措施需連結實際情境，證書不能當作全球隱私法合規的保證。
Process
輔導內容與流程
盤點處理活動
確認資料、目的、角色及系統供應商，界定PIMS範圍。
建立隱私流程
安排權利請求、保留處置及外部介面責任。
檢核個案證據
以去識別化案例確認流程可執行，處理缺口與訓練需求。
檢視風險與改版
追蹤風險、內部稽核及管理審查，既有制度另核對轉版差距。
Preparation
企業需準備哪些資料
- 活動與角色：處理目的、個人資料類型及控制者處理者角色。
- 資料與流向：資料來源、系統、供應商及跨境介面。
- 政策與處置：隱私政策、權利請求及保留刪除規則。
- 評估與執行：風險或影響評估、案件摘要及改善證據。
初步討論可先提供摘要或去識別化樣本；完整資料依約定範圍、存取權限及保密方式提供。已有資料先確認有效性，再補足缺口，不以重做所有文件為前提。
Project Planning
時程與費用如何評估
依資料活動、涉及地區、供應商數與制度基礎評估。跨法域法律判斷及系統功能改造另確認，初期優先使用摘要與去識別化資料。
專案會分別約定現場訪談、文件調整、教育訓練、內部稽核協助及改善追蹤的次數與責任。第三方驗證、專業檢測、工程或法律服務不預設含在制度輔導費中；既有證書的轉版排程需與驗證機構確認。
FAQ
常見問題
已有隱私權政策就足夠嗎？
不夠。政策須與實際資料流、權利處理及控制一致，法規適用也需另核對；不把驗證當作全球隱私法合規證明。
2025版一定要搭配ISO/IEC 27001嗎？
2025版是可獨立使用的管理系統標準，也可與27001整合。若申請第三方驗證，需另確認驗證機構與方案的適用安排。
2019版轉2025版只改年份可以嗎？
不宜。新版已是獨立管理系統架構，應依正式要求檢查範圍、治理及既有控制的銜接，而非只改文件標示。
控制者與處理者怎麼區分？
需依實際處理活動與決策責任辨識，並與合約和適用法規一致。不能只按公司名稱或是否外包來判斷。
證書能代表符合所有個資法嗎？
不能。各地法律的適用、權利及責任仍需確認，管理系統可支持執行與證據，但不取代法律判斷。
輔導完成就會取得證書嗎？
不會自動取得。沃達協助建立制度、試行與檢視證據，證書由獨立第三方依其適用方案評估核發。申請前需確認機構的驗證範圍、認可狀態及客戶是否接受，不保證通過或代為補造紀錄。
Related
相關服務與需求諮詢
請提供產業、適用活動、據點、現有制度及希望完成的時間，方便確認合作範圍。聯絡沃達
內容查核：。適用版本與要求依企業情況確認。
Let's Talk
