熱線：ISO27701適用于控制者和處理者的要求
發(fā)布時間：2020-08-20 作者：廣匯聯合 來源：廣匯聯合
一、適用于控制者和處理者的要求
1.保密性：經授權訪問PII的個人必須履行保密協(xié)議。
2.分析風險：必須進行隱私風險評估以識別PII處理風險。
3.監(jiān)管：組織機構必須指定負責開發(fā)、實現、維護和監(jiān)視其治理及隱私項目的個人。
4.培訓：可以訪問PII的人員需經過隱私意識培訓。
5.內部過程：組織機構必須為應對PII泄露事件而采納各種策略和規(guī)程，比如事件響應計劃。
6.記錄保存：ISO27701要求組織機構保留所有PII處理活動的記錄，包括PII在司法轄區(qū)間轉移和向第三方披露等。
二、特定于控制者的要求
1.隱私通告：組織機構必須提供包含PII收集、使用和處理相關具體信息的隱私政策。
2.處理者合同要求：組織機構必須與其處理者簽訂書面合同，約定具體事項，比如保護PII、限制處理操作僅可在PII特定用途范圍內，以及提供PII泄露通報。
3.個人權益：ISO27701要求組織機構實現各種機制，賦予個人訪問、修改和刪除其PII，以及反對或限制PII處理等權益。
4.設計隱私與默認隱私：組織機構必須采取措施實現設計隱私和默認隱私原則。
三、特定于處理者的要求
1.處理限制：組織機構必須僅按控制者或處理者（取決于客戶的角色）的說明處理PII。
2.輔助個人權益：ISO27701要求處理者實現幫助客戶遵從個人權益的種種措施。
3.轉移與披露：處理者必須于PII在司法轄區(qū)間轉移或任何預期變化發(fā)生前通告客戶。
4.分包商：ISO27701要求處理者僅可雇傭一家分包商按照客戶合同的條款處理PII。
