先畫清資料從哪裡來、到哪裡去
準備 ISO/IEC 27701 要先整理資料流。客戶資料、員工資料、會員資料、病人資料、網站追蹤資料和第三方平台資料，都要知道來源、用途、保存位置和共享對象。
ISO/IEC 27701 私隱資訊管理體系
私隱資訊管理體系 (PIMS) 顧問服務
把個人資料、權限與第三方責任變成私隱合規競爭力
- 適合需要取得 ISO/IEC 27701 證書、回應客戶私隱問卷、投標或跨境合作要求的企業，先判斷資料成熟度和可行排期。
- 系統整理 PIMS、資料流程、控制者與處理者角色、權利請求、第三方處理、跨境傳輸和私隱事故證據，減少反覆補件。
- 可配對 ISO 27701/27001、CISA/CISM/CISSP 或持證企業培訓背景人員，配合專屬 PM 和第三方排期評估。
什麼是 ISO/IEC 27701 私隱資訊管理體系？
ISO/IEC 27701 是 ISO/IEC 27001 的私隱資訊管理擴展，重點在企業如何管理個人資料、私隱角色、資料主體權利、第三方處理、跨境傳輸和私隱風險。
它不是一份私隱政策，也不是單次 PIA 報告。審核會看企業是否把個人資料流程放入日常管理，並能提供實際紀錄證明通知、同意、權限、保存、刪除和事故處理做得到。
角色判斷會影響文件寫法
企業在不同服務中可能同時是控制者和處理者。角色不同，合約責任、資料主體請求、事故通報和第三方管理方式都不同。
資安私隱資歷下的 PIMS 准入支援
資料成熟度先判斷
先看資料流程、系統、第三方和跨境安排，判斷認證範圍、資料缺口和可行排期。
資安私隱資歷把關
由 15 年 ISO、私隱及資訊安全項目經驗人員跟進，把 PIMS、身份與存取、資料流程和第三方責任對準企業真實運作。
持證培訓導師落地
按客服、HR、IT 和營運職責演練權利請求、刪除、外洩通報和外判處理，讓前線知道如何回應私隱審核問答。
成功率經驗減少補件
以 99% 成功率項目經驗管理資料、培訓、內審和第三方排期，減少反覆溝通和補件時間。
導入 ISO/IEC 27701 對香港企業的實質效益
私隱問題很少只發生在政策頁面。更多時候，是資料被多收、保存太久、第三方責任不清、客戶要求答不上。ISO/IEC 27701 可把這些問題整理成可管理的制度。
回應客戶私隱問卷和合約審查
客戶常問資料來源、處理目的、保存期限、第三方、跨境傳輸和外洩通報。PIMS 準備能把回答和證據對齊。
降低資料流程不透明的風險
透過資料流程圖和處理活動記錄，企業更容易看出哪些資料被誰使用、保存在哪裡、何時需要刪除。
支援 PIA 和資料保護管理
若新系統、新服務或跨境安排需要做 PIA，ISO/IEC 27701 的資料流和風險資料可以直接支援評估。
提升跨部門私隱執行能力
私隱不只是法務或 IT 的工作。客服、人力資源、銷售、營運和供應商接口人都需要知道自己的資料處理責任。
適合哪些企業與行業應用
ISO/IEC 27701 適合需要處理個人資料、客戶私隱條款或跨境資料流的企業，尤其適合已有或準備建立 ISO/IEC 27001 的組織。
行業 01SaaS、平台及會員系統企業
重點在帳戶資料、使用記錄、追蹤技術、客戶資料分隔、權限、第三方工具和用戶權利請求。
行業 02醫療、教育及培訓機構
這些企業處理病人、學生、家長、導師或學員資料，需要特別注意授權、保存、共享和投訴處理。
行業 03人力資源、招聘及 BPO 服務
員工、候選人、薪酬、身份證明和客戶委託資料敏感度高，合約責任和第三方處理要寫清楚。
行業 04跨境、集團及專業服務企業
適合需要面對海外客戶、集團私隱要求、跨境傳輸或多地點資料處理的企業。
ISO/IEC 27701 的核心管理要求與審核重點
ISO/IEC 27701 會看企業能否把私隱要求接入資訊安全管理體系，並用紀錄證明個人資料處理受到控制。常見重點如下。
資料流程與處理角色
需要整理資料種類、來源、用途、系統、保存位置、第三方、跨境傳輸，以及企業在各流程中的角色。
私隱通知、同意和權利請求
審核員會看通知是否對應實際用途，同意或合法依據如何保存，資料查閱、更正、刪除等請求如何處理。
保存、刪除和存取權限
資料保存期限、刪除安排、權限審查、離職撤權和存取紀錄，要能回到資料敏感度和業務需要。
第三方處理與私隱事故
供應商、雲端平台、外判服務和跨境接收方需要有合約、審查、監察和事故通報安排。
CertiSafe 可支援的工作
CertiSafe 會按企業資料類型、系統和客戶要求安排 ISO/IEC 27701 準備工作：
- 檢查客戶私隱問卷、合約條款、PIA、私隱政策和現有資料流程。
- 核對資料種類、處理目的、系統、第三方、跨境安排和保存期限。
- 判斷控制者、處理者、共同控制者或外判處理角色，整理責任邊界。
- 建立資料流程圖、處理活動記錄、私隱風險評估和控制措施。
- 整理私隱通知、同意、資料主體請求、保存刪除和事故通報紀錄。
- 檢查第三方合約、供應商私隱要求、跨境資料資料和外判處理證據。
- 安排管理層、IT、客服、人力資源、營運及內部審核員培訓。
- 協調第三方認證機構，安排正式審核、補件及後續維護。
CertiSafe 負責前期顧問、培訓、內審、整改及審核協調。正式審核、認證決定及證書簽發由獨立第三方認證機構處理。
ISO/IEC 27701 申請步驟
資料流程與客戶要求確認
先確認處理的個人資料、系統、第三方、跨境安排、客戶條款和認證用途。
私隱差距檢查
顧問檢查私隱政策、資料流程、合約、權限、保存刪除、事故和 PIA 資料，列出差距。
PIMS 文件與紀錄準備
建立資料流程圖、處理活動記錄、角色判斷、私隱風險評估、程序和常用表格。
培訓與流程試行
安排客服、人力資源、IT、營運、管理層和內審員培訓，讓資料請求、刪除和事故通報流程先運行。
內部審核與整改
抽查資料流程、權限、第三方、保存刪除、私隱通知和客戶問卷證據，完成管理評審及整改。
第三方審核及年度維護
協調第三方認證機構正式審核，跟進補件和整改，並安排年度監督審核前的資料維護。
常見的準備文件與紀錄
實際文件會按資料類型、處理角色、系統和客戶要求調整，常見包括：
資料流程與角色資料
包括資料流程圖、處理活動記錄、角色判斷、系統清單、第三方清單和跨境傳輸資料。
私隱通知與權利請求資料
包括私隱通知、同意或處理依據、資料查閱、更正、刪除、投訴和回覆紀錄。
保存、刪除與權限資料
包括保存期限、刪除紀錄、權限清單、權限審查、離職撤權和敏感資料處理紀錄。
第三方與事故資料
包括供應商合約、私隱條款、外判處理要求、私隱事故、通報紀錄、內審和整改資料。
常見問題
ISO/IEC 27701 可以單獨申請嗎？
要看認證機構、企業現有管理體系和客戶要求。ISO/IEC 27701 通常要和資訊安全管理及私隱流程一起評估，不能只靠一份私隱政策。
ISO/IEC 27701 是否等同 PIA？
不等同。PIA 是針對某項資料處理活動的影響評估；ISO/IEC 27701 管理較長期的私隱資訊管理安排，兩者可以互相配合。
企業要先分清控制者和處理者角色嗎？
要。不同角色的責任、資料決定權、合約條款和事故處理方式可能不同，先分清楚才容易整理流程和證據。同一家公司在員工資料上可能是控制者，在客戶委託資料上又是處理者，文件不能混寫。
是否需要法律意見？
涉及跨境傳輸、監管申報、合約責任或特定地區法律時，應由合資格法律顧問確認。顧問可先整理資料流程和管理體系缺口。
跨境傳輸要準備哪些資料？
可先列明資料種類、來源、目的地、接收方、處理目的、保存時間、合約安排和風險控制。實際法律要求需按地區另行核對。
客戶要求的私隱問卷可以直接交給顧問處理嗎？
可以協助拆解問卷，但回答要回到企業實際系統、流程和合約。沒有證據的承諾，日後可能與客戶審查或內部運作不一致。
需要保存哪些私隱管理紀錄？
常見包括資料流程、處理活動、權限、保留及刪除、資料主體請求、事故、供應商和培訓紀錄，實際清單按企業角色和風險決定。
可以和 ISO/IEC 27001 一起準備嗎？
可以共用資產、風險、存取、事故、供應商和內審安排。27701 要再加入個人資料流程、私隱角色和權利請求等控制。
私隱政策已經公開，是否代表準備完成？
不代表。審核還會看政策是否落實，例如資料收集、刪除、權限、第三方和事故處理是否留下可查證資料。
認證由誰作出決定？
CertiSafe 可協助整理私隱資訊管理文件和內審資料；正式審核及認證決定由具備相關資格的獨立第三方認證機構負責。
不確定 ISO/IEC 27701 是否適合您的資料處理流程？
提交資料流程、私隱問卷、PIA、客戶條款、第三方或跨境資料安排，我們可先判斷 PIMS 範圍、準備文件及下一步安排。