部落格
數位信任

ISO/IEC 27701:2025 改版重點解析

ISO/IEC 27701:2025 的發布，為隱私資訊管理帶來一項關鍵改變：新版不再只是依附於 ISO/IEC 27001 的延伸標準，而是可獨立導入與驗證的隱私資訊管理系統標準。這項改變讓組織在規劃驗證範圍時更具彈性，也意味著既有的管理架構、資訊安全計畫與控制措施需要重新檢視。

在 BSI「隱私管理大躍進：ISO/IEC 27701:2025 改版重點解析」網路研討會中，與會者的問題集中在幾個實務面向：新版範圍如何界定、能否與 ISO/IEC 27001 整合、AI 與去識別化資料該如何管理，以及通過驗證是否有助於降低法遵風險。這些問題也反映出企業面對轉版時最常見的疑慮。

本文精選 12 項常見提問，依主題整理講師於研討會中的說明，協助組織快速掌握新版要求及規劃方向。

一、驗證範圍與管理系統整合

新版改為可獨立驗證後，組織最關心的往往是：範圍能否重新界定？既有 ISO/IEC 27001 制度又該如何銜接？以下先從驗證邊界與文件整合談起。

Q1｜ISO/IEC 27701:2025 已可獨立驗證，驗證範圍還需要與 ISO/IEC 27001 一致嗎？
A｜不需要。ISO/IEC 27701:2025 成為可獨立驗證的管理系統標準後，其驗證範圍不再受 ISO/IEC 27001 範圍限制。組織可依實際的個人識別資訊（PII）處理活動、流程或服務界定範圍，也可選擇與 ISO/IEC 27001 進行多管理系統合併驗證。

Q2｜ISO/IEC 27701:2025 與 2019 年版在驗證範圍的評估上有何差異？新版驗證範圍是否必須涵蓋個資的蒐集、處理與利用？
A｜不一定。驗證範圍應依組織實際執行的活動正向描述。例如，某單位只負責處理與利用個資，範圍即可如實呈現。範圍也將依據處理活動、流程、服務及組織扮演的 PII 控制者或 PII 處理者角色加以界定；同一組織若同時處理客戶與員工個資，也可依組織角色之目的進行驗證。

Q3｜若僅將業務單位納入 ISO/IEC 27701:2025 驗證，其使用的資訊系統可以排除於驗證範圍之外，或在適用性聲明中列為不適用嗎？
A｜若該資訊系統直接支援範圍內的個資處理活動，通常很難完全切割。即使資訊或資安單位不是主要受驗證單位，相關系統與支援活動仍可能需要適度納入。若將密切相關的系統完全排除，可能造成驗證邊界不完整，並提高管理與執行風險。

Q4｜組織已實施 ISO/IEC 27001，是否仍需另外建立 ISO/IEC 27701:2025 所要求的資訊安全計畫？
A｜仍需有一份資訊安全計畫。若 ISO/IEC 27701 的範圍已有 ISO/IEC 27001 的控制措施完整涵蓋，如果組織採取在計畫中引用既有制度與文件，並確認相關控制措施內容確實適用且已落實，文件相對精簡。若兩項標準的範圍不一致，計畫就應更明確說明未被 ISO/IEC 27001 涵蓋部分的安全控制方式。

Q5｜組織已取得 ISO/IEC 27001 驗證，若希望進一步強化個資法遵循，現有管理制度還需要補強哪些面向？
A｜ISO/IEC 27001 主要聚焦資訊安全控制措施，能支持個資安全維護，但個資法遵循還涉及蒐集時須符合特定目的與法律依據、個資告知與同意、當事人權利行使等議題，並非都由 ISO/IEC 27001 涵蓋。組織可參考 ISO/IEC 27701:2025 附錄 A 中適用於 PII 控制者與 PII 處理者的控制措施，補強隱私管理；是否進一步申請驗證，則可依組織需求決定。

二、轉版／轉換規劃與資源評估

無論是由舊版 ISO/IEC 27701 轉版，或由 BS 10012 轉換，重點都不只是比對條文，也包括重新盤點範圍、角色、控制措施與驗證資源。

Q6｜組織若計畫由 BS 10012 轉換至 ISO/IEC 27701:2025，應優先注意哪些差異與準備事項？
A｜轉換前應先進行條文與控制措施之差異分析。兩項標準在隱私管理要求上具有一定共通性，但 ISO/IEC 27701:2025 對資訊安全控制的要求較高，因此組織須特別盤點現行控制措施，確認與新版要求之間的差異。

Q7｜ISO/IEC 27701:2025 可獨立驗證後，稽核人天及驗證費用是否可能增加？組織應如何評估轉版所需的成本與投入資源？
A｜實際投入取決於組織規模、個資處理的複雜度、驗證範圍及既有管理系統整合程度，無法一概而論。組織可參考 ISO/IEC 27706 對隱私資訊管理系統驗證的相關要求，先盤點範圍內人數、流程與個資處理複雜度，再與驗證機構確認轉版安排及所需人天。若既有制度已有效進行整合，通常也可降低資源重複投入。

三、AI、去識別化與個資處理證據

AI 應用與資料分析快速增加，也讓資料來源、使用目的及可識別性成為隱私管理的新焦點。技術處理並不當然等於風險消失，仍需回到實際情境判斷。

Q8｜組織導入 AI 應用時，依 ISO/IEC 27701:2025 應優先關注哪些隱私管理措施與查核證據？
A｜ISO/IEC 27701:2025 並未針對 AI 技術與服務定義控制措施，但核心隱私管理原則仍然適用。組織應先釐清自身在 AI 應用中的角色，確認訓練、測試及推論資料的來源與使用是否具有合法依據、是否符合原先提供當事人個資告知事項內容說明，以及是否落實資料最小化與隱私納入設計(Privacy by Design)。若 AI 處理過程衍生出新的使用目的，也應重新評估個資告知事項內容之適當性。查核時，相關資料來源、目的評估、風險分析、技術保護措施及執行紀錄等，相關資訊都可能成為查核證據。

Q9｜身分證字號等個資經雜湊（Hash）處理後，可以直接視為非個資嗎？
A｜不能只因完成雜湊就直接認定為非個資。若仍可透過對照資料、字典比對或其他方法重新連結至特定個人，該資料通常仍具有可識別風險。組織應依資料內容、演算法、是否加鹽、存取權限及其他可取得資訊進行整體評估，並視風險搭配加密、權限控管或其他保護措施。是否已達不可識別程度，應依實際情境與適用法規判斷。

Q10｜完成個資刪除或去識別化後，驗證時需要保留哪些證據？
A｜若個資已以不可回復的方式刪除，應保留刪除作業的程序與紀錄，並確認各系統、儲存位置及必要的備份處理均符合既定政策。若採取去識別化，則應保留處理方式、執行紀錄與結果，並證明資料無法合理地重新連結至特定個人。驗證關注的不只是組織是否宣稱已刪除或去識別化，也包括相關措施是否確實執行並可被佐證。

四、驗證效益與新興風險

管理系統驗證可以協助組織建立制度，但不能取代法律責任；面對氣候變遷等新興議題，也需要從隱私角度重新檢視既有風險評估。

Q11｜通過 ISO/IEC 27701:2025 驗證，是否能免除個資侵害事件的罰款或法律責任？
A｜不能。通過驗證不代表組織必然不會發生個資侵害事件，也不會自動免除罰款或法律責任。不過，完善的隱私資訊管理系統可協助降低侵害事件發生的可能性與影響，並留下風險評估、控制措施、監督及改善等證據。侵害事件發生時，這些流程與相關資訊可用來說明組織已採取之管理措施；實際責任與裁罰判定仍須由主管機關依個案及適用法規判斷。

Q12｜ISO/IEC 27701:2025 條款 4.1 要求考量氣候變遷；若已有 ISO 22301 的評估，可以直接沿用嗎？
A｜可以引用既有評估，但仍應從隱私管理角度確認其是否充分。ISO 22301 側重營運持續，未必完整涵蓋氣候事件對個資的特有風險，例如：紙本個資文件因淹水受損或外洩、災害救助流程衍生的個資濫用與詐騙風險等。較合適的做法是以既有評估為基礎，再補充與 PII 處理、隱私權益及法規義務直接相關的衝擊。