حفاظت از اطلاعات شخصی دیگر فقط یک موضوع فنی یا مسئولیت واحد فناوری اطلاعات نیست. سازمان‌هایی که اطلاعات مشتریان، کارکنان، کاربران، بیماران، پیمانکاران یا سایر اشخاص را جمع‌آوری و پردازش می‌کنند، باید بتوانند نشان دهند این اطلاعات را به‌صورت قانونی، شفاف، ایمن و مسئولانه مدیریت می‌کنند.
استاندارد ISO/IEC 27701:2025 چارچوبی بین‌المللی برای ایجاد، اجرا، نگهداری و بهبود «سیستم مدیریت اطلاعات حریم خصوصی» یا PIMS ارائه می‌کند. این استاندارد به سازمان‌ها کمک می‌کند مخاطرات حریم خصوصی را شناسایی کنند، مسئولیت‌های مربوط به پردازش اطلاعات شخصی را مشخص سازند و کنترل‌های مناسبی برای حفاظت از این اطلاعات به اجرا درآورند.
ویرایش ۲۰۲۵ استاندارد ISO/IEC 27701 نسبت به نسخه ۲۰۱۹ تغییر مهمی کرده است. نسخه قبلی به‌عنوان یک افزونه برای ISO/IEC 27001 و ISO/IEC 27002 تدوین شده بود؛ اما نسخه جدید یک استاندارد مستقل و قابل استقرار برای مدیریت حریم خصوصی است. بنابراین سازمان‌ها می‌توانند آن را به‌صورت مستقل یا یکپارچه با سیستم مدیریت امنیت اطلاعات اجرا کنند.
ISO/IEC 27701 چیست؟
ISO/IEC 27701 استاندارد بین‌المللی سیستم مدیریت اطلاعات حریم خصوصی است. این استاندارد الزامات و راهنمایی‌هایی برای ایجاد یک Privacy Information Management System یا PIMS ارائه می‌دهد.
هدف اصلی آن، کمک به سازمان‌ها برای مدیریت نظام‌مند اطلاعات قابل انتساب به اشخاص حقیقی است. در ادبیات استاندارد، به این اطلاعات «اطلاعات هویتی قابل شناسایی» یا Personally Identifiable Information گفته می‌شود که به‌اختصار PII نامیده می‌شود.
اطلاعات شخصی می‌تواند شامل موارد زیر باشد:
- نام و نام خانوادگی
- شماره ملی، شماره گذرنامه یا سایر شناسه‌های قانونی
- شماره تلفن و نشانی ایمیل
- نشانی محل سکونت یا محل کار
- اطلاعات مالی و بانکی
- سوابق استخدامی
- اطلاعات درمانی و سلامت
- تصاویر و فایل‌های صوتی قابل انتساب به اشخاص
- موقعیت مکانی
- نشانی IP، شناسه دستگاه و اطلاعات رفتاری کاربران
- اطلاعات بیومتریک
- داده‌های مربوط به خرید، علایق یا رفتار آنلاین
یک سازمان ممکن است مالک این اطلاعات نباشد، اما به دلیل جمع‌آوری، نگهداری، انتقال، تحلیل یا حذف آن‌ها مسئولیت‌هایی بر عهده داشته باشد.
مشخصات استاندارد ISO/IEC 27701:2025
| مشخصه | توضیح |
|---|---|
| عنوان استاندارد | سیستم مدیریت اطلاعات حریم خصوصی؛ الزامات و راهنمای کاربرد |
| شماره استاندارد | ISO/IEC 27701 |
| ویرایش جاری | ۲۰۲۵ |
| نوبت ویرایش | ویرایش دوم |
| تاریخ انتشار | اکتبر ۲۰۲۵ |
| موضوع اصلی | مدیریت اطلاعات شخصی و حفاظت از حریم خصوصی |
| نام سیستم مدیریتی | Privacy Information Management System |
| مخفف سیستم | PIMS |
| مخاطبان اصلی | کنترل‌کنندگان و پردازش‌کنندگان اطلاعات شخصی |
| قابلیت استقرار مستقل | دارد |
| امکان یکپارچه‌سازی با ISO 27001 | دارد |
| نسخه جایگزین‌شده | ISO/IEC 27701:2019 |
PIMS چیست؟
PIMS مخفف Privacy Information Management System و به معنای «سیستم مدیریت اطلاعات حریم خصوصی» است.
PIMS مجموعه‌ای از سیاست‌ها، فرایندها، مسئولیت‌ها، منابع، کنترل‌ها و سوابق سازمانی است که برای مدیریت اطلاعات شخصی و مخاطرات حریم خصوصی ایجاد می‌شود.
هدف PIMS صرفاً جلوگیری از افشای اطلاعات نیست. این سیستم باید تمام چرخه عمر اطلاعات شخصی را پوشش دهد:
- تعیین هدف جمع‌آوری اطلاعات
- تعیین مبنای قانونی پردازش
- اطلاع‌رسانی به اشخاص
- جمع‌آوری اطلاعات متناسب با هدف
- استفاده و پردازش اطلاعات
- نگهداری و حفاظت از اطلاعات
- انتقال یا اشتراک‌گذاری اطلاعات
- پاسخ‌گویی به درخواست‌های اشخاص
- نگهداری اطلاعات در مدت لازم
- حذف، ناشناس‌سازی یا امحای امن اطلاعات
بنابراین، امنیت اطلاعات تنها یکی از اجزای مدیریت حریم خصوصی است. حتی اگر اطلاعات به‌خوبی رمزگذاری شده باشند، جمع‌آوری بیش از حد، استفاده خارج از هدف یا نگهداری غیرضروری آن‌ها می‌تواند یک مخاطره حریم خصوصی محسوب شود.
تفاوت اطلاعات شخصی و اطلاعات حساس چیست؟
تمام اطلاعاتی که بتوانند به‌طور مستقیم یا غیرمستقیم به یک شخص حقیقی مرتبط شوند، ممکن است اطلاعات شخصی محسوب شوند. بااین‌حال، برخی اطلاعات به دلیل پیامدهای احتمالی افشا یا سوءاستفاده، حساسیت بیشتری دارند.
| نوع اطلاعات | نمونه |
|---|---|
| اطلاعات هویتی | نام، شماره ملی، شماره گذرنامه |
| اطلاعات تماس | شماره تلفن، ایمیل، نشانی |
| اطلاعات مالی | شماره حساب، اطلاعات پرداخت، سوابق مالی |
| اطلاعات سلامت | پرونده پزشکی، نتایج آزمایش، سوابق درمان |
| اطلاعات استخدامی | حقوق، ارزیابی عملکرد، پرونده پرسنلی |
| اطلاعات بیومتریک | اثر انگشت، تصویر چهره، الگوی عنبیه |
| اطلاعات مکانی | موقعیت جغرافیایی یا سوابق تردد |
| اطلاعات رفتاری | رفتار کاربر در وب‌سایت یا اپلیکیشن |
| اطلاعات کودکان | اطلاعات هویتی، تحصیلی یا رفتاری افراد کم‌سن |
| اطلاعات اعتقادی یا اجتماعی | اطلاعاتی که افشای آن‌ها می‌تواند پیامدهای ویژه‌ای داشته باشد |
سازمان باید نوع اطلاعات، حساسیت، حجم، هدف پردازش و پیامدهای احتمالی نقض حریم خصوصی را هنگام تعیین کنترل‌ها در نظر بگیرد.
کنترل‌کننده و پردازش‌کننده اطلاعات شخصی چه کسانی هستند؟
استاندارد ISO/IEC 27701 برای دو نقش اصلی در پردازش اطلاعات شخصی الزامات و راهنمایی‌های مشخصی ارائه می‌دهد.
کنترل‌کننده اطلاعات شخصی
کنترل‌کننده PII سازمانی است که هدف و روش پردازش اطلاعات شخصی را تعیین می‌کند.
برای مثال، یک فروشگاه اینترنتی مشخص می‌کند چه اطلاعاتی از مشتری دریافت شود، چرا این اطلاعات موردنیاز است، چگونه استفاده شود و چه مدت نگهداری شود. در این حالت، فروشگاه نقش کنترل‌کننده را دارد.
پردازش‌کننده اطلاعات شخصی
پردازش‌کننده PII سازمانی است که اطلاعات شخصی را از طرف کنترل‌کننده و مطابق دستورهای آن پردازش می‌کند.
برای مثال، اگر فروشگاه اینترنتی اطلاعات مشتریان را در زیرساخت یک شرکت ارائه‌دهنده خدمات ابری نگهداری کند، شرکت ارائه‌دهنده خدمات ابری ممکن است در نقش پردازش‌کننده قرار گیرد.
| موضوع | کنترل‌کننده PII | پردازش‌کننده PII |
|---|---|---|
| تعیین هدف پردازش | بر عهده کنترل‌کننده است | طبق هدف تعیین‌شده عمل می‌کند |
| تعیین روش‌های اصلی پردازش | تعیین می‌کند | طبق قرارداد و دستورها اجرا می‌کند |
| ارتباط با شخص موضوع اطلاعات | معمولاً مسئول اصلی است | ممکن است به کنترل‌کننده کمک کند |
| استفاده از اطلاعات | در محدوده هدف و مبنای قانونی | فقط طبق دستور مستند کنترل‌کننده |
| انتخاب پردازش‌کننده فرعی | شرایط را تعیین می‌کند | باید الزامات قرارداد را رعایت کند |
| پاسخ به رخداد حریم خصوصی | مسئول مدیریت و تصمیم‌گیری است | باید رخداد را به کنترل‌کننده اطلاع دهد |
یک سازمان می‌تواند در یک فرایند کنترل‌کننده و در فرایندی دیگر پردازش‌کننده باشد. بنابراین تعیین نقش باید برای هر فعالیت پردازش به‌صورت جداگانه انجام شود.
چه سازمان‌هایی می‌توانند ISO/IEC 27701 را اجرا کنند؟
این استاندارد برای سازمان‌های دولتی، خصوصی و عمومی، شرکت‌های کوچک و بزرگ و مؤسسات غیرانتفاعی قابل‌استفاده است؛ مشروط بر اینکه اطلاعات شخصی را کنترل یا پردازش کنند.
کاربرد آن برای سازمان‌های زیر اهمیت بیشتری دارد:
- بانک‌ها و مؤسسات مالی
- شرکت‌های بیمه
- بیمارستان‌ها و مراکز درمانی
- آزمایشگاه‌های پزشکی
- فروشگاه‌های اینترنتی
- شرکت‌های فناوری اطلاعات
- اپلیکیشن‌ها و پلتفرم‌های آنلاین
- شرکت‌های ارائه‌دهنده خدمات ابری
- مراکز تماس و پشتیبانی مشتری
- شرکت‌های بازاریابی و تبلیغات
- سازمان‌های دولتی و عمومی
- دانشگاه‌ها و مراکز آموزشی
- شرکت‌های منابع انسانی
- اپراتورها و شرکت‌های مخابراتی
- شرکت‌های حمل‌ونقل و گردشگری
- مجموعه‌های دارای اطلاعات گسترده مشتریان یا کارکنان
حتی سازمان‌هایی که خدمات آن‌ها مستقیماً با اطلاعات شخصی مرتبط نیست، معمولاً اطلاعات کارکنان، متقاضیان استخدام، مشتریان، تأمین‌کنندگان و بازدیدکنندگان خود را پردازش می‌کنند.
مهم‌ترین تغییرات ISO/IEC 27701:2025 نسبت به نسخه ۲۰۱۹
ISO/IEC 27701:2025 صرفاً یک اصلاح جزئی نیست. ساختار و جایگاه استاندارد به‌طور قابل‌توجهی تغییر کرده است.
تبدیل‌شدن به استاندارد مستقل
نسخه ۲۰۱۹ به‌عنوان افزونه ISO/IEC 27001 و ISO/IEC 27002 طراحی شده بود. به همین دلیل، الزامات آن باید در ارتباط با سیستم مدیریت امنیت اطلاعات تفسیر می‌شد.
در نسخه ۲۰۲۵، الزامات سیستم مدیریت حریم خصوصی به‌صورت مستقل و در بندهای ۴ تا ۱۰ ارائه شده‌اند. سازمان دیگر برای درک و اجرای الزامات اصلی PIMS وابسته به ساختار ISO/IEC 27001 نیست.
امکان استقرار مستقل PIMS
سازمان می‌تواند ISO/IEC 27701:2025 را به‌عنوان یک سیستم مدیریت مستقل اجرا کند. البته یکپارچه‌سازی آن با ISO/IEC 27001 همچنان مزایای قابل‌توجهی دارد؛ زیرا امنیت اطلاعات و حریم خصوصی ارتباط نزدیکی با یکدیگر دارند.
هماهنگی با ساختار استانداردهای مدیریتی
ویرایش جدید از ساختار هماهنگ استانداردهای سیستم مدیریت استفاده می‌کند و شامل موضوعاتی مانند زمینه سازمان، رهبری، برنامه‌ریزی، پشتیبانی، عملیات، ارزیابی عملکرد و بهبود است.
تقویت مدیریت ریسک حریم خصوصی
در نسخه جدید، شناسایی، ارزیابی و مدیریت مخاطرات حریم خصوصی جایگاه روشن‌تری دارد. سازمان باید پیامدهای پردازش اطلاعات برای اشخاص را نیز در تحلیل‌های خود در نظر بگیرد.
تفکیک روشن‌تر نقش‌ها
الزامات و کنترل‌های مربوط به کنترل‌کنندگان و پردازش‌کنندگان PII با وضوح بیشتری دسته‌بندی شده‌اند تا سازمان بتواند کنترل‌های متناسب با نقش خود را انتخاب کند.
بهبود قابلیت یکپارچه‌سازی
ساختار جدید امکان یکپارچه‌سازی PIMS با استانداردهایی مانند ISO/IEC 27001، ISO 9001 و ISO/IEC 42001 را تسهیل می‌کند.
| موضوع | ISO/IEC 27701:2019 | ISO/IEC 27701:2025 |
|---|---|---|
| ماهیت استاندارد | افزونه ISO 27001 و ISO 27002 | استاندارد مستقل سیستم مدیریت |
| ساختار بندهای مدیریتی | وابسته به ISO 27001 | دارای الزامات مستقل بندهای ۴ تا ۱۰ |
| استقرار مستقل | محدود و وابسته به ISMS | امکان استقرار مستقل |
| تمرکز مدیریت ریسک | مبتنی بر توسعه ISMS | تمرکز صریح‌تر بر ریسک حریم خصوصی |
| نقش کنترل‌کننده و پردازش‌کننده | دارای الزامات اختصاصی | سازمان‌دهی و تفکیک روشن‌تر |
| یکپارچه‌سازی | عمدتاً با ISO 27001 | قابل‌یکپارچه‌سازی با چند سیستم مدیریتی |
| وضعیت فعلی | کنار گذاشته شده | نسخه جاری استاندارد |
ساختار استاندارد ISO/IEC 27701:2025
ساختار اصلی استاندارد بر مبنای بندهای سیستم‌های مدیریتی تنظیم شده است.
| بند | عنوان | موضوع اصلی |
|---|---|---|
| بند ۱ | دامنه کاربرد | هدف و محدوده کاربرد استاندارد |
| بند ۲ | مراجع الزامی | مراجع موردنیاز برای استفاده از استاندارد |
| بند ۳ | اصطلاحات و تعاریف | مفاهیم تخصصی حریم خصوصی |
| بند ۴ | زمینه سازمان | شرایط، ذی‌نفعان، دامنه و فرایندهای PIMS |
| بند ۵ | رهبری | خط‌مشی، تعهد مدیریت و مسئولیت‌ها |
| بند ۶ | برنامه‌ریزی | ریسک‌ها، فرصت‌ها، اهداف و برنامه تغییرات |
| بند ۷ | پشتیبانی | منابع، شایستگی، آگاهی، ارتباطات و مستندات |
| بند ۸ | عملیات | اجرای فرایندها و کنترل‌های حریم خصوصی |
| بند ۹ | ارزیابی عملکرد | پایش، ممیزی داخلی و بازنگری مدیریت |
| بند ۱۰ | بهبود | عدم انطباق، اقدام اصلاحی و بهبود مستمر |
بند ۴: زمینه سازمان
سازمان باید مسائل داخلی و خارجی مؤثر بر حریم خصوصی را شناسایی کند. این مسائل ممکن است شامل قوانین قابل‌اعمال، فناوری‌های مورد استفاده، نوع اطلاعات شخصی، انتظارات مشتریان، قراردادها، فعالیت تأمین‌کنندگان و تهدیدهای مرتبط با پردازش اطلاعات باشند.
در این بند باید اقدامات زیر انجام شوند:
- شناسایی مسائل داخلی و خارجی
- شناسایی اشخاص و طرف‌های ذی‌نفع
- تعیین الزامات قانونی، قراردادی و سازمانی
- تعیین نقش سازمان به‌عنوان کنترل‌کننده یا پردازش‌کننده
- تعیین دامنه PIMS
- شناسایی فرایندهای مرتبط با اطلاعات شخصی
- تعیین تعامل فرایندها و مسئولیت‌ها
دامنه سیستم باید مشخص کند چه واحدها، خدمات، سامانه‌ها، مکان‌ها و فعالیت‌های پردازش اطلاعات را پوشش می‌دهد.
بند ۵: رهبری
مدیریت ارشد باید مسئولیت اثربخشی PIMS را بپذیرد و نشان دهد حفاظت از حریم خصوصی بخشی از تصمیم‌گیری سازمان است.
مهم‌ترین الزامات این بند عبارت‌اند از:
- تصویب خط‌مشی حریم خصوصی
- تعیین مسئولیت‌ها و اختیارات
- تأمین منابع لازم
- ادغام الزامات حریم خصوصی با فرایندهای سازمان
- حمایت از مدیران و مسئولان مرتبط
- ترویج فرهنگ حفاظت از اطلاعات شخصی
- توجه به حقوق و انتظارات اشخاص
صرف معرفی یک مسئول حریم خصوصی، مسئولیت مدیریت ارشد را از بین نمی‌برد.
بند ۶: برنامه‌ریزی
سازمان باید مخاطرات و فرصت‌های مرتبط با حریم خصوصی را شناسایی و برای مدیریت آن‌ها برنامه‌ریزی کند.
برخی از مخاطرات متداول عبارت‌اند از:
- جمع‌آوری اطلاعات بیش از میزان موردنیاز
- استفاده از اطلاعات خارج از هدف اعلام‌شده
- نبود مبنای معتبر برای پردازش
- دسترسی غیرمجاز به اطلاعات
- افشای اطلاعات برای اشخاص ثالث
- نگهداری اطلاعات بیش از مدت لازم
- انتقال نامناسب اطلاعات به خارج از سازمان
- ناتوانی در پاسخ به درخواست اشخاص
- تصمیم‌گیری خودکار بدون کنترل کافی
- نبود کنترل بر پردازش‌کنندگان فرعی
- حذف یا تغییر غیرمجاز اطلاعات
- عدم اطلاع‌رسانی مناسب درباره رخدادهای حریم خصوصی
اهداف حریم خصوصی باید قابل‌اندازه‌گیری، دارای مسئول، زمان‌بندی و روش ارزیابی باشند.
نمونه اهداف عبارت‌اند از:
| هدف | شاخص پیشنهادی |
|---|---|
| پاسخ‌گویی به درخواست اشخاص | درصد درخواست‌های پاسخ‌داده‌شده در مهلت تعیین‌شده |
| کاهش رخدادهای حریم خصوصی | تعداد رخدادهای تأییدشده در هر دوره |
| آموزش کارکنان | درصد کارکنان آموزش‌دیده مرتبط با PII |
| مدیریت تأمین‌کنندگان | درصد تأمین‌کنندگان ارزیابی‌شده |
| حذف اطلاعات منقضی | درصد سوابق حذف‌شده مطابق جدول نگهداری |
| رفع یافته‌های ممیزی | درصد اقدامات اصلاحی تکمیل‌شده در موعد |
بند ۷: پشتیبانی
سازمان باید منابع لازم برای اجرای PIMS را فراهم کند. این منابع شامل نیروی انسانی، فناوری، بودجه، آموزش، ابزارهای پایش و خدمات تخصصی است.
همچنین باید مشخص شود کارکنانی که با اطلاعات شخصی سروکار دارند چه شایستگی‌هایی نیاز دارند. آموزش‌های عمومی ممکن است برای تمام کارکنان کافی نباشند و بعضی نقش‌ها به آموزش تخصصی نیاز داشته باشند.
موضوعات آموزشی می‌توانند شامل موارد زیر باشند:
- اصول حفاظت از اطلاعات شخصی
- تشخیص اطلاعات حساس
- مدیریت رضایت
- پاسخ‌گویی به درخواست اشخاص
- گزارش رخدادهای حریم خصوصی
- اشتراک‌گذاری امن اطلاعات
- نحوه نگهداری و حذف اطلاعات
- الزامات محرمانگی
- مسئولیت‌های کنترل‌کننده و پردازش‌کننده
اطلاعات مستند PIMS نیز باید ایجاد، تصویب، به‌روزرسانی، توزیع، نگهداری و محافظت شوند.
بند ۸: عملیات
بند عملیات به اجرای واقعی کنترل‌های حریم خصوصی مربوط است. سازمان باید مشخص کند چه اطلاعاتی، از چه اشخاصی، با چه هدفی، در کدام سامانه، توسط چه افرادی و برای چه مدتی پردازش می‌شوند.
مهم‌ترین اقدامات عملیاتی عبارت‌اند از:
- تهیه فهرست فعالیت‌های پردازش اطلاعات
- تعیین هدف هر پردازش
- تعیین نقش سازمان
- مشخص‌کردن مبنای پردازش
- کنترل جمع‌آوری اطلاعات
- انجام ارزیابی اثرات حریم خصوصی
- مدیریت رضایت در موارد لازم
- پاسخ به درخواست‌های اشخاص
- کنترل انتقال اطلاعات
- مدیریت پردازش‌کنندگان و تأمین‌کنندگان
- مدیریت رخدادهای حریم خصوصی
- تعیین مدت نگهداری و روش حذف اطلاعات
- اجرای حفاظت از حریم خصوصی در طراحی فرایندها و سامانه‌ها
فهرست فعالیت‌های پردازش اطلاعات چیست؟
یکی از مهم‌ترین مستندات PIMS، فهرست فعالیت‌های پردازش اطلاعات شخصی است. این فهرست نشان می‌دهد اطلاعات در کدام فرایندها و با چه شرایطی پردازش می‌شوند.
| عنوان | نمونه اطلاعات |
|---|---|
| فرایند | ثبت سفارش مشتری |
| گروه اشخاص | مشتریان |
| نوع اطلاعات | نام، تلفن، نشانی و سوابق خرید |
| هدف | ثبت، ارسال و پیگیری سفارش |
| نقش سازمان | کنترل‌کننده |
| محل نگهداری | نرم‌افزار فروش و پایگاه داده |
| افراد مجاز | فروش، مالی و پشتیبانی |
| دریافت‌کنندگان | شرکت حمل‌ونقل |
| مدت نگهداری | مطابق الزام قانونی و نیاز کسب‌وکار |
| روش حذف | حذف سیستمی یا ناشناس‌سازی |
| کنترل‌های امنیتی | دسترسی محدود، پشتیبان‌گیری و ثبت رویداد |
این فهرست باید با تغییر فرایندها، سامانه‌ها، اهداف یا تأمین‌کنندگان به‌روزرسانی شود.
ارزیابی اثرات حریم خصوصی چیست؟
ارزیابی اثرات حریم خصوصی یا Privacy Impact Assessment فرایندی برای شناسایی پیامدهای احتمالی یک فعالیت پردازش بر حقوق و حریم خصوصی اشخاص است.
این ارزیابی به‌ویژه در شرایط زیر اهمیت دارد:
- استفاده از فناوری جدید
- پردازش گسترده اطلاعات حساس
- پایش منظم رفتار یا موقعیت اشخاص
- استفاده از تصمیم‌گیری خودکار
- ترکیب اطلاعات از چند منبع
- انتقال اطلاعات به طرف‌های متعدد
- پردازش اطلاعات کودکان یا گروه‌های آسیب‌پذیر
- استفاده از هوش مصنوعی برای تحلیل اطلاعات شخصی
در این ارزیابی باید ضرورت پردازش، تناسب اطلاعات جمع‌آوری‌شده، مخاطرات احتمالی و کنترل‌های کاهش‌دهنده بررسی شوند.
بند ۹: ارزیابی عملکرد
سازمان باید اثربخشی PIMS را با استفاده از پایش، اندازه‌گیری، تحلیل و ارزیابی بررسی کند.
فعالیت‌های اصلی این بند عبارت‌اند از:
- پایش شاخص‌های حریم خصوصی
- ارزیابی تحقق اهداف
- بررسی انطباق با الزامات
- اجرای ممیزی داخلی
- بررسی وضعیت مخاطرات
- ارزیابی اثربخشی کنترل‌ها
- انجام بازنگری مدیریت
بازنگری مدیریت باید موضوعاتی مانند نتایج ممیزی، وضعیت اقدامات اصلاحی، تغییرات قانونی، عملکرد تأمین‌کنندگان، رخدادهای حریم خصوصی، شکایات و نیاز به منابع را بررسی کند.
بند ۱۰: بهبود
در صورت وقوع عدم انطباق، سازمان باید آن را کنترل کند، پیامدها را بررسی نماید و برای جلوگیری از تکرار آن اقدام اصلاحی انجام دهد.
نمونه عدم انطباق‌های مرتبط با PIMS عبارت‌اند از:
- دسترسی کارمند غیرمجاز به پرونده مشتری
- نگهداری اطلاعات پس از پایان مدت تعیین‌شده
- ارسال اطلاعات به دریافت‌کننده اشتباه
- نبود قرارداد مناسب با پردازش‌کننده
- پاسخ‌ندادن به درخواست شخص در مهلت تعیین‌شده
- جمع‌آوری اطلاعات بدون اطلاع‌رسانی کافی
- اجرا نشدن ارزیابی اثرات حریم خصوصی
- تغییر هدف استفاده از اطلاعات بدون بررسی و مجوز
اقدام اصلاحی باید بر علت ریشه‌ای تمرکز کند و اثربخشی آن پس از اجرا ارزیابی شود.
کنترل‌های مهم ISO/IEC 27701:2025
کنترل‌های حریم خصوصی باید متناسب با نقش سازمان و نتایج ارزیابی ریسک انتخاب شوند. مهم‌ترین موضوعات کنترلی عبارت‌اند از:
- تعیین و مستندسازی هدف پردازش
- تعیین مبنای قانونی
- حداقل‌سازی اطلاعات جمع‌آوری‌شده
- کنترل صحت و به‌روزبودن اطلاعات
- مدیریت رضایت
- اطلاع‌رسانی شفاف به اشخاص
- پاسخ‌گویی به درخواست دسترسی، اصلاح یا حذف
- کنترل تصمیم‌گیری خودکار
- حفاظت از اطلاعات در طراحی و به‌صورت پیش‌فرض
- محدودکردن مدت نگهداری
- حذف و امحای امن
- کنترل انتقال اطلاعات
- مدیریت قراردادهای پردازش
- کنترل پردازش‌کنندگان فرعی
- ثبت و مدیریت رخدادهای حریم خصوصی
- مدیریت درخواست‌های افشای اطلاعات
- حفاظت از اطلاعات هنگام انتقال
- مدیریت دسترسی کاربران و کارکنان
انتخاب کنترل‌ها باید در ارتباط با ریسک‌ها، نقش سازمان، قوانین قابل‌اعمال و انتظارات طرف‌های ذی‌نفع انجام شود.
بیانیه کاربردپذیری در ISO/IEC 27701
سازمان باید مشخص کند کدام کنترل‌های حریم خصوصی برای دامنه PIMS قابل‌اعمال هستند. نتیجه این بررسی در سندی تحت عنوان «بیانیه کاربردپذیری» یا Statement of Applicability ثبت می‌شود.
این سند باید حداقل مشخص کند:
- کنترل‌های انتخاب‌شده
- دلیل انتخاب کنترل‌ها
- وضعیت اجرای هر کنترل
- کنترل‌های کنار گذاشته‌شده
- دلیل توجیهی کنارگذاری
- مستندات و شواهد مرتبط
کنترل نباید صرفاً به دلیل دشواری یا هزینه اجرا کنار گذاشته شود. کنارگذاری باید بر مبنای نقش سازمان، دامنه PIMS، ریسک‌ها و الزامات قابل‌اعمال توجیه شود.
مدارک موردنیاز برای استقرار ISO/IEC 27701
تعداد و شکل مستندات به اندازه، پیچیدگی و فعالیت سازمان بستگی دارد، اما مدارک زیر معمولاً موردنیاز خواهند بود:
- دامنه سیستم مدیریت اطلاعات حریم خصوصی
- خط‌مشی حریم خصوصی
- ماتریس ذی‌نفعان و الزامات آن‌ها
- فهرست قوانین و تعهدات قابل‌اعمال
- فهرست فعالیت‌های پردازش اطلاعات
- تعیین نقش کنترل‌کننده و پردازش‌کننده
- روش ارزیابی ریسک حریم خصوصی
- نتایج ارزیابی ریسک
- برنامه برخورد با ریسک‌ها
- بیانیه کاربردپذیری
- اهداف و برنامه‌های حریم خصوصی
- روش مدیریت رضایت
- روش پاسخ‌گویی به درخواست اشخاص
- روش ارزیابی اثرات حریم خصوصی
- روش مدیریت رخدادهای حریم خصوصی
- جدول مدت نگهداری اطلاعات
- روش حذف و امحای اطلاعات
- الزامات قراردادهای پردازش
- روش ارزیابی تأمین‌کنندگان
- برنامه آموزش و آگاهی
- برنامه ممیزی داخلی
- صورت‌جلسه بازنگری مدیریت
- روش اقدام اصلاحی و بهبود
مراحل پیاده‌سازی ISO/IEC 27701:2025
| مرحله | اقدام |
|---|---|
| ۱ | شناخت سازمان، خدمات و فرایندهای پردازش اطلاعات |
| ۲ | تعیین نقش‌های کنترل‌کننده و پردازش‌کننده |
| ۳ | تعیین دامنه PIMS |
| ۴ | شناسایی قوانین و الزامات قراردادی |
| ۵ | تهیه فهرست فعالیت‌های پردازش |
| ۶ | ارزیابی وضعیت موجود و تحلیل شکاف |
| ۷ | شناسایی و ارزیابی ریسک‌های حریم خصوصی |
| ۸ | انتخاب کنترل‌ها و تدوین بیانیه کاربردپذیری |
| ۹ | تهیه یا اصلاح خط‌مشی‌ها و روش‌های اجرایی |
| ۱۰ | اجرای کنترل‌های مدیریتی و فنی |
| ۱۱ | آموزش کارکنان و مسئولان فرایندها |
| ۱۲ | ایجاد سوابق و شواهد اجرایی |
| ۱۳ | پایش شاخص‌ها و ارزیابی اثربخشی |
| ۱۴ | اجرای ممیزی داخلی |
| ۱۵ | انجام بازنگری مدیریت |
| ۱۶ | رفع عدم انطباق‌ها و آمادگی برای ممیزی صدور |
مزایای پیاده‌سازی ISO/IEC 27701
استقرار مؤثر این استاندارد می‌تواند مزایای زیر را برای سازمان ایجاد کند:
- ایجاد چارچوب منظم برای حفاظت از اطلاعات شخصی
- شناسایی دقیق فعالیت‌های پردازش اطلاعات
- کاهش احتمال افشا یا استفاده نادرست از اطلاعات
- افزایش اعتماد مشتریان، کارکنان و شرکای تجاری
- تعیین روشن مسئولیت واحدها و کارکنان
- مدیریت بهتر تأمین‌کنندگان و پردازش‌کنندگان
- بهبود پاسخ‌گویی به درخواست اشخاص
- افزایش آمادگی برای رسیدگی به رخدادها
- کاهش ریسک‌های حقوقی و قراردادی
- تسهیل انطباق با مقررات حریم خصوصی
- ایجاد مزیت رقابتی در قراردادهای داخلی و بین‌المللی
- امکان یکپارچه‌سازی با ISO/IEC 27001
- تقویت حاکمیت داده و پاسخ‌گویی سازمان
دریافت گواهینامه به‌تنهایی تضمین نمی‌کند که هیچ رخداد حریم خصوصی اتفاق نخواهد افتاد؛ بلکه نشان می‌دهد سازمان یک سیستم مدیریتی برای شناسایی و کنترل مخاطرات مربوط ایجاد کرده است.
تفاوت ISO/IEC 27701 و ISO/IEC 27001
این دو استاندارد ارتباط نزدیکی دارند، اما موضوع آن‌ها یکسان نیست.
| معیار | ISO/IEC 27001 | ISO/IEC 27701 |
|---|---|---|
| موضوع | امنیت اطلاعات | مدیریت اطلاعات حریم خصوصی |
| نام سیستم | ISMS | PIMS |
| تمرکز | محرمانگی، یکپارچگی و دسترس‌پذیری اطلاعات | پردازش مسئولانه اطلاعات شخصی |
| نوع اطلاعات | تمام اطلاعات مهم سازمان | اطلاعات مرتبط با اشخاص حقیقی |
| مخاطرات | مخاطرات امنیت اطلاعات | مخاطرات حریم خصوصی |
| ذی‌نفع اصلی | سازمان و مالکان اطلاعات | سازمان و اشخاص موضوع اطلاعات |
| استقرار مستقل | دارد | در نسخه ۲۰۲۵ دارد |
| قابلیت یکپارچه‌سازی | دارد | دارد |
یک کنترل ممکن است هم‌زمان برای امنیت و حریم خصوصی مفید باشد. برای مثال، کنترل دسترسی از افشای اطلاعات جلوگیری می‌کند؛ اما PIMS علاوه بر دسترسی، قانونی‌بودن هدف، حداقل‌سازی اطلاعات، حقوق اشخاص و مدت نگهداری را نیز بررسی می‌کند.
ارتباط ISO/IEC 27701 با GDPR
مقررات عمومی حفاظت از داده اتحادیه اروپا یا GDPR یک الزام قانونی است؛ درحالی‌که ISO/IEC 27701 یک استاندارد سیستم مدیریت محسوب می‌شود.
ISO/IEC 27701 می‌تواند به سازمان کمک کند فرایندها، مسئولیت‌ها، ریسک‌ها و شواهد مرتبط با حریم خصوصی را نظام‌مند کند. بااین‌حال، دریافت گواهینامه ISO/IEC 27701 به معنی انطباق خودکار و کامل با GDPR یا سایر قوانین حریم خصوصی نیست.
| موضوع | ISO/IEC 27701 | GDPR |
|---|---|---|
| ماهیت | استاندارد بین‌المللی | مقررات قانونی اتحادیه اروپا |
| هدف | ایجاد سیستم مدیریت حریم خصوصی | الزام قانونی حفاظت از داده |
| قابلیت گواهی | دارد | گواهینامه مدیریتی عمومی نیست |
| دامنه جغرافیایی | قابل‌استفاده در سراسر جهان | بر اساس قلمرو و شرایط GDPR |
| ضمانت اجرا | ممیزی و الزامات قراردادی | ضمانت اجرا و جرایم قانونی |
| رابطه | ابزار پشتیبان انطباق | الزام قانونی مستقل |
سازمان باید قوانین و مقررات قابل‌اعمال در کشورها و بازارهای هدف خود را جداگانه شناسایی کند.
گواهینامه ISO/IEC 27701 چگونه صادر می‌شود؟
پس از استقرار سیستم و ایجاد شواهد کافی، سازمان می‌تواند برای ممیزی صدور گواهینامه اقدام کند. فرایند معمول شامل مراحل زیر است:
انتخاب نهاد صدور گواهینامه معتبر
ثبت درخواست و تعیین دامنه ممیزی
ممیزی مرحله اول و بررسی آمادگی مستندات
رفع نواقص احتمالی مرحله اول
ممیزی مرحله دوم و بررسی اجرای واقعی سیستم
ثبت و رفع عدم انطباق‌ها
بررسی فنی پرونده و تصمیم صدور
صدور گواهینامه
انجام ممیزی‌های مراقبتی دوره‌ای
ممیزی تجدید گواهینامه در پایان چرخه اعتبار
اعتبار گواهینامه به اعتبار نهاد صادرکننده، دامنه مندرج در گواهی و پذیرش آن توسط مشتری یا کارفرما بستگی دارد.
مدت‌زمان پیاده‌سازی ISO/IEC 27701 چقدر است؟
مدت‌زمان اجرای پروژه به عوامل زیر وابسته است:
- اندازه و تعداد واحدهای سازمان
- حجم و تنوع اطلاعات شخصی
- تعداد سامانه‌ها و پایگاه‌های داده
- گستردگی تأمین‌کنندگان
- وضعیت مستندات موجود
- وجود یا نبود ISO/IEC 27001
- میزان همکاری مدیران و مالکان فرایندها
- پیچیدگی قوانین و قراردادها
- تعداد ریسک‌ها و کنترل‌های موردنیاز
سازمانی که ISO/IEC 27001 را به‌صورت مؤثر اجرا کرده است، معمولاً بخش مهمی از زیرساخت مدیریتی و امنیتی موردنیاز را در اختیار دارد؛ اما همچنان باید الزامات اختصاصی حریم خصوصی را اجرا کند.
هزینه اخذ گواهینامه ISO/IEC 27701
هزینه اجرای پروژه و صدور گواهینامه برای تمام سازمان‌ها یکسان نیست. عوامل مؤثر عبارت‌اند از:
- تعداد کارکنان
- تعداد سایت‌ها و شعب
- دامنه گواهینامه
- نوع فعالیت
- نقش کنترل‌کننده یا پردازش‌کننده
- حجم اطلاعات شخصی
- تعداد فرایندها و سامانه‌ها
- وضعیت فعلی مستندات
- نیاز به مشاوره و آموزش
- اعتبار نهاد صادرکننده
- تعداد روزهای ممیزی
پیش از اعلام هزینه، باید دامنه PIMS و وضعیت اولیه سازمان ارزیابی شود.
انتقال از ISO/IEC 27701:2019 به نسخه ۲۰۲۵
سازمان‌هایی که نسخه ۲۰۱۹ را اجرا کرده یا بر اساس آن گواهینامه گرفته‌اند، نباید انتقال را صرفاً به تغییر شماره ویرایش محدود کنند. ماهیت مستقل استاندارد جدید باعث شده است ساختار سیستم و مستندات نیز نیازمند بازنگری باشند.
اقدامات پیشنهادی برای انتقال عبارت‌اند از:
تهیه نسخه جدید استاندارد
آموزش تیم حریم خصوصی درباره تغییرات
انجام تحلیل شکاف بین دو ویرایش
بازنگری دامنه PIMS
بازنگری زمینه سازمان و ذی‌نفعان
اصلاح روش ارزیابی ریسک حریم خصوصی
بازنگری کنترل‌های انتخاب‌شده
اصلاح بیانیه کاربردپذیری
تطبیق مستندات با بندهای ۴ تا ۱۰
بازنگری نقش کنترل‌کننده و پردازش‌کننده
اصلاح شاخص‌ها و اهداف
اجرای ممیزی داخلی بر اساس نسخه ۲۰۲۵
انجام بازنگری مدیریت
هماهنگی با نهاد صدور درباره برنامه انتقال
مهلت و قواعد دقیق انتقال باید از نهاد صدور گواهینامه سازمان دریافت شود و نباید بر اساس یک زمان عمومی و تأییدنشده برنامه‌ریزی شود.
مشاوره پیاده‌سازی ISO/IEC 27701
اجرای ISO/IEC 27701 فقط با تهیه چند فرم و روش اجرایی محقق نمی‌شود. ابتدا باید جریان واقعی اطلاعات شخصی در سازمان شناسایی شود و سپس کنترل‌ها در فرایندها، سامانه‌ها، قراردادها و فعالیت‌های کارکنان به اجرا درآیند.
خدمات مشاوره پیاده‌سازی ISO/IEC 27701 می‌تواند شامل موارد زیر باشد:
- تحلیل وضعیت موجود
- تعیین دامنه PIMS
- شناسایی فعالیت‌های پردازش
- تعیین نقش‌های کنترل‌کننده و پردازش‌کننده
- شناسایی الزامات قانونی و قراردادی
- ارزیابی ریسک‌های حریم خصوصی
- طراحی و تدوین مستندات
- تهیه بیانیه کاربردپذیری
- آموزش مدیران و کارکنان
- همراهی در اجرای کنترل‌ها
- انجام ممیزی داخلی
- برگزاری بازنگری مدیریت
- آمادگی برای ممیزی صدور گواهینامه
- برنامه‌ریزی انتقال از نسخه ۲۰۱۹ به ۲۰۲۵
شرکت بین‌المللی مهندسی هیوا با بررسی نوع فعالیت، ساختار سازمان، اطلاعات پردازش‌شده و استانداردهای مدیریتی موجود، مسیر مناسب استقرار سیستم مدیریت اطلاعات حریم خصوصی را طراحی می‌کند.
ISO/IEC 27701:2025 استاندارد بین‌المللی سیستم مدیریت اطلاعات حریم خصوصی است که به سازمان‌ها کمک می‌کند اطلاعات شخصی را در تمام مراحل چرخه عمر آن‌ها به‌صورت نظام‌مند مدیریت کنند.
مهم‌ترین تغییر نسخه ۲۰۲۵، تبدیل استاندارد از یک افزونه وابسته به ISO/IEC 27001 به یک استاندارد مستقل سیستم مدیریت است. سازمان‌ها اکنون می‌توانند PIMS را مستقلاً پیاده‌سازی کنند یا آن را با سیستم مدیریت امنیت اطلاعات یکپارچه سازند.
اجرای موفق این استاندارد به شناسایی دقیق اطلاعات شخصی، تعیین نقش سازمان، ارزیابی ریسک‌های حریم خصوصی، انتخاب کنترل‌های مناسب، آموزش کارکنان، مدیریت تأمین‌کنندگان و پایش مستمر عملکرد نیاز دارد.
پرسش‌های متداول
آخرین نسخه ISO/IEC 27701 کدام است؟
آخرین ویرایش این استاندارد ISO/IEC 27701:2025 است که در اکتبر ۲۰۲۵ منتشر شد و جایگزین نسخه ۲۰۱۹ شد.
آیا ISO/IEC 27701:2025 مستقل از ISO 27001 است؟
بله. نسخه ۲۰۲۵ به‌عنوان یک استاندارد مستقل سیستم مدیریت حریم خصوصی تدوین شده است و می‌تواند مستقلاً اجرا شود.
آیا بهتر است ISO 27701 و ISO 27001 با هم اجرا شوند؟
اگرچه اجرای مستقل ISO 27701 امکان‌پذیر است، یکپارچه‌سازی آن با ISO 27001 می‌تواند مدیریت کنترل‌های امنیتی و حریم خصوصی را منسجم‌تر کند.
آیا ISO 27701 فقط برای شرکت‌های فناوری اطلاعات است؟
خیر. هر سازمانی که اطلاعات شخصی مشتریان، کارکنان، کاربران یا سایر اشخاص را پردازش می‌کند می‌تواند از این استاندارد استفاده کند.
آیا ISO 27701 انطباق کامل با GDPR را تضمین می‌کند؟
خیر. این استاندارد می‌تواند به ایجاد چارچوب مدیریتی و شواهد انطباق کمک کند، اما جایگزین بررسی حقوقی و اجرای تمام الزامات GDPR یا سایر قوانین نیست.
آیا ISO/IEC 27701 قابلیت صدور گواهینامه دارد؟
بله. نسخه ۲۰۲۵ به‌عنوان استاندارد مستقل سیستم مدیریت قابل ممیزی و صدور گواهینامه است.
آیا گواهینامه نسخه ۲۰۱۹ همچنان معتبر است؟
وضعیت اعتبار و برنامه انتقال باید از نهاد صادرکننده گواهینامه بررسی شود. سازمان‌های دارای گواهینامه باید برای انتقال برنامه‌ریزی کنند.