ISO29151個人數據隱私保護管理體系
-
2023-12-20 09:58:34
292
ISO29151是什么？
ISO/IEC 29151 是個人身份信息保護管理體系，在信息化、互聯網、大數據時代背景下的個人信息和隱私權保護面臨了諸多困難和挑戰。種種合規性的需求，促進了個人隱私標準的發展，這其中，ISO/IEC 29151:2017 認證，是國際通行的個人身份信息保護指南，涵蓋 26 個控制域，181 條控制措施，充分控制個人身份信息(PII)相關的風險，適用于任何對隱私保護有需求的組織，對開展個人身份信息保護提供了一個廣泛的指南。
ISO29151體系的作用
ISO29151為掌握個人可識別身份信息的相關方提供了廣泛的信息安全和PII保護控制的指導。本標準針對我國IT技術高速發展中個人信息安全面臨的安全問題，以保護個人信息為核心，規范個人信息收集、存儲、處理、使用和披露等各個環節中數據操作的相關行為，進一步加強對個人可識別身份信息風險，進行準確評估并采取有效的控制措施，提高業務流程的安全性和可靠性，降低IT運營過程中的個人可識別身份信息風險，旨在遏制個人信息濫用亂象，最大程度地保障用戶合法權益和社會公共利益。
ISO29151標準認證的適用范圍:
1、ISO29151在不同處理領域的應用:公共云服務，社交網絡應用程序，家用互聯網連接設備，搜索，分析，將PII作為廣告和類似目的用途的使用，大數據分析，就業處理，銷售和服務業務管理(企業資源規劃，客戶關系管理)。
2、ISO29151在不同場合的應用:為個人提供的個人處理平臺上(如智能卡，智能手機及其應用程序，智能電表，可穿戴設備)，在數據傳輸和收集網絡中(例如，通過網絡處理手機上定位數據，在某些國家地區可能被視為PIl )，在一個組織自身的處理基礎設施內。在第三方的處理平臺上。
3、ISO29151在不同收集特性的應用∶一次性數據收集(例如，注冊服務)，待續進行的數據收集（例如，通過個人身體上或身體內的傳感器頻繁監測健康參數;使用非接觸式支付卡進行多次數據收集;智能電表數據收集系統等)。
ISO29151個人隱私保護體系項目實施基于ISO29151標準內容和相關內外部合規要求，建立基于PDCA的持續改進機制。體系建設主要準備以下內容:
1、個人數據生命周期梳理及PII信息清單編制；
2、隱私風險影響評估(PIA)；
3、適用性聲明編寫；
4、管理體系文件更新。
ISO29151標準中PII的信息安全角色和職責:
ISO29151標準要求需要明確規定保護個人身份信息的角色和責任，并妥善記錄并傳達以下要求:
1、組織應分配高級管理成員[有時稱為首席隱私官(CPO)]對PII承擔保護的責任;
2、應明確指明，每個角色擔當的PII保護職能，負責與組織內的信息安全職能進行協調;
3、參與PII處理的所有人(包括用戶和支待人員)應在其工作指南中包含適當的PII保護要求。
己建立的PI保護功能應與處理PlI的其他功能（信息安全功能)密切協作，ISO29151標準要求包括:
--由PII保護相關法規法引起的安全要求;
--協助解釋法律法規和合同條款的功能;
--處理數據泄露。
該組織應審查是否需要并酌情建立跨職能的委員會，或由處理PI職能的高級成員組成的委員會。
PIl的保護是一個多學科的職能，這樣的委員會可以幫助主動發現改進機會，識別PIA 的新風險和領域，制定預防措施，檢測違規行為并采取糾正措施等。
建議小組應定期開會，并由:a)中確定的負責PI保護的人擔任負責人。
PII控制者應要求其PII處理者指定一個聯系點，以解決合同下有關PII的處理問題。
負有PI保護職能的人應向CPO報告，以確保他們有足夠的權力履行其職責。
ISO29151標準認證的辦理條件:
1、中國企業持有工商行政管理部門頒發的《企業法人營業執照》、公司簡介、組織架構或等效文件；外國企業持有關機構的登記注冊證明。
2、申請方的ISO29151通用個人信息保護管理體系認證證書已按其體系標準的要求建立，并實施運行3個月以上。
3、至少完成一次數據保護/隱私影響、內部審核，并進行了管理評審。
4、體系運行期間及建立體系前的一年內未受到主管部門行政處罰。
5、企業受到行政處罰，已經處理掉了，沒有暫停營業
6、申請范圍不超出資質許可范圍、不超出認證機構的業務范圍；
7、無違規轉機構、無違法、無失信；
8、申報人數與實際人數相差不超出20%；
9、提供企業業務相關的必備資質：如系統集成資質、安防資質等，并且保證資質的有效性和合法性。
上海：021-58445696
當前位置：
