ISO/IEC 27701:2025 是可以獨立導入的隱私資訊管理系統（PIMS）國際標準。企業準備取證時，要管理的不只是「資料有沒有被駭」，還包括蒐集哪些個資、用途、資料流向、控制者與處理者權責、當事人權利及留下什麼證據。
換句話說，系統沒有被駭過，也不等於隱私管理就沒有問題。
真實事故：品牌根本沒有訂閱功能，會員卻收到「自動續訂」通知
2026 年 10 月 19 日，電商品牌花美水在官方網站發布資安事件與防詐說明：有會員收到冒用品牌名義、聲稱「定期購買」或「自動續訂」的郵件，品牌明確表示沒有這種功能，相關郵件並非官方寄送。
同一時期，91APP 已於 10 月 16 日公告其 Commerce Cloud 資料庫遭自動化攻擊、部分資訊被未授權擷取。品牌公告引用了供應商事件；但不能據此推斷每一封詐騙信的資料來源都已經鑑識確認，更不能把調查中的責任提前判給任何一方。
真正值得企業問的是：
當會員問「你們究竟把我的資料交給誰」，公司能不能畫出一張具體的資料流程圖？
參考：花美水官方事件說明（更新至 2026/10/19）、91APP 官方公告（2026/10/16）。
ISO 27701:2025 新版改了什麼？
舊版 ISO/IEC 27701:2019 是以 ISO 27001／27002 為基礎的隱私擴充要求。2025 年新版則是獨立的隱私資訊管理系統標準，企業可依自身需求獨立導入，或與既有 ISO 27001 制度整合。
不過「標準可獨立導入」與「任何驗證機構都有客戶認可的獨立認證方案」不同。實際申請前要核對驗證機構、認可範圍及客戶契約要求。
PIMS 到底在管理哪幾件事？
| 管理項目 | 企業真正要回答的問題 | 可準備的證據 |
|---|---|---|
| 個資處理活動 | 收哪些資料、作何用途、保存多久？ | 處理活動清冊、資料流向 |
| 角色與權責 | 誰決定處理目的？誰依委託處理？ | 契約、資料處理協議、內部權責 |
| 隱私風險 | 哪些資料利用會傷害當事人權益？ | 風險評估、處理計畫 |
| 委外供應商 | 購物車、CRM、物流和 EDM 各拿到什麼？ | 供應商清冊、管理及查核紀錄 |
| 當事人權利 | 查詢、更正、刪除等要求如何回應？ | 作業程序、回覆與處理紀錄 |
| 事故與改善 | 發生問題時誰決定、誰通報、怎麼追蹤？ | 事故流程、調查紀錄、改善追蹤 |
注意：國際標準裡的 PII controller/processor 角色和臺灣法制的責任判定，需要對照具體活動、適用法規與契約；不是把平台永遠寫成「處理者」、品牌永遠寫成「控制者」就完成分析。
導入 ISO 27701 的合理順序
**第一步：確定驗證範圍。**是否涵蓋特定會員服務、雲端平台、行銷資料處理與委外關係？
**第二步：盤點資料流向。**例如會員在購物車下單後，資料是否同步進 CRM、簡訊、物流、電子發票和分析工具？每個接口有何目的與權限？
**第三步：對照控制措施。**把現有制度和隱私管理要求對照，區分「有制度、有執行、有可查核證據」三個層次。
**第四步：補齊管理與紀錄。**明確建立責任人、核准流程、保存與刪除安排、委外查核及例外處理。
**第五步：完成內部評估並安排驗證。**實施內部稽核、管理審查及改善，再依驗證機構方案辦理正式審核。
如果公司已有 ISO 27001，可以直接沿用嗎？
可以評估共用組織管理、文件控制、內部稽核、管理審查等制度。但 PIMS 對具體個資處理、控制者與處理者義務、隱私風險等要求，仍需額外評估。
資安有通過查核，不等於每一項個資利用都合法。隱私政策寫得完整，也不等於後台權限和實際資料流向受控。
關係差異請參考 ISO 27001 和 ISO 27701 比較。
準備取證前，可以先做的個資流向快篩
把會員資料的「蒐集點 → 儲存地 → 會接觸的人 → 外部供應商 → 刪除或保留規則」連成一條線。任何一段無人能回答，都代表需要進一步盤點；不應直接等同已違法或符合不了 ISO。
對已經決定要辦 ISO 27701 的公司，下一步就是確認客戶要求、PIMS 範圍、個資處理角色與既有制度。我們可以協助評估新版導入、整合 ISO 27001 及第三方驗證規劃；若企業只想先看品牌端個資現況，另可選擇有明確範圍的健診。