企業準備導入 ISO/IEC 27701:2025，最常見的第一步是搜尋「ISO 27701 checklist」。但只下載勾選表，沒有區分個資處理活動，往往會把制度是否存在與證據是否充分混成同一個答案。
ISO 27701 差距分析（Gap Analysis）不是替每個控制項填「有／沒有」，而是找出個資處理風險、管理要求、執行證據之間的落差。 2025 版已是可獨立使用的隱私資訊管理系統（PIMS）標準，與舊版的導入邏輯不能直接照抄。
從四張底表開始，而不是直接買軟體
| 底表 | 最少要記下什麼 | 為什麼重要 |
|---|---|---|
| 個資處理活動清冊 | 處理目的、資料類型、對象、系統、保存期間 | 知道要保護哪一段活動 |
| 系統與資料流向 | 誰蒐集、誰匯出、傳給誰、存在哪裡 | 找出平台外的資料副本 |
| 角色與委外清冊 | 誰決定目的／方式、誰依委託處理、合約與聯絡窗口 | 避免將品牌與 SaaS 平台責任混為一談 |
| 現有執行證據 | 告知頁、權限審查、刪除工單、委外檢查等 | 區分有制度、確實執行、能否證明 |
差距表建議欄位
一張可持續更新的矩陣，至少需要「處理活動、適用要求、現行做法、已看過的證據、發現、責任人、期限」。例如：
| 處理活動 | 要求／風險 | 實際證據 | 查核結果 | 改善方向 |
|---|---|---|---|---|
| 電商會員註冊 | 蒐集時告知範圍是否完整 | 前台註冊畫面、隱私告知版本 | 待核對 | 比對資料類型及目的 |
| 行銷名單匯出 | 是否有授權、目的與使用紀錄 | 後台權限表、匯出歷程 | 證據不足 | 向平台確認可提供的日誌 |
| 離職帳號停權 | 是否有完整回收流程 | 人事異動單、停權時間 | 已驗證樣本 | 定期複查例外案件 |
| 委託簡訊服務 | 委外目的、傳輸與保留是否清楚 | 合約、API 設定、刪除條件 | 查核受限 | 取得供應商回答與約定 |
表格內容是示範查核架構，不是完整 ISO 27701 正式要求的逐條重製，也不是已驗證任何特定廠商合規。正式導入需要依法取得標準全文並辨識適用要求。
「差距」不要只有一種狀態
建議最少分成四類：已驗證、已確認缺口、證據不足、查核受限。對一個使用第三方購物車的品牌，平台未提供匯出日誌，不等於品牌必然沒有管理；但你不能因為無法查核，就填寫「符合」。應先記錄範圍、取得限制與替代證據，再訂改善路徑。
2025 版移轉時最容易漏掉的事
第一，從原先依附 ISO 27001 的擴充設計，重新確認獨立 PIMS 的治理範圍、責任及稽核程序。第二，個人資料控制者與處理者不是企業永久固定的身分，應逐項依處理活動、實質決定權及契約判斷。第三，已有 ISO 27001 的證書，不等於個資隱私管理已達 ISO 27701 的要求。
如何判斷下一步應做什麼？
若缺的是權限清冊或資料流向，可先整理現況；若合約明確要求正式 ISO 27701 證書，應向合格驗證機構確認可用驗證方案與適用版本；若已發生外洩事件或收到主管機關文書，應優先處理事件、法律及鑑識需求，不宜只靠管理系統自評。
可對照ISO 27001／27701 需求評估分清楚健診、制度導入與正式發證的不同任務。
資料來源： ISO/IEC 27701:2025 官方標準頁、台灣《個人資料保護法》、《個資法施行細則》。
同主題延伸閱讀：ISO 27701:2025 認證怎麼準備？新版 PIMS 導入與取證指南、ISO 27701 的 DPIA 怎麼做？隱私衝擊評估與處理活動清冊範例。