2026 年要報 ISO 27701 課程，第一件事是確認講義到底採用 2019 舊版還是 ISO/IEC 27701:2025。 因為 2025 年改版後，27701 已成為可獨立導入的 Privacy Information Management System（PIMS，隱私資訊管理系統）標準，不再只是 ISO 27001 的隱私擴充說明。這會影響課程教什麼、企業如何決定導入範圍，以及日後驗證要怎麼安排。ISO 27701:2025 官方說明。
課程選擇先看你要做什麼
| 身分／目標 | 應優先學什麼 | 不要期待 |
|---|---|---|
| 品牌營運、法務、行銷窗口 | 蒐集目的、告知、資料流、控制者與處理者角色 | 上完課就代表公司符合法律 |
| 內部稽核人員 | 稽核規劃、PIMS 制度要求、抽樣、查核報告 | 可以替外部驗證機構發證 |
| ISMS 專案負責人 | 27001 與 27701 整合方式、既有證據如何重用 | 新版仍須完全依附舊版 27001 |
| 準備獨立驗證的企業 | PIMS 範圍、控制、制度運轉及適用的驗證要求 | 買課程就自動取得組織認證 |
因為舊版是 ISO/IEC 27001 與 27002 的擴充標準，網路上仍有許多沿用「一定要先拿 27001 才能談 27701」的課程介紹。這句話不能直接套用 2025 新版。但可以獨立導入，也不等於任何驗證機構此刻一定提供你需要的獨立驗證服務；仍須核對其適用驗證方案及認可範圍。
新版課程最少要涵蓋哪些內容？
以下不是標準逐條轉錄，而是企業用於選課的實務檢核方向：
- PIMS 的範圍與利害關係人： 哪些品牌、系統與資料處理活動納入？
- PII Controller／Processor： 控制者與處理者的責任不是永遠由某一家平台固定扮演，要看具體處理活動。
- 隱私風險管理： 除了機密性，也要看蒐集目的、當事人權利與合法利用。
- 資料生命週期： 會員資料從蒐集、利用、備份、委外、保存到刪除的流程。
- 可驗證的證據： 不能把法遵聲明當作已落實政策，需有實際執行紀錄。
- 管理系統運作： 包括內部稽核、管理審查、改善與持續維護的角色。
ISO 27701:2025 官方說明明確指出，它設定了建立、實施、維持及持續改善 PIMS 的要求，適用於處理可識別個人資訊的控制者與處理者；並確認可作為獨立管理系統標準使用。ISO 27701:2025。
舉例：同樣使用購物車平台，課程應該怎麼講？
一家台灣電商品牌將購物車託管給平台，另外串接物流、CRM、簡訊與廣告追蹤。專業課程不能只講「平台負責資安」或「品牌永遠是控制者」；應帶學員辨識：
- 訂單蒐集由誰決定特定目的？
- 平台是否僅依委託指示處理某類資料？
- 跨店會員、平台獨立分析或自行決定的資料用途是否形成不同角色？
- 離職員工是否仍持有會員匯出權限？
- 委外合約、告知內容及證據要如何串成 PIMS 的管理紀錄？
一門只教標準名稱、卻沒有演練資料流、角色與證據的課程，可能不適合企業落地使用。
報名前的七項審查表
| 檢查項 | 對方應提供的資訊 |
|---|---|
| 版本 | 是否涵蓋 ISO/IEC 27701:2025，舊版內容如何處理 |
| 課程目的 | 是基礎認知、內稽、導入還是驗證準備 |
| 講師背景 | 實際 PIMS／個資治理／管理系統案例，且不違反保密 |
| 案例 | 是否涵蓋控制者、處理者及實務資料流 |
| 評量 | 聽課、作業、實作或通過測驗的條件 |
| 證明文件 | 出席、成功修畢、第三方專業登錄各自是什麼 |
| 費用與授權 | 教材、正式標準版本、考試補考、稅金及使用權 |
ISO 27701 課程與 GDPR 課程，可以互相取代嗎？
不能。ISO 27701 是管理系統標準；GDPR 是歐盟個人資料保護法規。企業導入 PIMS 可能有助於建立遵循機制，但通過 27701 驗證不代表自動符合 GDPR 或台灣所有個資法義務。不同法域與業務場景仍需做專屬法律盤點。
常見問題
有 ISO 27001，還需要 27701 嗎？ 不一定。要看客戶合約、處理活動、法遵風險及對外驗證需求；27701:2025 可單獨或與 27001 整合導入。
學員拿到 27701 課程證明，企業就能宣稱通過 ISO 27701 嗎？ 不行。人員課程證明不是企業驗證證書。
台灣電商品牌一定要直接導入 27701 嗎？ 不必把國際標準當成所有企業的唯一解。品牌若主要問題是權限、資料流和委外證據，可先就自己的實際管理義務釐清缺口，再決定要不要投資完整制度與外部驗證。ISO 需求評估 與 電商個資健診 提供不同起點。
原始資料： ISO/IEC 27701:2025、ISO 27701:2019 舊版已撤回頁面、ISO 管理系統標準與驗證。
同主題延伸閱讀：ISO 27701 與 ISO 27018 差在哪？雲端服務商、電商品牌怎麼選、ISO 27701 的 DPIA 怎麼做？隱私衝擊評估與處理活動清冊範例。