品牌詢問雲端供應商：「你們有處理會員個資的 ISO 證書嗎？」
對方交來 ISO 27001 證書，另外附了一份參照 ISO 27018 控制措施的說明。品牌卻把它們一起登記為「已取得 ISO 27701」。
管理系統認證、雲端個資控制指引與供應商聲明是不同的證據，不能混成同一張證書。
ISO 27701 關注隱私資訊管理系統；ISO 27018 著重公有雲提供者處理個資時可參考的控制措施。要比較之前，先確認標準版本、服務範圍與文件性質。
這是文件查驗情境示意，不暗示具名供應商有任何錯誤。
先認清版本
ISO 27701 現行新版是 ISO/IEC 27701:2025，可獨立作為 PIMS 標準；ISO 27018 也已有 ISO/IEC 27018:2025，2019 版已被新版取代。網路仍有不少引用舊版的比較文章，採購或導入時應以官方最新紀錄為準。
| 問題 | ISO 27701:2025 | ISO 27018:2025 |
|---|---|---|
| 定位 | 隱私資訊管理系統的要求及指引 | 公有雲處理個資的控制措施指引 |
| 主要對象 | 依具體處理活動扮演控制者或處理者的組織 | 以個資處理者身分服務客戶的公有雲提供者及評估其服務的企業 |
| 重點 | 管理政策、處理活動、角色責任、風險與持續改善 | 雲端環境個資處理、透明度與控制措施 |
| 能否互相取代 | 不能 | 不能 |
91APP、SHOPLINE 這類購物車，品牌到底要查什麼？
假設品牌透過 SaaS 購物車取得會員訂單，並定期把會員名單匯出給自己的行銷代理商。
圖解：先看證據種類與服務角色再談適用
平台端值得查詢的有：資料儲存地點、管理員權限、日誌留存、備份及刪除機制、供應商與次委外、事故通報窗口，以及其提供的第三方報告適用範圍。
品牌端自己則要負責弄清楚：為什麼蒐集會員資料、哪些員工可以匯出、交給誰、依哪個目的使用、合作終止後怎麼處理、遇到權利請求誰協調。平台符合雲端相關標準，不會自動替品牌補上後面的管理紀錄。
供應商證書／報告的查驗提問
- 你提供的是 ISO 27001 證書、ISO 27701 證書，還是對照 ISO 27018 的控制聲明？
- 驗證或查核機構是誰？驗證範圍含不含我們購買的實際服務？
- 服務在不同國家地區的資料中心，是否都在適用範圍內？
- 可以取得哪些日誌、刪除證明、事故通報與次委外資訊？
- 平台變更供應商、功能或資料傳輸流程時，會如何通知？
這些問題，比單純問「有沒有 ISO 27018」更能縮小風險與責任落差。
哪一種比較值得先導入？
品牌端： 先確認自己資料處理活動和法遵責任，視範圍評估 PIMS 或較輕量的風險診斷。
雲端 SaaS 提供者： 若承接大量客戶個資處理，可評估 ISO 27018 的雲端控制指引與既有 ISO 27001、27701 架構如何互補。
正式取證： 不同標準的證書或聲明方式不一定相同，請向驗證機構核對，避免把「遵循指引」寫成已取得某項管理系統認證。
資料來源： ISO/IEC 27701:2025、ISO/IEC 27018:2025、ISO/IEC 27001:2022。
同主題延伸閱讀：ISO 27701 與 GDPR 差在哪？通過認證不代表自動符合個資法、ISO 27701 課程怎麼選？2025 新版 PIMS、內稽與企業獨立認證的差異。