ISO 27701 是組織的隱私資訊管理系統；ISO 27018 則聚焦公有雲服務提供者以個資處理者身分提供服務時的個資保護指引。 如果一家電商品牌問供應商「你們有 ISO 嗎」，卻不看證書或聲明的範圍，很可能拿到與自己風險不相干的答案。
先認清版本
ISO 27701 現行新版是 ISO/IEC 27701:2025，可獨立作為 PIMS 標準；ISO 27018 也已有 ISO/IEC 27018:2025，2019 版已被新版取代。網路仍有不少引用舊版的比較文章，採購或導入時應以官方最新紀錄為準。
| 問題 | ISO 27701:2025 | ISO 27018:2025 |
|---|---|---|
| 定位 | 隱私資訊管理系統的要求及指引 | 公有雲處理個資的控制措施指引 |
| 主要對象 | 依具體處理活動扮演控制者或處理者的組織 | 以個資處理者身分服務客戶的公有雲提供者及評估其服務的企業 |
| 重點 | 管理政策、處理活動、角色責任、風險與持續改善 | 雲端環境個資處理、透明度與控制措施 |
| 能否互相取代 | 不能 | 不能 |
91APP、SHOPLINE 這類購物車，品牌到底要查什麼？
假設品牌透過 SaaS 購物車取得會員訂單，並定期把會員名單匯出給自己的行銷代理商。
平台端值得查詢的有：資料儲存地點、管理員權限、日誌留存、備份及刪除機制、供應商與次委外、事故通報窗口，以及其提供的第三方報告適用範圍。
品牌端自己則要負責弄清楚：為什麼蒐集會員資料、哪些員工可以匯出、交給誰、依哪個目的使用、合作終止後怎麼處理、遇到權利請求誰協調。平台符合雲端相關標準，不會自動替品牌補上後面的管理紀錄。
供應商證書／報告的查驗提問
- 你提供的是 ISO 27001 證書、ISO 27701 證書，還是對照 ISO 27018 的控制聲明？
- 驗證或查核機構是誰？驗證範圍含不含我們購買的實際服務？
- 服務在不同國家地區的資料中心，是否都在適用範圍內？
- 可以取得哪些日誌、刪除證明、事故通報與次委外資訊？
- 平台變更供應商、功能或資料傳輸流程時，會如何通知？
這些問題，比單純問「有沒有 ISO 27018」更能縮小風險與責任落差。
哪一種比較值得先導入？
品牌端： 先確認自己資料處理活動和法遵責任，視範圍評估 PIMS 或較輕量的風險診斷。
雲端 SaaS 提供者： 若承接大量客戶個資處理，可評估 ISO 27018 的雲端控制指引與既有 ISO 27001、27701 架構如何互補。
正式取證： 不同標準的證書或聲明方式不一定相同，請向驗證機構核對，避免把「遵循指引」寫成已取得某項管理系統認證。
資料來源： ISO/IEC 27701:2025、ISO/IEC 27018:2025、ISO/IEC 27001:2022。
同主題延伸閱讀：ISO 27701 與 GDPR 差在哪？通過認證不代表自動符合個資法、ISO 27701 課程怎麼選？2025 新版 PIMS、內稽與企業獨立認證的差異。