ISO29151标准保护PII的实施指南_广汇联合（北京）认证服务有限公司，ISO20000信息技术服务认证,ISO27001信息安全管理认证，ISO27040数据存储安全认证

发布时间：2020-06-22 作者：广汇联合来源：广汇联合

需要明确规定保护个人身份信息的角色和责任，并妥善记录并传达。特别：

a）组织应分配髙级管理成员［有时称为首席隐私官（CPO）］对PII承担保护的责任；

b）应明确指明，每个角色担当的PII保护职能，负责与组织内的信息安全职能进行协调；

c）参与PII处理的所有人（包括用户和支持人员）应在其工作指南中包含适当的PII保护要求。

已建立的PII保护功能应与处理PII的其他功能（信息安全功能）密切协作，信息要求包括：由PII保护相关法规法引起的安全要求；协助解释法律法规和合同条款的功能；处理数据泄露。

该组织应审査是否需要并酌情建立跨职能的委员会，或由处理PII职能的高级成员组成的委员会。

PII的保护是一个多学科的职能，这样的委员会可以帮助主动发现改进机会，识别PIA的新风险和领域，制定预防措施,检测违规行为并采取纠正措施等。建议这样的小组应定期开会，并由a）中确定的负责PII保护的人担任主席。

PII控制者应要求其PII处理者指定一个联系点，以解决合同下有关PII的处理问题。

负有PII保护职能的人应向CPO报告，以确保他们有足够的权力履行其职责。