ISO27701认证有什么用处，一句话：它把"个人信息怎么管"这件事，从一句合规口号变成能审计的流程。ISO/IEC 27701:2019是隐私信息管理体系标准，建立在ISO27001之上，专门针对姓名、手机号、身份证号、人脸数据这类个人信息的收集、存储、使用、共享到销毁的全过程。它不替代27001，是把隐私这块补齐。
和ISO27001的分工很清楚。27001管的是信息安全本身，保密性、完整性、可用性，防的是数据被窃取篡改；27701管的是隐私，重点在处理的正当性、数据主体的权利、隐私风险。一个偏守得住，一个偏用得合规。对同时要过海外客户尽调的企业，两张一起做，体系框架共用，成本比分开做省。
哪些企业最该考虑。SaaS和云平台、数据中心、金融科技、电商、医疗健康、营销与人力资源外包，还有帮客户处理个人信息的各类服务商。共同点是两头都碰到个人信息：一头是自己的用户数据，一头是替客户代管的第三方数据。这类企业在客户尽调和供应商准入时，最常被追问的就是隐私治理和数据主体权利响应。
实际价值不在证书本身，在使用。做了27701的企业，会把个人信息处理活动清单、隐私风险评估、数据主体权利响应流程、与第三方的数据处理协议这几样建起来。这些东西平时是管理成本，到了监管抽查、客户审计、数据泄露应对的时候，就是能直接拿出来的证据。有做SaaS的客户反馈，补上隐私体系后，欧盟客户的供应商审核轮次少了，审核周期明显缩短。
判断值不值，看三件事：客户和渠道要不要隐私背书、手上的个人信息量级和敏感度、有没有出海或对接欧盟GDPR的需求。都没有、也不碰个人信息的小微企业，通常不急。反过来，只要你在替别人管个人信息，ISO27701认证的投入就不算多余。
