GDPR安全条款对照：隐私法中的安全部分

GDPR是隐私法。其大部分内容涉及是否可以处理个人数据、如何告知个人，以及个人享有哪些权利。但有若干条款规定了安全义务，安全团队正是在这些条款上与该法规相遇。ControlMapping仅对以下条款进行映射：完整性与保密性（第5(1)(f)条）、问责（第24条）、设计与默认的数据保护（第25条）、处理者（第28条）、处理活动记录（第30条）、处理安全（第32条）、泄露通知（第33和34条）、影响评估（第35条）以及数据保护官（第37至39条）。

ISO 27001如何覆盖这些条款

在 GDPR 的 13 个安全相关文章中，12（92%）可映射到 ISO 27001 中的内容，0 个仅弱相关，1 个在本站数据中无映射。 打开差距报告 →

几乎所有与安全相关的GDPR条款都可以映射到ISO 27001。ISMS为你提供基于风险的安全措施（第32条）、可为泄露通知提供支持的事件管理（第33和34条）、针对处理者的供应商控制（第28条）以及有文档记载的职责分工。唯一在ISO中没有对应映射的条款是第38条，即数据保护官的地位，它涉及独立性和汇报关系，而ISO 27001并未涵盖。

逐条说明

GDPR	要求	匹配	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	编辑说明	A.5.14A.8.10A.8.11A.5.31
Art.24(1)	Responsibility of the controller	编辑说明	Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2
Art.25(1)	Data protection by design and by default	编辑说明	A.8.25A.8.26A.8.28A.8.29
Art.28(1)	Processor	编辑说明	A.5.19A.5.20A.5.21A.5.22
Art.29	Processing under the authority of the controller or processor	编辑说明	A.6.1A.6.4A.8.16
Art.30(1)	Records of processing activities	编辑说明	A.5.9A.5.11A.7.14
Art.32(1)(a)	Security of processing	编辑说明	A.8.24A.5.16A.5.18A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	编辑说明	A.5.5A.5.24A.5.25A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	编辑说明	A.5.5A.5.26A.6.8Clause 7.4
Art.35(1)	Data protection impact assessment	编辑说明	Clause 6.1.2Clause 6.1.3
Art.37(1)	Designation of the data protection officer	编辑说明	A.5.2A.5.4
Art.38	Position of the data protection officer	本站数据中无映射	—
Art.39(1)	Tasks of the data protection officer	编辑说明	A.5.2A.5.4A.6.3Clause 7.3

GDPR新增而ISO 27001未涵盖的内容

即使在安全相关条款中，GDPR在某些方面也更为具体：

• 泄露通知时限。 在知悉个人数据泄露后72小时内通知监管机构（第33条）；当风险较高时，在不无故拖延的情况下通知受影响的个人（第34条）。ISO要求的是事件管理，而非按时限进行监管通知。
• 假名化与加密在第32条中被列为应考虑的措施。
• 设计与默认的数据保护（第25条）延伸到系统的构建与配置方式，而不仅仅是安全防护。
• 影响评估（第35条）针对高风险处理，属于隐私评估，范围比ISO的安全风险评估更广。

反向对照

在 ISO 27001 的 123 个附录 A 控制措施及 ISMS 条款中，47（38%）可映射到 GDPR 中的内容，47 个仅弱相关，29 个在本站数据中无映射。 打开差距报告 →

从GDPR映射到ISO 27001时，附录A的大部分控制措施可以映射或弱相关，但ISMS条款、物理安全以及若干技术控制在GDPR中没有对应内容。GDPR不要求建立管理体系，也不规定技术控制；它要求采取与风险相称的措施，并允许你自行选择。

如何利用重叠部分

1. 将第32条视为ISMS的要求：将其列入法律与合同要求（ISO A.5.31），并在风险评估中引用它。
2. 扩展针对个人数据泄露的事件流程：包括是否通知的决定、72小时时限，以及对每一起泄露（无论是否通知）的记录（第33(5)条）。
3. 对处理者采用供应商控制，并在合同中纳入第28条的条款。
4. 在安全之外关注隐私：ISO/IEC 27701将ISMS扩展至隐私管理。

本站所有GDPR链接均为ControlMapping的编辑说明，因为不存在官方对照映射。ISO 27001与GDPR对比和GDPR框架页面列出了每项映射及其理由，差距分析可导出这些映射。

常见问题

GDPR第32条要求什么？

处理安全：采取适当的技术和组织措施，以确保与风险相称的安全水平，包括在适当情况下的假名化和加密、处理系统及服务的持续保密性、完整性、可用性和韧性、事件发生后及时恢复数据可用性和访问能力，以及定期测试和评估措施的有效性。

ISO 27001能让你符合GDPR吗？

不能。它支持安全义务，尤其是第32条，但GDPR还要求合法性基础、透明度、数据主体权利以及ISO 27001未涵盖的许多其他内容。