一、ISO/IEC 27701:2019 6.3 标准原文

二、条款解读说明

6.3是第6章中最接近治理中枢的一组控制指南。与第5章的职责和权限不同，这里关注的是在控制指南层面，组织如何把这些责任安排成可运作的结构。换句话说，第5章更偏向管理体系框架中的“谁负责”，而 6.3 更偏向在日常控制实施中“谁和谁如何协同、哪些角色必须清晰分开、哪些对外联系必须建立、哪些工作方式会放大隐私风险”。这种区别非常重要，因为很多组织在做 PIMS 时虽然已经写了职责矩阵，但在实际运行中仍然出现角色重叠、接口模糊和对外沟通混乱，根源往往就在 6.3 没有被真正落实。

2019版在本章最重要的实质性补充发生在 6.3.1.1 和 6.3.2.1。前者要求组织为客户以及在适当情况下为 PII 主体指定联络点，并指定负责制定、实施、维护和监督隐私治理流程的人；后者明确提出组织应确保移动设备使用不会导致 PII 受到损害。这说明 6.3 不只是泛谈“组织架构”，而是把隐私治理的责任接口和工作场景风险具体压到了组织安排层面。

从 PIMS 视角看，6.3 解决的是“治理接口问题”。例如，客户问谁对接隐私事项，PII 主体问谁联系，法务和业务谁决定某项处理活动是否可行，谁有权接受残余隐私风险，谁负责把供应商和分包变化升级，谁在项目中推动隐私评审，谁在远程工作场景下制定适当保护要求。只要这些接口没有组织化地被设计出来，后续第6章控制很容易变成零散条款，各部门按自己的习惯处理。

6.3还有一个非常现实的作用，就是把“工作方式变化”纳入组织控制视野。移动设备和远程工作并不是后来才出现的临时问题，而是影响组织如何处理 PII 的长期结构性场景。组织若把远程工作理解成纯粹的 IT 或 HR 事务，就会忽视它对 PII 暴露面、家庭环境控制、打印和截图行为、个人设备边界以及远程协同方式的直接影响。2019版把这些内容留在信息安全组织章节中，实际上是在强调: 工作方式本身就是治理结构的一部分。

因此，6.3 不应被写成“组织要有角色、有联系、有移动办公策略”的空泛总结。更有价值的写法，是把它讲成一个“隐私治理的组织操作系统”: 谁负责、如何分工、如何对接、如何在项目和灵活办公里把控制做进去。只要这套操作系统设计清楚，后续控制落地难度通常会明显下降。

对读者而言，理解 6.3 的最大收获，是意识到 PIMS 并不只是制度和流程的集合，它还必须嵌入组织形态本身。组织结构若没有为隐私治理预留清晰位置，控制再多也很难跑稳。

三、实施要点

• 将6.3视为“隐私治理组织设计章”，不要把它简化为组织架构图说明。
• 优先梳理联络点、职责分工、升级接口和项目嵌入机制，解决组织承接问题。
• 对移动设备和远程工作单独设置边界规则，不要默认通用办公规则自然足够。
• 把6.3输出与第5章职责安排、第6章后续控制和第7/8章角色义务一起联动。
• 6.3的核心是让 PIMS 有一套真正能工作的组织承接结构。

四、常用工具与实施方法

在实践中，一个高效方法是先从高风险接口出发倒推治理结构。例如围绕主体请求、供应商变更、重大项目评审和事件通知这几类场景，逐步梳理谁应主导、谁应参与、谁应批准、谁应对外。这往往比先画完整组织图更容易发现真正的治理空白。

对于混合角色组织，也建议在 6.3 的组织设计中考虑不同业务线的责任差异。否则控制者和处理者的责任很容易混在线条里，导致组织结构看似统一，实际履责却模糊。

五、典型案例

1. 角色清单存在，接口却失灵：某企业已经在第5章做了职责分配，但当客户要求确认分包安排、法务要求业务说明处理目的、技术要求评估远程访问风险时，始终找不到明确接口人。问题不在职责清单，而在 6.3 的组织承接结构没有设计。
2. 远程工作被当作普通办公安排：另一家组织允许大量员工远程处理客户数据，但并未设立隐私化的远程工作规则，最终在打印、截图、家庭共享设备使用等场景暴露出大量边界问题。回到 6.3 后，组织才意识到远程工作本身就是治理议题。

这些案例说明，组织问题看似“协调不畅”或“员工操作不当”，本质上往往是 6.3 的治理设计没有完成。只要结构不清晰，后续很多偏差都会反复出现。

六、成文信息管理要求

这些材料的价值，在于把 6.3 从概念性章节转成可验证的组织事实。只要能证明组织接口已被正式设计并能在现实场景中使用，6.3 的控制价值就会很直观。

七、常见误区及踩坑提醒

信息安全组织的成熟度，最终体现在跨部门协同是否真的跑得起来。产品要上线新用途、采购要引入外部方、客服要处理主体请求、法务要回应监管问询时，如果没有既定升级链和决策接口，很多隐私要求就会在部门交接处蒸发。把责任矩阵、例外升级和会议纪要做成固定机制，能让组织证明并非只有某个岗位知道要求，而是整套组织结构都能接住变化。