一、ISO/IEC 27701:2019 6.4.1.2 标准原文
原文摘要：ISO/IEC 27002:2013 7.1.2 中规定的控制、实施指南和其他信息适用。组织应在员工和合同方的合同或协议中声明双方的信息安全责任，包括保密、数据保护、信息分级、处理外部信息和违规后果等内容。在 PIMS 场景下，这些条款还应覆盖与 PII 处理相关的行为边界、事件报告和持续义务。
二、条款解读说明
6.4.1.2 是将任用前责任正式落地的关键条款。很多组织会在入职或签约时让员工、外包人员或合同方签署通用保密文件，但这些文件往往只写一些高度概括的原则，难以支撑复杂的 PII 处理场景。27701 语境下，这条控制要求组织更进一步: 与信息安全和隐私处理相关的责任、权利、限制和后果，必须在任用关系开始前就通过合同、任命文件、服务协议或等效文件表达清楚。
27002:2013 已经指出，合同责任应涵盖保密或不泄露义务、法律责任和权利、信息分级和资产管理责任、处理外部信息的责任以及漠视安全要求时的措施。这些内容放到 PIMS 中会更具体。人员不仅要知道“信息要保密”，还要知道哪些 PII 可以在何种场景下处理、哪些行为属于未授权复制或传输、发现误发或泄露应如何报告、合同结束后哪些义务继续存在、面对数据主体请求或监管调查时应如何配合。这些都不能靠入职培训临时口头补充。
| 条款类型 | 建议覆盖的内容 | 在PIMS中的作用 |
|---|---|---|
| 保密与数据保护义务 | PII 处理边界、最小必要、禁止披露和存储要求 | 建立基本责任底线 |
| 操作与报告义务 | 事件报告、主体请求配合、异常升级和记录要求 | 保证问题能被及时发现和处理 |
| 持续义务与退出要求 | 离岗后保密、资料归还、删除和继续配合义务 | 避免任用关系结束后风险尾留 |
| 违规后果 | 纪律处分、合同违约、赔偿和调查配合 | 增强规则执行力和可追责性 |
在 PII 处理场景中，任用条款和条件最常见的薄弱点有三个。第一，条款过于泛化，签署者无法据此判断哪些行为是被允许的，哪些是被禁止的。第二，条款只覆盖正式员工，没有把合同方、实习人员、项目顾问或临时支持人员纳入等效约束。第三，条款没有与实际工作方式同步更新，例如允许远程工作、BYOD、外部协作工具或第三方支持接入之后，合同文本仍停留在传统办公室环境的表述。这样一来，现实风险和合同责任就会出现明显脱节。
还要注意，条款设计不应只是为了事后追责。成熟做法应让签署者通过条款理解自己在 PII 处理中的角色和边界。例如他是否可以在本地保存数据，是否可以为调试目的复制真实数据，是否可以使用私人邮箱或消息工具，是否有义务立即报告误发，离职后是否仍受保密约束，组织在什么情况下可以检查或擦除设备中的业务数据。这些内容越清楚，条款的治理价值就越大。
对外包和合同方而言，本条尤其需要结合主合同、保密协议和具体岗位安排共同设计。很多组织认为只要供应商签了主合同，人员层面不必再细化，但实际处理 PII 的是供应商派驻或远程执行的具体人员。若合同层没有把人员义务、替换条件、培训要求、保密责任和退出安排说清楚，一旦发生事件，组织很难说明责任到底落在机构还是个人、如何要求补救、如何防止同类问题再次出现。
因此，6.4.1.2 的本质是让人员责任具备法律和治理双重效力。条款写得好，既能帮助人员理解规则，也能为后续培训、监督、处置和退出提供稳定依据；写得差，则会让组织在每次争议发生时都回到“到底有没有说清楚”的起点。
三、实施要点
- 将保密、数据保护、事件报告、持续义务和违规后果写入员工和合同方的正式文件。
- 使条款内容与真实工作方式一致，覆盖远程工作、BYOD、外部协作和第三方接入等场景。
- 不要只使用笼统保密表述，应写清与 PII 处理有关的关键行为边界。
- 确保合同方、临时人员和外部支持人员适用等效责任约束。
- 6.4.1.2的核心是让处理 PII 的责任在任用开始前就具备清晰、正式、可执行的表达。
四、常用工具与实施方法
| 工具/方法 | 适用目的 | 关键输出 |
|---|---|---|
| 角色化条款库 | 针对不同岗位配置不同责任文本 | 岗位条款模板 |
| 保密与数据保护附件 | 补充主合同中未细化的 PII 处理责任 | 附加义务文件 |
| 签署前责任说明 | 确保签署者理解条款含义而非机械确认 | 说明记录和问答材料 |
| 条款更新评审机制 | 当工作方式或法律要求变化时同步调整文本 | 修订记录和版本控制 |
实践中，一个有效方法是把条款分成“所有人员通用要求”和“岗位特定要求”两层。通用要求可以覆盖保密、报告、配合调查、持续义务等底线；岗位特定要求则处理高风险操作，例如访问高敏感度 PII、远程处理、外包支持、导出权限、调试环境和测试数据接触等。这样既能保持结构清晰，也能避免所有岗位都签一份冗长却难以执行的文本。
同时，组织最好把条款签署与培训和系统授权串起来。只有签署完成并确认已理解条款，后续权限开通和上岗安排才能继续。这种顺序控制能显著减少“文件签了但谁也没看过”的形式主义问题。
五、典型案例
- 合同只写保密，不写处理边界：某供应商人员虽然签了保密协议，但协议没有禁止其将工单附件下载到个人设备离线处理。事件发生后，双方都认为自己“没有明确被禁止”。问题不在执行，而在 6.4.1.2 的条款没有覆盖真实场景。
- 离职后持续义务未被强调：某员工离开后继续保留在职期间形成的客户资料，用于后续工作参考。组织事后才发现合同里没有明确离岗后的持续保密和删除义务，导致处置基础十分薄弱。
这些案例说明，任用条款和条件不应满足于形式完备，而必须真正指向组织最担心的 PII 处理行为和退出风险。
六、成文信息管理要求
| 建议保留文件 | 关键内容 |
|---|---|
| 任用条款模板和适用规则 | 不同岗位适用的责任条款和例外条件 |
| 签署与理解记录 | 签署时间、版本、说明材料和确认方式 |
| 补充责任附件 | 远程工作、BYOD、外包支持和高风险场景要求 |
| 条款修订记录 | 法律变化、业务变化和工作方式变化后的更新依据 |
这些记录可以帮助组织证明责任边界不是抽象口号，而是随岗位、场景和风险持续维护的正式要求。对争议处理和审核取证而言，这类资料极具价值。
七、常见误区及踩坑提醒
| 误区 | 问题表现 | 正确做法 |
|---|---|---|
| 只签通用保密协议 | 复杂 PII 场景缺少行为边界 | 补充角色和场景化责任条款 |
| 合同方责任弱于员工 | 外包和临时人员成为控制薄弱点 | 确保外部人员适用等效义务 |
| 条款多年不更新 | 远程工作、BYOD 等新场景无文本依据 | 建立定期评审和触发修订机制 |
任用条款真正发挥作用的时点，往往是在争议或事件发生之后。组织如果只写笼统保密义务，却没有把远程办公、外带设备、日志监视、资产归还、离岗保密和违规后果讲清楚，员工很难理解哪些边界是日常必须遵守的。把这些要求在入职阶段写实、讲透、留痕，能让后续培训、问责和资产回收都建立在同一套明确约定之上。