文章总结： 文档解读ISO/IEC27701标准关于PII跨境转移的8.5.1条款，要求组织依据法律法规文件化合规性，及时告知客户涉及供应商、国家等第三方的PII转移计划及变更，赋予客户反对或终止合同的权利。实施需识别如约束性企业规则等适用协议，并建议将8.5子条款合并实施，以全面管理隐私信息的共享与披露。 综合评分： 80 文章分类： 技术标准,数据安全,政策法规

【前14篇免费】ISO/IEC 27701: 2019 标准详解与实施（190）8.5.1 个人身份信息（PII）在司法管辖区之间转移的依据

原创

27001.CN

Sky的安全观

2025年12月31日 13:45 广东

点击上方蓝色字“Sky的安全观”关注我们

资料交流，请私“加群”

>>ISO系列标准解读合集<<

ISO/IEC 27001: 2022 标准详解与实施合集（共42篇）

ISO/IEC 27001: 2013 标准详解与实施合集（共47篇）

ISO/IEC 20000-1: 2018 标准详解与实施合集（共48篇）

ISO 22301: 2019 标准详解与实施合集（共38篇）

ISO 9001: 2015 标准详解与实施合集（共45篇）new!

ISO 14001: 2015 标准详解与实施合集（共26篇）new!

ISO 45001: 2018 标准详解与实施合集（共30篇）new!

>>更多精彩合集，敬请期待<<

ISO/IEC 27001: 2022 换版不求人

ISO/IEC 27001: 2022 咨询辅导服务内容

华为供应链信息安全审核应对方案

华为供应链网络安全审核应对方案

独家：ISO/IEC 27001: 2022全新文件提供和指导

【直播预告】企业信息安全负责人必修系列课程（第一季）

| | | — | | 8 Additional ISO/IEC 27002 guidance for PII processors 附加到ISO/IEC 27002的个人身份信息（PII）处理者的指南/8.5 PII sharing, transfer, and disclosure 个人身份信息的共享，转移和披露/8.5.1 Basis for PII transfer between jurisdictions 个人身份信息（PII）在司法管辖区之间转移的依据 | | 8.5.1 Basis for PII transfer between jurisdictions 个人身份信息（PII）在司法管辖区之间转移的依据 Control 控制 The organization should inform the customer in a timely manner of the basis for PII transfers between jurisdictions and of any intended changes in this regard, so that the customer has the ability to object to such changes or to terminate the contract. 组织应采取及时的方式将个人身份信息（PII）在司法管辖区之间转移的依据和在这方面的所有预期的变更通知到顾客，以便顾客有能力反对此类变更或终止合同。 Implementation guidance 实施指南 PII transfer between jurisdictions can be subject to legislation and/or regulation depending on the jurisdiction or organization to which PII is to be transferred (and from where it originates). The organization should document compliance with such requirements as the basis for transfer. 在司法管辖区之间的个人身份信息（PII）转移可能受法律和/法规约束，这取决于个人身份信息（PII）被转移到的司法管辖区或组织（以及其来源地）。组织宜按照转移依据文件化此类要求的符合性。 The organization should inform the customer of any transfer of PII, including transfers to: 组织宜将所有个人身份信息（PII）的转移通知到顾客，包括转移到： — suppliers; — 供应商； — other parties; — 其他相关方； — other countries or international organizations. — 其他国家或国际组织。 In case of changes, the organization should inform the customer in advance, according to an agreed timeframe, so that the customer has the ability to object to such changes or to terminate the contract. 如果发生变更，组织宜按照约定的时间框架提前通知顾客，以便顾客有能力反对此类变更或终止合同。 The agreement between the organization and the customer can have clauses where the organization can implement changes without informing the customer. In these cases, the limits of this allowance should be set (e.g. the organization can change suppliers without informing the customer, but cannot transfer PII to other countries). 组织和顾客之间的协议可能有无需通知顾客组织便可实施变更的条款。对于这些情况，此认可的限度宜被设定（例如，组织可以变更供应商而无需通知顾客，但是不能将个人身份信息（PII）转移至其他国家）。 In case of international transfer of PII, agreements such as Model Contract Clauses, Binding Corporate Rules or Cross Border Privacy Rules, the countries involved and the circumstances in which such agreements apply, should be identified. 如果是个人身份信息（PII）国际转移的情形，诸如样本合同条款，约束性企业规则或跨境隐私规则这些协议，涉及的国家和此类协议适用的环境宜被识别。 |

【标准理解】

（1）ISO/IEC 27701: 2019条款8.5是属于隐私信息的共享、转移和披露管理过程，因此可以将8.5中的所有子条款要求合并在一起进行实施。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Sky的安全观 27001.CN《【前14篇免费】ISO/IEC 27701: 2019 标准详解与实施（190）8.5.1 个人身份信息（PII）在司法管辖区之间转移的依据》