ISO/IEC 27701は、国際標準化機構（ISO）と国際電気標準会議（IEC）が発行する、プライバシー情報マネジメントシステム（PIMS）に関する国際規格である。組織が個人識別情報（PII、個人を識別できる情報）を取り扱う仕組みを確立し、実施し、維持し、継続的に改善するための要求事項と、その実施を支える手引を定める。対象は、PIIの処理について責任と説明責任を負う立場であるPII管理者とPII処理者である。初版は2019年8月にISO/IEC 27001およびISO/IEC 27002の拡張として発行され、2025年10月に発行された第2版では、ISO/IEC 27001から独立したマネジメントシステム規格となった。

概要 PIMS（プライバシー情報マネジメントシステム）は、組織が扱う個人情報を管理し保護するための包括的な仕組みである。ISO/IEC 27701は、このPIMSを確立し、実施し、維持し、継続的に改善するための要求事項を定め、あわせてその要求事項を実務に移すための手引を示す。ISOは、この規格が、組織がPIIの取り扱いに関する説明責任を示し、PIIに関するリスクを管理し、プライバシーに関する取り組みを継続的に改善するための枠組みを与えるものだと説明している。

適用の対象は、PIIを収集、処理、保存または管理するあらゆる組織であり、民間企業、政府機関、非営利組織が含まれる。初版では、対象はISMSの中でPIIを処理するPII管理者またはPII処理者としての組織と定められ、組織の種類と規模は限定されていなかった。PII管理者とPII処理者は、いずれもPIIの処理について責任と説明責任を負う立場である。

初版のISO/IEC 27701:2019は、プライバシー情報マネジメントのためにISO/IEC 27001とISO/IEC 27002を拡張する形で要求事項と指針を定めていた。第2版では、ISO事務局のマネジメントシステム規格に関する方針により、ISO/IEC 27001の拡張ではなく、ISO/IEC 27001から独立したマネジメントシステム規格となった。ISOは、第2版が独立したマネジメントシステム規格であるため単独で用いることができるとし、既存のISO/IEC 27001に基づく仕組みとの整合も図られていると説明している。

規格の作成は、ISOとIECの合同技術委員会ISO/IEC JTC 1/SC 27が担当している。

主な内容 適用範囲 PIIの処理について責任と説明責任を負うPII管理者およびPII処理者を対象とし、組織の種類と規模は限定されない。 PIMSの要求事項 PIMSを確立し、実施し、維持し、継続的に改善するための要求事項を定める。 実施の手引 要求事項を実務に移すための手引を示す。 初版（2019年版）の構成 プライバシー情報マネジメントのためのISO/IEC 27001およびISO/IEC 27002への拡張という形をとり、ISMSの中でPIIを処理する組織に適用された。分量は66ページである。 第2版（2025年版）の構成 他のマネジメントシステム規格と整合した構成に改められ、初版から大幅に変更された。情報マネジメントシステム認定センター（ISMS-AC）は、プライバシー情報保護のための要求事項には大きな変更はないとしている。分量は64ページである。

経緯 規格の開発は2016年11月に新規プロジェクトとして承認され、委員会原案（CD）および国際規格案（DIS）の各段階を経て、2019年8月5日に初版のISO/IEC 27701:2019が発行された。初版の正式名称は「Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines」である。

ラショー（E. Lachaud）は2020年、『European Data Protection Law Review』誌において、ISO/IEC 27701:2019への適合が民間の適合性評価機関による認証の対象となる点を取り上げ、EU一般データ保護規則（GDPR）第42条および第43条に基づく認証との関係を検討した。

日本では、情報マネジメントシステム認定センター（ISMS-AC）が、ISO/IEC 27701:2019を基準として、ISMS（JIS Q 27001）の認証に加えてPIMSが導入され実施されていることを認証する「ISMS-PIMS認証」の制度を設けていた。ISO/IEC 27701:2019の日本語対訳版は日本規格協会から入手できる。

2022年10月17日、定期見直しにより改訂の対象とすることが決まり、2025年10月14日に第2版のISO/IEC 27701:2025が発行された。第2版の正式名称は「Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance」で、初版は同日付で廃止された。ISMS-ACは、この改訂により認証の位置づけがISMS認証を前提としない単独のPIMS認証に変わるとし、ISO/IEC 27701:2025に基づくPIMS適合性評価制度を開始した。従来のISMS-PIMS認証からの移行期間は、2025年10月31日を起点とする3年間（2028年10月31日まで）とされている。

関連する規格 ISO/IEC 27701は、ISO/IEC 27000番台の情報セキュリティに関する規格群に含まれる。このうちISO/IEC 27001はISMSの要求事項を定め、ISO/IEC 27002は情報セキュリティ管理策の実施の手引を示す。プライバシーに関する共通の用語、個人情報の処理に関わる関係者とその役割、および情報技術におけるプライバシー原則の枠組みはISO/IEC 29100が定めている。パブリッククラウドの事業者がPII処理者として個人情報を取り扱う場合の手引はISO/IEC 27018が示す。PIMSの監査と認証を行う機関に対する要求事項は、2025年10月14日に発行されたISO/IEC 27706:2025が定めている。

関連項目 ISO/IEC 27002 ISO/IEC 27017 ISO/IEC 27018 情報セキュリティマネジメントシステム 個人情報 プライバシー EU一般データ保護規則

脚注

外部リンク ISO/IEC 27701:2025（国際標準化機構、英語） PIMS適合性評価制度（情報マネジメントシステム認定センター）