图解网络安全标准实践指南-敏感个人信息识别指南V1.0-炼石_300页_43mb

网络安全标准实践指南总结

核心内容概述

《网络安全标准实践指南--敏感个人信息识别指南》由全国网络安全标准化技术委员会秘书处编制，旨在为各组织提供敏感个人信息识别与保护的标准化实践指引。指南明确了敏感个人信息的识别规则、常见类别与示例，并结合相关法律法规，为个人信息处理者提供操作依据。

主要观点

1. 敏感个人信息定义：指一旦泄露或非法使用，可能对自然人的人格尊严、人身或财产安全造成危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
2. 识别规则：应从自然人的人格尊严、人身安全、财产安全等维度进行识别，符合任一判定条件即视为敏感个人信息。
3. 个人信息处理者责任：处理者应自主决定处理目的与方式，需遵守法律法规，履行告知义务、取得授权、保护个人信息安全，并在必要时进行合规审计和风险评估。
4. 数据分类分级：根据对国家安全、公共利益或个人、组织合法权益的影响，将数据分为一般数据、重要数据、核心数据，不同级别采取不同的保护措施。
5. 跨境数据管理：向境外提供个人信息需通过安全评估、保护认证、标准合同等，符合国家网信部门规定。数据处理者需在境内存储，境外提供需经批准。
6. 法律责任：包括行政责任、民事责任和刑事责任，涉及处罚、整改、约谈、通报等措施，以确保个人信息与数据安全。

关键信息

1. 适用范围

• 指南适用于所有在中华人民共和国境内处理个人信息的组织和个人，包括向境内提供产品或服务、分析评估境内行为等情形。

2. 个人信息处理规则

• 前提条件：包括取得个人同意、为合同履行、履行法定职责、突发紧急应对、公共利益等。
• 告知要求：需明确告知处理者名称、处理目的、方式、种类、保存期限等。
• 保存期限：以最短必要为原则，处理目的达成后尽快删除，另有规定的除外。

3. 敏感个人信息处理规则

• 单独同意：处理敏感个人信息需取得个人单独同意，且需满足“明示同意”的要求。
• 严格保护措施：包括加密、去标识化等技术手段，以及合规审计、风险评估等管理措施。
• 未成年人保护：处理不满十四周岁未成年人信息需取得监护人同意，并制定专门处理规则。

4. 数据安全法

• 适用范围：适用于境内数据处理活动，包括数据收集、存储、传输、使用等。
• 数据分类分级：国家建立分类分级保护制度，对重要数据和核心数据实施重点保护。
• 风险评估与处置：处理者需定期进行风险评估，发生安全事件需在规定时间内通知利害关系人并报告。

5. 网络数据安全管理条例（征求意见稿）

• 属地原则：处理行为在境内，无论处理者是否在境内设立，均适用条例。
• 例外排除：自然人因家庭或个人事务处理数据不适用本条例。
• 平台责任：大型互联网平台需建立健全制度，履行保护义务，接受社会监督。

6. 法律责任

• 行政责任：包括责令改正、警告、罚款、停业整顿、吊销执照等。
• 民事责任：处理者需承担损害赔偿等侵权责任。
• 刑事责任：对严重违法行为，依法追究刑事责任，包括对国家安全、公共利益造成损害的情形。

参考文献

1. 《中华人民共和国个人信息保护法》
2. 《中华人民共和国数据安全法》
3. 《网络数据安全管理条例（征求意见稿）》
4. GB/T 35273—2020《信息安全技术 个人信息安全规范》
5. GB/T 43697—2024《数据安全技术 数据分类分级规则》
6. GB/T 40660—2021《信息安全技术 生物特征识别信息保护基本要求》
7. GB/T 41819—2022《信息安全技术 人脸识别数据安全要求》
8. GB/T 41807—2022《信息安全技术 声纹识别数据安全要求》
9. GB/T 41773—2022《信息安全技术 步态识别数据安全要求》
10. GB/T 41806—2022《信息安全技术 基因识别数据安全要求》

附录A 常见敏感个人信息类别示例

• 生物识别信息：包括指纹、虹膜、人脸识别等。
• 宗教信仰信息：包括个人信仰的宗教、宗教组织、宗教活动等。
• 特定身份信息：包括残障人士身份、不适宜公开的职业身份等。
• 医疗健康信息：包括疾病、健康状况、体检报告、生育信息等。
• 金融账户信息：包括银行、证券、基金、保险账户等。
• 行踪轨迹信息：包括个人地理位置、活动轨迹等。
• 未成年人信息：不满十四周岁未成年人的个人信息。
• 其他敏感个人信息：如可能对个人权益造成重大影响的信息。

个人信息保护建设实践

• 合规制度：企业需制定内部制度，明确存储及删除时间。
• 合规审计：处理者需定期进行合规审计，评估安全影响。
• 义务执行：包括告知义务、数据保护义务、风险评估义务等。
• 数据处理者责任：如发现安全漏洞，需立即采取补救措施。
• 数据跨境管理：需通过安全评估、保护认证等方式，确保数据安全。

国际层面合作与竞争

• GDPR对比：以“设立地”为标准，适用范围更广。
• 数据出境管理：需经过安全评估、保护认证等程序，确保数据安全。
• 对等反制：对歧视性措施国家或地区，我国可采取对等措施。

个人信息主体权利

• 知情权：处理者需明确告知处理目的、方式、保存期限等。
• 决定权：个人有权决定是否同意处理其个人信息。
• 撤销权：个人有权撤回其同意。
• 查询、复制权：个人有权查询、复制其个人信息。
• 更正、补充权：个人有权更正、补充其个人信息。

个人信息处理者的义务

• 制度建设：建立数据安全管理制度，落实保护责任。
• 合规审计：定期进行合规审计，确保处理活动合法、正当、必要。
• 安全事件处置：在发生安全事件后，需及时通知利害关系人，并报告主管部门。
• 风险评估：对数据处理活动定期进行风险评估，并采取相应措施。

职责部门责任架构

• 国家网信部门：统筹监管，制定标准，推动体系建设。
• 国务院各部门：在各自职责范围内进行纵向管理。
• 县级以上人民政府：按属地原则进行管理。
• 履职措施：包括调查、约谈、整改、处罚等。

重要数据处理者

• 备案与报告：需按要求进行备案和年度报告。
• 数据出境管理：需进行安全评估，确保数据安全。
• 平台责任：互联网平台需履行保护义务，接受社会监督。

数据安全违法处罚力度

• 数据处理活动相关组织、个人：未履行义务，可处5-50万元罚款。
• 关键信息基础设施运营者：情节严重，可处100-1000万元罚款。
• 国家机关、工作人员：未履行职责，依法给予处分。
• 境外数据调取：未经批准，可处10-100万元罚款。

附录A 常见敏感个人信息-其他敏感个人信息

• 包括可能对个人权益造成重大影响的其他信息，如信用信息、个人财产状况等。

总结

该指南全面涵盖了敏感个人信息的识别、处理、保护以及相关法律法规的解读，强调了属地原则、数据分类分级、合规审计、风险评估等关键措施。同时，明确了个人信息处理者的义务、数据安全责任、法律责任及职责部门的监管职责，为各组织在实际操作中提供了详细的实践指引。