信息安全技术_个人信息安全规范_35页_1mb

《信息安全技术 个人信息安全规范》详细总结

核心内容

《信息安全技术 个人信息安全规范》是针对个人信息处理活动的标准化规范，旨在保障个人信息主体的合法权益，防止个人信息非法收集、滥用、泄露等问题，确保个人信息在收集、保存、使用、共享、转让、公开披露等环节的安全性。该标准适用于各类组织对个人信息的处理活动，也适用于监管机构和第三方评估机构的监督与评估。

主要观点

1. 个人信息处理应遵循安全原则：包括权责一致、目的明确、选择同意、最少够用、公开透明、确保安全和主体参与等。
2. 合法合规是核心要求：个人信息控制者不得通过欺诈、诱骗、强迫等方式获取个人信息，不得隐瞒收集功能，不得从非法渠道获取信息。
3. 最小化原则：收集、使用、存储个人信息应基于业务功能的最小需求，避免过度收集。
4. 明示同意：在收集个人敏感信息时，必须获得个人信息主体的明示同意，且应确保其知情、自愿、明确。
5. 隐私政策应清晰公开：隐私政策应包含个人信息处理的基本信息、处理目的、处理规则、数据安全措施、用户权利等，并应易于访问和理解。
6. 数据安全措施需到位：应采取加密、去标识化、匿名化等技术手段保护个人信息，并定期进行安全审计和影响评估。
7. 安全事件应对机制：应制定应急预案，定期演练，及时响应和告知安全事件，采取必要措施控制影响。
8. 跨境传输需安全评估：个人信息跨境传输需符合国家网信部门及相关标准的要求。

关键信息

4. 个人信息安全基本原则

• 权责一致原则：个人信息控制者应对其处理活动造成的损害承担责任。
• 目的明确原则：个人信息处理目的应合法、正当、必要、明确。
• 选择同意原则：需向个人信息主体明示处理目的、方式、范围等，并征求其授权同意。
• 最少够用原则：仅收集和使用实现业务功能所必需的个人信息。
• 公开透明原则：以明确、易懂、合理的方式公开处理规则，并接受外部监督。
• 确保安全原则：具备与安全风险相匹配的安全能力，保护个人信息的保密性、完整性、可用性。
• 主体参与原则：为个人信息主体提供访问、更正、删除、撤回同意、注销账户等方法。

5. 个人信息的收集

• 合法性要求：不得欺诈、诱骗、强迫用户，不得隐瞒功能，不得从非法渠道获取信息，不得收集法律法规禁止的信息。
• 最小化要求：收集信息应与业务功能直接相关，频率和数量应为实现功能所必需。
• 授权同意要求：需在收集前明确告知目的、方式、范围、规则等，并获得授权。
• 例外情况：涉及国家安全、公共安全、重大公共利益、维护重大合法权益、合法公开信息、合同履行、服务安全运行、合法新闻报道、学术研究等情形可不征得授权同意。
• 未成年人保护：收集14岁以下未成年人的个人信息需征得其监护人的明示同意。

6. 个人信息的保存

• 保存时间最小化：保存期限应为实现目的所必需的最短时间。
• 去标识化处理：宜立即进行，确保后续处理中无法重新识别个人。
• 敏感信息传输与存储：需采用加密等安全措施，存储生物识别信息时宜使用摘要等技术。
• 停止运营时处理：需及时停止收集，通知用户，删除或匿名化处理个人信息。

7. 个人信息的使用

• 访问控制措施：应遵循最小授权原则，对重要操作设置审批流程，分离角色权限。
• 展示与使用限制：展示信息宜去标识化处理，避免精确定位到特定个人。
• 使用范围限制：不得超出收集目的所声称的直接或合理范围。
• 用户权利保障：包括访问、更正、删除、撤回同意、注销账户、获取副本、约束自动决策等。
• 安全事件响应：应在30天内响应用户请求，必要时提供替代方法。

8. 委托处理、共享、转让、公开披露

• 委托处理：需在授权范围内，进行安全影响评估，确保受托方具备安全能力。
• 共享、转让、公开披露：需事先征得用户同意，说明处理目的、接收方、安全措施等。
• 例外情形：涉及国家安全、公共安全、犯罪侦查、用户自身意愿公开、合法公开信息等情形可不征得授权。
• 共同控制者：如服务平台与签约商家，需通过合同明确安全责任。
• 跨境传输要求：需按照国家网信部门制定的办法进行安全评估。

9. 个人信息安全事件处置

• 应急预案：应制定并定期演练。
• 事件告知：需及时告知用户事件内容、影响、处置措施、防范建议等。
• 事件报告：按《国家网络安全事件应急预案》要求上报。

10. 组织的管理要求

• 明确责任部门与人员：设立个人信息保护负责人和机构，承担安全责任。
• 安全影响评估：应定期开展，评估处理活动对用户权益的影响及安全措施的有效性。
• 数据安全能力：应符合国家标准，落实技术和管理措施。
• 人员管理与培训：签署保密协议，进行背景审查，定期开展培训和考核。
• 安全审计：建立审计机制，防止非授权访问、篡改或删除审计记录。

附录内容

• 附录A：提供个人信息的示例，便于识别个人信息的范围和类型。
• 附录B：说明个人敏感信息的判定标准，如身份证、生物识别信息、健康信息等。
• 附录C：提供保障用户选择同意权的实现方法，包括功能界面模板和操作流程。
• 附录D：提供隐私政策模板，涵盖收集、使用、共享、转让、保护措施、用户权利等内容。

总结

本标准为个人信息处理活动提供了全面的规范和指导，涵盖个人信息的收集、保存、使用、共享、转让、公开披露等全流程。通过明确责任、确保合法、最小化处理、保障用户权利等方式，旨在最大程度地保护个人信息主体的合法权益，降低个人信息泄露、滥用等安全风险。同时，强调数据安全能力、安全审计、隐私政策透明化和用户参与机制，为组织和个人提供清晰的指引。