中国标准英文版 数据库收录: 159759 更新: 2024-06-01

[PDF] GB/T 35273-2017 - 自动发货. 英文版

标准搜索结果: 'GB/T 35273-2017'
标准号码内文价格美元第2步(购买)交付天数标准名称状态
GB/T 35273-2017 英文版 170 GB/T 35273-2017 3分钟内自动发货[PDF],有增值税发票。 信息安全技术 个人信息安全规范 作废

基本信息
标准编号 GB/T 35273-2017 (GB/T35273-2017)
中文名称 信息安全技术 个人信息安全规范
英文名称 Information security technology -- Personal information security specification
行业 国家标准 (推荐)
中标分类 L80
国际标准分类 35.040
字数估计 34,372
发布日期 2017-12-29
实施日期 2018-05-01
起草单位 北京信息安全测评中心、中国电子技术标准化研究院、颐信科技有限公司、四川大学、北京大学、清华大学、中国信息安全研究院有限公司、公安部第一研究所、上海国际问题研究院、阿里巴巴(北京)软件服务有限公司、深圳腾讯计算机系统有限公司、中电长城网际系统应用有限公司、阿里云计算有限公司、华为技术有限公司、强韵数据科技有限公司
归口单位 全国信息安全标准化技术委员会(SAC/TC 260)
提出机构 全国信息安全标准化技术委员会(SAC/TC 260)
发布机构 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会

GB/T 35273-2017: 信息安全技术 个人信息安全规范
GB/T 35273-2017 英文名称: Information security technology -- Personal information security specification
ICS 35.040
L80
中华人民共和国国家标准
信息安全技术 个人信息安全规范
1 范围
本标准规定了开展收集、保存、使用、共享、转让、公开披露等个人信息处理活动应遵循的原则和安全要求。
本标准适用于规范各类组织个人信息处理活动,也适用于主管监管部门、第三方评估机构等组织对
个人信息处理活动进行监督、管理和评估。
5 个人信息的收集
5.1 收集个人信息的合法性要求
对个人信息控制者的要求包括:
a) 不得欺诈、诱骗、强迫个人信息主体提供其个人信息;
b) 不得隐瞒产品或服务所具有的收集个人信息的功能;
c) 不得从非法渠道获取个人信息;
d) 不得收集法律法规明令禁止收集的个人信息。
5.2 收集个人信息的最小化要求
对个人信息控制者的要求包括:
a) 收集的个人信息的类型应与实现产品或服务的业务功能有直接关联。直接关联是指没有该信
息的参与,产品或服务的功能无法实现。
b) 自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率。
c) 间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量。
5.3 收集个人信息时的授权同意
对个人信息控制者的要求包括:
a) 收集个人信息前,应向个人信息主体明确告知所提供产品或服务的不同业务功能分别收集的
个人信息类型,以及收集、使用个人信息的规则(例如收集和使用个人信息的目的、收集方式和
频率、存放地域、存储期限、自身的数据安全能力、对外共享、转让、公开披露的有关情况等),并
获得个人信息主体的授权同意。
b) 间接获取个人信息时:
1) 应要求个人信息提供方说明个人信息来源,并对其个人信息来源的合法性进行确认;
2) 应了解个人信息提供方已获得的个人信息处理的授权同意范围,包括使用目的,个人信息
主体是否授权同意转让、共享、公开披露等。如本组织开展业务需进行的个人信息处理活
动超出该授权同意范围,应在获取个人信息后的合理期限内或处理个人信息前,征得个人
信息主体的明示同意。
5.4 征得授权同意的例外
以下情形中,个人信息控制者收集、使用个人信息无需征得个人信息主体的授权同意:
a) 与国家安全、国防安全直接相关的;
b) 与公共安全、公共卫生、重大公共利益直接相关的;
c) 与犯罪侦查、起诉、审判和判决执行等直接相关的;
d) 出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人同意的;
e) 所收集的个人信息是个人信息主体自行向社会公众公开的;
f) 从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;
g) 根据个人信息主体要求签订和履行合同所必需的;
h) 用于维护所提供的产品或服务的安全稳定运行所必需的,例如发现、处置产品或服务的故障;
i) 个人信息控制者为新闻单位,且其在开展合法的新闻报道所必需的;
j) 个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且对外提供学术
研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的;
k) 法律法规规定的其他情形。
5.5 收集个人敏感信息时的明示同意
对个人信息控制者的要求包括:
a) 收集个人敏感信息时,应取得个人信息主体的明示同意。应确保个人信息主体的明示同意是
其在完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示。
b) 通过主动提供或自动采集方式收集个人敏感信息前,应:
1) 向个人信息主体告知所提供产品或服务的核心业务功能及所必需收集的个人敏感信息,
并明确告知拒绝提供或拒绝同意将带来的影响。应允许个人信息主体选择是否提供或同意自动采集;
2) 产品或服务如提供其他附加功能,需要收集个人敏感信息时,收集前应向个人信息主体逐
一说明个人敏感信息为完成何种附加功能所必需,并允许个人信息主体逐项选择是否提
供或同意自动采集个人敏感信息。当个人信息主体拒绝时,可不提供相应的附加功能,但
不应以此为理由停止提供核心业务功能,并应保障相应的服务质量。
注:上述要求的实现方法可参考附录C。
c) 收集年满14周岁的未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满
14周岁的,应征得其监护人的明示同意。
5.6 隐私政策的内容和发布
对个人信息控制者的要求包括:
a) 个人信息控制者应制定隐私政策,内容应包括但不限于:
1) 个人信息控制者的基本情况,包括注册名称、注册地址、常用办公地点和相关负责人的联系方式等;
2) 收集、使用个人信息的目的,以及目的所涵盖的各个业务功能,例如将个人信息用于推送
商业广告,将个人信息用于形成直接用户画像及其用途等;
3) 各业务功能分别收集的个人信息,以及收集方式和频率、存放地域、存储期限等个人信息
处理规则和实际收集的个人信息范围;
4) 对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方
类型,以及所承担的相应法律责任;
5) 遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施;
6) 个人信息主体的权利和实现机制,如访问方法、更正方法、删除方法、注销账户的方法、撤
回同意的方法、获取个人信息副本的方法、约束信息系统自动决策的方法等;
7) 提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;
8) 处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式。
b) 隐私政策所告知的信息应真实、准确、完整;
c) 隐私政策的内容应清晰易懂,符合通用的语言习惯,使用标准化的数字、图示等,避免使用有歧
义的语言,并在起始部分提供摘要,简述告知内容的重点;
d) 隐私政策应公开发布且易于访问,例如,在网站主页、移动应用程序安装页、社交媒体首页等显著位置设置链接;
e) 隐私政策应逐一送达个人信息主体。当成本过高或有显著困难时,可以公告的形式发布;
f) 在5.6a)所载事项发生变化时,应及时更新隐私政策并重新告知个人信息主体。
注:隐私政策的内容可参考附录D。
6 个人信息的保存
6.1 个人信息保存时间最小化
对个人信息控制者的要求包括:
a) 个人信息保存期限应为实现目的所必需的最短时间;
b) 超出上述个人信息保存期限后,应对个人信息进行删除或匿名化处理。
6.2 去标识化处理
收集个人信息后,个人信息控制者宜立即进行去标识化处理,并采取技术和管理方面的措施,将去
标识化后的数据与可用于恢复识别个人的信息分开存储,并确保在后续的个人信息处理中不重新识别个人。
6.3 个人敏感信息的传输和存储
对个人信息控制者的要求包括:
a) 传输和存储个人敏感信息时,应采用加密等安全措施;
b) 存储个人生物识别信息时,应采用技术措施处理后再进行存储,例如仅存储个人生物识别信息的摘要。
6.4 个人信息控制者停止运营
当个人信息控制者停止运营其产品或服务时,应:
a) 及时停止继续收集个人信息的活动;
b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体;
c) 对其所持有的个人信息进行删除或匿名化处理。
7 个人信息的使用
7.1 个人信息访问控制措施
对个人信息控制者的要求包括:
a) 对被授权访问个人信息的内部数据操作人员,应按照最小授权的原则,使其只能访问职责所需
的最少够用的个人信息,且仅具备完成职责所需的最少的数据操作权限;
b) 宜对个人信息的重要操作应设置内部审批流程,如批量修改、拷贝、下载等;
c) 应对安全管理人员、数据操作人员、审计人员的角色进行分离设置;
d) 如确因工作需要,需授权特定人员超权限处理个人信息的,应由个人信息保护责任人或个人信
息保护工作机构进行审批,并记录在册;
注:个人信息保护责任人或个人信息保护工作机构的确定见10.1。
e) 对个人敏感信息的访问、修改等行为,宜在对角色的权限控制的基础上,根据业务流程的需求
触发操作授权。例如,因收到客户投诉,投诉处理人员才可访问该用户的相关信息。
7.2 个人信息的展示限制
涉及通过界面展示个人信息的(如显示屏幕、纸面),个人信息控制者宜对需展示的个人信息采取去
标识化处理等措施,降低个人信息在展示环节的泄露风险。例如,在个人信息展示时,防止内部非授权
人员及个人信息主体之外的其他人员未经授权获取个人信息。
7.3 个人信息的使用限制
对个人信息控制者的要求包括:
a) 除目的所必需外,使用个人信息时应消除明确身份指向性,避免精确定位到特定个人。例如,
为准确评价个人信用状况,可使用直接用户画像,而用于推送商业广告目的时,则宜使用间接用户画像。
b) 对所收集的个人信息进行加工处理而产生的信息,能够单独或与其他信息结合识别自然人个
人身份,或者反映自然人个人活动情况的,应将其认定为个人信息。对其处理应遵循收集个人
信息时获得的授权同意范围。
注1:加工处理而产生的个人信息属于个人敏感信息的,对其处理应符合本标准对个人敏感信息的要求。
c) 使用个人信息时,不得超出与收集个人信息时所声称的目的具有直接或合理关联的范围。因
业务需要,确需超出上述范围使用个人信息的,应再次征得个人信息主体明示同意。
注2:将所收集的个人信息用于学术研究或得出对自然、科学、社会、经济等现象总体状态的描述,属于与收集目的
具有合理关联的范围之内。但对外提供学术研究或描述的结果时,应对结果中所包含的个人信息进行去标识化处理。
7.4 个人信息访问
个人信息控制者应向个人信息主体提供访问下列信息的方法:
a) 其所持有的关于该主体的个人信息或类型;
b) 上述个人信息的来源、所用于的目的;
c) 已经获得上述个人信息的第三方身份或类型。
注:个人信息主体提出访问非其主动提供的个人信息时,个人信息控制者可在综合考虑不响应请求可能对个人信
息主体合法权益带来的风险和损害,以及技术可行性、实现请求的成本等因素后,做出是否响应的决定,并给出解释说明。
7.5 个人信息更正
个人信息主体发现个人信息控制者所持有的该主体的个人信息有错误或不完整的,个人信息控制
者应为其提供请求更正或补充信息的方法。
7.6 个人信息删除
对个人信息控制者的要求包括:
a) 符合以下情形的,个人信息主体要求删除的,应及时删除个人信息:
1) 个人信息控制者违反法律法规规定,收集、使用个人信息的;
2) 个人信息控制者违反了与个人信息主体的约定,收集、使用个人信息的。
b) 个人信息控制者违反法律法规规定或违反与个人信息主体的约定向第三方共享、转让个人信
息,且个人信息主体要求删除的,个人信息控制者应立即停止共享、转让的行为,并通知第三方及时删除。
c) 个人信息控制者违反法律法规规定或与个人信息主体的约定,公开披露个人信息,且个人信息
主体要求删除的,个人信息控制者应立即停止公开披露的行为,并发布通知要求相关接收方删除相应的信息。
7.7 个人信息主体撤回同意
对个人信息控制者的要求包括:
a) 应向个人信息主体提供方法撤回收集、使用其个人信息的同意授权。撤回同意后,个人信息控
制者后续不得再处理相应的个人信息;
b) 应保障个人信息主体拒绝接收基于其个人信息推送的商业广告的权利。对外共享、转让、公开
披露个人信息,应向个人信息主体提供撤回同意的方法。
注:撤回同意不影响撤回前基于同意的个人信息处理。
7.8 个人信息主体注销账户
对个人信息控制者的要求包括:
a) 通过注册账户提供服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且该方法应简便易操作;
b) 个人信息主体注销账户后,应删除其个人信息或做匿名化处理。
7.9 个人信息主体获取个人信息副本
根据个人信息主体的请求,个人信息控制者应为个人信息主体提供获取以下类型个人信息副本的
方法,或在技术可行的前提下直接将以下个人信息的副本传输给第三方:
a) 个人基本资料、个人身份信息;
b) 个人健康生理信息、个人教育工作信息。
7.10 约束信息系统自动决策
当仅依据信息系统的自动决策而做出显著影响个人信息主体权益的决定时(例如基于用户画像决
定个人信用及贷款额度,或将用户画像用于面试筛选),个人信息控制者应向个人信息主体提供申诉方法。
7.11 响应个人信息主体的请求
对个人信息控制者的要求包括:
a) 在验证个人信息主体身份后,应及时响应个人信息主体基于7.4~7.10提出的请求,应在30天
内或法律法规规定的期限内做出答复及合理解释,并告知个人信息主体向外部提出纠纷解决的途径;
b) 对合理的请求原则上不收取费用,但对一定时期内多次重复的请求,可视情收取一定成本费用;
c) 如直接实现个人信息主体的请求需要付出高额的成本或存在其他显著的困难,个人信息控制
者应向个人信息主体提供其他替代性方法,以保护个人信息主体的合法权益;
d) 以下情况可不响应个人信息主体基于7.4~7.10提出的请求,包括但不限于:
1) 与国家安全、国防安全直接相关的;
2) 与公共安全、公共卫生、重大公共利益直接相关的;
3) 与犯罪侦查、起诉、审判和执行判决等直接相关的;
4) 个人信息控制者有充分证据表明个人信息主体存在主观恶意或滥用权利的;
5) 响应......
   
       隐私   ·  优质产品   ·  退款政策   ·  公平交易   ·  关于我们
宁德梧三商贸有限公司 (营业执照期限:2019-2049年. 纳税人识别号:91350900MA32WE2Q2X)
对公账号开户银行:中国建设银行 | 账户名称:宁德梧三商贸有限公司 | 账户号码:35050168730700000955
本公司专职于中国国家标准行业标准英文版