GB/T 35273-2020《信息安全技術(shù)個人信息安全規(guī)范》解讀
無國界 2020-03-30
近年來，隨著互聯(lián)網(wǎng)應(yīng)用的普及和大數(shù)據(jù)產(chǎn)業(yè)的發(fā)展，確實給生活帶來很多便利，與此同時，個人信息安全也面臨著嚴重威脅，個人信息被非法收集、泄露與濫用等。
2020年3月6日，國家市場監(jiān)督管理總局、國家標準化管理委員會發(fā)布的中華人民共和國國家標準公告（2020年第1號），全國信息安全標準化技術(shù)委員會歸口的GB/T 35273-2020《信息安全技術(shù) 個人信息安全規(guī)范》正式發(fā)布，并將于2020年10月1日實施。
本標準針對個人信息面臨的安全問題，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》等相關(guān)法律，嚴格規(guī)范個人信息在收集、存儲、使用、共享、轉(zhuǎn)讓與公開披露等信息處理環(huán)節(jié)中的相關(guān)行為，旨在遏制個人信息非法收集、濫用、泄露等亂象，最大程度的保護個人的合法權(quán)益和社會公眾利益。
本標準適用于規(guī)范各類組織的個人信息處理活動,也適用于主管監(jiān)管部門、第三方評估機構(gòu)等組織對個人信息處理活動進行監(jiān)督、管理和評估。
本標準按照GB/T1.1—2009給出的規(guī)則起草，代替GB/T35273—2017《信息安全技術(shù) 個人信息安全規(guī)范》。相比GB/T35273—2017，此標準除了授權(quán)同意、賬戶注銷、實現(xiàn)個人信息主體自主意愿的方法等內(nèi)容的修改外，還新增了多項業(yè)務(wù)功能的自主選擇、用戶畫像、個性化展示、個人信息匯聚融合、個人信息安全工程、第三方接入管理等相關(guān)要求。主要變化如下：
1、刪除了原有的“不得收集法律法規(guī)明令禁止收集的個人信息”的要求(見5.1);。
2、選擇同意原則下，新增要求“多項業(yè)務(wù)功能的自主選擇”(見5.3)
當產(chǎn)品或服務(wù)提供多項需收集個人信息的業(yè)務(wù)功能時，個人信息控制者不應(yīng)違背個人信息主體的自主意愿，強迫個人信息主體接受產(chǎn)品或服務(wù)所提供的業(yè)務(wù)功能及相應(yīng)的個人信息收集請求”。
3、新增“關(guān)于收集人生物識別信息的要求”：
1）個人生物識別信息要與個人身份信息分開存儲；
2）原則上不應(yīng)存儲原始個人生物識別信息，可采取的措施包括但不限于：僅存儲個人生別信息的摘要信息；在采集終端中直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能；在使用面部識別特征、 指紋、掌紋、虹膜等實現(xiàn)識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像。
4、在目的明確原則下，新增要求“如產(chǎn)品或服務(wù)僅提供一項收集、使用個人信息的業(yè)務(wù)功能時，個人信息控制者可通過隱私政策的形式，實現(xiàn)向個人信息主體的告知；產(chǎn)品或服務(wù)提供多項收集、使用個人信息的業(yè)務(wù)功能的，除隱私政策外，個人信息控制者宜在實際開始收集特定個人信息時，向個人信息主體提供收集、使用該個人信息的目的、方式和范圍，以便個人信息主體在作出具體的授權(quán)同意前，能充分考慮對其的具體影響”。
5、在選擇同意原則下，強調(diào)了“隱私政策的主要功能為公開個人信息控制者收集、使用個人信息范圍和規(guī)則，不應(yīng)將其視為個人信息主體要求簽訂的合同”。
6、確保安全原則下，新增的要求較多，分別是：
1）“將個人生物識別信息的原始信息和摘要分開存儲”的技術(shù)要求”(見5.4)。
2）在信息系統(tǒng)自動決策機制的使用中定期（至少每年一次）開展個人信息安全影響評估，并依評估結(jié)果采取有效的保護個人信息主體的措施、向個人信息主體提供針對自動決策結(jié)果的申訴渠道，并對自動決策結(jié)果進行人工復(fù)核。
3）明確組織應(yīng)為個人信息保護負責(zé)人和個人信息保護工作機構(gòu)提供必要的資源，保障其獨立履行職責(zé)。如采用公布投訴、舉報方式等信息并及時受理投訴舉報、與監(jiān)督、管理部門保持溝通，通報或報告?zhèn)€人信息保護和事件處置等情況等。
4）要求組織記錄的內(nèi)容包括：所涉及個人信息的類型、數(shù)量、來源（例如從個人信息主體直接收集或通過間接獲取方式獲得）；根據(jù)業(yè)務(wù)功能和授權(quán)情況區(qū)分個人信息的處理目的、使用場景，以及委托處理、共享、轉(zhuǎn)讓、公開披露、是否涉及出境等情況。
7、在最少夠用的原則下，新增的要求較多，分別是：
1）要求了用戶個人畫像的特征描述不能為“淫穢、色情、賭博、迷信、恐怖、暴力”；業(yè)務(wù)運營或?qū)ν鈽I(yè)務(wù)合作中使用用戶畫像不能侵害保護公民、法人和其他組織的合法權(quán)益，不能危害國家安全、榮譽和利益。
2）除為達到主體授權(quán)同意的使用目的所必需外，使用個人信息時應(yīng)消除明確身份指向性，避免精確定位到特定個人。
3）在向主體推送新聞信息服務(wù)的過程中使用個性化展示時應(yīng)：顯著區(qū)分個性化推送服務(wù)，如標明“個性化展示”或“定推”等字樣，為主體提供簡單直觀的退出或關(guān)閉個性化展示模式的選項。
4）電子商務(wù)經(jīng)營者根據(jù)消費者的興趣愛好、消費習(xí)慣等特征向其提供商品或者服務(wù)搜索結(jié)果的個性化展示的，應(yīng)當同時向該消費者提供不針對其個人特征的選項。
5）在向主體提供業(yè)務(wù)功能的過程中，如使用個性化展示時，建立個人信息主體對個性化展示所依賴的個人信息（如標簽、畫像維度等）的自主控制機制，保障個人信息主體調(diào)控個性化展示相關(guān)程度的能力。
6）當個人信息主體選擇退出個性化展示模式時，應(yīng)向個人信息主體提供刪除或匿名化定向推送活動所基于的個人信息的選項。
8、在公開透明原則的原則下，新增要求應(yīng)向主體提供查詢方法，能讓主體知曉持有的個人信息的類型；上述個人信息的來源、所用于的目的；已經(jīng)獲得上述個人信息的第三方身份或類型；宜直接在產(chǎn)品或服務(wù)提供的功能界面中（例如應(yīng)用程序可設(shè)置專門的選項、功能、界面等）設(shè)置相應(yīng)的機制，便于個人信息主體在線行使其訪問、更正、刪除、撤回授權(quán)同意、注銷賬戶等權(quán)利。
9、新增的其他要求包括：
1）應(yīng)承擔(dān)第三方接入管理
2）收集年滿14周歲未成年人的個人信息前，應(yīng)征得未成年人或其監(jiān)護人的明示同意；不滿14周歲的，應(yīng)征得其監(jiān)護人的明示同意。
關(guān)于企業(yè)的合規(guī)說明
(一) 關(guān)于個人信息優(yōu)化
1. 建議企業(yè)根據(jù)現(xiàn)有業(yè)務(wù)中涉及個人生物識別信息收集的項目，在啟動個人生物識別信息采集功能之前，設(shè)置個人生物識別信息采集聲明，向用戶告知采集的目的、方式和范圍，并取得用戶的明示同意；如業(yè)務(wù)中需要重復(fù)或多次采集個人生物識別信息的，應(yīng)每次單獨向用戶進行告知，并取得用戶的明示同意；
2. 建議企業(yè)在實踐中可采取如下相應(yīng)措施，確保原則上不存儲原始個人生物識別信息：僅存儲個人生物識別信息的摘要信息、在采集終端直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能、在使用面部識別特征、指紋、掌紋、虹膜等實現(xiàn)識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像等。
3. 建議企業(yè)在實踐中確保原則上不共享、轉(zhuǎn)讓個人生物識別信息，根據(jù)現(xiàn)有業(yè)務(wù)中涉及個人生物識別信息，如存在確需共享、轉(zhuǎn)讓個人生物識別信息的項目，在進行個人生物識別信息共享、轉(zhuǎn)讓之前，應(yīng)事先對個人信息安全影響進行評估，設(shè)置個人生物識別信息共享或轉(zhuǎn)讓聲明，向用戶告知采集或共享、轉(zhuǎn)讓的目的、方式和范圍，并取得用戶的明示同意；如業(yè)務(wù)中需要重復(fù)或多次共享、轉(zhuǎn)讓個人生物識別信息的，應(yīng)每次單獨向用戶進行告知，并取得用戶的明示同意。
(二) 關(guān)于用戶對個人信息的管理能力
1. 建議企業(yè)通過不同形式向用戶告知存在需收集個人信息的業(yè)務(wù)功能及需要收集的個人信息類型和用戶拒絕提供將造成的影響，確保能夠獲取用戶的授權(quán)同意，保障用戶的自主意愿和選擇權(quán)；同時保障關(guān)閉或重啟相應(yīng)業(yè)務(wù)功能的便捷性；
2. 設(shè)置簡便易操作的注銷賬戶方法，不設(shè)置不合理的條件或提出額外要求增加用戶的義務(wù)，在承諾時限內(nèi)及時響應(yīng)用戶的注銷請求并完成核查和處理，確保用戶注銷后的個人信息及時刪除或做匿名化處理；
3. 若注銷某個通用賬戶，會導(dǎo)致其他產(chǎn)品或服務(wù)的基本功能無法實現(xiàn)或者質(zhì)量下降的，應(yīng)向用戶進行詳細說明；
4. 在個人信息收集環(huán)節(jié)對法律法規(guī)規(guī)定需要留存的數(shù)據(jù)進行篩查，以便在用戶注銷賬戶并對完成個人信息的刪除或匿名化處理之后，對法律規(guī)定需要留存的數(shù)據(jù)妥善保管，并確保其不被再次用于日常業(yè)務(wù)活動。
(三) 關(guān)于個人信息匯聚融合
建議企業(yè)通過不同形式告知用戶關(guān)于匯聚融合不同業(yè)務(wù)的個人信息的目的、方式和范圍，在超出原有授權(quán)同意范圍使用個人信息時，再次征得用戶的明示同意，并根據(jù)要求開展個人信息安全影響評估以及采取個人信息保護措施。
(四) 關(guān)于個人信息商業(yè)化
1. 建議企業(yè)在運營或?qū)ν鈽I(yè)務(wù)合作中對用戶畫像的使用進行嚴格的核查和限制，如核查業(yè)務(wù)中是否存在使用大數(shù)據(jù)分析技術(shù)等對個人信息進行分析，以形成特征標簽、用戶畫像的情形。使用用戶畫像時應(yīng)消除明確身份指向性，避免用戶被精確定位；
2. 建議企業(yè)在用戶提供個性化展示功能與內(nèi)容時對相應(yīng)功能和內(nèi)容進行顯著標識；同時保障用戶退出或關(guān)閉個性化展示服務(wù)的權(quán)利；建立刪除或匿名化定向推送活動中基于個人信息的選項。
(五) 關(guān)于第三方接入管理
建議企業(yè)對自身產(chǎn)品或服務(wù)中的第三方產(chǎn)品或服務(wù)進行核查，及時刪除或停止接入不必要或存在隱秘收集或濫用個人信息以及存在信息安全隱患的第三方產(chǎn)品或服務(wù)；若必須接入第三方產(chǎn)品或服務(wù)，應(yīng)當向用戶明確標識該產(chǎn)品或服務(wù)由第三方提供并詳細披露第三方個人信息處理活動的具體情況。
點擊獲取GB/T 35273-2020《信息安全技術(shù)個人信息安全規(guī)范》。
2020年3月6日，國家市場監(jiān)督管理總局、國家標準化管理委員會發(fā)布的中華人民共和國國家標準公告（2020年第1號），全國信息安全標準化技術(shù)委員會歸口的GB/T 35273-2020《信息安全技術(shù) 個人信息安全規(guī)范》正式發(fā)布，并將于2020年10月1日實施。
本標準針對個人信息面臨的安全問題，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》等相關(guān)法律，嚴格規(guī)范個人信息在收集、存儲、使用、共享、轉(zhuǎn)讓與公開披露等信息處理環(huán)節(jié)中的相關(guān)行為，旨在遏制個人信息非法收集、濫用、泄露等亂象，最大程度的保護個人的合法權(quán)益和社會公眾利益。
本標準適用于規(guī)范各類組織的個人信息處理活動,也適用于主管監(jiān)管部門、第三方評估機構(gòu)等組織對個人信息處理活動進行監(jiān)督、管理和評估。
本標準按照GB/T1.1—2009給出的規(guī)則起草，代替GB/T35273—2017《信息安全技術(shù) 個人信息安全規(guī)范》。相比GB/T35273—2017，此標準除了授權(quán)同意、賬戶注銷、實現(xiàn)個人信息主體自主意愿的方法等內(nèi)容的修改外，還新增了多項業(yè)務(wù)功能的自主選擇、用戶畫像、個性化展示、個人信息匯聚融合、個人信息安全工程、第三方接入管理等相關(guān)要求。主要變化如下：
1、刪除了原有的“不得收集法律法規(guī)明令禁止收集的個人信息”的要求(見5.1);。
2、選擇同意原則下，新增要求“多項業(yè)務(wù)功能的自主選擇”(見5.3)
當產(chǎn)品或服務(wù)提供多項需收集個人信息的業(yè)務(wù)功能時，個人信息控制者不應(yīng)違背個人信息主體的自主意愿，強迫個人信息主體接受產(chǎn)品或服務(wù)所提供的業(yè)務(wù)功能及相應(yīng)的個人信息收集請求”。
3、新增“關(guān)于收集人生物識別信息的要求”：
《規(guī)范》規(guī)定在收集個人生物識別信息前，應(yīng)單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍，以及存儲時間等規(guī)則，并征得個人信息主體的明示同意。
而對于生物識別信息的存儲，《規(guī)范》也提出了具體的解決措施。
而對于生物識別信息的存儲，《規(guī)范》也提出了具體的解決措施。
1）個人生物識別信息要與個人身份信息分開存儲；
2）原則上不應(yīng)存儲原始個人生物識別信息，可采取的措施包括但不限于：僅存儲個人生別信息的摘要信息；在采集終端中直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能；在使用面部識別特征、 指紋、掌紋、虹膜等實現(xiàn)識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像。
4、在目的明確原則下，新增要求“如產(chǎn)品或服務(wù)僅提供一項收集、使用個人信息的業(yè)務(wù)功能時，個人信息控制者可通過隱私政策的形式，實現(xiàn)向個人信息主體的告知；產(chǎn)品或服務(wù)提供多項收集、使用個人信息的業(yè)務(wù)功能的，除隱私政策外，個人信息控制者宜在實際開始收集特定個人信息時，向個人信息主體提供收集、使用該個人信息的目的、方式和范圍，以便個人信息主體在作出具體的授權(quán)同意前，能充分考慮對其的具體影響”。
5、在選擇同意原則下，強調(diào)了“隱私政策的主要功能為公開個人信息控制者收集、使用個人信息范圍和規(guī)則，不應(yīng)將其視為個人信息主體要求簽訂的合同”。
6、確保安全原則下，新增的要求較多，分別是：
1）“將個人生物識別信息的原始信息和摘要分開存儲”的技術(shù)要求”(見5.4)。
2）在信息系統(tǒng)自動決策機制的使用中定期（至少每年一次）開展個人信息安全影響評估，并依評估結(jié)果采取有效的保護個人信息主體的措施、向個人信息主體提供針對自動決策結(jié)果的申訴渠道，并對自動決策結(jié)果進行人工復(fù)核。
3）明確組織應(yīng)為個人信息保護負責(zé)人和個人信息保護工作機構(gòu)提供必要的資源，保障其獨立履行職責(zé)。如采用公布投訴、舉報方式等信息并及時受理投訴舉報、與監(jiān)督、管理部門保持溝通，通報或報告?zhèn)€人信息保護和事件處置等情況等。
4）要求組織記錄的內(nèi)容包括：所涉及個人信息的類型、數(shù)量、來源（例如從個人信息主體直接收集或通過間接獲取方式獲得）；根據(jù)業(yè)務(wù)功能和授權(quán)情況區(qū)分個人信息的處理目的、使用場景，以及委托處理、共享、轉(zhuǎn)讓、公開披露、是否涉及出境等情況。
7、在最少夠用的原則下，新增的要求較多，分別是：
1）要求了用戶個人畫像的特征描述不能為“淫穢、色情、賭博、迷信、恐怖、暴力”；業(yè)務(wù)運營或?qū)ν鈽I(yè)務(wù)合作中使用用戶畫像不能侵害保護公民、法人和其他組織的合法權(quán)益，不能危害國家安全、榮譽和利益。
2）除為達到主體授權(quán)同意的使用目的所必需外，使用個人信息時應(yīng)消除明確身份指向性，避免精確定位到特定個人。
3）在向主體推送新聞信息服務(wù)的過程中使用個性化展示時應(yīng)：顯著區(qū)分個性化推送服務(wù)，如標明“個性化展示”或“定推”等字樣，為主體提供簡單直觀的退出或關(guān)閉個性化展示模式的選項。
4）電子商務(wù)經(jīng)營者根據(jù)消費者的興趣愛好、消費習(xí)慣等特征向其提供商品或者服務(wù)搜索結(jié)果的個性化展示的，應(yīng)當同時向該消費者提供不針對其個人特征的選項。
5）在向主體提供業(yè)務(wù)功能的過程中，如使用個性化展示時，建立個人信息主體對個性化展示所依賴的個人信息（如標簽、畫像維度等）的自主控制機制，保障個人信息主體調(diào)控個性化展示相關(guān)程度的能力。
6）當個人信息主體選擇退出個性化展示模式時，應(yīng)向個人信息主體提供刪除或匿名化定向推送活動所基于的個人信息的選項。
8、在公開透明原則的原則下，新增要求應(yīng)向主體提供查詢方法，能讓主體知曉持有的個人信息的類型；上述個人信息的來源、所用于的目的；已經(jīng)獲得上述個人信息的第三方身份或類型；宜直接在產(chǎn)品或服務(wù)提供的功能界面中（例如應(yīng)用程序可設(shè)置專門的選項、功能、界面等）設(shè)置相應(yīng)的機制，便于個人信息主體在線行使其訪問、更正、刪除、撤回授權(quán)同意、注銷賬戶等權(quán)利。
9、新增的其他要求包括：
1）應(yīng)承擔(dān)第三方接入管理
2）收集年滿14周歲未成年人的個人信息前，應(yīng)征得未成年人或其監(jiān)護人的明示同意；不滿14周歲的，應(yīng)征得其監(jiān)護人的明示同意。
關(guān)于企業(yè)的合規(guī)說明
(一) 關(guān)于個人信息優(yōu)化
1. 建議企業(yè)根據(jù)現(xiàn)有業(yè)務(wù)中涉及個人生物識別信息收集的項目，在啟動個人生物識別信息采集功能之前，設(shè)置個人生物識別信息采集聲明，向用戶告知采集的目的、方式和范圍，并取得用戶的明示同意；如業(yè)務(wù)中需要重復(fù)或多次采集個人生物識別信息的，應(yīng)每次單獨向用戶進行告知，并取得用戶的明示同意；
2. 建議企業(yè)在實踐中可采取如下相應(yīng)措施，確保原則上不存儲原始個人生物識別信息：僅存儲個人生物識別信息的摘要信息、在采集終端直接使用個人生物識別信息實現(xiàn)身份識別、認證等功能、在使用面部識別特征、指紋、掌紋、虹膜等實現(xiàn)識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像等。
3. 建議企業(yè)在實踐中確保原則上不共享、轉(zhuǎn)讓個人生物識別信息，根據(jù)現(xiàn)有業(yè)務(wù)中涉及個人生物識別信息，如存在確需共享、轉(zhuǎn)讓個人生物識別信息的項目，在進行個人生物識別信息共享、轉(zhuǎn)讓之前，應(yīng)事先對個人信息安全影響進行評估，設(shè)置個人生物識別信息共享或轉(zhuǎn)讓聲明，向用戶告知采集或共享、轉(zhuǎn)讓的目的、方式和范圍，并取得用戶的明示同意；如業(yè)務(wù)中需要重復(fù)或多次共享、轉(zhuǎn)讓個人生物識別信息的，應(yīng)每次單獨向用戶進行告知，并取得用戶的明示同意。
(二) 關(guān)于用戶對個人信息的管理能力
1. 建議企業(yè)通過不同形式向用戶告知存在需收集個人信息的業(yè)務(wù)功能及需要收集的個人信息類型和用戶拒絕提供將造成的影響，確保能夠獲取用戶的授權(quán)同意，保障用戶的自主意愿和選擇權(quán)；同時保障關(guān)閉或重啟相應(yīng)業(yè)務(wù)功能的便捷性；
2. 設(shè)置簡便易操作的注銷賬戶方法，不設(shè)置不合理的條件或提出額外要求增加用戶的義務(wù)，在承諾時限內(nèi)及時響應(yīng)用戶的注銷請求并完成核查和處理，確保用戶注銷后的個人信息及時刪除或做匿名化處理；
3. 若注銷某個通用賬戶，會導(dǎo)致其他產(chǎn)品或服務(wù)的基本功能無法實現(xiàn)或者質(zhì)量下降的，應(yīng)向用戶進行詳細說明；
4. 在個人信息收集環(huán)節(jié)對法律法規(guī)規(guī)定需要留存的數(shù)據(jù)進行篩查，以便在用戶注銷賬戶并對完成個人信息的刪除或匿名化處理之后，對法律規(guī)定需要留存的數(shù)據(jù)妥善保管，并確保其不被再次用于日常業(yè)務(wù)活動。
(三) 關(guān)于個人信息匯聚融合
建議企業(yè)通過不同形式告知用戶關(guān)于匯聚融合不同業(yè)務(wù)的個人信息的目的、方式和范圍，在超出原有授權(quán)同意范圍使用個人信息時，再次征得用戶的明示同意，并根據(jù)要求開展個人信息安全影響評估以及采取個人信息保護措施。
(四) 關(guān)于個人信息商業(yè)化
1. 建議企業(yè)在運營或?qū)ν鈽I(yè)務(wù)合作中對用戶畫像的使用進行嚴格的核查和限制，如核查業(yè)務(wù)中是否存在使用大數(shù)據(jù)分析技術(shù)等對個人信息進行分析，以形成特征標簽、用戶畫像的情形。使用用戶畫像時應(yīng)消除明確身份指向性，避免用戶被精確定位；
2. 建議企業(yè)在用戶提供個性化展示功能與內(nèi)容時對相應(yīng)功能和內(nèi)容進行顯著標識；同時保障用戶退出或關(guān)閉個性化展示服務(wù)的權(quán)利；建立刪除或匿名化定向推送活動中基于個人信息的選項。
(五) 關(guān)于第三方接入管理
建議企業(yè)對自身產(chǎn)品或服務(wù)中的第三方產(chǎn)品或服務(wù)進行核查，及時刪除或停止接入不必要或存在隱秘收集或濫用個人信息以及存在信息安全隱患的第三方產(chǎn)品或服務(wù)；若必須接入第三方產(chǎn)品或服務(wù)，應(yīng)當向用戶明確標識該產(chǎn)品或服務(wù)由第三方提供并詳細披露第三方個人信息處理活動的具體情況。
點擊獲取GB/T 35273-2020《信息安全技術(shù)個人信息安全規(guī)范》。
