公民个人信息安全

公民个人信息安全一、法律制度体系构建（一）立法权责划定。立法机关统筹制定个人信息保护专项法规，明确政府、企业、个人三方法律义务，各职能部门依法履行监管职责。1.制定《个人信息保护法实施条例》，细化数据分类分级标准，明确敏感信息处理特殊要求2.建立跨部门联合监管机制，司法部门负责案件审判，公安部门负责侦查取证，网信部门负责行业监管3.设立个人信息保护专门委员会，负责法规解释和标准制定工作（二）监管措施完善。构建全过程监管体系，强化事前预防、事中监测、事后处置能力。1.实施企业数据安全认证制度，对达到标准的企业授予认证标识2.建立数据安全风险评估机制，定期对企业数据处理活动开展风险评估3.实行重大数据活动备案制度，对涉及10万人以上个人信息处理活动进行备案审查二、技术防护能力建设（一）安全标准制定。制定统一技术标准，规范数据采集、存储、使用全流程安全要求。1.制定《个人信息处理技术规范》，明确数据脱敏、加密、匿名化处理标准2.建立数据安全基线配置标准，规定系统访问控制、日志审计等基本要求3.制定第三方合作数据安全保障规范，明确数据共享、委托处理等场景安全要求（二）防护措施落实。落实技术防护主体责任，提升数据安全防护水平。1.信息系统部署数据防泄漏系统，对敏感信息进行实时监测2.建立数据备份恢复机制，确保数据安全事件发生时能够及时恢复3.定期开展渗透测试，发现并修复系统安全漏洞三、企业主体责任落实（一）管理制度建立。企业建立健全内部数据安全管理制度，明确各岗位职责。1.制定《数据安全管理制度》，明确数据分类分级、权限管理、安全审计等要求2.建立数据安全责任清单，将数据安全责任落实到具体岗位和个人3.制定数据安全事件应急预案，明确事件报告、处置、恢复流程（二）安全投入保障。企业加大数据安全投入，确保安全措施有效落实。1.每年将不少于年度营业额1%的资金投入数据安全建设2.配备专职数据安全管理人员，确保每2000万条数据至少配备1名专职人员3.建立数据安全投入台账，定期向监管机构报告投入情况四、个人权利保障机制（一）知情同意落实。企业落实个人信息处理知情同意原则，保障个人知情权。1.制定《个人信息处理告知书》，明确告知信息处理目的、方式、范围等2.建立单独同意机制，对敏感信息处理单独征求个人同意3.提供便捷的同意撤回渠道，个人可随时撤回授权（二）权利行使保障。建立畅通的个人权利行使渠道，保障个人各项权利。1.设立个人信息保护投诉邮箱和电话，及时处理个人投诉2.建立个人信息查询、更正、删除申请处理流程，7日内响应3.对拒绝行使权利的个人，说明理由并记录在案五、行业自律规范建设（一）自律组织建设。行业协会制定行业自律规范，引导企业合规处理个人信息。1.制定《行业个人信息保护自律公约》，明确行业数据处理基本要求2.建立行业数据安全评估体系，定期对企业数据处理活动开展评估3.设立行业数据安全奖惩机制，对合规企业予以表彰（二）行业协作机制。建立行业数据安全协作机制，提升行业整体防护水平。1.建立数据安全事件通报机制，及时通报行业数据安全事件2.开展数据安全技术交流，共享数据安全技术经验3.建立数据安全专家库，为行业提供专业咨询和技术支持六、国际交流合作机制（一）标准对接。推动个人信息保护标准与国际接轨，促进跨境数据流动。1.对接GDPR等国际个人信息保护标准，制定符合国际要求的数据处理规范2.建立跨境数据流动安全评估机制，确保数据跨境传输安全3.参与国际个人信息保护规则制定，提升国际话语权（二）合作机制建立。建立国际数据安全合作机制，共同应对跨境数据安全挑战。1.与主要国家建立数据安全对话机制，定期交流数据安全监管经验2.开展跨境数据安全执法合作，打击跨境数据犯罪3.建立国际数据安全技术合作平台，共同研究数据安全技术七、应急响应处置机制（一）监测预警体系。建立数据安全监测预警体系，及时发现数据安全风险。1.建立数据安全监测平台，对全国数据安全态势进行实时监测2.建立数据安全预警机制，对重大数据安全风险及时预警3.开展数据安全风险研判，定期发布数据安全风险报告（二）应急处置机制。建立数据安全事件应急处置机制，及时处置数据安全事件。1.制定《数据安全事件应急预案》，明确事件分级标准和处置流程2.建立应急响应队伍，定期开展应急演练3.对重大数据安全事件及时发布通报，并依法查处相关责任单位八、宣传教育长效机制（一）全民教育体系。建立全民个人信息保护教育体系，提升全民数据安全意识。1.将个人信息保护纳入国民教育体系，在各级学校开展个人信息保护教育2.开展全民个人信息保护宣传活动，提升全民数据安全意识3.建立个人信息保护知识普及平台，向公众普及个人信息保护知识（二）专业培训体系。