个人隐私保护管理程序

个人隐私保护管理程序1目的规范单位/组织个人信息收集、存储、使用、加工、传输、提供、公开等全流程活动，保护自然人个人隐私与个人信息权益，防范信息泄露、篡改、丢失、滥用风险，符合《中华人民共和国个人信息保护法》《网络安全法》等法律法规要求。2适用范围适用于本单位所有部门、全体工作人员；覆盖业务系统、纸质档案、表单、微信/邮箱、第三方合作渠道等一切涉及个人信息处理场景。3术语定义个人信息：以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，姓名、身份证号、手机号、住址、照片、银行卡信息、健康信息、家庭情况、行程信息等均属于个人信息。敏感个人信息：生物识别、医疗健康、金融账户、行踪轨迹、未成年人信息等，一旦泄露极易侵害人身、财产安全。隐私主体（信息主体）：信息对应的自然人。4职责分工4.1负责人（最高责任人）审批隐私保护制度、重大信息处理活动；审批对外提供个人信息、信息出境等重要事项；保障资源投入，组织隐患整改。4.2信息管理/网信部门（归口管理）本程序落地执行、培训、监督检查；受理信息主体查询、更正、删除、撤回同意等申请；组织隐私风险排查、泄露事件应急处置；审核对外数据共享、第三方合作协议隐私条款。4.3各业务部门遵循“最小必要”原则收集信息；管控本部门纸质、电子个人信息；发现信息风险第一时间上报；配合开展应急处置。4.4全体员工严格遵守本程序，不得违规复制、外传、倒卖个人信息；主动报告违规行为与安全隐患。5工作流程5.1个人信息收集阶段合法前提

取得信息主体明确、自愿同意，敏感个人信息需要单独同意；未成年人信息应当取得监护人同意。禁止欺诈、胁迫方式获取信息。最小必要原则

只收集业务必需信息，不得超范围采集。无业务需要不得收集身份证完整号码、家庭住址、亲属信息等。告知义务

收集前清晰告知：单位名称、用途、存储期限、主体拥有的权利、联系方式。禁止私下通过微信群、朋友圈随意征集群众个人信息。5.2信息存储管理电子信息：存放于授权业务系统，设置账号密码、定期更换；重要敏感信息加密存储。纸质资料：专柜上锁管理，标注保密提示，无关人员不得翻阅。禁止：私人U盘、私人微信、私人网盘长期存储工作个人信息。设定留存期限：实现处理目的后，及时销毁或匿名化处理，不得无限期保存。5.3信息使用、加工内部管控仅限既定业务用途使用，不得挪作他用（不得用于营销、私下查询他人信息）。内部查询实行权限管控，谁使用、谁负责，留存操作日志。严禁未经审批批量导出完整个人信息表格。5.4个人信息对外提供、共享对外向第三方移交、共享个人信息，必须事前审批，签订《个人信息保护协议》。第三方必须具备相应保护能力；明确约定保密义务、禁止二次转授权。法定需要移交公安、司法机关的，核验正规文书，留存凭证。5.5信息主体权利响应流程（查询/更正/删除/撤回同意）接收主体书面/线上申请→登记台账；核验申请人身份；30日内完成核查并反馈；符合条件的及时更正、删除；不满足条件书面说明理由。5.6信息销毁流程超过保存期限、业务终止不再需要的个人信息启动销毁；电子数据：彻底删除，不可恢复，禁止简单移入回收站；纸质材料：粉碎处理；建立销毁记录台账（时间、内容、经办人）。6禁止性行为（红线条款）不得非法收集、存储他人个人信息；不得出售、非法提供、非法向他人推送个人信息；不得私自拍照、截屏转发群众身份证、联系方式、家庭资料；不得将内部信息表格私自发至外部微信群、朋友圈；不得利用职权随意查询、窥探无关人员隐私信息；未经同意不得公开自然人肖像、住址、联系方式等隐私内容。7安全事件应急处置发生信息泄露、丢失、被窃取，当事人立即停止操作，第一时间上报归口管理部门，严禁隐瞒；迅速评估影响范围，采取封堵、修改权限、收回外泄文件等止损措施；按法规及时通知受影响信息主体，必要时向监管部门报告；形成事件复盘报告，完善管控措施；追究相关人员责任。8培训、检查与责任追究定期组织全员开展《个人信息保护法》及本程序培训；每季度开展隐私保护专项检查，排查台账、系统权限、文件管理隐患；违规造成隐私