个人信息保护服务检验规范

个人信息保护服务检验规范1范围本规范规定了个人信息保护服务检验的基本要求、检验流程、检验内容、检验方法、结果判定与报告出具等内容，适用于第三方检验机构对企业、公共服务机构等主体开展的个人信息保护合规建设、风险评估、应急响应等各类服务的质量检验，也可为监管部门开展个人信息保护服务质量监督检查、服务提供方开展内部服务质量管控提供参考依据。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T35273信息安全技术个人信息安全规范GB/T41391信息安全技术移动互联网应用程序（App）收集个人信息基本要求GB/T42574信息安全技术个人信息保护合规评估工具技术要求和测试评价方法《个人信息保护法》《网络安全法》《数据安全法》等法律法规相关要求3术语和定义3.1个人信息保护服务指服务提供方为委托方提供的与个人信息全生命周期保护相关的各类专业服务，包括但不限于个人信息保护合规咨询、个人信息处理活动风险评估、个人信息安全技术体系建设、个人信息泄露事件应急处置、个人信息保护合规审计、个人信息保护相关人员培训等。3.2服务检验指具备相应资质的第三方机构依据法律法规、标准规范及服务合同约定，对个人信息保护服务的过程规范性、内容完整性、结果有效性等进行独立核查、测试与验证的活动。4基本要求4.1检验机构要求开展个人信息保护服务检验的机构应当同时满足以下条件：依法设立并取得国家相关部门认可的检验检测资质，具备独立承担法律责任的能力；拥有不少于10名熟悉个人信息保护法律法规、标准规范及服务实践的专业检验人员，其中至少3名具有5年以上个人信息保护相关工作经验，且通过国家级个人信息保护专业培训并取得合格证书；具备与检验工作相适应的技术工具，包括个人信息合规性检测工具、数据泄露溯源工具、网络安全漏洞扫描工具等，相关工具应当符合GB/T42574的技术要求；建立完善的检验工作质量管控体系，对检验全过程进行记录留存，记录保存期限不少于6年；近3年无违法违规执业记录，未因出具虚假检验报告、泄露检验过程中知悉的敏感信息等行为受到行政处罚。4.2检验人员要求参与检验工作的人员应当符合以下要求：熟悉《个人信息保护法》等相关法律法规及GB/T35273等国家标准内容，准确把握个人信息保护合规判定边界；掌握个人信息保护服务的常见流程、方法和交付成果要求，具备识别服务过程漏洞、结果偏差的专业能力；与被检验的服务提供方、委托方不存在利害关系，可能影响检验公正性的应当主动回避；严格遵守保密义务，不得泄露检验过程中知悉的国家秘密、商业秘密、个人信息及委托方的其他敏感信息，未经允许不得向任何第三方透露检验相关情况。4.3检验原则检验工作应当遵循以下原则：独立性原则：检验机构和人员应当独立于服务提供方和委托方，不受任何外部因素干扰，客观、公正地开展检验工作并出具结果；科学性原则：检验方法应当符合相关标准和技术规范要求，检验过程应当可复现，检验结论应当有充分的事实和数据支撑；全面性原则：检验应当覆盖服务的全流程，包括需求调研、方案制定、实施执行、成果交付等各个环节，不得遗漏关键检验节点；适配性原则：检验要求应当与服务的类型、规模、复杂程度相匹配，针对不同行业、不同规模委托方的服务应当设定差异化的检验指标，避免简单套用统一标准。5检验流程5.1检验受理检验机构收到检验申请后，应当对申请材料进行初步审查，审查内容包括：申请人的资质证明、待检验服务的基本信息（服务类型、服务对象、服务周期、交付成果等）、服务合同及相关技术文档是否齐全。对符合受理条件的，应当在5个工作日内与申请人签订检验委托合同，明确检验范围、检验标准、检验周期、费用、双方权利义务等内容；对不符合受理条件的，应当书面告知申请人并说明理由。5.2检验准备检验机构应当根据待检验服务的特点组建检验小组，确定小组负责人，制定详细的检验方案。检验方案应当包括检验目标、检验范围、检验内容、检验方法、时间安排、人员分工、风险防控措施等内容，经机构技术负责人审核批准后实施。检验前应当将检验方案告知被检验的服务提供方，要求其提前准备相关服务过程文档、技术工具记录、交付成果等材料。5.3现场检验检验小组按照检验方案开展现场检验工作，主要工作内容包括：查阅服务过程文档，包括需求调研报告、服务实施方案、工作记录、沟通纪要、阶段性成果等，核查文档的完整性、规范性和一致性；访谈服务实施人员、服务委托方相关负责人，了解服务开展的实际过程、服务效果、委托方的满意度等情况，核实文档记录内容的真实性；对服务中使用的技术工具进行功能验证，核查工具的合规性、检测能力是否符合相关标准要求，工具运行记录是否完整；对服务交付成果进行核验，包括合规评估报告、风险整改方案、安全防护体系设计方案等，必要时对成果中提出的风险点、整改建议等进行抽样验证，确认其真实性和可行性。检验过程中应当对发现的问题进行详细记录，留存相关证据材料，需要被检验方签字确认的应当由相关负责人签字。5.4综合分析检验小组对现场检验获取的所有材料、数据进行汇总整理，对照相关法律法规、标准规范及服务合同约定，对服务的质量进行综合分析，形成初步检验结论。对检验过程中发现的疑难问题，应当组织行业专家进行论证，论证意见作为检验结论的重要参考依据。5.5结果反馈与异议处理检验机构应当在初步检验结论形成后5个工作日内，将初步结论反馈给被检验方和申请人，给予7个工作日的异议期。相关方对初步结论有异议的，应当在异议期内以书面形式提出并提供相关证明材料，检验机构应当在收到异议材料后10个工作日内完成复核，复核结果为最终检验结论。5.6报告出具异议期届满无异议或者异议不成立的，检验机构应当在5个工作日内出具正式的个人信息保护服务检验报告。检验报告应当加盖检验机构公章，由检验人员、机构负责人签字，内容包括检验基本情况、检验过程、检验发现的问题、检验结论、整改建议等。检验报告有效期为1年，有效期内如果被检验方的服务能力发生重大变化，应当重新进行检验。6检验内容与方法6.1个人信息保护合规咨询服务检验6.1.1服务过程检验核查是否开展了全面的委托方业务现状调研，调研内容是否覆盖委托方的个人信息处理活动类型、处理规模、涉及的个人信息类别、现有个人信息保护制度体系、技术防护措施等关键内容，调研记录是否完整，是否有委托方相关人员的确认签字；核查合规咨询方案是否符合委托方的业务特点，是否针对委托方的行业属性（如金融、医疗、电商等）设定了专项合规要求，方案中的工作步骤、时间节点、人员分工是否清晰可执行；核查服务过程中是否与委托方保持持续沟通，沟通纪要是否完整，对委托方提出的个性化需求是否有响应记录，是否根据委托方业务变化及时调整咨询方案。检验方法采用文档查阅、人员访谈、沟通记录比对等方式。6.1.2交付成果检验核查合规体系文件是否符合法律法规和标准要求，包括个人信息处理管理制度、个人信息主体权益响应制度、个人信息安全事件应急预案等，文件内容是否具有可操作性，是否与委托方的实际业务流程相适配，是否存在照搬通用模板、与实际脱节的情况；核查合规风险清单是否全面覆盖委托方个人信息收集、存储、使用、加工、传输、提供、公开、删除等全生命周期环节，风险等级判定是否准确，对应的整改建议是否具体、可行，是否明确整改责任部门和整改期限；核查是否为委托方提供了必要的合规培训材料，培训内容是否针对委托方不同岗位人员的职责特点设计，是否包含个人信息保护基础法规、岗位合规操作要求、违规责任等内容。检验方法采用文档内容审核、对照标准逐条核验、抽样模拟验证等方式，例如选取委托方的某一项个人信息处理流程，对照合规体系文件要求模拟执行，验证文件的可操作性。6.2个人信息处理活动风险评估服务检验6.2.1评估过程检验核查是否明确了评估范围，是否覆盖委托方所有的个人信息处理活动，对涉及敏感个人信息处理、大规模个人信息跨境传输、面向未成年人提供服务等高风险处理活动是否单独列为重点评估对象；核查使用的风险评估方法是否科学合理，是否符合GB/T35273等标准中关于个人信息安全风险评估的流程要求，风险判定维度是否包括个人信息权益受侵害的可能性、影响范围、危害程度等多个方面；核查评估过程中是否开展了实质性的检测工作，是否使用合规检测工具对委托方的App、小程序、网站等个人信息收集渠道进行了实际检测，是否对个人信息存储加密措施、访问权限控制措施、传输加密机制等进行了技术验证，检测记录、技术验证日志是否完整留存。检验方法采用工具功能验证、检测记录复现、检测结果比对等方式，例如使用检验机构的检测工具对委托方的App进行重新检测，对比原评估报告中的检测结果是否一致。6.2.2评估报告检验核查报告中列出的风险点是否真实存在，是否存在漏报、误报风险的情况，对高风险点的描述是否清晰，是否附带有相关的检测截图、日志记录等证据材料；核查风险整改建议是否具有针对性，是否能够有效解决identified的风险问题，对短期无法完成整改的高风险是否提出了临时防控措施；核查评估结论是否准确，是否明确说明委托方的个人信息处理活动是否符合合规要求，是否存在重大合规风险。检验方法采用抽样验证、专家评审等方式，对报告中列出的高风险点100%进行验证，中低风险点按不低于30%的比例抽样验证。6.3个人信息安全事件应急处置服务检验6.3.1处置过程检验核查服务提供方是否在接到委托方的应急响应请求后按照约定的时间响应，是否在第一时间成立应急处置小组，制定应急处置方案；核查事件溯源过程是否规范，是否准确查明了个人信息泄露的原因、泄露的个人信息类别和数量、涉及的个人信息主体范围、事件的影响程度，溯源过程是否有完整的技术记录，溯源结果是否有充分的证据支撑；核查处置措施是否得当，是否在第一时间采取了有效措施防止风险扩大，是否协助委托方按照法律法规要求履行了向监管部门报告、告知受影响个人信息主体的义务，是否针对事件原因提出了长效整改措施。检验方法采用应急响应记录查阅、溯源过程复现、监管部门报告记录核验等方式。6.3.2处置效果检验核查个人信息泄露风险是否已经消除，泄露的个人信息是否已经被有效管控，是否存在持续扩散的情况；核查委托方的个人信息保护短板是否已经补齐，后续的安全防护措施是否能够有效防范类似事件再次发生；核查是否对委托方的应急处置预案进行了更新完善，是否开展了针对性的应急演练，相关记录是否完整。检验方法采用技术检测、现场核查、应急演练观摩等方式。7结果判定7.1判定等级个人信息保护服务质量检验结果分为“合格”“基本合格”“不合格”三个等级。合格：服务过程符合规范要求，交付成果完整、准确，能够有效帮助委托方提升个人信息保护水平，未发现重大服务质量问题，一般问题数量不超过3项；基本合格：服务过程存在部分不规范的情况，交付成果存在少量非关键内容缺失或者偏差，经过整改后能够满足委托方的个人信息保护需求，未造成不良后果，一般问题数量在4-10项，无重大问题；不合格：存在以下情形之一的，判定为不合格：服务过程严重不符合规范要求，存在弄虚作假、伪造服务记录的情况；交付成果存在重大错误，遗漏高风险点或者给出错误的合规建议，可能导致委托方面临合规风险；服务过程中泄露委托方的敏感信息或者个人信息，造成不良影响；存在其他严重违反法律法规、标准规范或者服务合同约定的行为。7.2后续处理检验结果为“合格”的，检验机构可以向服务提供方颁发个人信息保护服务质量合格证明，相关结果可以作为监管部门开展监督检查、委托方选择服务提供方的参考依据；检验结果为“基本合格”的，检验机构应当向服务提供方出具整改通知书，要求其在30日内完成整改，整改完成后重新进行检验，整改期间不得承接新的同类型个人信息保护服务；检验结果为“不合格”的，检验机构应当将检验结果通报相关监管部门，服务提供方在6个月内不得承接新的个人信息保护服务，