GB-T 42430-2023 中文版 信息安全技术 个人信息处理中告知和同意的实施指南

GB/T42430-2023中文版信息安全技术个人信息处理中告知和同意的实施指南前言GB/T42430-2023《信息安全技术个人信息处理中告知和同意的实施指南》是我国个人信息保护合规领域针对告知与同意核心合规环节的国家级专项推荐性国家标准，也是衔接《中华人民共和国个人信息保护法》法定告知同意强制要求与各类机构实操落地的唯一权威精细化实操指引。本标准由全国网络安全标准化技术委员会归口编制，2023年正式发布并于同年十二月起全面实施，专门解决当前各类企业、政务服务机构、第三方运营主体在个人信息处理过程中告知内容晦涩难懂、告知位置隐蔽不易查阅、同意机制捆绑强制、单独同意落实不到位、同意撤回流程繁琐、变更告知不规范、合规留存无统一标准等行业高频共性合规痛点。本标准核心编制定位为细化个人信息处理全流程告知与同意实操细则，统一全国告知内容编制口径、告知方式展示标准、同意获取合规边界、单独同意实施路径、推定同意适用条件、同意变更与撤回管理规范及合规记录留存要求，彻底改变以往市场主体隐私政策冗长繁杂、套路化隐藏条款、静默默认授权、不同意即停用核心服务等违规乱象，让告知真正做到透明易懂，让同意真正实现自愿明确，从源头夯实个人信息处理合法性根基。本标准不替代个人信息保护相关法律法规及监管规章的法定强制红线，所有个人信息处理合规底线以国家现行有效法律条文为准，本标准重点提供可落地、可核验、可举证、可整改的告知同意标准化实操方法，指导所有个人信息处理者依法依规开展事前充分告知、依法获取有效同意、规范管理同意变更与撤回、长期留存合规举证资料全生命周期合规工作。本标准适用于全行业所有线上线下开展个人信息收集、存储、使用、加工、传输、提供、公开、销毁处理活动的个人信息处理主体，涵盖互联网平台运营企业、政务公共服务单位、金融医疗教育重点行业机构、线下实体经营机构、第三方合作数据服务机构、跨境个人信息处理运营单位等各类组织，既是企业规范隐私政策与授权弹窗、整改告知同意合规问题、应对监管专项检查的必备纲领文件，也是网信及行业监管部门开展个人信息合规核查、违规认定、整改复核的统一权威技术判定依据。1总则范围本标准全面界定个人信息处理告知和同意实施工作通用适用范围、核心适用主体、合规管控边界、全场景适用情形及整体合规实施工作目标，规范个人信息告知编制、告知展示、同意获取、同意管理、撤回变更、留存归档全流程标准化实施通用规则，覆盖一般个人信息常规处理、敏感个人信息专项处理、未成年人个人信息特殊处理、个人信息对外共享转让、自动化决策处理、跨境个人信息传输等全类型个人信息处理场景下的告知同意合规管控工作。本标准系统规定了告知和同意合规实施的核心基础原则、法定必备告知内容、差异化告知实施方式、同意类型适用划分、明示同意与单独同意实操规范、推定同意严格适用条件、同意撤回与变更告知流程、特殊场景专项告知同意要求、未成年人专属告知同意管控、合规记录留存举证规范、合规自查整改闭环管理及常态化持续合规运维细则，聚焦告知文案合规编制、告知渠道规范展示、同意机制合规设置、授权行为有效核验、同意状态动态管理、合规资料长期归档、违规问题整改优化等告知同意全生命周期核心合规管控环节。本标准适用评估主体涵盖在中华人民共和国境内依法开展个人信息处理活动的所有个人信息处理者，无论组织经营规模大小、业务运营模式差异、个人信息处理体量多少，只要开展需要获取个人知情同意的个人信息处理活动，均需严格遵照本指南规范落实告知同意全流程合规工作。本标准同步适用于个人信息处理者自行开展的告知同意合规自查整改工作、企业内部合规审计专项核查工作、第三方合规机构承接的告知同意合规鉴证评估工作、各级网信及行业主管监管部门依法组织的告知同意专项合规检查与违规处置认定相关配套技术支撑工作。本标准管控适用场景覆盖APP及小程序线上用户授权、线下业务办理信息登记、会员体系运营信息采集、第三方合作数据共享授权、智能化自动化决策服务开通、跨境个人信息流转授权等全部需要履行告知义务并获取个人同意的处理活动，无论告知形式为线上电子化展示还是线下纸质文书告知，无论同意获取形式为点击确认、书面签署还是专项授权，均需按照本指引规范合规实施。本标准仅规范告知和同意实操实施管理流程，不增设超出国家法律法规的额外合规义务，所有合规工作始终恪守透明清晰、自愿明确、最小必要、权责对等、全程可溯的核心合规底线，坚决杜绝形式化告知、虚假化同意、走过场整改等无效合规操作行为。2规范性引用文件本标准所有告知同意合规实施原则、告知编制标准、同意判定规则、特殊场景管控要求及常态化合规运维管理规则，均以国家现行网络安全、数据安全、个人信息保护相关法律法规、部门规章及国家基础性个人信息安全系列配套标准为核心规范性引用依据，所有引用文件均以最新有效修订版本为统一适用基准，个人信息处理者开展告知同意合规建设及自查整改工作无需额外开展版本适配核验工作，直接遵照最新版引用文件协同落实告知同意全流程合规管控工作。核心规范性法律法规引用包含《中华人民共和国个人信息保护法》作为告知同意合规治理核心母法，明确个人信息处理告知前置义务、自愿明示同意法定要求、单独同意适用场景、同意撤回法定权利等基础合规底线；同步引用《中华人民共和国网络安全法》《中华人民共和国数据安全法》筑牢个人信息处理合规协同治理法律根基；配套引用《网络数据安全管理条例》《未成年人网络保护条例》等核心监管规章，明确不同场景、不同群体告知同意专项合规管控要求。核心规范性国家标准引用包含个人信息安全基础规范、个人信息处理法律合规性评估指引、数据出境安全评估指南、未成年人个人信息保护专项标准等配套国标，为告知内容对标编制、同意类型精准适配、合规风险等级研判、整改优化措施适配、合规归档资料编制提供标准化技术支撑依据。所有规范性引用文件中的法定强制合规要求、基础合规管理原则、技术合规判定准则、专项强制性管控条款，全部同步纳入本告知同意实施指南整体合规管控范畴，个人信息处理者在开展告知编制、同意获取、合规研判、整改运维各项工作时，必须严格契合引用文件对应合规规定要求，坚决杜绝告知内容与法定要求脱节、同意机制与监管标准割裂、整改措施与合规底线不匹配的合规管理漏洞，确保所有告知同意合规实施工作合法合规、标准统一、闭环可控、长效达标。3核心术语定义与缩略语说明本章节统一规范GB/T42430-2023个人信息处理告知和同意实施全流程实操、合规研判、文案编制、授权管理、监管对接、合规整改运维全过程专属核心术语、基础概念法定定义及专业释义，所有释义为国内个人信息告知同意合规管控领域统一通用权威口径，个人信息处理者编制隐私政策、设置授权弹窗、开展合规自查、对接监管核查、落实合规整改全流程工作，均需严格依照本章节统一术语释义规范执行，严禁企业自行篡改、简化、曲解核心术语法定内涵与合规边界，确保企业合规管理人员、业务运营人员、技术开发人员、第三方评估机构、监管核查工作人员多方合规认知统一、合规判定标准一致、合规责任界定清晰明确。本标准重点界定个人信息处理、告知、合规告知、增强告知、同意、明示同意、默示同意、单独同意、书面同意、推定同意、同意撤回、同意变更、个人信息处理者、个人信息主体、敏感个人信息、未成年人个人信息、隐私政策、授权协议、同意记录、合规留存等告知同意专属核心术语。本标准清晰区分一般告知与增强告知差异化适用场景与编制要求，明确明示同意、单独同意、推定同意不同法定适用边界与合规判定标准，区分常规业务处理告知与对外共享、跨境传输、自动化决策专项告知的差异化管控要求，常态化合规自查与专项监管核查的工作职责划分与整改实施流程差异。针对告知同意合规实操工作中高频使用的专业缩略语及常规专业表述，统一规范合规使用场景与精准判定口径，杜绝术语使用歧义、概念理解偏差导致的告知同意合规违规问题与整改瑕疵。所有术语定义严格贴合我国个人信息保护法律法规最新法定要求，兼顾企业合规实操落地适配性与监管合规审核权威性，全面保障个人信息告知和同意实施全流程工作术语规范、口径统一、判定精准、合规有效、闭环可追溯。4告知和同意合规实施核心基础原则所有个人信息处理者开展告知文案编制、告知展示推送、同意机制设置、授权管理运维、合规自查整改及配合监管核查工作，必须严格遵循本章节划定的六大核心基础合规实施原则，所有告知编制研判、同意机制设计、合规问题整改、长效运维管控工作均以核心原则为根本导向，严禁偏离原则底线开展形式化告知、捆绑强制同意、虚假合规整改应付检查等违规合规行为。首要遵循前置告知明示同意原则，所有个人信息处理活动开展之前必须先行完成合规告知工作，在个人实施任何业务操作、确认授权行为之前充分披露处理规则，未经依法合规告知不得开展任何个人信息处理活动，所有同意必须以明示自愿方式获取，严禁先处理后告知、边处理边补告知、静默默认替代明示同意违规操作。其次遵循透明易懂显著清晰原则，告知内容语言必须简洁通俗、直白易懂，避免晦涩专业术语、复杂法律表述、模糊歧义语句，告知位置必须显著醒目、易于查找、一键查阅，不得深埋页面底层、隐藏设置入口、繁琐多层跳转，保障个人快速清晰知晓个人信息处理全部规则。第三遵循自愿自主无捆绑强制原则，个人作出同意授权行为必须完全自愿、自主选择、不受胁迫，严禁将核心业务功能与非必要授权捆绑绑定，不得以不同意授权为由拒绝提供基础核心服务，不得设置强制勾选、默认勾选、一键全量授权等变相强制同意机制。第四遵循最小必要精准适配原则，告知范围严格限定为实际开展的个人信息处理活动，不虚假告知、不夸大处理范围、不预设无关处理目的，同意授权范围与处理业务需求精准匹配，不超范围获取无关个人信息授权，杜绝过度告知、超额授权违规情形。第五分类分级差异化管控原则，针对一般个人信息实行常规标准化告知与普通明示同意，针对敏感个人信息、未成年人个人信息、对外共享转让、跨境传输等高风险处理活动实行增强告知与专项单独同意，风险等级越高告知越细致、同意管控越严格。第六全程留痕动态更新原则，所有告知记录、同意授权记录、撤回变更记录全部长期留存归档，个人信息处理规则发生变更必须及时重新告知并按需重新获取同意，持续动态维护告知同意合规状态，确保全程可溯源、可举证、可核查。所有告知同意合规实施工作必须严格恪守六大核心原则，不得为业务运营便利弱化告知义务、简化同意流程、隐瞒合规信息，确保告知真实透明、同意自愿有效、合规全程可控。5告知合规实施通用规范与必备法定内容告知是个人信息获取有效同意的前置法定必要条件，也是个人信息处理合法性基础的核心前提，本标准明确个人信息合规告知通用实施规范及法定必备完整告知内容，所有个人信息处理者编制隐私政策、授权弹窗、业务告知文书必须逐项全覆盖列明必备内容，不得缺项漏项、模糊表述、隐瞒关键信息，确保告知内容完整合规、信息透明充分。合规告知法定必备核心内容包含个人信息处理者完整主体身份信息及有效联系方式，明确标注处理者全称、统一社会信用代码、办公地址、客服咨询电话、合规投诉渠道，确保个人能够便捷联系处理主体、行使投诉救济权利；明确列明个人信息具体处理目的、合法处理依据、实际处理方式，清晰说明收集哪些信息、为何收集、如何使用加工处理，不笼统概括、不模糊表述处理用途；详细标注个人信息具体处理种类、对应处理范围及法定最短保存期限，明确区分临时存储与长期存储信息，到期清理销毁规则清晰列明，杜绝超期留存无告知情形；完整告知个人信息主体依法享有的查阅、复制、更正、删除、注销账号、撤回同意、获取信息副本等全部法定权利，以及各项权利便捷行使的办理渠道、操作流程、办理时限；明确告知个人信息对外共享、转让、公开披露、境外提供等第三方流转情况，列明接收第三方主体信息、处理用途、安全管控措施及流转风险提示；同步告知个人信息安全防护措施、安全事件应急处置机制、合规投诉举报处理路径及其他法律法规要求必须告知的专项内容。告知实施过程中严格区分常规基础告知与增强专项告知，常规基础告知适用于一般个人信息常规处理场景，文案简洁精炼、重点突出、通俗易懂；增强专项告知适用于敏感个人信息、未成年人信息、自动化决策、跨境传输等高风险场景，需单独弹窗专项提示、重点加粗标注、分条清晰说明风险与处理规则，确保个人充分知晓特殊处理风险与授权后果。告知文案编制完成后严禁使用霸王条款、免责规避条款、模糊兜底条款，所有表述直白明确、无歧义、无隐藏约束，确保普通个人能够快速读懂、清晰知晓自身权益与处理规则，筑牢告知合规坚实基础。6差异化告知方式实施与展示合规管控本标准针对不同业务场景、不同处理模式、不同用户触达渠道，明确差异化告知方式合规实施标准与展示管控要求，杜绝告知形式化、隐蔽化、复杂化，确保告知触达有效、展示显著、查阅便捷、个人真实知情。线上数字化场景告知主要包含隐私政策常驻告知、授权弹窗即时告知、业务页面显著提示告知三类核心合规形式，隐私政策需在APP、小程序、官网等平台首页显著位置设置固定查阅入口，无需复杂注册、无需多层跳转即可一键查看全文，隐私政策文本排版清晰、分章节列明告知内容，重点合规事项醒目标注；首次启动及核心功能使用前必须弹出独立授权告知弹窗，弹窗内容简洁精炼、核心处理规则一目了然，不堆砌冗余法律文本，弹窗操作选项清晰区分同意与不同意，无默认勾选、无强制关联操作；常态化业务运营页面需在信息采集点位就近设置实时告知提示，个人信息填写采集位置同步标注采集用途与保存期限，实现就近告知、实时知情。线下实体业务场景告知采用纸质文书告知、现场口头清晰告知、业务办理表单备注告知相结合的合规方式，线下办理业务时工作人员需现场清晰告知个人信息处理相关规则，办理表单显著位置印刷告知核心内容，纸质文书由个人阅览确认后留存归档，确保线下告知同样合规到位。告知展示严格遵循显著易见原则，字体大小适配阅读需求、重点内容加粗高亮、核心权责清晰区分，不得采用浅色系淡色字体、极小字号、折叠隐藏内容等变相隐蔽告知方式。当个人信息处理规则发生变更调整时，必须采用专项变更告知方式，通过弹窗提示、短信通知、站内消息等有效渠道单独告知变更内容、变更影响及后续处理规则，变更涉及高风险处理活动的必须同步重新获取个人同意，确保个人及时知晓变更情况、自主选择是否继续授权。所有告知方式实施后留存告知展示截图、告知推送记录、线下告知核验记录，确保告知行为真实发生、全程可追溯举证。7同意类型划分与合规获取通用实施要求本标准依据个人信息风险等级、处理场景差异、法定合规要求，将同意划分为明示同意、单独同意、书面同意、推定同意四大合规类型，明确各类同意适用边界、获取方式、合规标准与实施细则，个人信息处理者需严格按场景匹配对应同意类型，不得随意降级同意标准、以低等级同意替代高等级专项同意。明示同意为所有个人信息处理基础通用同意类型，适用于一般个人信息常规收集使用处理场景，必须由个人主动作出明确授权行为，包含主动点击同意、手动勾选确认、线上明确确认操作等主动行为，严禁默认勾选、后台静默授权、继续使用即视为同意等默示变相授权方式。单独同意为法定高风险场景专项强制同意类型，专门适用于敏感个人信息处理、个人信息对外共享转让、个人信息跨境提供、自动化决策等高风险处理活动，必须独立弹窗、单独授权、单独确认，不得与其他服务协议、普通授权捆绑合并签署，需让个人针对性知晓专项处理用途与风险，自主单独作出授权选择。书面同意为法定特殊场景严格合规同意类型，适用于监管要求书面备案、重大数据合作、高敏感信息长期处理等特殊场景，采用纸质书面签署或可靠电子签名电子化签署形式，同意文本规范完整、签署信息真实有效，长期归档留存核验。推定同意为严格受限特殊补充同意类型，仅在取得明示同意存在显著客观困难、处理行为对个人权益影响极小、无强制诱导情形、个人明确知晓处理规则且未拒绝的多重严格条件同时满足时方可适用，严禁随意扩大推定同意适用范围，不得以推定同意替代明示同意与单独同意。所有同意获取必须在个人充分完成告知阅览、清晰知晓处理规则后实施，授权操作简单便捷、选择自由自主，无任何诱导话术、弹窗干扰、操作胁迫，同意获取完成后第一时间记录留存授权时间、授权内容、操作行为、设备信息等关键数据，确保同意真实有效、全程可溯源。8敏感个人信息与高风险场景单独同意专项实施规范敏感个人信息处理、个人信息对外共享转让、跨境传输、智能化自动化决策等高风险处理场景，是告知同意合规监管核查与处罚重点，本标准专门细化单独同意专项实施全流程合规规范，明确单独同意实施流程、弹窗设置、授权逻辑、合规管控硬性要求，确保高风险场景合规达标、风险严格可控。单独同意实施必须坚持一事一同意、一场景一授权独立原则，每一项高风险处理活动对应独立授权弹窗，不得将多项单独同意事项合并为一个总授权，不得与基础业务服务协议捆绑一并签署，保障个人针对每一项高风险处理自主选择授权与否。单独同意专项告知需实行增强告知模式，弹窗页面简洁聚焦、核心风险重点标注、处理用途清晰直白、不堆砌无关文本，明确告知敏感信息处理具体品类、使用场景、安全风险、禁止二次流转等关键内容，让个人充分知晓授权后果后再作出选择。单独同意操作界面必须设置独立的同意与拒绝双向清晰操作按钮，拒绝操作与同意操作同等醒目、同等便捷，不得弱化拒绝按钮、诱导点击同意、反复弹窗骚扰拒绝用户，个人拒绝单独同意后不得限制基础核心业务功能使用，仅停用对应高风险处理服务即可。针对个人信息对外提供共享、跨境传输场景，单独同意需额外列明接收方主体信息、接收方安全保护能力、境外处理管控措施、二次流转禁止要求等专项内容，明确授权仅限本次合作使用，不得无限期永久授权、不得超范围复用授权。自动化决策处理单独同意需明确告知决策运行逻辑、数据使用规则、对个人权益影响、拒绝后的服务替代方案，保障个人知情选择权。单独同意获取完成后专项单独归档留存，与普通同意记录分开管理，重点标注高风险授权台账，后续变更、撤回均需单独响应、单独处置，持续强化高风险场景告知同意专项合规管控，杜绝高风险授权违规隐患。9未成年人个人信息专属告知和同意特殊合规要求未成年人个人信息属于特殊高保护优先级个人信息，心智发育尚未成熟、自我保护能力较弱，本标准针对未成年人个人信息处理设定更高标准、更严要求的专属告知和同意合规管控细则，实行特殊保护、从严管控、专项授权，全方位守护未成年人个人信息合法权益。未成年人告知实施需采用适配未成年人及监护人理解能力的简洁易懂专属告知文案，语言简单直白、无复杂专业术语、无晦涩法律表述，规避诱导性话术、营销化宣传内容，重点清晰说明未成年人信息处理用途、保护措施、风险提示及监护人权利，不向未成年人推送过度授权诱导内容。未成年人个人信息处理严禁直接获取未成年人本人同意，必须依法依规获取未成年人监护人明示单独同意，所有未成年人信息收集、使用、共享、跨境处理等活动，均需监护人主动确认授权后方可开展，无监护人同意不得任何形式处理未成年人个人信息。监护人单独同意需设置专项专属授权渠道，明确核验监护人身份真实性，确保授权人为法定监护人，杜绝未成年人自行授权、他人代授权违规情形。未成年人告知位置显著醒目，单独设置未成年人隐私保护专项告知入口，专门列明未成年人信息特殊保护规则、信息使用限制、禁止过度采集、禁止违规营销推送等专项内容，不采集与未成年人服务无关的生物识别、行踪轨迹等敏感信息。监护人享有随时查阅、更正、删除未成年人个人信息、撤回授权同意的专属权利，处理者需提供便捷简易的权益响应渠道，快速处置监护人各项合规诉求，不得拖延拒绝、变相设置办理门槛。未成年人个人信息严禁未经监护人同意对外共享转让、跨境传输，确需合作处理的必须再次获取监护人专项单独同意，同步强化第三方安全管控措施。常态化开展未成年人告知同意合规自查整改，持续优化未成年人专项保护机制，从严落实未成年人告知同意特殊合规要求，筑牢未成年人个人信息安全防护屏障。10同意撤回、变更与终止处理合规管理流程本标准明确个人同意撤回、处理规则变更、个人信息处理终止全流程合规管理标准化实施流程，保障个人随时自主撤回同意的法定权利，规范处理者变更告知与终止处置合规操作，确保同意动态管理合规可控、权益响应及时高效。同意撤回合规管理坚持撤回自由、流程简便、免费便捷原则，个人随时有权无条件撤回已作出的任何同意授权，处理者不得设置繁琐办理流程、收取任何费用、变相刁难限制撤回操作，撤回渠道与同意获取渠道同等便捷、一键快速办理。个人撤回同意后，处理者必须立即停止对应范围内的个人信息处理活动，不得继续采集、使用、传输相关个人信息，依规及时清理或销毁对应个人信息，并向个人反馈撤回办结结果，不得以任何理由拖延处理、继续违规处理。个人信息处理规则发生重大变更调整的，处理者必须提前通过专项告知方式通知所有个人，清晰列明变更具体内容、变更原因、业务影响及合规调整事项，变更涉及敏感信息及高风险处理的必须重新获取个人单独同意，个人不同意变更的按撤回同意流程终止对应处理活动。个人信息处理业务终止、合作结束、服务下线的，处理者需及时告知个人处理终止相关情况，主动停止信息处理活动，依规清理销毁留存个人信息，注销相关访问操作权限，做好终止处置台账记录。所有同意撤回、变更告知、终止处置操作全程留痕归档，记录办理时间、操作行为、处置结果、反馈情况，确保动态变更全程可追溯、合规可举证。严禁处理者以合同约定、服务协议为由限制个人撤回同意，不得因个人撤回同意恶意降低服务质量、停用基础核心功能，切实保障个人法定权益不受侵害。11告知同意记录留存与合规举证归档管理告知同意记录留存是个人信息处理合规举证、监管核查、纠纷处置的核心关键依据，本标准明确告知同意全流程记录留存、归档管理、台账建设合规规范，确保所有告知行为、同意授权、撤回变更、整改处置全程留痕、长期保存、随时可查、有效举证。处理者需建立告知同意专项合规归档台账，统一管理所有告知文案版本、告知展示记录、同意授权日志、单独同意专项档案、撤回变更处置记录、未成年人监护人授权资料等全量合规资料，台账分类清晰、归档规范、调取便捷。告知资料留存包含所有版本隐私政策、授权告知弹窗截图、变更告知通知记录、线下纸质告知文书等，完整留存每一次告知发布、变更、下线全周期资料，不得随意删除、篡改、销毁告知档案。同意授权记录留存需精准记录每一位个人的授权时间、授权类型、授权内容、操作设备、IP地址