GB-T 39335-2020 信息安全技术 个人信息安全影响评估指南

GB/T39335-2020信息安全技术个人信息安全影响评估指南前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2020年11月19日联合正式发布，自2021年6月1日起全面正式落地实施，是我国个人信息保护领域专门规范个人信息安全影响评估工作的基础性、实操性国家级核心指导标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全与数据安全主管机构、权威标准化科研院所、互联网平台运营龙头企业、政务民生服务经办单位及专业个人信息保护合规测评机构联合统筹编制完成，深度对标《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规法定硬性管控要求，精准衔接个人信息处理活动合规审查、风险防控、权益保障法定职责，从根本上解决了以往各类机构个人信息评估无统一实施流程、风险研判尺度不一、评估工作流于形式、保护措施与风险不匹配、评估整改无闭环管理的行业长期共性合规难题。本标准编制严格遵循依法合规底线、风险全程导向、权益优先保障、评估实操落地、措施适配匹配、动态持续改进的核心编制原则，区别于通用数据安全风险评估类基础标准，本标准专门聚焦**个人信息处理全活动**专属安全影响评估工作，不以通用网络安全防护测评为核心，重点规范个人信息收集、存储、使用、加工、传输、共享、提供、公开、删除全生命周期处理活动的安全影响评估方法论、全流程实施步骤、风险识别规则、合规校验标准、保护措施有效性核验及评估整改长效管理机制。本标准明确个人信息安全影响评估从前期筹备、方案编制、资料收集、风险识别、合规研判、等级判定、措施核验、报告编制、整改闭环、复盘迭代全链条标准化工作要求，既是各类个人信息处理者常态化自主开展合规评估、自查自纠、风险防控的法定实操依据，也是各级行业监管部门开展个人信息保护督导核查、合规检查，第三方测评机构开展专项评估核验、合规咨询服务的统一合规准绳，是全国个人信息常态化合规管控与权益保障工作的核心支撑标准。引言随着我国数字经济深度普及与数字化服务全面覆盖，各类政务服务、民生办事、互联网应用、商业经营、社会治理场景均需常态化收集处理海量公民个人信息，个人信息已经成为数字化服务运转的基础要素，同时也是公民基本人格权益与合法权益保护的核心核心客体。长期以来，各类个人信息处理单位在业务运营过程中，普遍存在重数字化服务拓展、轻个人信息合规管控，重业务功能上线、轻前置安全风险评估的普遍问题，多数机构在新增个人信息处理业务、变更处理规则、对外共享提供个人信息、开展跨境数据传输前，未开展规范化个人信息安全影响评估工作，个人信息处理合规性未经校验、安全风险未经排查、保护措施未经核验，导致违规收集个人信息、超范围处理个人信息、未经同意对外共享披露个人信息、个人信息泄露滥用等合规问题频发，不仅侵害广大公民个人隐私及合法权益，还极易引发大规模合规处罚、舆情风险及社会不良影响，严重扰乱个人信息保护合规管理秩序。为统一全国范围内个人信息安全影响评估的标准化工作口径，规范各类个人信息处理主体评估工作实施流程、风险识别维度、合规研判尺度、保护措施核验标准及整改迭代管理机制，指导所有个人信息处理者前置排查个人信息处理活动合规隐患、精准识别安全风险、科学核验防护措施有效性、闭环落实风险整改加固，构建个人信息事前评估、事中管控、事后复盘、动态优化的全周期合规治理体系，实现个人信息处理业务合规运营与公民个人权益有效保障双向统筹，全面压实个人信息处理主体安全保护法定责任，筑牢全国个人信息安全合规保护根基，特制定本国家标准。本标准兼顾全网通用性与行业适配性、合规强制性与实操落地性、事前评估管控与事后长效迭代管理，适配政务、金融、医疗、教育、交通、互联网、电商、文旅等全行业个人信息处理评估工作实际开展需求，为全国个人信息常态化安全合规管控与精细化保护提供统一标准化底层实操支撑。1范围本标准系统规定了个人信息安全影响评估工作的基础术语定义、规范性引用依据、个人信息安全影响评估总体基本原则、评估工作基础原理、评估全生命周期实施流程、个人信息处理活动合规性评估内容、个人信息安全风险识别与研判规则、安全风险等级综合判定标准、个人信息保护管控措施有效性核验要求、评估工作记录与评估报告编制规范、评估发现问题整改闭环管理要求、评估工作复盘总结与动态迭代优化管理等全维度全链条核心工作内容。本标准聚焦各类主体开展的所有个人信息收集、存储、使用、加工、传输、共享、对外提供、公开披露、删除注销等全生命周期处理活动，专门规范个人信息安全影响评估基础方法论及通用实操实施规则，不替代各行业依据本标准编制的行业专属个人信息评估细化实施细则，所有行业细化补充细则均不得低于本标准规定的基础通用评估底线合规要求。本标准适用主体覆盖全国所有从事个人信息收集、处理、存储、传输、共享、公开、删除等相关活动的政务机关、企事业单位、社会组织、互联网运营平台及各类市场化数据处理组织机构，核心适用工作包含三大核心板块，一是各类个人信息处理责任主体，在新增个人信息处理业务、变更处理规则、对外共享跨境传输、开展高风险处理活动时，常态化自主开展个人信息安全影响评估全流程工作；二是具备专业资质的第三方合规咨询及安全测评机构，受委托为各类单位提供个人信息安全影响评估专项核验、合规梳理、报告编制、整改指导专业化支撑服务；三是各级网信、网络安全、数据安全、市场监管及行业主管监管部门，督导核查辖区及行业内个人信息安全影响评估工作开展落实成效、合规履职情况及风险整改闭环情况。本标准无行业及业务场景排他性要求，涉密个人信息及特殊敏感个人信息专项评估工作可在本标准基础上叠加涉密信息保密评估专项规范协同实施，兼顾通用个人信息与特殊高敏感个人信息评估管控需求。2规范性引用文件下列规范性引用文件是本标准个人信息安全影响评估筹备实施、风险识别、合规研判、等级判定、措施核验、报告编制、整改闭环、复盘迭代各项工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项个人信息安全影响评估管控工作执行要求。核心配套引用文件主要包含个人信息保护基础国标、数据安全治理相关规范、数据安全风险评估方法标准、网络安全等级保护系列基础标准、重要数据识别管理规范、数据全生命周期安全防护标准、网络数据分类分级相关国标等国家及行业权威规范。所有参与个人信息安全影响评估方案编制、资料收集、风险识别、合规研判、等级判定、措施核验、报告编制、整改复盘相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展评估工作，确保全流程个人信息安全影响评估工作合规统一、尺度一致、衔接顺畅、闭环可控。3术语和定义3.1个人信息安全影响评估：指个人信息处理者针对自身开展的各类个人信息全生命周期处理活动，系统性核验处理行为合法合规性、全面识别个人信息泄露、篡改、丢失、滥用、非法流转等各类安全风险、综合研判风险对个人信息主体合法权益及社会公共利益的危害程度、专项核查现有个人信息安全保护管理措施与技术防护措施有效性，针对性制定风险整改加固方案并闭环落实整改优化的全过程综合性合规评估与风险管控工作，简称个人信息保护影响评估。3.2个人信息处理活动：指个人信息处理者依托业务运营及服务开展需求，实施的个人信息收集、存储、使用、加工、传输、共享、对外提供、公开披露、删除、注销、销毁等所有涉及个人信息处置与运用的全流程操作行为，是个人信息安全影响评估的核心基础评估客体与核心管控对象。3.3个人信息主体权益影响：指个人信息处理活动不合规或安全防护不到位引发安全风险事件后，对公民个人人格尊严、隐私权益、人身财产安全、名誉信誉、正常生活秩序等合法正当权益造成的直接损害及间接衍生不良影响，是个人信息安全风险等级判定的核心核心研判指标。3.4个人信息保护措施有效性核验：指在个人信息安全影响评估过程中，对现有安全管理制度规范、人员岗位管控、技术防护设施、全流程操作审批、日常运维审计、应急处置保障等各类个人信息保护管控措施的适配性、完备性、落地性、实效性进行专项核查验证，判断现有措施是否能够有效抵御对应安全风险、保障个人信息合规处理与权益安全的专项评估工作。3.5评估整改闭环管理：指针对个人信息安全影响评估过程中发现的合规瑕疵、安全风险、防护短板、管理漏洞等各类问题，逐项制定专项整改措施、明确整改责任部门、限定整改完成时限、落实整改加固实施、开展整改复核验收、实现问题销号清零、留存整改全流程记录的闭环管控工作机制。4个人信息安全影响评估总体基本原则4.1依法合规，底线优先原则。个人信息安全影响评估全流程工作必须严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及国家标准强制性合规要求，严格对标个人信息处理合法、正当、必要、诚信核心法定原则，严守个人信息权益保护不可突破的合规底线，严禁通过评估简化合规流程、降低保护标准、规避法定责任，确保评估工作全程合法合规、有据可依、对标达标、履职到位。4.2权益为本，风险导向原则。评估工作始终以保障个人信息主体合法权益为核心首要目标，以个人信息安全风险全面防控为核心工作导向，所有评估环节、风险研判、措施核验、整改工作均围绕防范个人信息权益损害、化解各类安全风险开展，优先管控高敏感个人信息、高风险处理活动、高危害安全隐患，确保风险防控精准聚焦、权益保护落到实处。4.3全程覆盖，客观真实原则。个人信息安全影响评估需覆盖个人信息全生命周期所有处理环节及全部业务处理场景，做到评估无死角、风险无遗漏、场景全覆盖；评估工作坚持客观公正、真实务实，杜绝主观随意研判、刻意隐瞒风险、形式化走过场、纸面化应付评估，如实查摆合规问题与安全短板，真实反映个人信息处理安全现状。4.4分级适配，措施匹配原则。根据个人信息敏感等级、处理活动风险高低、权益影响危害大小实行差异化评估研判与防护整改，高敏感个人信息、高风险处理活动强化评估深度与整改力度，普通个人信息、常规处理活动落实基础评估管控，确保评估强度、整改措施与风险等级、权益影响精准适配、合理匹配。4.5事前前置，动态迭代原则。坚持个人信息安全影响评估事前前置开展，新增业务、变更规则、对外流转前必须完成评估工作，从源头规避合规与安全风险；建立评估动态迭代机制，结合业务调整、法规更新、风险变化、整改落地情况常态化复盘再评估，持续优化保护措施，实现评估工作长效化、常态化、动态化管理。5个人信息安全影响评估总体工作原理与适用评估场景5.1评估总体核心工作原理。个人信息安全影响评估工作以个人信息处理活动全流程合规校验为基础，以安全风险全面识别研判为核心，以现有保护措施有效性核查为关键，以风险问题整改闭环优化为落脚点，形成合规检查、风险识别、等级判定、措施核验、问题整改、复盘迭代的一体化评估闭环工作原理。通过全方位梳理个人信息处理业务现状，精准排查合规瑕疵与安全隐患，科学判定风险危害等级，核验现有防护管控措施是否足以抵御对应风险，对不达标的防护管理措施及时优化加固，确保个人信息处理活动全程合规可控、风险有效化解、权益切实保障。5.2必须开展强制评估核心场景。个人信息处理者在开展高风险个人信息处理活动前，必须强制前置开展专项个人信息安全影响评估，主要包含处理敏感个人信息、批量大规模处理个人信息、委托第三方受托处理个人信息、个人信息对外共享与提供、个人信息跨境传输出境、个人信息公开披露发布、新增个人信息处理业务系统上线、变更个人信息处理规则与用途、开展用户画像精准营销及自动化决策等高风险处理场景，上述场景未经评估合格不得擅自开展相关个人信息处理活动，严守前置评估管控底线。5.3常态化定期常规评估场景。除强制前置评估场景外，个人信息处理者需每年至少开展一次全单位常态化个人信息安全影响常规全面评估，覆盖所有存量个人信息处理业务及日常运营处理活动，全面排查长期运营积累的合规漏洞、安全隐患、管理短板，及时优化保护措施，保障常态化个人信息处理安全合规稳定运营，适配日常长效合规管控需求。6个人信息安全影响评估全流程实操实施规范6.1评估前期筹备与组织部署阶段。个人信息处理者需成立专项个人信息安全影响评估工作小组，明确单位主要负责人为评估工作第一责任人，确定合规管理部门、业务运营部门、技术运维部门协同工作分工，明确评估工作负责人、评估执行人员及复核监督人员岗位职责；结合业务实际制定专项评估工作实施方案，明确评估工作目标、评估覆盖范围、评估核心内容、实施工作步骤、时间进度安排、人员工作分工、资料收集清单及报告编制要求；同步组织评估工作人员开展专项培训宣贯，熟练掌握评估标准要求、合规法规依据、风险识别方法及实操工作流程，夯实评估工作组织、人员及方案基础保障。6.2评估资料全面收集梳理阶段。全面收集个人信息安全影响评估所需各类基础资料，主要包含国家及行业个人信息保护相关法律法规及标准规范、单位内部个人信息安全管理制度流程、个人信息处理业务台账、个人信息分类分级清单、业务系统个人信息处理流程说明、现有安全管理与技术防护措施文档、过往安全事件处置记录、第三方合作协议及保密约定、历史评估整改留存资料等相关材料；对收集的所有资料逐一梳理核对，确保资料真实完整、内容有效、贴合业务实际，精准摸清个人信息处理业务底数与防护现状，为后续合规校验与风险识别提供基础支撑。6.3个人信息处理活动合规性专项评估阶段。对照法律法规及标准规范法定要求，逐项核验个人信息全生命周期处理活动合规性，重点核查个人信息收集是否遵循最小必要原则、是否依法获取个人信息主体知情同意、处理用途目的是否明确合法、存储期限是否合规可控、对外共享提供是否依法履行审批及告知义务、个人信息主体查询更正删除注销权利是否有效保障、未成年人等特殊群体个人信息是否专项特殊保护，全面排查各类不合规处理行为，形成合规性问题明细清单。6.4个人信息安全风险全面识别与隐患排查阶段。围绕个人信息采集、存储、使用、加工、传输、共享、销毁全生命周期各环节，全面识别各类安全风险与安全隐患，重点排查内部人员越权访问违规操作、外部网络攻击入侵窃取数据、个人信息存储泄露篡改丢失、传输环节明文传输泄密、共享流转违规外泄、运维操作不当引发风险、防护措施失效管控缺位等各类安全风险；逐一梳理风险产生原因、风险发生场景、风险触发条件及潜在隐患点位，形成完整个人信息安全风险识别台账及隐患问题清单。6.5安全风险综合研判与等级判定阶段。结合风险发生概率高低、风险影响范围大小、对个人信息主体权益损害严重程度、对社会公共利益及单位运营合规影响程度四大核心维度，对识别排查出的各类安全风险开展综合研判分析；按照风险等级划分标准，精准判定高风险、中风险、低风险三个层级，明确各类风险管控优先级，高风险风险优先整改重点防控，中风险常规整改持续管控，低风险基础整改常态巡查，为后续防护措施核验及整改工作提供分级依据。6.6现有个人信息保护措施有效性核验阶段。针对已判定等级的各类合规问题及安全风险，专项核查单位现有个人信息安全管理措施、技术防护措施、人员管控措施、运维审计措施、应急处置措施的完备性、适配性、落地性及实际防护有效性；核验现有措施是否能够有效对应抵消各类安全风险、弥补合规短板、保障个人信息安全合规处理，对防护措施缺失、措施不完善、措施失效、措施与风险不匹配的情况，明确防护短板及薄弱环节，形成保护措施有效性核验问题清单。6.7评估报告编制与内部复核审定阶段。依据合规评估结果、风险识别台账、风险等级判定结论、保护措施核验情况，按照本标准规范要求编制正式个人信息安全影响评估专项报告，详实载明评估基本概况、评估范围内容、合规性评估结论、风险识别及等级判定情况、保护措施有效性核验结果、现存核心问题短板、风险防控整改建议、长效优化管理要求等核心内容；报告编制完成后由工作小组内部交叉复核、多部门联合审核、单位负责人最终审定，确保评估报告内容真实、结论客观、数据准确、建议可行。6.8问题整改加固与闭环销号管理阶段。针对评估发现的合规瑕疵、安全风险、防护短板等各类问题，逐项制定专项整改加固实施方案，明确每项问题整改责任部门、整改责任人、具体整改措施、整改完成时限及整改验收标准；严格按照整改方案逐项落实整改加固工作，优化完善管理制度流程、升级强化技术防护措施、规范业务操作行为、补齐管理防护短板；整改完成后组织专项复核验收，整改达标问题逐项闭环销号留存记录，整改未达标问题持续返工加固，确保所有评估问题全部整改到位、闭环管控。7个人信息处理合规性核心评估细化内容7.1个人信息收集环节合规评估。重点评估个人信息收集合法性、正当性、必要性落实情况，核查是否存在超范围超刚需收集、强制捆绑收集、静默私自收集等违规行为；核查个人信息收集前是否依法向信息主体明确告知处理目的、处理方式、存储期限、权益保障内容，是否依法获取信息主体自愿知情同意，敏感个人信息是否获取单独专项同意，未成年人个人信息是否获取监护人法定同意；核查收集个人信息方式合规性，杜绝隐蔽收集、诱导收集、强制授权收集等违规操作，确保收集环节全程合规有据。7.2个人信息存储与留存环节合规评估。评估个人信息存储位置安全合规性、存储期限管控合规性、数据备份管理规范性，核查是否超期限违规留存个人信息、是否违规异地跨境存储个人信息、备份数据是否同步落实安全管控；核查个人信息存储是否落实加密脱敏防护，敏感个人信息是否专项加密存储管控，是否建立存储数据定期清理机制，到期无用个人信息是否依法及时删除销毁，杜绝违规长期留存、违规存储管控缺位问题。7.3个人信息使用与加工环节合规评估。评估个人信息日常使用、加工处理、用户画像、自动化决策等操作合规性，核查使用加工用途是否与收集告知用途一致，是否擅自变更处理用途、超范围加工使用个人信息；核查自动化决策及精准营销是否保障信息主体拒绝权利，是否存在强制自动化决策、过度画像营销侵害权益行为；核查内部人员操作权限管控合规性，是否落实最小权限访问原则，杜绝越权使用、违规加工、擅自篡改个人信息问题。7.4个人信息共享提供与公开环节合规评估。评估个人信息对外共享、第三方受托处理、对外提供、公开披露全流程合规性，核查对外共享前是否开展合规评估、是否获取信息主体同意、是否与合作方签订安全保密协议；核查第三方受托机构安全资质及保护能力是否达标，是否明确双方安全责任边界；核查个人信息公开披露前是否严格脱敏审核，严禁公开敏感个人信息及隐私内容，杜绝违规共享、无序流转、擅自公开泄露个人信息问题。7.5个人信息删除注销与权益保障合规评估。评估个人信息主体查询、更正、删除、注销、撤回同意等法定权益保障落实情况，核查是否建立便捷高效的权益响应办理渠道，是否及时响应信息主体权益申请、按期办结反馈；评估个人信息处理终止、业务下线后的删除销毁工作落实情况，是否彻底清除留存个人信息及备份数据，杜绝违规留存、拒不注销、拖延处置个人信息侵害主体权益问题。8个人信息安全风险识别与等级判定细化规则8.1风险识别核心重点方向。风险识别聚焦个人信息泄露风险、个人信息篡改风险、个人信息丢失损毁风险、个人信息违规滥用风险、个人信息非法流转风险、内部违规操作风险、外部网络攻击风险、第三方合作衍生风险八大核心方向，全面排查管理缺位、技术薄弱、操作不规范、运维不到位、合作管控不严等各类引发风险的深层次根源，做到风险全覆盖、隐患全排查、根源全摸清。8.2低风险等级判定标准。低风险为危害程度最轻、影响范围最小、防控难度最低的安全风险等级，此类风险发生概率极低，即使发生风险事件，仅会对少量普通个人信息造成轻微影响，不会损害信息主体核心权益，不会引发舆情风险及合规处罚，对单位业务运营及社会公共利益无不良影响，仅需落实基础整改及常规巡查管控即可化解风险。8.3中风险等级判定标准。中风险为常规管控、中等危害程度的安全风险等级，此类风险存在一定发生概率，发生后会对一定数量普通个人信息或少量敏感个人信息造成不良影响，轻微损害信息主体合法权益，对单位日常业务运营造成一定干扰，不会引发重大舆情及严重合规处罚，需落实专项整改加固、定期风险复核管控化解风险。8.4高风险等级判定标准。高风险为危害程度最高、影响范围最广、防控优先级最高的安全风险等级，此类风险发生概率较高，一旦发生会造成大批量敏感个人信息泄露损毁滥用，严重侵害众多信息主体核心合法权益，引发重大舆情事件及严厉合规监管处罚，危害行业运营秩序及社会公共利益，需立即停工停业务整改、专项专班管控、强化纵深防护、常态化重点巡查防控。9个人信息保护措施有效性专项核验管理要求9.1安全管理制度措施核验。核验单位个人信息安全总体管理办法、专项管控制度、操作流程规范、责任追究机制等管理制度体系是否健全完善，制度是否贴合业务实操、是否落地执行、是否定期修订更新；核查制度是否覆盖个人信息全生命周期各环节管控要求，是否明确岗位权责、审批流程、管控标准，杜绝制度缺失、制度照搬、制度流于形式问题。9.2人员岗位安全管控措施核验。核验个人信息管理岗位人员配置、岗位职责划分、权限管控、入职审查、在岗培训、离岗注销、考核追责等人员管控措施是否有效落实；核查人员安全培训、警示教育、合规宣贯常态化开展情况，杜绝内部人员违规操作、权限滥用、履职不严引发内部泄密风险。9.3技术安全防护措施核验。核验个人信息加密存储、数据脱敏、访问控制、操作审计、异常监测、备份恢复、边界防护、接口安全等技术防护设施部署及运行有效性；核查技术防护策略配置合理、设备定期运维、漏洞及时修复、告警及时处置情况，确保技术防护措施能够有效抵御外部攻击及内部违规操作风险。9.4应急处置与事件复盘措施核验。核验个人信息安全事件专项应急预案、应急演练、事件上报、应急处置、复盘整改等应急保障措施完备性与有效性；核查过往安全事件处置记录、演练留存资料、复盘整改台账是否齐全，确保发生安全事件后能够快速响应、及时处置、止损减损、复盘优化。10评估报告编制规范与归档留存管理10.1评估报告核心编制内容。评估报告需内容完整、结论客观、数据真实、表述规范，核心包含评估工作