GB-T 38667-2020 信息安全技术 个人信息处理活动记录规范

GB/T38667-2020信息安全技术个人信息处理活动记录规范前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2020年4月28日联合正式发布，自2020年11月1日起全面正式落地实施，是我国个人信息保护领域专门规范个人信息处理活动全程留痕、记录管理、溯源审计的基础性、强制性配套国家级核心标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全与数据安全主管机构、权威标准化科研院所、政务民生信息化建设单位、互联网及数字化服务运营企业、专业个人信息合规审计测评机构联合统筹编制完成，深度对标《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及网络数据安全管理相关法规制度法定管控要求，精准衔接个人信息全生命周期合规治理、安全事件溯源、监管合规核查、主体权益维权举证法定工作刚需，从根本上解决了以往各类个人信息处理机构处理活动无统一记录标准、留痕内容杂乱缺失、记录存储管理无序、溯源取证无据可依、合规审计难以落地的行业长期共性合规痛点。本标准编制严格遵循依法合规留痕、全程全面覆盖、真实准确不可篡改、分级分类管理、安全可控保密、动态持续更新的核心编制原则，区别于通用个人信息安全防护类基础标准，本标准专门聚焦**个人信息处理全流程活动记录管控**专属工作，不以个人信息防护技术配置为核心，重点规范个人信息收集、存储、使用、加工、传输、共享、对外提供、公开披露、删除注销、销毁清算全生命周期所有处理行为的记录编制规范、核心记录要素、记录生成规则、长期留存管理、记录安全防护、审计核查核验及记录迭代更新全链条工作机制。本标准明确个人信息处理活动记录从基础规划、要素确定、实时生成、规范归集、安全存储、定期核验、审计追溯、到期处置、动态更新全流程标准化工作要求，既是各类个人信息处理者常态化开展处理活动留痕建档、合规自查、溯源取证的法定实操依据，也是各级网信、数据安全及行业监管部门开展个人信息合规督导核查、事件溯源追责，第三方审计测评机构开展合规审计、专项核验服务的统一合规准绳，是全国个人信息全周期精细化合规治理与安全溯源管控的核心支撑标准。引言随着我国数字化服务全域普及与个人信息处理场景持续拓展，各类政务办事、民生服务、互联网应用、商业运营、智能化服务场景常态化大规模开展个人信息各类处理活动，个人信息处理行为频次高、环节多、主体杂、流转广，一旦发生个人信息泄露、篡改、滥用、违规流转、权益侵害等安全事件与合规问题，若无规范化、标准化、全覆盖的处理活动记录支撑，将无法精准定位问题发生环节、无法追溯违规操作责任人、无法举证合规履职情况、无法落实监管整改与追责问责。长期以来，多数个人信息处理单位普遍存在重个人信息业务处理、轻处理活动留痕管理，重业务功能上线、轻记录台账规范建设的普遍问题，部分机构仅简单留存粗放操作日志，记录要素缺失、内容失真、可篡改删除、留存期限不足、记录未加密防护，出现个人信息合规处罚及安全事件后无有效记录佐证，难以自证合规、难以溯源整改、难以应对监管核查，持续积累大量合规风险与安全隐患。为统一全国范围内个人信息处理活动记录标准化编制与管理口径，规范各类个人信息处理主体记录生成规则、核心记录要素、归集管理流程、留存期限标准、安全防护要求、审计追溯方法及动态更新机制，指导所有个人信息处理者搭建标准化、规范化、不可篡改、全程可溯的个人信息处理活动留痕管理体系，实现个人信息处理行为全程有据可查、有源可溯、有责可追、有据举证，构建事前留痕规范、事中实时记录、事后审计溯源、长效动态管理的全周期记录管控格局，全面压实个人信息处理活动全程合规留痕主体责任，筑牢个人信息合规治理、安全事件溯源、监管核查应对的基础台账支撑根基，特制定本国家标准。本标准兼顾全网全行业通用性与业务实操适配性、合规强制性与长期管理实用性、静态记录归档与动态更新运维管理，适配政务、金融、医疗、教育、交通、互联网、电商、文旅等全行业各类个人信息处理机构记录管理工作实际开展需求，为全国个人信息处理活动标准化留痕与合规溯源管控提供统一底层实操规范。1范围本标准系统规定了个人信息处理活动记录管理工作的基础术语定义、规范性引用依据、个人信息处理活动记录总体基本原则、记录工作基础管控逻辑、个人信息全生命周期各处理环节核心记录要素规范、记录实时生成与归集整理要求、记录分级分类管理规则、记录安全存储与防篡改管控要求、记录留存期限与到期处置规范、记录查询调取与审计核验管理、记录缺失整改与动态更新运维、记录归档保密与责任追溯管理等全维度全链条核心工作内容。本标准聚焦各类主体开展的所有个人信息收集、存储、使用、加工、传输、共享、对外提供、公开披露、删除注销、销毁清算全生命周期处理活动，专门规范个人信息处理活动记录编制、生成、归集、存储、管理、审计、处置全流程通用实操规则，不替代各重点行业依据本标准编制的行业专属个人信息记录管理细化实施细则，所有行业细化补充细则管控要求均不得低于本标准规定的基础通用记录管理合规底线。本标准适用主体覆盖全国所有从事个人信息收集、处理、存储、传输、共享、公开、删除、注销、销毁等相关活动的政务机关、企事业单位、社会组织、互联网运营平台、数字化服务机构及各类市场化个人信息处理组织机构，核心适用工作包含三大核心板块，一是各类个人信息处理责任主体，常态化开展个人信息处理活动实时记录、台账归集、安全存储、归档管理、自查整改全流程留痕工作；二是具备专业资质的第三方合规审计及安全测评机构，受委托开展个人信息处理活动记录合规核验、审计溯源、台账梳理、合规举证专业化支撑服务；三是各级网信、网络安全、数据安全、市场监管及行业主管监管部门，督导核查辖区及行业内个人信息处理活动记录规范建设落实成效、留痕合规履职情况及溯源审计闭环管理情况。本标准无行业及业务场景排他性要求，涉密个人信息处理活动专项记录管理工作可在本标准基础上叠加涉密信息台账保密管理专项规范协同实施，兼顾通用个人信息与特殊涉密高敏感个人信息记录管控双重需求。2规范性引用文件下列规范性引用文件是本标准个人信息处理活动记录规划编制、实时生成、归集整理、分级管理、安全存储、留存处置、审计核查、动态更新各项工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项个人信息处理活动记录管控工作执行要求。核心配套引用文件主要包含个人信息保护基础国家标准、数据安全治理相关规范、网络数据分类分级国标、数据安全风险评估标准、网络安全等级保护系列基础规范、数据全生命周期安全防护标准、信息系统审计相关国标、电子档案归档管理规范等国家及行业权威规范。所有参与个人信息处理活动记录规则制定、记录生成运维、台账归集归档、审计核查溯源、整改优化管理相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展记录管理工作，确保全流程个人信息处理活动记录管理合规统一、标准一致、衔接顺畅、闭环可控。3术语和定义3.1个人信息处理活动记录：指个人信息处理者在开展个人信息收集、存储、使用、加工、传输、共享、对外提供、公开披露、删除注销、销毁清算等全生命周期各类处理活动过程中，按照统一标准化规范实时生成、如实归集、长期留存、不可篡改的全流程操作留痕台账与电子日志资料，是个人信息处理合规性举证、安全事件溯源、违规责任认定、监管核查备查的核心法定凭证与溯源依据。3.2记录核心要素：指个人信息处理活动记录必须强制包含、不可缺失的基础关键信息内容，涵盖处理活动主体信息、处理时间节点、处理操作行为、涉及个人信息范围与类型、操作责任人、处理用途目的、流转去向、操作审批依据、处理结果状态等基础必备内容，是保障记录完整有效、可查可溯的核心基础要件。3.3记录防篡改管控：指通过技术防护与管理管控双重手段，对个人信息处理活动记录实行禁止随意修改、禁止违规删除、禁止私自补录、全程变更留痕的专项管控措施，确保所有原始处理活动记录真实客观、全程原状留存、修改操作全程可追溯，杜绝记录造假、删改规避合规核查的违规行为。3.4记录分级管理：指根据个人信息敏感等级、处理活动风险高低、记录内容涉密程度，对个人信息处理活动记录划分不同管理等级，实行差异化存储防护、差异化查询审批、差异化留存期限、差异化销毁处置的精细化记录管控模式，实现记录防护强度与记录风险等级精准匹配。3.5记录到期处置：指个人信息处理活动记录达到法定及标准规定留存期限后，按照规范流程开展记录甄别、备份归档、安全销毁、处置留痕的专项收尾管理工作，杜绝记录超期无效留存占用资源，同时防范记录销毁不当引发二次信息泄露风险。4个人信息处理活动记录总体基本原则4.1依法合规，强制留痕原则。个人信息处理活动所有记录管理工作必须严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及国家标准强制性合规要求，严格落实个人信息处理全环节必记录、无遗漏必留痕的法定底线要求，严禁刻意不生成记录、故意缺失记录、私自删改记录、虚假补录记录，确保记录管理全程合法合规、有据可依、强制落实、履职到位。4.2全程全面，无一遗漏原则。个人信息处理活动记录必须覆盖个人信息全生命周期所有处理环节、所有业务处理场景、所有操作运维人员、所有内外流转链路，做到处理行为发生即记录、环节全覆盖、场景无死角、操作无遗漏，不存在任何无记录的个人信息处理操作，保障每一项处理活动均可精准溯源。4.3真实准确，不可篡改原则。所有个人信息处理活动记录必须如实实时生成、客观真实填报、数据准确无误，严禁人为篡改原始记录、删除操作日志、补录虚假信息、隐瞒违规操作记录；同步落实防篡改技术与管理措施，所有记录变更、调整、修复操作均需专项审批并全程留痕，确保原始记录始终保持真实原貌。4.4分级适配，安全保密原则。按照个人信息敏感程度及处理活动风险等级实行记录分级差异化管理，高敏感个人信息及高风险处理活动对应的记录强化安全防护与严格审批管控，普通个人信息常规处理记录落实基础防护管理；所有记录均按保密要求管控，严禁记录违规对外泄露、私自查阅、无序流转，保障记录资料本身安全可控。4.5长期留存，动态迭代原则。严格按照标准及法规要求落实记录长期留存管理，满足监管核查、合规举证、事件溯源长期追溯需求；同步建立记录动态运维机制，结合业务新增调整、处理规则变更、法规标准更新常态化优化记录要素与管理规则，持续适配个人信息处理业务变化管控需求。5个人信息处理活动记录总体管控架构与分级管理规则5.1记录总体管控架构逻辑。个人信息处理活动记录管理整体采用统一标准规范、分级分类管控、全流程实时生成、安全存储归档、审计溯源备查、到期规范处置的一体化闭环管控架构，以个人信息全生命周期处理环节为记录核心脉络，以记录核心要素齐全完整为基础要求，以防篡改安全防护为关键保障，以审计核查溯源追责为管理落脚点，形成记录生成、归集、存储、管理、审计、处置全链条闭环管理体系，确保个人信息处理每一项操作均可查、可溯、可证、可追责。5.2一级普通处理活动记录管理。一级记录对应普通非敏感个人信息常规日常处理活动，记录管理要求为基础标准化留存，核心保障基础记录要素齐全、实时生成、常规存储、按需备查，无需强化加密及严格审批管控，适配日常普通业务个人信息简单收集、常规使用、内部基础流转等低风险处理活动记录管理需求。5.3二级重要处理活动记录管理。二级记录对应一般重要个人信息及常规业务处理活动，记录管理要求为常规防护、专人管理、定期核验、规范归档，落实记录基础加密存储、查询操作简单审批、定期台账核对管控，适配内部核心业务个人信息处理、常规共享对接、日常运维操作等中等风险处理活动记录管理需求。5.4三级核心敏感处理活动记录管理。三级记录对应敏感个人信息、大规模批量个人信息及高风险处理活动，记录管理要求为强化防护、专班管控、严格审批、全程加密、定期专项审计，落实记录高强度防篡改存储、查询调取一事一审批、操作全程复核留痕、专项定期核验管控，适配敏感个人信息处理、对外共享提供、跨境传输、公开披露等高风险处理活动记录管理需求。6个人信息全生命周期各环节核心记录要素规范6.1个人信息收集环节必备记录要素。个人信息开展收集处理活动时，必须实时完整记录收集工作全量核心信息，详实记录收集行为发生的精确年月日时分秒时间、收集业务对应的具体服务项目与业务用途、收集个人信息的具体类型明细、收集信息规模数量、信息获取来源渠道区分直接从主体收集或间接第三方获取、收集操作执行工作人员及责任人信息、收集前已履行告知及获取同意的凭证编号与合规依据、收集操作对应的系统终端及设备编号、收集完成后的初始存储位置及数据状态，确保个人信息从源头收集环节即可形成完整合规留痕，溯源可查收集行为合规性与操作责任人。6.2个人信息存储留存环节必备记录要素。个人信息入库存储及日常留存管理过程中，需持续记录存储配置及运维变动全量信息，详实记录数据初始存储时间、存储服务器及数据库具体位置、存储加密及脱敏防护配置状态、数据备份频次及备份存储位置、存储期限合规设定时长、存储运维巡检操作记录、存储策略调整变更记录、存储数据清理及过期预处理操作信息、存储管理责任岗位及运维人员信息，全面留存个人信息存储期间所有运维变动及管理操作记录，防范存储环节违规留存及私自篡改问题。6.3个人信息使用与加工环节必备记录要素。个人信息日常使用、加工处理、用户画像、自动化决策等操作过程中，需精准记录每一次使用加工操作核心信息，详实记录使用加工操作执行时间、操作对应的具体业务应用场景、加工处理个人信息范围及数量、操作执行人员及审批人员信息、使用加工用途是否与初始收集告知用途一致、自动化决策及画像建模操作明细、操作完成后的信息状态变动情况、操作审计日志留存编号，杜绝超范围违规使用加工个人信息，确保每一次加工操作全程留痕可追溯。6.4个人信息传输与共享对外提供环节必备记录要素。个人信息内部传输、跨部门流转、对外共享、第三方受托处理、对外提供等高风险操作环节，必须强化细化记录要素归集，详实记录传输共享发起时间、转出及接收双方主体单位及对接人员信息、传输共享个人信息类型及批量数量、传输共享审批流程及审批文书编号、传输采用的安全防护方式、共享合作协议编号及保密约定内容、信息流转后的使用限制要求、流转后续回访核查记录、传输共享操作终止时间及收尾状态，严格管控个人信息跨主体流转全程留痕，防范违规无序流转泄露风险。6.5个人信息公开披露环节必备记录要素。个人信息依法依规公开披露发布前及发布过程中，需专项留存公开全流程记录，详实记录公开披露发起审批时间、公开披露个人信息具体内容及脱敏处理情况、公开合规审核责任人及审核意见、公开发布平台及发布渠道信息、公开披露期限设定、公开后舆情及风险监测记录、公开信息后续调整下架操作记录，严禁未经审核擅自公开敏感个人信息，确保公开披露行为合规留痕可查。6.6个人信息删除注销与销毁清算环节必备记录要素。个人信息业务终止、主体申请注销、到期清理及数据销毁过程中，需完整记录删除销毁全流程操作信息，详实记录删除销毁申请时间及申请主体、操作执行时间、删除销毁个人信息范围及数量、操作执行人员及复核验收人员信息、删除销毁操作方式及技术手段、备份数据同步清理处置情况、删除销毁完成验收结论、处置完成留存归档凭证，杜绝个人信息违规留存、销毁不彻底残留隐患，确保注销销毁操作闭环留痕。7个人信息处理活动记录生成与归集整理管理要求7.1记录实时自动生成优先原则。个人信息处理活动记录优先依托业务系统、安全审计系统、运维管理系统实现自动化实时生成，减少人工手动录入操作，避免人工记录漏填错填、刻意篡改问题；系统自动生成的原始日志不得随意人工干预调整，确因系统故障需要补录修正的，必须履行专项审批手续并同步留存补录修正原因及操作记录，保障记录生成原始性与真实性。7.2人工辅助记录规范填报要求。对于无法系统自动生成的线下个人信息处理操作、人工审批流转、线下共享对接等特殊处理活动，需安排专人按照标准规范及时、如实、精准填报人工辅助记录，严格按照必备核心要素逐项完整填报，不得缺项漏项、简写模糊填报、延后补填虚假信息，人工记录填报完成后需专人复核校验，确保人工记录真实有效、要素齐全。7.3记录定期归集汇总整理工作。按照日归集、周核对、月汇总的常态化管理节奏，定期将系统自动生成记录与人工辅助记录统一归集整合，分类梳理形成个人信息处理活动月度台账汇总资料，剔除无效重复记录、核对记录要素一致性、补齐缺失记录内容，确保所有处理活动记录统一归档、分类清晰、台账完整，便于后续审计核查与溯源调取。7.4记录交叉复核校验机制。建立业务部门与安全管理部门双向交叉复核校验机制，定期核对个人信息实际处理业务开展情况与留存记录是否匹配，排查有业务无记录、有记录无实际业务、记录信息与实际操作不符等问题，发现记录缺失、错漏、失真问题及时整改补全，确保记录与实际处理活动完全一致。8个人信息处理活动记录安全存储与防篡改管控规范8.1记录专属安全存储区域配置。个人信息处理活动记录需单独划分专属安全存储区域，与普通业务数据、互联网访问数据物理隔离或逻辑隔离，严禁记录与普通数据混存混管；高等级敏感处理记录单独加密专属存储，设置专属访问权限管控，杜绝无关人员随意访问调取记录资料。8.2记录防篡改技术防护部署。部署日志防篡改、只读保护、操作加密、变更溯源等专项技术防护措施，原始记录一经生成固化为只读状态，禁止任何人员随意修改、删除、覆盖原始记录；所有针对记录的查询、调取、复制、修复等操作均同步生成二次操作记录，实现记录管理操作全程再留痕，全方位防范记录篡改删改风险。8.3记录备份与容灾恢复管理。按照数据备份管理规范，定期对个人信息处理活动记录开展全量备份存储，备份数据与原始记录异地分开存储，定期开展备份恢复测试，确保原始记录意外损坏、丢失后可快速恢复留存资料，保障记录长期完整可用，不因系统故障、设备损坏导致记录灭失。8.4记录访问最小权限管控。严格落实记录访问最小必要权限原则，仅赋予记录管理、审计核查、监管对接必要岗位人员访问调取权限，实行权限专人专岗、按需赋权、定期复核、到期回收；所有记录访问调取操作全程审计留痕，严禁越权访问、私自查阅、违规拷贝外泄记录资料。9个人信息处理活动记录留存期限与到期处置流程9.1基础最低通用留存期限要求。个人信息处理活动记录基础留存期限不得低于法律法规及本标准规定的最低年限，常规个人信息处理活动记录留存时间需覆盖业务运营周期、合规追溯周期及监管核查周期；涉及个人信息主体权益纠纷、合规处罚、安全事件处置的相关记录，需在事件办结、纠纷处置、追责完成后额外延长留存周期，确保溯源举证长期可用。9.2分级差异化留存期限适配。一级普通处理记录按基础最短期限常规留存，到期后按规范流程处置；二级重要处理记录适度延长留存期限，保障中长期合规核查需求；三级核心敏感处理记录实行长期归档留存，未经专项审批不得提前销毁处置，适配高风险业务长期溯源管控需求。9.3记录到期甄别评估工作。记录达到留存期限后，不得直接随意销毁，需先由管理部门开展到期记录专项甄别评估，区分是否仍有合规核查、事件溯源、纠纷举证、监管备查后续需求，仍需继续留存的延期归档保管，无后续留存需求的纳入规范销毁处置流程。9.4记录到期安全销毁处置流程。确定无需继续留存的到期记录，按照安全销毁规范流程开展处置工作，电子记录彻底清零删除、介质格式化销毁，纸质记录粉碎销毁，全程留存销毁处置审批记录、销毁操作记录、复核验收记录，杜绝记录销毁不彻底、残留外泄二次风险。10个人信息处理活动记录查询调取与审计核验管理10.1内部常规查询调取管理。单位内部因业务复盘、合规自查、运维管理需要查询调取记录的，需履行内部审批流程，明确查询调取用途、查询范围、使用人员及使用期限，审批通过后方可依规调取使用，查询使用过程严禁拷贝外泄、私自传播记录资料，使用完毕后及时回收管控。10.2外部监管及司法调取管理。各级监管部门、司法机关依法依规调取个人信息处理活动记录的，严格按照法定程序对接配合，核验调取