GB-T 35273-2020 信息安全技术 个人信息安全规范

GB/T35273-2020信息安全技术个人信息安全规范前言本标准由国家市场监督管理总局、中国国家标准化管理委员会于2020年3月6日联合正式发布，自2020年10月1日起全面正式落地实施，同步替代GB/T35273-2017旧版个人信息安全规范，是我国个人信息保护领域最核心、最基础、适用范围最广的通用性国家级主干标准。本标准归口管理于全国信息安全标准化技术委员会，由国家网络安全与数据安全主管职能机构、权威标准化科研院所、政务信息化建设管理单位、头部互联网运营平台、金融医疗交通重点行业机构及专业个人信息合规测评审计单位联合统筹编制完成，深度对标《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等上位法律法规法定强制性要求，精准衔接个人信息全生命周期合规处理、安全防护、主体权益保障、合规自查整改、监管督导核查全链条工作刚需，从根本上统一了全国各行业个人信息处理合规底线、安全管控尺度与履职责任边界，彻底解决了以往个人信息处理规则杂乱、保护标准不一、敏感信息管控缺失、主体权利落实不到位、合规管理流于形式的行业共性合规难题。本标准编制严格遵循权责一致、目的明确、选择同意、最小必要、公开透明、确保安全、主体参与七大核心编制准则，区别于专项评估、记录管理、分类分级等配套衍生国标，本标准是个人信息保护领域基础性总纲性规范，全面统筹个人信息收集、存储、使用、加工、传输、共享、转让、公开披露、删除注销、销毁清算全生命周期所有处理活动基础合规要求与安全管控细则。本标准重点细化普通个人信息与敏感个人信息差异化管控规则，专门强化个人生物识别信息等高特殊敏感信息专项保护要求，明确个人信息处理者法定主体责任、内部组织管理要求、人员安全管控规范、个人信息主体法定权利保障流程、安全事件应急处置机制及常态化合规审计管理要求。本标准既是各类个人信息处理者常态化开展业务合规运营、内部安全管理、用户权益保障的核心实操依据，也是各级网信、数据安全及行业监管部门开展个人信息合规检查、违规处罚督导，第三方测评机构开展合规核验、认证评估与整改指导的统一合规准绳，是我国全网个人信息常态化合规治理与隐私权益保护工作的根本性支撑标准。引言随着我国数字经济深度发展、移动互联网应用全面普及、智能化服务全域覆盖，政务办事、民生保障、社交娱乐、商业消费、办公经营等各类生产生活场景均依托网络平台大规模采集和处理公民个人信息，个人信息已然成为数字社会运转的核心基础生产要素，同时也是公民人格尊严、人身财产安全等合法权益保护的核心关键客体。在数字化服务快速扩张的发展过程中，各类个人信息处理机构普遍存在重业务功能拓展、轻个人信息合规保护，重用户规模增长、轻隐私权益保障的普遍发展偏差，部分机构存在超范围强制收集个人信息、非必要静默采集敏感信息、未经同意违规共享对外提供个人信息、用户注销删除权利形同虚设、个人信息防护措施薄弱易泄露等各类违规乱象，不仅严重侵害广大公民个人隐私与合法权益，还极易引发大规模个人信息泄露安全事件、网络诈骗衍生风险及社会舆情隐患，扰乱个人信息保护合规管理秩序与数字经济健康发展环境。为全面规范全国各类机构个人信息全生命周期处理活动，统一个人信息处理合法合规底线要求与安全保护标准，细化普通个人信息与敏感个人信息分级分类差异化保护规则，压实个人信息处理者安全保护主体责任，明确个人信息主体各项法定权益保障流程，健全个人信息安全风险防控与安全事件应急处置体系，指导所有个人信息处理机构平衡数字化业务运营发展与个人信息安全合规保护双向需求，构建事前合规管控、事中全程防护、事后应急处置、长效迭代优化的全周期个人信息保护治理格局，切实筑牢公民个人信息安全防护屏障，维护数字社会安全稳定与群众合法权益，特修订发布本国家标准。本标准兼顾全行业通用适配性与重点行业专项管控需求、合规强制性与实操落地性、日常常规管理与特殊高风险场景管控，适配政务、金融、医疗、教育、交通、互联网、电商、文旅、工业互联网等全领域所有个人信息处理机构日常合规运营管理工作实际需求，为全国个人信息规范化、精细化、长效化安全保护提供统一底层实操遵循。1范围本标准系统规定了个人信息处理活动安全管理的基础术语定义、规范性引用依据、个人信息处理七大核心基本原则、个人信息全生命周期各环节基础合规处理要求、普通个人信息与敏感个人信息差异化保护规范、个人信息收集合规管控细则、存储留存安全防护要求、使用加工合规管控规则、共享转让对外提供及公开披露专项管控规范、个人信息删除注销与销毁清算闭环管理要求、个人信息主体各项法定权利保障实施流程、个人信息处理者内部组织管理与人员岗位安全管控要求、个人信息安全事件识别预警与应急处置规范、常态化合规审计与持续改进管理机制等全维度全链条核心工作内容。本标准聚焦各类组织开展的所有个人信息采集、存储、使用、加工、传输、共享、转让、公开披露、删除、注销、销毁全生命周期处理活动，统一规范全网通用个人信息安全保护基础底线规则，各重点行业可依据本标准结合行业业务特性制定专属细化实施细则，所有行业细化细则管控标准均不得低于本标准划定的基础合规保护底线。本标准适用主体覆盖全国所有依法开展个人信息处理活动的政务机关、企事业单位、社会组织、互联网服务运营平台、数字化服务机构、第三方受托处理企业及各类市场化个人信息控制与处理组织机构，核心适用工作涵盖三大核心板块，一是各类个人信息处理责任主体，常态化开展个人信息合规处理、安全防护部署、主体权益保障、内部人员管理、安全事件处置及合规自查整改全流程工作；二是具备专业合规资质的第三方测评认证及合规咨询机构，受委托开展个人信息合规评估、安全认证、专项核验、整改优化指导专业化支撑服务；三是各级网信、网络安全、数据安全、市场监管及各行业主管监管部门，督导核查辖区及行业内个人信息合规处理落实情况、主体责任履职情况、安全保护措施落地成效及违规问题整改闭环情况。本标准无业务场景及行业排他性要求，涉密个人信息、未成年人个人信息、跨境传输个人信息等特殊类型个人信息保护工作，可在本标准基础上叠加专项保密规范、未成年人保护规范、数据跨境管理规范协同实施，兼顾通用保护与特殊场景专项管控双重需求。2规范性引用文件下列规范性引用文件是本标准个人信息合规处理、安全防护部署、主体权利保障、安全事件处置、合规审计改进各项工作开展不可或缺的核心配套支撑依据，凡是标注具体发布日期的引用文件，仅对应标注版本内容适用于本标准；凡是未标注具体发布日期的引用文件，其最新有效修订版本及所有后续增补修改单内容均统一适配本标准各项个人信息安全保护管控工作执行要求。核心配套引用文件主要包含信息安全基础术语国家标准、网络安全等级保护系列基础规范、数据安全风险评估相关国标、网络数据分类分级规范、个人信息安全影响评估指南、个人信息处理活动记录规范、电子档案安全管理标准、信息系统安全运维相关规范等国家及行业权威合规技术文件。所有参与个人信息处理规则制定、安全防护部署、权益保障实施、安全事件处置、合规审计整改相关工作的机构及从业人员，必须同步严格遵循对应引用文件协同开展个人信息保护管理工作，确保全流程个人信息安全保护工作合规统一、尺度一致、衔接顺畅、闭环可控。3术语和定义3.1个人信息：指以电子或者其他方式记录的，能够单独或者与其他信息结合识别特定自然人身份，或者能够反映特定自然人活动情况的各类信息总和，涵盖自然人姓名、身份证件号码、联系方式、住址、出生日期、民族、学历、工作单位、财产状况、征信信息、健康医疗信息、行踪轨迹、上网记录、生物识别信息等各类关联自然人身份及活动的相关数据信息，是本标准核心保护客体与基础管控对象。3.2敏感个人信息：指一旦泄露、非法提供或滥用，极易危害自然人人身财产安全、人格尊严，或者容易引发歧视性待遇、重大权益损害的特殊个人信息，主要包含生物识别信息、宗教信仰信息、特定身份信息、医疗健康信息、金融财产信息、行踪轨迹信息、未成年人个人信息等核心高敏感信息，需落实比普通个人信息更严格的专项强化保护管控措施。3.3个人信息处理者：指依据法定职责或业务运营需要，自主决定个人信息处理目的、处理方式及处理范围的各类组织或机构，依法承担个人信息安全保护第一主体责任，负责全流程个人信息合规处理、安全防护部署、主体权益保障、安全事件处置及合规整改优化各项核心工作。3.4个人信息主体：指个人信息所对应的特定自然人，依法享有个人信息查询、更正、删除、注销、撤回同意、拒绝自动化决策等各项法定合法权益，有权要求个人信息处理者规范处理个人信息、保障信息安全、整改违规问题。3.5个人信息受托处理者：指受个人信息处理者委托，按照委托约定范围及用途，专项开展个人信息处理相关活动的第三方机构，仅可按照委托要求合规处理个人信息，不得擅自变更处理用途、扩大处理范围、私自对外共享转让个人信息，需同步落实安全防护措施并接受委托方合规监管。4个人信息处理核心基本原则4.1权责一致原则。个人信息处理者依法承担个人信息处理全流程安全保护主体责任，明确内部各部门、各岗位个人信息管理权责边界，做到处理行为有据可依、安全责任落实到人、违规问题追责到位，切实履行个人信息合规处理与安全保护法定义务，不得推诿转嫁法定主体责任。4.2目的明确原则。个人信息处理必须具备合法、正当、明确、具体的业务处理目的，处理目的需提前向个人信息主体清晰告知并取得对应同意，处理活动不得超出预先明确的合法业务范围，严禁擅自变更处理目的、扩大处理范围、新增无关处理场景。4.3选择同意原则。个人信息处理除法定豁免情形外，必须事先获取个人信息主体自愿、明确、知情的自主同意，敏感个人信息需获取单独专项同意，未成年人个人信息需获取监护人法定同意，信息主体有权随时撤回已授权同意，处理者不得强制捆绑授权、静默默认同意、变相胁迫同意。4.4最小必要原则。严格遵循数据最小化采集与处理要求，仅采集和处理实现既定业务目的所必需的最少范围、最少数量个人信息，不得超业务刚需强制采集非必要个人信息，不得超额存储、过度加工、无序流转个人信息，业务终止后及时清理无关冗余个人信息。4.5公开透明原则。个人信息处理规则、处理范围、存储期限、共享对象、权益保障渠道等核心内容需全程公开透明、清晰易懂，不得以晦涩冗长条款、隐藏弹窗、默认勾选等方式隐瞒处理规则，保障信息主体充分知晓个人信息处理相关情况。4.6确保安全原则。个人信息处理者需根据个人信息敏感等级及处理风险高低，配套部署适配的管理措施与技术防护手段，全方位防范个人信息泄露、篡改、丢失、滥用、非法流转等安全风险，持续保障个人信息全生命周期安全可控。4.7主体参与原则。充分保障个人信息主体各项法定权益，搭建便捷高效的权益申请响应渠道，及时受理并按期办结信息主体查询、更正、删除、注销、撤回同意等各类权益诉求，保障信息主体全程参与个人信息管理、自主掌控个人信息使用权益。5个人信息处理总体基础通用要求5.1合法正当合规基础要求。个人信息所有处理活动必须严格遵循法律法规及本标准规范要求，秉持正当合理的处理初衷，不得采用欺诈、胁迫、诱导、静默采集等不正当方式处理个人信息，所有处理行为必须具备合法合规依据，杜绝各类违规违法处理行为。5.2分区分级差异化管控要求。严格区分普通个人信息与敏感个人信息，实行分级分类差异化处理与保护管控模式，敏感个人信息单独划定专项管控规则、强化防护措施、严格审批流程、严控流转范围，普通个人信息落实基础合规管控，实现保护强度与信息敏感等级精准匹配。5.3处理活动全程留痕要求。个人信息全生命周期各类处理活动需按照对应国标规范全程留存处理记录，做到操作可查、行为可溯、责任可追，记录真实准确、不可篡改、长期留存，为合规自查、事件溯源、监管核查提供有效凭证支撑。5.4禁止违规过度处理要求。严禁以任何形式过度采集、过度加工、过度共享、过度留存个人信息，不得将个人信息用于营销推广、用户画像等与初始处理目的无关的业务场景，杜绝违规二次利用个人信息侵害主体权益。6个人信息收集合规管控规范6.1收集前置告知义务要求。个人信息正式收集前，处理者必须以清晰易懂、醒目直观的方式，向个人信息主体如实告知个人信息处理目的、处理方式、收集信息范围、存储留存期限、对外共享情况、主体合法权益、投诉反馈渠道等核心关键内容，告知内容不得隐瞒遗漏、模糊晦涩、变相隐藏核心条款。6.2收集授权同意合规要求。除法定无需同意豁免情形外，所有个人信息收集必须获取信息主体自愿明确同意，同意行为需由主体主动自主作出，不得默认勾选、强制捆绑、弹窗胁迫获取授权；敏感个人信息必须单独逐项获取专项同意，不得与普通信息授权合并捆绑授权，充分保障主体自主选择权。6.3最小必要采集管控要求。严格按照业务刚需划定个人信息收集范围，仅采集业务运营必不可少的个人信息，不得采集与业务服务无关的非必要信息，不得强制索要手机权限、通讯录、位置信息等非必要敏感权限，杜绝静默后台私自采集个人信息的违规行为。6.4间接获取个人信息收集要求。从第三方间接获取个人信息的，需提前核验第三方信息来源合法性，确认第三方已依法获取信息主体授权同意，不得从不合规非法渠道采购个人信息；同时需及时向信息主体告知间接获取信息相关情况，保障主体知情权与后续权益。6.5生物识别信息专项收集要求。收集人脸、指纹、声纹等个人生物识别信息的，必须具备特殊业务刚需且征得主体单独明示同意，仅用于身份核验等核心必要场景，不得用于无关营销画像等用途，采集过程落实专项加密防护，严控生物识别信息存储与流转范围。7个人信息存储留存安全防护规范7.1存储期限合规管控要求。个人信息存储留存严格遵循存储期限最短化原则，仅留存实现处理目的所需的最短周期，业务终止、服务下线或存储期限届满后，及时对个人信息进行删除销毁处理，不得超期无故违规留存个人信息及备份数据。7.2分级安全存储防护要求。普通个人信息落实基础安全存储防护措施，敏感个人信息必须采用加密存储、数据脱敏等专项技术防护手段，个人生物识别信息实行独立加密专属存储，与普通业务数据物理或逻辑隔离，严防敏感信息泄露篡改。7.3数据备份与容灾管理要求。建立个人信息定期备份与容灾恢复机制，备份数据同步落实同等安全防护措施，异地分开存储管理，定期开展备份恢复测试，确保原始数据意外损坏丢失后可快速恢复，不因设备故障、系统问题造成个人信息灭失。7.4存储访问权限管控要求。严格落实存储数据最小访问权限原则，精细化配置数据库及存储设备访问权限，专人专岗按需赋权，定期权限复核清理，杜绝无关人员越权访问、违规操作个人信息存储数据，所有访问操作全程审计留痕。8个人信息使用与加工合规管控规范8.1使用加工目的合规约束要求。个人信息使用与加工处理必须严格限定在预先告知并获取同意的业务目的范围内，不得擅自变更使用用途、扩大加工范围，不得超出授权范围开展用户画像、精准营销、自动化决策等加工处理活动。8.2自动化决策专项管控要求。依托个人信息开展自动化决策、精准用户画像、个性化推荐等处理活动的，需保障决策规则公开透明，不得基于特殊敏感信息开展歧视性自动化决策，信息主体有权拒绝纯自动化决策服务，处理者需提供人工干预申诉渠道。8.3内部加工操作管控要求。内部人员开展个人信息加工处理操作需严格履行审批流程，规范操作行为，严禁私自查阅、拷贝、外传个人信息，加工操作全程留痕审计，定期开展内部操作合规巡检，排查违规加工处理隐患问题。8.4信息脱敏与匿名化处理要求。对外展示、内部测试等非核心业务场景使用个人信息时，需提前开展脱敏去标识化处理，去除可识别自然人身份的核心敏感字段；匿名化处理后的信息脱离个人信息管控范畴，可按通用数据规则管理，但需严格区分脱敏与匿名化边界。9个人信息共享、转让与公开披露专项管控规范9.1共享转让前置合规评估要求。个人信息对外共享、委托处理、转让控制权前，必须依法开展个人信息安全影响评估，研判共享转让安全风险，制定风险防控措施，未经评估合格不得开展相关流转操作，高敏感个人信息严控共享转让频次与范围。9.2第三方合作管控与协议约定要求。与第三方开展个人信息共享受托处理合作的，必须与合作方签订专项个人信息安全保密协议，明确双方安全责任边界、处理范围、防护要求、禁止行为、违约追责及数据返还销毁条款，定期核验第三方安全保护能力。9.3共享转让授权同意要求。个人信息对外共享、转让前，除法定豁免情形外，必须再次获取信息主体专项明示同意，明确告知接收方信息用途与保护情况，主体有权拒绝对外共享转让，处理者不得强制变相要求主体同意流转。9.4个人信息公开披露严格管控要求。严禁擅自公开披露个人信息，确因法定事由需要公开的，必须开展严格脱敏审核、专项合规审批，去除所有敏感可识别信息，严控公开范围与公开期限，公开后持续开展风险监测，严防公开披露引发信息泄露风险。10个人信息删除、注销与销毁清算规范10.1主动删除销毁管理要求。当个人信息处理目的已实现、服务终止、存储期限届满、主体撤回同意或处理活动违规违法时，处理者必须主动及时对个人信息及所有备份数据进行删除销毁处理，不得拖延滞留、违规留存个人信息。10.2用户账户注销权益保障要求。处理者必须提供便捷免费的账户注销渠道，不得设置注销门槛、拖延注销流程、拒绝注销申请，用户申请账户注销后，同步关联删除对应个人信息，注销完成后及时反馈结果，保障主体注销合法权益。10.3删除销毁彻底性管控要求。个人信息删除销毁需做到彻底清零，电子数据全面格式化清除，纸质资料粉碎销毁，同步清理所有备份、缓存、日志留存的相关个人信息，杜绝销毁不彻底、数据残留引发二次泄露风险。11个人信息主体法定权利保障实施规范11.1信息查询权利保障。处理者需搭建便捷查询渠道，支持个人信息主体随时查询自身个人信息处理范围、处理用途、存储情况、共享对象等核心内容，查询申请需在规定时限内及时响应反馈，不得无故拒绝、拖延查询诉求。11.2信息更正权利保障。个人信息主体发现自身个人信息不准确、不完整的，有权申请更正补充，处理者收到更正申请后及时核验信息真实性，按期完成信息更正更新，并同步同步更正共享对接第三方留存的对应信息。11.3信息删除权利保障。符合法定删除情形的，主体可依法申请删除个人信息，处理者收到申请后按期核查处置，及时完成信息删除并反馈结果，无正当理由不得拒绝主体合法删除申请。11.4撤回同意与拒绝营销权利保障。信息主体有权随时撤回已授权的个人信息处理同意，撤回后处理者需立即停止对应处理活动；主体有权拒绝个性化营销推送，处理者需提供便捷退订渠道，不得强制营销骚扰用户。12个人信息安全事件应急处置与风险管控规范12.1安全事件预防预警管理要求。处理者需建立个人信息安全风险常态化监测预警机制，实时监测个人信息泄露、篡改、非法访问等风险隐患，定期开展风险排查整改，提前防范各类个人信息安全事件发生。12.2安全事件应急响应处置要求。制定专项个人信息安全事件应急预案，明确应急组织机构、处置流程、止损措施、上报机制，发生个人信息安全事件后立即启动应急响应，快速采取隔离止损、隐患排查、漏洞加固等处置措施，最大限度降低事件危害影响。12.3安全事件上报与告知要求。发生较大及以上个人信息安全事件后，按照法定时限向网信及行业监管部门上报事件情况，必要时及时告知受影响的个人信息主体，说明事件情况、危害影响及防护建议，保障主体知情权。12.4事件复盘整改长效优化要求。安全事件处置完成后，及时开展专项复盘总结，深挖安全管理与技术防护深层次短板，逐项落实整改加固措施，优化应急预案与防护机制，杜绝同类安全事件重复发生。13组织管理与人员岗位安全管控规范13.1专门管理机构与岗位设置要求。个