等保 2.0 与 GB-T 42430 个人信息处理告知和同意实施指南对照手册

等保2.0与GB/T42430个人信息处理告知和同意实施指南对照手册第一章手册总则1.1编制目的网络安全等级保护2.0（GB/T22239-2019，以下简称“等保2.0”）作为网络安全通用合规基线，明确了个人信息处理活动中告知、同意、权益保障的基础安全底线，是所有信息系统等级测评的硬性核查指标。在实际合规落地过程中，等保2.0相关条款偏向原则性、框架性要求，缺乏各业务场景下告知与同意的精细化实施标准，极易出现企业合规落地不精准、测评口径把握偏差、场景化合规漏项等问题。GB/T42430-2023《信息安全技术个人信息处理中告知和同意的实施指南》（以下简称“GB/T42430指南”）作为国家级专项细化标准，聚焦个人信息处理核心合规环节，对告知规则、同意要件、场景适配、变更管控、违规边界等内容进行全面细化，补齐了等保2.0原则性要求的实操短板。本手册旨在系统性厘清等保2.0通用基线要求与GB/T42430专项实施规范的层级关系、核心异同、合规边界与落地要点，统一企业自查、整改、测评、运维标准，解决“基线达标但场景不合规”的常见问题，为个人信息处理全流程合规提供一体化实操依据。1.2适用范围本手册适用于所有落实网络安全等级保护一至四级的信息系统，重点覆盖APP应用、政务服务平台、大数据业务系统、用户运营平台、第三方数据合作平台等涉及个人信息收集、存储、使用、共享、传输、推送的业务场景。适配企业合规管理人员、系统运维人员、产品研发人员、第三方等级测评人员开展合规自查、方案整改、测评配合、常态化管控等工作，同时可作为企业个人信息告知同意制度、隐私政策、用户授权机制的编制依据。1.3编制依据本手册严格依据现行国家法律法规与国家标准编制，核心依据包含：《中华人民共和国个人信息保护法》、《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《信息安全技术个人信息处理中告知和同意的实施指南》（GB/T42430-2023）、《信息安全技术个人信息安全规范》（GB/T35273-2021）。其中GB/T42430-2023于2023年12月1日正式实施，是当前个人信息告知与同意环节最权威的精细化落地标准，也是等保测评场景中重点参考的实操依据。1.4核心定义与体系关系等保2.0个人信息相关要求为合规底线框架，以网络安全与数据安全管控为核心，从计算环境、数据安全、安全运维、管理制度等维度，提出个人信息处理的原则性合规要求，明确告知同意、最小必要、权益响应等基础义务，是等级测评的必查基线，具备强制性测评约束力。GB/T42430指南为场景化落地细则，属于推荐性细化实施标准，不替代等保2.0基线要求，而是对基线中告知、同意核心条款的拆解、细化与场景适配。标准聚焦个人信息处理的核心前置环节，统一告知内容、告知方式、同意形式、变更流程、特殊场景适配规则，填补了等保2.0无实操落地细则的空白。二者形成“框架底线+实操落地”的互补合规体系：等保2.0划定合规红线与基础框架，决定测评是否达标；GB/T42430明确合规落地标准与执行细节，保障基线要求精准落地，规避形式化合规。所有涉及个人信息处理的等保系统，需同时满足基线原则要求与指南精细化实操规范。核心专属概念界定：告知是指个人信息处理者以清晰、易懂、无遮挡的方式，向个人完整告知信息处理规则的行为；同意是指个人在充分知情的前提下，自愿、明确作出的授权处理行为，二者共同构成个人信息合法处理的核心前置要件。第二章等保2.0个人信息告知与同意通用基线解析等保2.0未单独设立告知同意专项章节，而是将相关要求分散在数据安全、应用安全、安全运维、制度管理等模块，形成体系化的基线约束，是个人信息告知同意合规的法定基础与测评底线。2.1数据安全层面基线要求等保2.0数据安全模块明确，企业处理个人信息需遵循合法、正当、必要原则，严禁超范围、超目的收集和处理个人信息。系统需具备个人信息收集合规校验能力，所有个人信息处理行为必须获得用户合法授权，禁止未经授权擅自采集、使用、对外提供个人信息。同时要求系统留存个人信息授权记录、操作日志，保障处理行为可追溯，支持用户查询、更正、删除个人信息，落实个人主体权益保障要求。针对敏感个人信息，等保2.0基线提出拔高要求，明确敏感个人信息处理必须具备合法正当依据，需获取用户专项授权，禁止默认授权、捆绑授权、强制授权等违规行为，同时需落实加密存储、权限管控、访问审计等防护措施。2.2应用安全层面基线要求应用安全模块聚焦前端交互场景，要求系统在收集个人信息时，明确告知用户信息收集目的、方式、范围、存储期限及用户相关权利；隐私政策、授权弹窗等告知内容需清晰可见、易于查阅，不得隐藏、折叠关键合规条款。系统需支持用户自主选择授权范围，区分必要信息与非必要信息授权，保障用户自主选择权，不得因用户拒绝非必要授权而拒绝提供基础服务。2.3安全管理层面基线要求在制度建设层面，要求企业建立个人信息安全管理制度，明确个人信息收集、授权、变更、注销、销毁等全流程管理规范，将告知同意管控纳入常态化合规管理。在运维管理层面，要求定期开展个人信息合规自查，及时整改违规授权、未告知处理等问题；在人员管理层面，明确业务、研发、运维人员的个人信息合规岗位职责，杜绝人为违规处理用户信息。2.4基线整体特征与局限等保2.0相关要求整体呈现原则性、框架性、底线性特征，仅明确“应当告知、应当获取同意、最小必要、禁止强制授权”等核心底线，未细化告知的具体内容、展示形式、语言规范、同意的有效要件、场景适配规则、变更重授权机制、第三方场景合规标准等实操内容，无法直接指导复杂业务场景落地，是企业形式化合规、测评细节扣分的核心原因。第三章GB/T42430-2023告知和同意实施指南核心体系解析GB/T42430指南围绕“有效告知、自愿同意、动态管控、场景适配”四大核心目标，构建了完整的告知同意合规落地体系，从基本原则、告知规范、同意规范、特殊场景适配、变更与撤销、留存溯源等维度，细化所有实操细节，是对等保2.0基线要求的全方位落地补强。3.1核心合规基本原则指南明确个人信息告知与同意的四大刚性原则，贯穿所有业务场景。一是公开透明原则，要求告知内容真实、完整、无隐瞒、无诱导，不得通过模糊表述、折叠隐藏、弹窗刷屏等方式规避告知义务；二是充分知情原则，必须保障个人在作出同意行为前完整知晓全部处理规则，禁止用户未阅读、未理解情况下默认授权；三是自愿自主原则，同意行为必须由个人主动作出，杜绝捆绑授权、胁迫授权、静默授权；四是最小必要原则，告知与授权范围严格匹配业务必需场景，非必要信息不得收集、不得授权、不得处理。3.2标准化告知规范体系指南细化了告知的内容、形式、时机、语言标准，彻底解决等保基线无实操标准的问题。在告知内容上，明确必须完整告知个人信息处理目的、处理方式、信息种类、存储期限、接收方信息、用户权利、安全防护措施、违规处置方式等核心要素，敏感个人信息需单独列明风险与合规依据。在告知形式上，区分通用告知与增强告知两种模式，基础业务适用常规隐私政策告知，敏感信息收集、第三方共享、个性化推送、跨境传输等高风险场景必须采用弹窗、单独提示、醒目标注等增强告知方式，突出核心条款，避免用户忽略。同时明确禁止碎片化告知、隐藏告知、诱导式告知等违规形式。在告知时机上，严格遵循“先告知、后处理”原则，首次收集信息、业务场景变更、处理规则调整、第三方共享前必须完成前置告知，未完成有效告知不得开展任何个人信息处理活动。3.3规范化同意生效要件指南明确了有效同意的法定要件，界定了无效授权的判定标准，补齐等保基线授权有效性判定空白。有效同意必须满足主动作出、明确具体、可撤回、可追溯四大条件，点击默认同意、自动勾选、捆绑同意、静默授权等均判定为无效同意。同时区分普通个人信息与敏感个人信息的同意标准，普通个人信息可采用统一明示同意方式，敏感个人信息必须获取单独同意、逐项授权，不得合并授权、批量授权。针对未成年人个人信息，必须获取监护人明示同意，且告知内容需通俗易懂，适配未成年人认知特点。3.4动态变更与撤销管控规范指南建立了全生命周期动态管控机制，明确个人信息处理规则发生变更、处理目的扩大、处理方式调整、共享对象变更时，必须重新履行告知义务并获取用户新的同意，历史授权自动失效。同时规范用户同意撤销机制，用户可随时撤回授权、注销账号、删除个人信息，企业需提供便捷的撤销渠道，且撤销同意后需立即停止处理行为，不得变相限制服务、刁难用户。3.5多场景专项适配规则指南针对高频复杂场景制定专属落地规则，覆盖APP基础功能与扩展功能、第三方SDK嵌入、公共场所信息采集、个性化推送、数据共享传输、企业主体变更等典型场景。明确基础业务功能可收集的最小信息范围，扩展功能必须单独授权；第三方SDK采集个人信息需统一告知、单独授权，不得隐式采集；个性化推送需提供一键关闭渠道，禁止默认开启推送授权。3.6日志留存与合规溯源要求指南强化告知同意行为的溯源管控，要求企业完整留存告知记录、用户授权记录、变更记录、撤销记录，记录需包含操作时间、授权范围、用户终端信息、操作行为等完整要素，留存时长需满足合规与审计要求，实现个人信息授权全生命周期可追溯、可核查，完全匹配等保日志审计与溯源基线要求。第四章等保2.0基线与GB/T42430指南核心对照解析本章从防护逻辑、合规粒度、技术要求、管理要求、测评判定五个维度，全方位对照二者差异与互补关系，明确合规底线与落地细则，彻底区分“基线合格”与“场景合规”的边界。4.1整体合规逻辑对照等保2.0基线采用“底线管控、合规兜底”的逻辑，立足网络安全整体防护，将告知同意作为个人信息安全的附属合规条款，核心目标是防范个人信息违规处理引发的安全风险，侧重结果合规，只要企业具备告知同意机制、无明显违规行为，即可满足基线要求，对流程细节、形式规范无严格约束。GB/T42430指南采用“过程管控、精准合规”的逻辑，立足个人权益全方位保障，以告知同意全流程合规为核心目标，侧重行为合规与细节合规，对告知内容、形式、时机、同意有效性、动态变更、场景适配均作出精细化约束，杜绝形式化、走过场式合规。4.2合规粒度与覆盖范围对照等保2.0基线覆盖范围广、粒度粗放，仅覆盖个人信息处理通用场景，无细分场景规则，不区分普通信息与敏感信息的告知细节、不区分基础功能与扩展功能授权差异、不规范第三方场景适配标准，仅提出通用性原则要求，存在大量合规模糊地带。GB/T42430指南覆盖场景全面、粒度精细，穷尽主流个人信息处理场景，细化不同场景的告知方式、授权标准、禁止行为，明确无效合规行为判定标准，填补基线模糊地带，实现所有业务场景告知同意合规的全覆盖、无死角。4.3技术落地要求对照技术层面，等保2.0仅要求系统具备告知展示、授权选择、日志留存、权益响应基础功能，无具体技术实现标准，不约束弹窗样式、文字内容、授权交互逻辑、变更触发机制等细节，企业极易出现功能齐全但细节违规的问题。GB/T42430指南明确技术落地细则，要求系统实现差异化授权、单独敏感授权、一键撤销授权、变更重授权、第三方授权隔离、推送开关独立控制等精细化功能，规范前端交互逻辑、告知展示样式、日志留存字段，为系统研发、迭代整改提供明确技术标准。4.4管理合规要求对照等保2.0管理层面仅要求建立基础个人信息管理制度、开展常态化自查，无专项管控流程，不约束告知内容审核、授权记录管理、场景变更管控、员工合规操作标准。GB/T42430指南完善专项管理体系，要求建立告知内容审核机制、授权台账管理制度、场景变更合规评估机制、员工告知同意操作规范、用户权益响应处置流程，实现制度、流程、台账、运维全链条精细化管理。4.5测评判定标准对照等保2.0测评以“有无、是否合规”为核心判定标准，侧重整体合规性核查，无细节扣分依据，只要不存在强制授权、未告知收集、拒绝服务等严重违规，基线即可达标。GB/T42430指南作为测评细化参考依据，以“是否有效、是否规范”为判定标准，聚焦细节合规性，模糊告知、合并授权、无法撤销、变更未重授权、第三方告知不全等细节问题，均会被判定为合规缺陷，是当前等级测评细节扣分的核心依据。第五章分场景合规落地适配要点所有个人信息处理场景均遵循“基线保底、指南落地”的适配原则，优先满足等保2.0通用安全基线，再依据GB/T42430指南完成场景化精细化整改，实现整体合规、细节合规、动态合规。5.1常规用户注册登录场景该场景需严格落实最小必要与前置告知原则，基线层面需实现隐私政策清晰展示、用户主动授权、授权日志留存，不强制非必要信息收集。指南精细化落地层面，需区分账号注册基础信息与扩展信息，手机号、账号等基础信息可一次性告知授权，头像、位置等非必要信息需单独弹窗告知、独立授权；禁止注册弹窗默认勾选同意，禁止隐藏隐私政策核心条款；用户可随时查看、撤回授权，且撤回后不影响基础账号使用权限。5.2敏感个人信息处理场景基线层面要求敏感信息处理具备合法依据、专项授权、加密防护。指南细化要求必须采用增强告知模式，单独弹窗列明敏感信息处理目的、风险、存储周期、防护措施，获取用户单独明示同意，不得与普通信息合并授权；未成年人、生物识别、金融信息等高敏感场景，需额外简化告知语言，明确监护人授权流程，留存专项授权台账，全程细化溯源记录。5.3第三方SDK与数据共享场景基线层面要求对外共享个人信息需合法合规、留存记录、保障用户权益。指南明确专项规则，第三方SDK采集个人信息前，必须向用户完整告知第三方主体、采集信息种类、处理用途，取得用户单独同意；禁止SDK后台静默采集、隐式授权；企业对外共享个人信息前，需二次告知用户并获取授权，共享对象、用途变更时必须重新授权，同时留存全量共享告知与授权记录。5.4个性化推送与营销场景基线层面要求尊重用户意愿，禁止强制营销推送。指南细化落地要求，个性化推送需单独告知推送规则、数据依据，默认关闭推送权限，由用户主动开启；系统需设置独立、便捷的推送关闭入口，支持一键退订、永久关闭，退订流程简洁无门槛，不得变相诱导用户保留推送授权，推送规则变更时需重新告知并获取用户同意。5.5业务规则变更动态场景基线层面仅要求业务变更保障用户权益，无具体流程规范。指南明确动态管控机制，当系统个人信息处理目的、方式、范围、存储期限发生变更，或新增数据共享、跨境传输等场景时，必须通过醒目方式完成二次告知，待用户重新同意后方可执行新的处理规则；用户拒绝新授权的，需兼容原有基础服务，不得终止服务、限制功能。第六章一体化合规整合落地方案6.1双层合规建设整体流程第一步完成基线合规核查，对照等保2.0数据安全、应用安全、管理制度要求，排查是否存在未告知收集、强制授权、无日志留存、权益响应缺失等基线违规问题，完成基础整改，筑牢合规底线。第二步对标GB/T42430指南开展精细化整改，逐一完善告知内容、展示形式、授权逻辑、场景适配、动态变更、台账留存等细节，解决形式化合规问题。第三步开展一体化合规自查，结合基线要求与指南细则，覆盖全业务场景排查细节缺陷，优化产品交互、制度流程、日志溯源体系。第四步纳入常态化运维，实现基线合规常态化巡检、细节合规周期性核查，保障长期合规有效。6.2制度体系整合优化整合双标准合规要求，重构企业个人信息告知同意专项制度体系。在原有等保通用数据安全制度基础上，新增《个人信息告知与同意管理规范》，明确告知审核流程、授权管理规则、场景变更管控、第三方合规管控、用户撤销响应流程；更新隐私政策内容，补齐指南要求的全部告知要素；建立授权台账管理制度，统一留存告知记录、授权记录、变更与撤销记录，实现制度、台账、操作、溯源一体化闭环。6.3技术功能迭代整合基于双标准整合要求优化系统技术能力，在原有基线合规功能基础上，新增精细化合规能力：实现普通信息与敏感信息差异化授权、基础功能与扩展功能独立授权；优化告知展示逻辑，高风险场景自动触发增强告知；搭建授权动态管控模块，自动识别业务规则变更并触发重授权流程；优化用户权益通道，实现授权查看、撤回、信息删除、退订推送一键操作；完善日志字段，全覆盖告知、授权、变更、撤销全流程溯源信息。6.4常态化运维与考核机制建立双维度运维核查机制，按月开展等保基线合规巡检，核查是否存在基线违规问题；按季度开展GB/T42430细节合规核查，重点排查告知不规范、授权无效、变更未重授权、第三方管控缺失等细节问题。将告知同意合规执行情况纳入产品、