GB-T 37973-2019 信息安全技术 隐私信息管理体系 要求（等同 ISO 27701-2019） - 副本

GB/T37973-2019信息安全技术隐私信息管理体系要求（等同ISO27701:2019）前言本标准按照GB/T1.1-2009《标准化工作导则第1部分：标准化文件的结构和起草规则》给出的规则起草。本标准等同采用ISO/IEC27701:2019《信息技术安全技术隐私信息管理体系要求与指南》，是全球首个专门针对隐私信息管理体系（PIMS）的国际标准转化国标。本标准在全部技术条款、体系架构、合规要求、管控逻辑上与ISO27701:2019原版完全一致，仅依据我国国家标准编制规范进行规范性编辑，无技术性删减、修改与增补，实现国际隐私治理体系标准的等效落地。随着《网络安全法》《数据安全法》《个人信息保护法》等法律法规落地实施，个人信息合规治理从零散管控升级为体系化、常态化、法治化刚需。传统信息安全管理体系（ISO27001）聚焦信息资产保密性、完整性、可用性，无法覆盖隐私合规特有的主体权利、合法基础、知情同意、隐私影响评估、数据留存、权益响应、跨境管控等专属要求。行业普遍存在隐私治理碎片化、权责不清、合规无体系、风险不可控、认证无依据等痛点。本标准作为ISO27001/ISO27002的隐私专项扩展体系标准，基于成熟的信息安全管理架构，新增隐私治理全维度合规要求，专门用于规范组织个人信息与隐私数据全生命周期管理。标准明确隐私信息控制者、处理者的双重合规责任，适配政企、互联网、金融、医疗、教育、云服务、第三方外包等全行业隐私治理场景，是国内隐私信息管理体系认证、合规自查、监管核查、跨境数据合规的唯一权威体系依据，可与ISO27001安全体系无缝融合，实现“安全+隐私”一体化合规管控。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本标准于2019年08月30日发布，2020年03月01日正式实施。引言0.1标准定位与核心价值ISO/IEC27701:2019是ISO官方发布的隐私信息管理体系（PIMS）认证标准，区别于ISO27017云安全控制、ISO27018云隐私控制等控制类指南标准，本标准为体系认证类要求标准，具备完整的PDCA闭环架构、审核准则与认证依据。其核心价值是将零散的隐私合规要求转化为可落地、可审核、可认证、可持续改进的标准化管理体系，解决企业隐私合规“只做零散整改、无体系治理”的行业痛点。本标准兼容全球主流隐私法规框架，包含我国个人信息保护相关法规、欧盟GDPR、各国跨境隐私规则，可同时满足国内合规审查与国际业务隐私认证需求，是企业出海、跨境数据传输、客户供应链隐私审核的核心资质与依据。0.2体系层级与标准关系本标准依托ISO27001信息安全管理体系顶层架构建设，属于27001基础上的隐私增强体系：组织需先满足ISO27001通用安全要求，再叠加本标准专属隐私管理要求，形成完整的安全与隐私一体化治理体系。本标准与系列云安全标准形成明确互补：GB/T32921（ISO27017）解决云通用安全、GB/T35274（ISO27018）解决云场景隐私控制、本标准（ISO27701）解决全场景隐私体系治理与认证，三者结合可覆盖云平台、政企本地、业务全链路的安全与隐私合规需求。0.3适用场景与落地意义本标准覆盖个人信息收集、存储、使用、加工、传输、共享、转让、公开披露、删除、销毁全生命周期，规范隐私治理组织架构、制度流程、人员责任、风险评估、主体权益响应、事件处置、内审改进全流程。落地本标准可帮助组织满足法定合规义务、降低隐私违规处罚风险、提升用户隐私信任度、完善供应链隐私审核能力、支撑跨境数据业务开展。1范围1.1本标准规定了隐私信息管理体系（PIMS）的架构要求、管理体系要素、隐私治理规则、全生命周期管控要求、合规准则、审核与持续改进规范，确立了组织建立、实施、保持和持续改进隐私信息管理体系的标准化依据。1.2本标准基于ISO27001体系框架，新增隐私专项管理要求与控制准则，适用于所有处理个人信息、隐私数据的组织机构，覆盖个人信息控制者、个人信息处理者两类主体。1.3本标准适用于全行业各类组织，包括党政机关、企事业单位、互联网企业、金融机构、医疗机构、教育机构、云服务提供商、第三方数据外包机构等，不受行业、规模、业务形态限制。1.4本标准可用于组织内部隐私合规建设、自查整改、体系认证、第三方审核、监管合规核查，同时可作为跨境隐私合规、供应链隐私准入评估的权威依据。1.5本标准为体系强制性要求标准，所有条款均为可认证、可考核、可审核的核心要素，区别于指导性指南标准，具备合规强制性与认证权威性。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。ISO/IEC27000:2018信息技术安全技术信息安全管理体系概述和词汇ISO/IEC27001:2013信息技术安全技术信息安全管理体系要求ISO/IEC27002:2013信息技术安全技术信息安全控制实践指南GB/T22080-2016信息技术安全技术信息安全管理体系要求GB/T22081-2016信息技术安全技术信息安全控制实践指南GB/T35273-2017信息安全技术个人信息安全规范GB/T35274-2017信息安全技术公共云计算服务个人信息保护指南ISO/IEC29100:2011信息技术安全技术隐私保护框架ISO31000:2018风险管理指南3术语和定义下列术语和定义适用于本标准。3.1隐私信息personalprivacyinformation包含个人身份信息、个人敏感信息、隐私数据在内的所有可识别、可关联特定自然人的信息集合，涵盖普通个人信息与敏感个人信息，是隐私管理体系的核心管控对象。3.2隐私信息管理体系PIMS（PrivacyInformationManagementSystem）组织为管控隐私信息风险、满足法律法规与标准要求、保障个人主体权益、实现隐私合规治理而建立的系统化、标准化、闭环化管理体系，依托PDCA循环实现持续优化。3.3个人信息控制者personaldatacontroller独立决定个人信息处理目的、处理方式的组织或个人，承担隐私合规首要责任，是本标准核心约束主体之一。3.4个人信息处理者personaldataprocessor受控制者委托，按照指定指令处理个人信息的组织或个人，承担数据处理过程中的隐私安全责任。3.5隐私影响评估PIA（PrivacyImpactAssessment）针对业务系统、数据处理活动、产品服务开展的隐私风险专项评估，识别隐私风险、评估危害程度、制定整改措施的合规活动。3.6个人主体权益personalsubjectrights自然人针对自身个人信息享有的知情权、同意权、查询权、更正权、删除权、撤回授权、数据可携带权、申诉权等法定权益。3.7合法处理基础lawfulbasis组织开展个人信息处理活动的合法依据，包括用户同意、合同履行、法定义务、公共利益、合法权益等法定情形。4缩略语下列缩略语适用于本标准。PIMS：隐私信息管理体系（PrivacyInformationManagementSystem）ISMS：信息安全管理体系（InformationSecurityManagementSystem）PIA：隐私影响评估（PrivacyImpactAssessment）PIPL：个人信息保护法（PersonalInformationProtectionLaw）GDPR：通用数据保护条例（GeneralDataProtectionRegulation）DPIA：数据保护影响评估（DataProtectionImpactAssessment）5隐私信息管理体系总体要求5.1通用体系要求组织应按照本标准要求建立、实施、保持并持续改进隐私信息管理体系，将隐私合规治理融入业务全流程。体系建设需完全兼容GB/T22080（ISO27001）信息安全管理体系，共用管理架构、审核机制、PDCA闭环流程，避免体系重复建设、制度冲突与管理冗余。组织需明确隐私治理范围，覆盖全部业务场景、全部数据类型、全部处理环节、全部合作第三方，确保隐私管控无盲区、无空白、无遗漏。5.2体系建设核心原则5.2.1合法合规原则所有个人信息处理活动必须具备合法基础，严格遵守国家隐私数据相关法律法规、行业监管规范、国际合规准则，杜绝无依据处理、超范围处理、违规披露与共享。5.2.2最小必要原则坚持收集最小范围、使用最小权限、留存最短周期，禁止过度收集、超额存储、无期限留存个人信息，从源头降低隐私合规风险。5.2.3主体权益优先原则充分保障个人信息主体的法定权益，建立高效的权益响应机制，及时处理用户查询、更正、删除、撤回授权、申诉等诉求。5.2.4风险导向、预防为主以隐私风险管理为核心，常态化开展隐私风险识别、评估、处置，前置防范隐私泄露、滥用、篡改、违规传输等风险，优先落实预防管控，辅以应急处置。5.2.5透明可控、全程可追溯隐私处理规则公开透明，全流程留存操作日志、处理记录、授权凭证、审批资料，实现隐私活动全程可审计、可追溯、可核查。5.3体系适用边界与主体责任组织需明确自身作为控制者或处理者的身份定位，落实差异化责任：控制者重点负责合法基础、授权管理、主体权益、合规管控；处理者重点负责数据安全、权限管控、禁止超范围处理、数据销毁。多主体协同场景下，需明确权责划分，杜绝责任推诿与合规空白。6体系管理要素要求（PDCA闭环）6.1策划（Plan）6.1.1隐私方针与制度策划最高管理者需制定正式的隐私保护方针，明确组织隐私治理目标、合规承诺、管控方向，方针需对外公开、对内落地。基于方针建立完整的隐私制度体系，包含隐私管理制度、个人信息处理规范、授权管理办法、隐私影响评估制度、主体权益响应制度、第三方隐私管理制度、隐私事件应急预案等。6.1.2风险评估与目标策划组织需常态化开展隐私风险评估与隐私影响评估（PIA/DPIA），针对新产品、新业务、新系统、新场景上线前必做前置评估，识别敏感信息处理、跨境传输、第三方共享、大规模数据处理等高风险场景，制定风险处置方案。同时制定可量化、可考核的隐私管理目标，明确落地措施、责任部门、完成时限。6.1.3合规适配策划持续跟踪国家、行业、国际隐私法规更新，动态适配体系要求，及时修订制度流程，确保体系始终符合最新合规标准。6.2实施（Do）6.2.1组织与人员保障设立专职隐私管理负责人与隐私治理团队，明确各部门、各岗位隐私管理职责，落实全员隐私责任。常态化开展隐私合规培训，覆盖管理层、业务人员、技术人员、运维人员、外包人员，提升全员隐私合规意识与实操能力。建立人员隐私考核与追责机制，约束违规操作行为。6.2.2个人信息全生命周期管控实施严格落实收集、存储、使用、加工、传输、共享、转让、公开披露、删除销毁全流程合规管控。收集环节确保知情同意、合法授权；存储环节落实加密、分级、备份、防泄露；使用加工环节坚持最小必要、去标识化；传输共享环节落实加密、审批、第三方约束；退出销毁环节落实彻底清零、无残留、可核验。6.2.3主体权益响应实施建立标准化的用户权益受理、核查、处置、反馈流程，在法定时限内响应个人查询、更正、删除、撤回授权、投诉申诉等诉求，全程留存处置台账与记录，保障主体权益落地。6.2.4第三方隐私管控实施对合作供应商、外包服务商、技术合作方开展隐私准入审核、风险评估、合同约束、全程监督、退出核查。通过协议明确第三方隐私责任，限制第三方数据处理权限，全程审计操作行为，服务终止后监督数据销毁，防范第三方隐私合规风险。6.3检查（Check）6.3.1常态化监测与自查建立隐私合规常态化监测机制，定期自查个人信息处理合规性、制度落地情况、风险整改进度、权益响应时效、第三方管控有效性，及时发现合规缺陷与风险隐患。6.3.2内部体系审核每年至少开展一次隐私信息管理体系专项内审，全面核查本标准所有条款落地情况，排查体系不符合项、流程漏洞、管控短板，形成内审报告，明确整改清单与闭环要求。6.3.3管理评审最高管理者每年至少组织一次隐私体系管理评审，结合内审结果、风险事件、合规更新、业务迭代、用户投诉情况，全面评价体系的充分性、适宜性、有效性。6.4改进（Act）6.4.1不符合项整改针对自查、内审、审核发现的不符合项，制定纠正措施，限期闭环整改，核查整改效果，杜绝同类问题反复出现。6.4.2持续优化改进基于隐私风险变化、法规更新、业务迭代、行业案例，持续优化隐私制度、流程、技术防护、管控机制，实现隐私治理体系动态迭代、长效合规。7隐私专项核心管理要求7.1合法基础与知情同意管理组织所有个人信息处理活动必须留存清晰、有效的合法依据。以用户同意为基础的处理行为，需确保同意自愿、明确、具体、可撤回，禁止捆绑授权、默认同意、强制授权。授权文本清晰易懂，明确处理范围、用途、留存周期、共享对象，全程留存授权记录与撤回记录，支持溯源核查。7.2隐私透明化管理组织需公开隐私政策、处理规则、权益说明、投诉渠道，公开内容真实、准确、完整，无隐瞒、无模糊条款、无霸王条款。业务场景发生变更、处理范围调整时，及时更新隐私政策并重新获取用户确认，保障知情权持续有效。7.3隐私风险评估与管控针对敏感个人信息处理、大规模数据处理、数据跨境传输、第三方共享、自动化决策等高风险场景，强制开展隐私影响评估，形成正式评估报告，对高风险隐患制定专项管控措施、缓释方案与应急预案，持续跟踪风险闭环。7.4数据留存与销毁管控严格按照最小留存周期存储个人信息，业务终止、留存到期后及时彻底销毁数据，清理主数据、备份数据、缓存数据、日志残留数据，杜绝数据滞留与非法复用。建立数据留存台账与销毁台账，留存核验记录，确保全程可控。7.5自动化决策与隐私管控涉及用户画像、精准推送、自动化评分、智能决策等场景，需保障用户知情权与拒绝权，提供非自动化选择渠道，禁止滥用个人信息开展非法画像与歧视性决策，落实算法透明与合规管控。7.6跨境数据隐私管理个人信息跨境传输前，必须完成合规评估、安全认证、备案等法定流程，明确跨境传输范围、接收方资质、防护能力、责任边界，签订跨境数据合规协议，落实境外数据安全管控，保障跨境数据全程合规、风险可控。8隐私安全事件应急与投诉管理8.1隐私事件识别与分级建立隐私安全事件识别机制，将个人信息泄露、篡改、丢失、滥用、违规共享、超范围处理、权益响应失效等纳入隐私事件管理，按照危害程度、影响范围实施分级管控，匹配差异化应急响应流程。8.2应急处置与风险遏制发生隐私事件后，第一时间启动应急预案，开展风险遏制、漏洞封堵、数据隔离、权限冻结，防止事件扩散扩大。快速溯源排查事件原因、影响范围、受影响用户数量，制定止损措施。8.3事件告知与合规上报按照法律法规要求，及时告知受影响个人主体，同步风险情况、处置措施、补救方案；达到上报标准的事件，按时限、按规范向监管部门完成合规上报，留存完整处置与上报记录。8.4投诉申诉闭环管理建立隐私专项投诉渠道，规范投诉登记、核查、处置、反馈、复盘全流程，确保用户隐私诉求高效办结，通过投诉数据分析优化隐私治理短板，降低同类问题发生率。8.5事件复盘改进每起隐私事件处置完成后开展专项复盘，定位制度漏洞、技术缺陷、人员问题、流程短板，针对性优化隐私管控体系，杜绝同类隐私违规与安全事件重复发生。9体系审核、评价与持续改进9.1绩效监视与测量建立隐私管理体系绩效指标体系，包含隐私事件发生率、权益响应及时率、风险评估覆盖率、问题整改闭环率、第三方合规合格率、违规操作次数等核心指标，动态监测体系运行有效性。9.2内部审核定期开展全覆盖隐私体系内审，核查制度落地、流程执行、风险管控、权益响应、第三方管理、事件处置等所有条款落地情况，形成内审报告，闭环整改所有不符合项。9.3管理评审最高管理者定期评审隐私管理体系的适配性、充分性、有效性，结合法规更新、业务变化、风险动态、审核结果、用户反馈，全面优化体系架构与管控策略。9.4持续改