个人信息保护告知制度

个人信息保护告知制度为规范个人信息处理活动中的告知行为，保障个人在个人信息处理活动中的知情权、决定权，根据《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国消费者权益保护法》《未成年人网络保护条例》《个人信息出境标准合同办法》《常见类型移动互联网应用程序必要个人信息范围规定》等法律法规及GB/T35273-2020《信息安全技术个人信息安全规范》、GB/T41391-2022《信息安全技术移动互联网应用程序（App）收集个人信息基本要求》等国家标准要求，结合各类市场主体、公共服务机构运营实际，制定本制度。一、适用范围（一）本制度适用于在中华人民共和国境内处理自然人个人信息的各类市场主体、公共服务机构（以下统称“个人信息处理者”）开展的个人信息告知相关活动，涵盖个人信息的收集、存储、使用、加工、传输、提供、公开、删除等全生命周期处理环节，以及个人信息出境、自动化决策、敏感个人信息处理等特殊场景。（二）境外的个人信息处理者处理境内自然人个人信息且以向境内自然人提供产品或者服务为目的，或者分析、评估境内自然人行为的，其告知活动参照本制度执行。（三）国家机关为履行法定职责处理个人信息的告知活动，依照相关法律法规及本制度的有关规定执行。二、告知基本原则（一）合法正当原则。告知内容不得违反法律法规强制性规定，不得通过误导、欺诈、胁迫等方式获取个人同意，不得设置与个人信息处理无关的捆绑授权条款。（二）公开透明原则。告知内容应当清晰、易懂、可及，不得使用晦涩专业术语或者模糊表述隐瞒处理活动的核心内容，告知文本的可读性应当符合小学6年级文化水平人群的理解能力；移动应用端告知文本正文字号不小于12号，行间距不小于1.2倍，网页端告知文本正文字号不小于12磅，行间距不小于1.5倍，关键内容应当用加粗、下划线、不同颜色字体等方式突出显示。（三）真实准确原则。告知的个人信息处理目的、方式、范围、期限等内容应当与实际处理行为一致，不得虚假承诺或者擅自变更已告知的处理规则，确需变更的应当按照本制度规定的程序履行更新告知义务。（四）最小必要原则。告知的内容应当与个人信息处理活动直接相关，不得冗余披露与个人知情权无关的内部管理流程信息，不得超出处理必要范围要求个人同意无关的处理活动。（五）及时有效原则。告知应当在个人信息处理活动开展前完成，处理规则变更的应当及时更新告知内容并确保个人能够便捷获知，不得在个人信息处理完成后补充告知免除事前告知义务。三、告知的豁免情形符合下列法定情形之一的，个人信息处理者可以在处理个人信息前不履行主动告知义务，但应当在不损害个人合法权益的前提下，在个人主动查询时予以说明：（一）个人已经明确知晓个人信息处理的目的、方式、种类、范围等核心内容的；（二）因紧急情况为保护自然人的生命健康和财产安全必须立即处理个人信息，客观上无法及时告知的；（三）法律、行政法规规定应当保密或者不需要履行告知义务的其他情形。除上述情形外，个人信息处理者不得以任何理由免除告知义务，不得因已取得个人同意而简化告知内容，不得将“个人未提出异议”推定为个人已知晓告知内容。四、全生命周期个人信息处理告知内容要求（一）收集环节告知内容收集个人信息前，应当向个人告知以下全部内容，不得遗漏核心事项：1.个人信息处理者的基本身份信息，包括法定名称、住所、统一社会信用代码、日常联系方式、个人信息保护负责人姓名及专属联系方式；处理个人信息数量累计超过100万人的，应当同时告知个人信息保护负责人的专职身份及独立履职保障机制。2.处理个人信息的具体目的，应当明确到对应业务场景，不得使用“为了提供更好的服务”“优化用户体验”等模糊表述；例如电商平台收集收货地址的目的应当明确为“为了向您配送所购商品、核实配送身份及处理售后退换货事宜”，不得笼统表述为“为了完成交易”。3.处理个人信息的具体种类，应当逐一列明，不得使用“相关个人信息”“必要个人信息”等概括性表述，同时明确区分必要个人信息与非必要个人信息；属于移动互联网应用程序（App）的，应当严格按照《常见类型移动互联网应用程序必要个人信息范围规定》明确的39类常见App必要个人信息范围界定必要信息，并在告知中明确说明“拒绝提供非必要信息不影响核心功能使用”。4.处理个人信息的方式，包括是否采用自动化采集（如SDK采集、传感器采集）、人工录入、第三方间接获取、公共渠道抓取等方式；采用间接获取方式的，应当同时告知个人信息的来源渠道及来源方的基本身份信息。5.个人信息的存储期限，应当明确具体的存储时长或者存储期限的确定规则，例如“为履行合同所必需的个人信息，存储期限为合同履行完毕后3年；为遵守法定义务所必需的个人信息，存储期限为相关法律规定的最低保存期限”，不得使用“永久存储”“长期保存”等无明确边界的表述。6.个人行使权利的方式及程序，包括查阅、复制、更正、补充、删除个人信息，撤回同意，注销账号，投诉举报的渠道及处理时限；其中个人行使权利申请的答复期限不得超过15个工作日，注销账号的处理期限不得超过15个工作日。7.其他法律法规要求应当告知的内容。（二）存储环节告知内容个人信息存储过程中，应当向个人告知以下内容：1.个人信息的存储地域，明确是存储在中华人民共和国境内还是境外，涉及出境的按照本制度中个人信息出境场景的特殊要求执行。2.个人信息的存储安全保障措施，包括技术措施（如端到端加密存储、访问权限分级控制、异地灾备机制、漏洞定期检测）和管理措施（如内部访问审计、定期安全培训、数据安全应急处置机制）；处理10万人以上个人信息的，应当同时告知已符合网络安全等级保护第三级防护要求的相关情况。3.个人信息存储期限届满后的处理方式，包括删除、匿名化处理、销毁等具体操作方式，以及是否存在留存例外情形。（三）使用、加工环节告知内容使用、加工个人信息前，应当向个人告知以下内容：1.个人信息的使用范围，严格限定在已告知的处理目的范围内，如需超出原目的使用，应当另行告知并取得个人单独同意。2.自动化决策的使用规则，包括是否使用个人信息进行自动化决策，自动化决策的基本逻辑、对个人权益的影响，以及个人可以拒绝自动化决策、要求人工复核的渠道；提供算法推荐服务的，应当同时告知用户不针对其个人特征的选项，以及便捷的关闭算法推荐服务的路径。3.个人信息的加工规则，包括是否对个人信息进行去标识化、匿名化处理，去标识化信息的使用范围及安全保障措施，匿名化信息的公开及使用规则。4.个人信息用于对外宣传、案例研究、科研活动的具体规则，用于科研活动的应当明确是否进行匿名化处理、是否会公开研究成果。（四）传输、提供环节告知内容向内部或者外部主体传输、提供个人信息前，应当向个人告知以下内容：1.内部传输的，告知个人信息在内部部门、分支机构之间传输的范围、用途、安全保障措施，以及内部接收部门的职责范围。2.委托第三方处理个人信息的，应当告知受托方的名称、住所、联系方式、处理目的、处理方式、个人信息种类、委托期限，以及受托方违反委托协议的责任承担方式、个人向受托方行使权利的渠道。3.向第三方提供个人信息的，应当明确告知第三方的名称、住所、联系方式、处理目的、处理方式、个人信息种类，以及个人向第三方行使权利的方式和程序；向第三方提供敏感个人信息的，应当另行说明提供的必要性及对个人权益的影响。4.与其他主体共同处理个人信息的，应当告知共同处理者的名称、各自的权利义务，以及个人可以向其中任何一个共同处理者主张权利的规则。（五）公开环节告知内容公开个人信息前，应当向个人告知以下内容：1.公开个人信息的具体范围、公开目的、公开方式（如官方网站公示、线下公告、媒体发布等），以及公开的受众范围。2.公开个人信息的期限，以及停止公开的条件、个人撤回公开同意的渠道及程序。3.公开个人信息可能带来的风险提示，例如“公开的个人信息可能被第三方获取并用于与本处理活动无关的用途，请您谨慎决定”。除法定情形外，公开个人信息必须取得个人单独同意，不得公开敏感个人信息，除非法律法规另有规定或者取得个人书面单独同意。（六）删除环节告知内容触发个人信息删除条件时，应当向个人告知以下内容：1.个人信息删除的触发条件，包括法定删除情形、约定期限届满、个人主动申请删除、处理目的已实现且无继续存储必要等。2.删除的具体方式，包括是否可恢复、删除的生效时间、删除后的残留数据处理规则。3.因法律法规规定需要留存个人信息的，应当告知留存的法律依据、留存期限以及留存期间的使用限制，例如“因税务管理相关法律要求，您的交易凭证信息需留存5年，留存期间仅用于税务核查，不得用于其他用途”。五、特殊场景告知规范（一）敏感个人信息处理告知规范1.敏感个人信息的范围严格按照《中华人民共和国个人信息保护法》第二十八条界定，包括生物识别（人脸、指纹、声纹、虹膜、掌纹等）、宗教信仰、特定身份（军人、残疾人、低保对象等）、医疗健康（就诊记录、健康监测数据、遗传病信息等）、金融账户（银行卡号、支付密码、征信信息、交易记录等）、行踪轨迹（GPS定位、出行记录、住宿记录、场馆出入记录等）等信息，以及不满十四周岁未成年人的个人信息。2.处理敏感个人信息的，应当在一般告知内容的基础上，另行告知处理敏感个人信息的必要性以及对个人权益的影响，不得将敏感个人信息与非敏感个人信息混合告知，不得通过一揽子授权的方式获取个人对敏感个人信息处理的同意。3.处理敏感个人信息应当取得个人的单独同意，法律法规规定应当取得书面同意的，从其规定；单独同意的告知页面不得设置默认勾选选项，不得与其他授权事项捆绑。4.处理生物识别信息的，还应当告知生物识别信息的存储位置（本地存储/云端存储）、加密方式、使用期限、删除条件，以及是否存在生物识别信息比对的场景及比对规则；例如人脸门禁系统应当告知“人脸信息仅用于本园区门禁身份核验，采集后加密存储于园区本地服务器，存储期限为您的访问权限有效期届满后15个工作日内删除，不会传输至任何第三方”。5.处理医疗健康信息的，应当告知医疗健康信息的使用范围、查阅权限，以及是否用于医学研究、公共卫生调查等用途，用于科研的应当告知是否进行匿名化处理、是否会影响个人的正常就医权益。（二）未成年人个人信息处理告知规范1.处理不满十四周岁未成年人个人信息的，应当向未成年人的监护人履行全面告知义务，告知内容应当符合监护人的理解能力，同时应当以未成年人能够理解的简单语言，向未成年人告知与其权益相关的个人信息处理规则。2.告知内容应当明确未成年人个人信息的特殊保护措施、监护人行使权利的专门渠道，以及监护人更正、删除未成年人个人信息的便捷程序；不得诱导未成年人同意处理其个人信息，不得设置针对未成年人的个性化广告推送规则。3.处理不满十四周岁未成年人个人信息的，应当制定专门的未成年人个人信息处理规则，相关告知内容应当在显著位置单独展示，不得与普通用户的隐私政策混合呈现。（三）个人信息出境告知规范1.个人信息出境的，应当在一般告知内容的基础上，另行告知出境的个人信息种类、出境的目的地国家或者地区、境外接收方的名称、住所、联系方式、处理目的、处理方式、个人信息种类，以及个人向境外接收方行使权利的方式和程序、出境后个人信息的安全保障措施。2.通过签订标准合同方式出境的，应当告知标准合同的主要内容，以及个人可以查阅标准合同的渠道；通过安全评估方式出境的，应当告知通过国家网信部门安全评估的基本情况；通过个人信息保护认证方式出境的，应当告知认证机构名称、认证有效期、认证范围等信息。3.个人信息出境的告知应当单独进行，不得嵌入普通隐私政策的通用条款中，应当取得个人的单独同意。（四）公共区域图像采集告知规范1.在公共场所安装图像采集、个人身份识别设备的，应当为维护公共安全所必需，遵守国家有关规定，并设置显著的告知标识；告知标识应当设置在采集区域的入口处，标识尺寸不小于30cm×20cm，字体高度不小于2cm，确保行人在3米外能够清晰识别。2.告知标识应当明确设置主体、采集目的、采集范围（如监控覆盖区域）、存储期限、联系方式等内容，不得使用“您已进入监控区域”等模糊表述，不得隐瞒采集的具体用途。3.所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得公开或者向他人提供，取得个人单独同意的除外；确因公共安全以外的目的需要调取的，应当依照法定程序进行。（五）人力资源管理场景告知规范1.处理员工个人信息的，应当在员工入职前或者入职时，向员工告知个人信息处理的目的、种类、方式、范围、存储期限、使用规则等内容，不得在员工不知情的情况下收集与人力资源管理无关的个人信息。2.处理员工敏感个人信息（如生物识别考勤信息、健康体检信息、薪资福利信息、社保缴费信息）的，应当另行告知必要性及对员工权益的影响，不得强制收集员工的宗教信仰、生物识别等非人力资源管理必需的敏感个人信息。3.员工个人信息仅用于人力资源管理相关目的，包括考勤管理、薪酬发放、社保缴纳、绩效考核、职业培训、劳动争议处理等，如需用于其他目的，应当另行告知并取得员工同意。4.应当告知员工查阅、复制、更正、删除个人信息的渠道，以及离职后个人信息的处理规则，例如“员工离职后，个人信息存储期限不超过3年，用于处理劳动争议、社保补缴等法定事宜，期限届满后予以删除或者匿名化处理”。（六）应急场景告知规范1.为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需处理个人信息的，可以在处理前不履行告知义务，但应当在紧急情况消除后15个工作日内补正告知，法律法规另有规定的除外。2.补正告知应当说明应急处理的原因、处理的个人信息范围、使用目的、后续处置方式等内容，同时告知个人行使权利的渠道。3.应急处理过程中收集的个人信息，不得用于与应急处置无关的用途，应急处置结束后应当及时删除或者匿名化处理，法律法规另有规定的除外。六、告知方式与实施要求（一）告知方式分类个人信息处理者可以根据业务场景选择以下告知方式，确保告知的可及性与有效性：1.主动告知方式，包括隐私政策、用户协议、弹窗提示、单独告知页、书面告知书、口头告知、公告公示、标识提示、短信/邮件通知等。2.被动告知方式，包括设置咨询热线、在线客服、线下服务窗口、专门的个人信息保护咨询邮箱等，供个人主动查询个人信息处理规则。（二）不同场景告知方式选择要求1.通过互联网线上服务处理个人信息的，应当以隐私政策作为主要告知方式，同时在收集敏感个人信息、向第三方提供个人信息、开通个性化推荐、个人信息出境等特殊场景下，通过弹窗、单独提示页等方式进行单独告知。2.通过线下服务处理个人信息的，可以采用书面告知、口头告知、张贴公告、设置标识等方式，其中处理敏感个人信息的应当采用书面告知方式，由个人签字确认已知晓告知内容；口头告知的应当留存录音或者书面记录，证明已履行告知义务。3.处理不特定多数人个人信息的，可以采用公告公示的方式，比如在公共场所张贴公告、在官方网站发布公告等，公告的留存期限不得短于个人信息处理活动的持续期限。4.针对特定个人处理个人信息的，应当采用一对一的告知方式，确保个人能够直接获知与其相关的个人信息处理规则。5.针对老年人、残疾人等特殊群体，应当提供适配的告知方式，如大字版告知文本、语音告知、人工协助告知等，确保特殊群体能够充分知晓个人信息处理规则。（三）告知有效性要求1.告知文本应当使用简洁明了的现代汉语，避免使用专业术语、法律术语或者模糊表述，确需使用专业术语的，应当作出通俗易懂的解释。2.线上告知的，隐私政策应当设置在显著位置，确保用户在注册、登录或者使用服务的过程中能够随时查阅，不得将隐私政策隐藏在多级菜单之后，用户从App主界面或者注册页面点击进入隐私政策的操作次数不得超过2次。3.不得采用默认勾选、强制捆绑授权等方式，迫使个人同意个人信息处理规则，不得将个人同意处理非必要个人信息作为使用核心功能的前提条件。4.告知内容应当同时提供中文版本，服务对象包含少数民族或者境外人员的，可以根据需要提供相应的语言版本，各版本内容应当一致，存在争议的以中文版本为准。（四）告知内容更新与公示1.个人信息处理目的、方式、范围、存储期限等内容发生变更的，应当及时更新告知内容，并在变更生效前7个工作日内，通过弹窗、推送消息、邮件、短信等显著方式通知个人。2.变更后的内容涉及敏感个人信息处理、个人权利限制、个人信息出境等重大变更的，应当重新取得个人的单独同意，未取得同意的不得按照变更后的规则处理个人信息。3.应当保留告知内容的历史版本，保存期限不少于3年，供个人查询；历史版本应当标注生效时间与失效时间，确保可追溯。七、个人知情权保障与异议处理（一）权利行使渠道保障1.个人信息处理者应当设置至少2种以上的个人权利行使渠道，包括线上渠道（如在线客服、专门的权利申请入口、个人信息保护专用邮箱）和线下渠道（如服务窗口、咨询电话），确保个人能够便捷行使知情权及其他相关权利。2.处理个人信息数量累计超过100万人的，应当设立专门的个人信息保护咨询投诉热线，工作时间内人工咨询接通率不低于90%，非工作时间应当提供智能应答服务，并记录个人诉求后24小时内予以人工回复。3.应当在告知内容中明确各渠道的使用方式、处理时限，不得设置不合理的门槛限制个人行使权利，例如不得要求个人提供与行权无关的额外证明材料。（二）异议处理流程1.个人对告知内容有异议，或者认为个人信息处理活动与告知内容不一致的，可以通过设置的渠道提出异议申请；个人提出异议申请时无需提供额外证明，个人信息处理者应当承担举证责任证明其已履行告知义务且处理活动符合告知要求。2.个人信息处理者收到异议申请后，应当在1个工作日内予以登记，并在15个工作日内完成核查并作出书面答复，情况复杂的可以延长15个工作日，但应当提前以书面形式告知个人延长的理由。3.经核查，确认告知内容存在错误、遗漏或者实际处理活动与告知内容不一致的，应当立即予以纠正，并将纠正结果告知个人，同时对因此造成的损害依法承担责任；纠正涉及第三人权益的，应当及时通知相关第三人。4.经核查，确认告知内容准确、实际处理活动符合告知要求的，应当向个人说明核查情况及依据，不得仅以“符合规定”为由模糊答复。（三）投诉举报处理1.个人信息处理者应当建立个人信息保护投诉举报机制，在告知内容中明确投诉举报的渠道、处理流程及反馈时限。2.收到投诉举报后，应当在7个工作日内作出受理答复，在30个工作日内作出处理结果答复，情况复杂的可以适当延长，但延长期限不得超过30个工作日，并应当告知投诉举报人延长的理由。3.对投诉举报人的个人信息应当予以保密，不得泄露投诉举报人的相关信息，不得对投诉举报人进行打击报复。八、内部管理与监督考核（一）内部管理职责1.个人信息处理者的主要负责人是个人信息保护告知工作的第一责任人，负责统筹告知制度的建立、实施与监督，保障告知工作所需的人员、经费、技术资源。2.处理个人信息数量累计超过100万人的，应当指定专职的个人信息保护负责人，负责告知内容的审核、告知活动的监督、异议投诉的处理、合规培训的组织等工作；处理个人信息数量不足100万人的，可以指定兼职的个人信息保护工作人员。3.各业务部门负责本业务场景下个人信息告知工作的具体实施，确保本部门的个人信息处理活动符合告知要求，业务场景发生变化时应当及时提交告知内容更新申请。4.法务、合规、安全部门负责对告知内容的合法性、规范性进行审核，对告知活动的合规性进行监督检查，参与处理重大个人信息保护异议与投诉。（二）告知内容审核机制1.制定或者更新告知内容的，应当经过业务部门起草、个人信息保护工作人员初审、法务合规部门复审、主要负责人终审的四级审核流程，确保告知内容合法、准确、完整。2.涉及敏感个人信息处理、个人信息出境、自动化决策等特殊场景的告知内容，应当组织开展个人信息保护影响评估，评估通过后方可发布；评估内容包括处理活动的必要性、对个人权益的影响、安全保障措施的有效性等。3.告知内容的审核记录、评估报告应当留存不少于3年，作为合规证明材料。（三）培训与审计1.个人信息处理者应当定期组织开展个人信息保护告知相关的培训，每年培训次数不少于2次，培训对象包括全体员工，重点培训业务部门、客服部门、技术部门的相关人员，确保相关岗位人员掌握告知工作的要求与流程；培训记录应当留存不少于2年。2.应当至少每年开展一次个人信息保护告知工作的专项审计，核查告知内容的准确性、告知方式的有效性、实际处理活动与告知内容的一致性；审计内容应当包括告知内容的合规性、告知渠道的可及性、个人异议处理的及时性、实际处理活动与告知规则的匹配度等。3.处理敏感个人信息或者个人信息数量累计超过100万人的，应当至少每半年开展一次个人信息保护影响评估，评估内容包括告知工作的落实情况、对个人权益的影响、存在的风险及整改措施等；审计报告与评估报告应当留存不少于5年。（四）考核与问责1.个人信息处理者应当将个人信息保护告知工作的落实情况