《数字产品数据安全和隐私保护要求》.docx

《《数字产品数据安全和隐私保护要求》.docx》由会员分享，可在线阅读，更多相关《《数字产品数据安全和隐私保护要求》.docx（10页珍藏版）》请在优知文库上搜索。

1、附件7ICS35.240CCS1.80团体标。c（J焦24数字产品数据安全和隐私保护要求Datasecurityandprivacyprotectionrequirementsfordigita1.products（征求意见稿）2024-XX-XX实施2024-XX-XX发布中国出入境检验检疫协会发布目录前HII范围12规莅性引用文件13术语和定义14数据安全和隐私保护原则3S数据收集46数据存储和传输17数据使用和加工48数据提供和公开59数据删除510数据出境6参考文航6X刖三本文件按照GB/T1.1-2020标准化工作导则第1部分：标准化文件的结构和起草规则3的规定起草.请注意本文件的某

2、些内容可能涉及专利。本文件的发布机内不承担识别这些专利的设任.本文件由中国出入境检脸检疫称会网络安全标准化技术委员会(C1.QA/TC16)提出并归口。本文件起草舱位：北京时代新威信息技术有限公司、北京爱思考科技有限公司、北京救易轩科技有限公司、本文件主要起草人：本文件知识产权归中国出入境检验检疫侨会所有.任何单位或个人未经许可.不得以营利为目的.印制、出版、翎洋、转发或复制全文或部分文字.本文件是首次发布.数字产品数据安全和隐私保护要求1范围本文件规定了数据产品针对用户信息的收集、存储、使用、加工、是供、公开、出境等数据处理活动的安全要求。本文件适用于数字产品提供者规范数据处理活动，也可为监

3、管部门、第三方评估机构对数字产品中数据处理活动进行监15、评估提供参考.2规黄性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注I期的引用文件,仅该日期对应的版本适用于本文件：不注日期的引用文件.其用新版本（包括所有的修改单）适用于本文件.GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范3术语和定义下列术语和定义适用于本文件。3.1数字产品digita1.products消费者日常生活、工作中使用的智能化、可联网的数字终端设在，主要包括：智能办公产品、智能娱乐产品、智能健康产品、智能穿嵌产品、智能车联网产品、智能赛控设备、智能无人

4、机、智能机器人等.3.2数据data信息的可再解程的形式化表示,以适用于通信、解拜或处理.注：数据可以由人工或自动的方式加工处埋.来源：GB.T18391.1-2009.定义3.2.63.3用户信息userinformation与个人、法人或其他祖锐有关的信息，以及定义和描述此类信息的数据。注：用户信息包括个人信息，用户生成的文档、程序、多媒体资料,用户通信的内容、地址、时间，产品的配S1.运行及位置数据.系统运行过程产生的日志等.来源:1S0IEC17027:2014,2.563.4个人信息persona1.information以电子或者其他方式记录的能修单独或者与其他信息结合来识别特定自

5、然人身份或者反映其活动情况的各种信息，注1：个人信息包括姓名、出生日期、公民身份号码、个人生物特征信息、住址、联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等.注2：个人信息控制者通过个人估恩或其他加工处理后形成的伯息，例如，用户画像特征标签,能步单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的,也禺F个人信息。来源,GB/T250692022.3.1963.5隐私privacy除私是自然人的私人生活安宁和不慝为他人知晓的私密空间、私密活动、私密信息.中华人民共和国民法典为第一千零三十二条第二款3.6隐私信息privacy

6、information是指自然人或个人不愿意公开的与个人身份、行为、通信、财务状况、健康状况等相关的信息。这些信息包括但不限干：个人身份信息：如姓名、身份证号码、护照号码、社会保险号码等.联系信息：如家庭地址、电话号码、电子昭箱地址等。金信息I如银行账户信息、信用卡信息、交易记录等.健康信息：包括医疗记录、健康检查结果、遗传信息等.在线活动信息如浏览历史、搜索记录、社交媒体账户、商品和服务交易信息等，通信内容I如电子部件、短信、即时通讯应用中的消息内容等.位数据，通过GPS或其他技术收集的个人位置信息.其他：国家法律法规规定的其他信,&.3.7个人信息主体persona1.informatio

7、nsubject个人怕恩所标识或关联的自然人.来源：GB/T35273-2020,定义3.33.8匿名化anonymization通过时个人估息的技术处理,使疗个人信息主体无法被识别或者关联.口处理后的估息不能被复原的过程。注:个人信息经匿名化处理后所汨的信息不限于个人皆息来源：GB/T352732020,定义3.1473.9去标识化de-identification通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人信息主体的过程，注：去标识化建立在个体基础之上,保留了个体颗粒度,采用假名、加密、哈希函数等技术手段图代对个人信息的标识，来源：GB/T35273-202

8、0.定义3.1573.10数据安全datasecurity数据安全，是指通过采取必要措施，确保数据处于有效保护和合法利用的状态，以及具符保障持续安全状态的能力3.11隐私保护privacyprotection为保护隐私而采取的措施，如对个人信息的收集、处理和使用加以保护。4数据安全和隐私保护原剜数字产M提供者应遵循以下原则：a）同步原则：在数字产品设计、安装和运行维护过程中，以及数据从收煲到错毁的全生命周期中，数字产品提供者应对用户数据安全与隐私保护进行统一规划、同步实施、同步使用、同步运行：b）公开透明原则：用户信息或留私的收集、处理与利用,组织必须获得个人的明确同意，并应公开信息处理规则，

9、明示处理目的、方式和范用，信息处理者的名称或姓名和联系方式，可能披羯个人数据的第三方的类皇或身份以及披露目的，用户个人权利等；c）最少必需原则：在数据的收集、存储、使用、加工、传输、提供、公开、销毁等活动中.所使用的数据类型及数据范围仪限定为实现产品功能所必儒的设小范围，且具有合法、正当、必要的I1.的；I邀私信息的保存期网应当为实现处理目的所必要的最短时间；d）安全性原则：数字产品提供者应确保用户信息或防私的处理安全,包括防止未经授权或非法的处理以及防止意外报失、毁损或损坏.数字产品提供者应果取适当的技术或组织措施来保妒用户除私及信息免受可能的戒胁,这些措施应根据最新技术水平、相关成本以及处

10、理的性旗、范IM,有景和目的，以及对个人权利的风险进行评估。e）分类分级原则：对数据进行分类分级,根据数据安全风险程度采取相应的安全保护措施保隙数据安全：P1.IC1.QA-200-2024f）图芾产品生命展期原则：数据安全保护措施应凝芾数据从产生到销毁的生命周期全过程：5数据收集5.1收集个人信息,哙私信息数字产品提供者收集个人信息、购私信息等应符合GB/T35273-2020.GB/T11391-2022要求，5.2授权同意数字产品提供者收集个人信息.吃私信息应满足以下要求：a）收集用户个人信息、障私信息前需告知用户数字产品提供者的名称或钟姓名、联系方式.个人信息、陌私信息的处理目的、处理

11、方式，处理的信息种类、保存期限，用户行使权利的方式和程序等,并需取得用户个人信息主体的授权同意：b）向笫三方提供或共享个人信息、隐私信息前,应向用户告知接收方的幺称或者姓名、联系方式、处理目的、处理方式和信息的种类,告知处理的必要性及对个人权益的影响，并取得用户（个人信息主体）的单独授权同意.6数据存偌和传输数字产M提供者存储、传输数掘，应在遵守GBT35273-2020的要求基础上，满足以下要求：a）个人信息、附私信息存储期限应为实现信息处理目的所必需的最迈时间，超出存储期限应时个人信息、隐私进行删除或匿名化处理，法律法规另有规定的除外：b）如超出个人信息存储期限,但法律、行政法现规定的保存

12、期限未届满,或者删除个人信息从技术上难以实现的,应停止除存储和采取必要的安全保护措施之外的处理：c）存储和传输个人信息、隐私信刖时，应采用密码技术对信息进行加密；个人信息、隐私信息应独立加密存储：d）不应存储用户验证码、银行卡密码等伯息：e）个人信息、和信息应存储于中华人民共和国境内，如福出境应遵循国家相关规定，7数据使用和加工7.1 数据的访问控制数据产品提供者对数据的访问控制,应在遵守GBZT35273-20201|第7就要求的基础上满足以下要求:a）数据产品提供者内部使用的业务系统，应授予管理用户所需的减小权限，实现管理用户的权限分肉.b）应遵循最少必Si、职由分离的原则,按照数据分级建

13、立相应的数据访问控制措俺和访问权限申谢审批流程，将数据分级与数据访同权限进行关联标识，访问权限应明确数据自阅、更正、删除、下栽等操作；P.C1.QA-2（X）-2（24c）应确保隐私信息访问的合法性、安全性以及可控性。访问控制技术应向细粒或、多安全等级、跨域的方向延伸发展,授权依据面向主、客体的安全属性,采用基于信任、基于属性和域于行为等一系列基于安全属性的新型访问控制模型以及管理模型.d）基于属性的访问控制应将各类属性包括用户屈性、资源典性、环境牖性等组合起来用于用户访问权限的设定。7.2 数据加工数字产品提供者应遵守GBT35273-2020,并满足以下要求：a）未经用户单独授权同意,不应

14、对用户唠私信息进行分析挖掘；b）不应根据用户的网上活动（如收徵列表、关注列表、交易记录、搜索记录、点击记录.浏览记录等）在用户交易价格等交易条件实施不合理的差别待遇：c）根据用户的网上活动或操作提供个性化推荐（如广告、商品推荐等功能时，应允许用户自主选择，井湎足以下要求：1）械提供不针对其个人特征的选项.或向个人提供使徒的拒绝方式：2）应向用户提供设置、修改针对用户特征的个性化推送参数的功能：3）应向用户提供针对自动化决策结果的便捷有效的投诉集道：4）在涉及用户资金交易的自动化决策时，应提前向用户详细说明并取得用户单独授权同Jec8数据提供和公开8.1 数盘提供数字产品提供者向第三方提供数据，

15、应遵守GB/T35273-2020.足以下要求：a）应对第三方的数据安全保护能力进行评估,并以协议等方式钝定双方的数据保护费任：b）应与第三方约定数据处埋现则，并在用户网络活动中同步告知用户：c）应向用户告知第三方的名称或者姓名、联系方式、处理目的、处理方式和信息的种类，并取得用户的单独授权同意：d）向商品交易、物流等第三方眼务提供者提供数据时,应仅限于相关活动的订单范用：e）因效并、曳组、破产等原因需要转移数据的,应果取安全保护措施，确保数据的完整性和保密性，数据接收方应继续W行数据安全保护义务，8.2 数据公开数字产品提供者公开用户数据,应符合GB/T35273-2020的要求，不应公开用户的隐私信息，任用户单独授权问意的除外.9数据制除数字产品提供者删除数据除符合GB/T352732020要求以外,还应满足以下要求：a）数据删除应经过授权：b）刷除同应对数据进行加密，确保即使数据被恢以后仍无法读取内容；c）对存储设备进行物理删除.对衢要报废的存储设备进行销毁处理：