1、 ICS 35.020 CCS L 70 21 辽宁省地方标准 DB21/T 1628.12026 代替 DB21/T 1628.1-2016 信息安全技术 个人信息安全 第 1 部分:要求 Information security technologyPersonal information security Part1：Requirements2026-01-07 发布2026-02-07 实施辽宁省市场监督管理局发 布 DB21/T 1628.12026 I 目次 前言.III 引言.IV 1 范围.1 2 规范性引用文件.1 3 术语和定义.1 4 缩略语.3 5 个人信息.3 6 主
2、体.4 7 个人信息主体权利.4 8 个人信息管理者.5 9 个人信息管理.6 10 获取过程.10 11 处理过程.12 12 过程管理.16 13 安全管理.17 14 例外.19 15 认证.19 参考文献.20 DB21/T 1628.12026 II DB21/T 1628.12026 III 前言 本文件按照GB/T 1.12020标准化工作导则 第1部分：标准化文件的结构和起草规则的规定起草。本文件是DB21/T 1628的第1部分。DB21/T 1628已发布以下部分：第 1 部分：要求；第 2 部分：实施指南；第 3 部分：个人信息数据库管理指南；第 4 部分：文档管理指南；
3、第 5 部分：风险管理指南；第 6 部分：安全技术实施指南；第 7 部分：内审实施指南；第 8 部分：过程管理指南。本文件代替 DB21/T 1628.12016信息安全 个人信息保护规范。与 DB21/T 1628.12016 相比，本文件除编辑性修改外，主要技术变化如下：a)标准名称修改为信息安全技术 个人信息安全 第 1 部分：要求；b)调整标准结构（见第 5、6、7、8、9、10、11、12、13 章）；c)增加个人数据相关规则的表述（见第 5 章）；d)增加了个人信息相关规则的表述（见第 5、6 章）；e)增加敏感个人信息和个人信息敏感性的规则表述（见第 5.1、5.2、5.3、5.
4、4 节）；f)增加个人信息假名化、匿名化相关规则（见第 10.4、11.7 节）；g)增加个人信息生命周期内个人信息跨境收集、处理、使用相应规则等（见第 11 章）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中共辽宁省委网络安全和信息化委员会办公室提出并归口。本文件起草单位：大连软件行业协会、国家计算机网络应急技术处理协调中心辽宁分中心、大连交通大学、大连软信咨询服务有限公司、大连市计算机学会。本文件主要起草人：郎庆斌、李凯、孙鹏、尹宏、丁宗安、孙毅、吕蕾蕾、杨莉、司丹、郭玉梅、王小庚、宋悦、王开红、曹剑。本文件及其所代替文件的历次版本发布情况：2008
5、 年首次发布为 DB21/T 16282008，2012 年第一次修订；2016 年第二次修订为 DB21/T 1628.12016；本次为第三次修订。本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈，有关单位将及时答复并认真处理，根据实际情况依法进行评估及复审。本文件归口单位通讯地址：沈阳市和平区光荣街26号甲，联系电话：024-81680033。本文件起草单位通讯地址：大连市高新园区火炬路32号创业大厦A座5层，联系电话：0411-88255657。DB21/T 1628.12026 IV 引言 DB21/T 1628.1-2016发布实施以来，在社会
6、经济、文化等各个领域的深刻变革中，对辽宁省个人信息安全起到了重要的指导作用。随着科学技术，特别是新一代信息技术的进步和发展，引发新的个人信息安全风险，需要在新的形势下重新审视个人信息安全标准的普适性。同时，个人信息安全相关的一些术语、概念、规则表述等存在重大差异，目前的一些表述形式，可能引发个人信息安全的潜在风险，需要新的、更加严谨、科学的规范。无论传统的个人信息形态，还是新一代信息技术的应用（如智慧城市、云服务、大数据、物联网、智能识别、智能应用、移动应用等），管理是安全的关键。本文件再次修订，以管理为主线，以个人信息生命周期，即服务管理过程为导向，以个人信息安全和个人信息管理质量为目标，
7、基于多年的研究和实践，严谨、科学地规范个人信息安全相关术语、概念和规则表述，制定个人信息生命周期内管理要素的约束规则。本次修订，完善DB21/T 1628个人信息安全标准体系，遵循标准体系构建的一般规律，重新调整、归类，形成相对科学、规范的标准体系结构。修订完成的DB21/T 1628个人信息安全标准体系，以本文件为纲，提纲挈领，总括DB21/T 1628个人信息安全标准体系总体规范，以管理为主线，以个人信息生命周期为导向，以个人信息安全和个人信息管理质量为目标，分解并规范个人信息生命周期内管理要素约束规则，构成各自相对独立，又相互关联的标准子集，形成完整、系统的DB21/T 1628个人信息
8、安全标准体系。DB21/T 1628拟由8部分构成。第 1 部分：要求。目的在于确立个人信息、主体、个人信息主体权利、个人信息管理者、个人信息管理、个人信息获取过程、个人信息处理过程、过程管理、安全管理和例外等的基本规则和要求。第 2 部分：实施指南。目的在于为个人信息管理者提供个人信息管理相关指导和通用准则。第 3 部分：个人信息数据库管理指南。目的在于为个人信息管理者构建、管理、维护、改进个人信息数据库提供指导和通用准则。第 4 部分：文档管理指南。目的在于为个人信息管理者在个人信息生命周期内，建立完善的个人信息管理相关文档的管理机制提供指导和通用准则。第 5 部分：风险管理指南。目的在于
9、为个人信息管理实施过程中实施风险管理提供指导和帮助。第 6 部分：安全技术实施指南。目的在于为个人信息管理者构建、实施、运行个人信息安全管理体系采用安全技术提供指导和通用准则。第 7 部分：内审实施指南。目的在于规定个人信息安全管理体系内审原则、管理、管理机制和实施的基本规则和要求。第 8 部分：过程管理指南。目的在于为个人信息安全管理体系构建、实施、运行的过程管理提供指导和通用规则。DB21/T 1628.12026 1 信息安全技术 个人信息安全 第 1 部分:要求 1 范围 本文件规定了个人信息、主体、个人信息主体权利、个人信息管理者、个人信息管理、个人信息获取过程、个人信息处理过程、过
10、程管理、安全管理和例外等的基本规则和要求。本文件适用于自动或非自动处理全部或部分个人信息的机关、企业、事业、社会团体等组织及个人。2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 352732020 信息安全技术 个人信息安全规范 3 术语和定义 GB/T 352732020 界定的以及下列术语和定义适用于本文件。3.1 个人数据 personal data 依附于个人，可客观、真实记录、鉴别自然人个体性状的字符、符号等，如数字、文
11、字、图像、影像、声音等，包括如：通过听觉、视觉、触觉等感官直接获得的个人数据；借助各种手段间接获得的个人数据等。3.2 个人信息权 Personal information right 基于人格要素的个人信息财产权、隐私权及精神利益等。注：人格要素是个人信息构成要件。3.3 主体 subject 事务、信息等的所有者、支配者、控制者。3.4 个人信息主体权益 personal information subject rights and interests 个人信息主体的人格权、人格利益及相应的个人信息权。注1：人格权是基于自然规律出生，具有民事主体资格，享有民事权利并承担民事义务的自然人，维
12、护人格主体自身的独立人格利益所必备的生命健康、人格尊严、人身自由、个人隐私、个人信息等的各种权利。注2：人格利益是自然人唯一拥有的人身权益，由生命、身体、健康、姓名、名誉、荣誉、肖像、个人隐私、人身自由等生物性、精神性人格要素构成。3.5 个人信息主体权利 Personal information subject rights DB21/T 1628.12026 2 基于个人信息主体权益形成的个人信息主体知情、支配、质疑等权利。注：个人信息主体权利相关规则参看DB21/T 1628.1。3.6 个人信息质量 personal information quality 个人信息的完整性、准确性和时
13、效性。3.7 个人信息假名 personal information pseudonym 将个人信息分解为可识别特征信息和琐碎信息，分别保存、管理。二者适配可构成完整、准确的个人信息，并可准确识别特定的个人信息主体。3.8 个人信息管理者 personal information controller 获个人信息主体授权和明确同意，基于特定、明确、合法目的，获取、管理个人信息的机关、企业、事业、社会团体等组织及个人。注1：个人信息处理者、个人信息控制者、个人信息消费者等均应是个人信息管理者的角色细分;注2：这些细分角色，具有相应的个人信息管理职能；注3：这些细分角色应具有个人信息管理者同样的责
14、任和义务，参看DB21/T 1628.1。3.9 个人信息数据库 personal information database 个人信息主体明确同意并授权，合法拥有的个人信息，按照一定方式和规则组织，形成逻辑统一的个人信息集合体。包括：a)可以通过自动处理方式处理和使用的、特定的个人信息集合体；b)可以采用非自动处理方式处理和使用的、特定的个人信息集合体；c)前述 2 种混合形式；d)除前 3 项外，法律规定的可检索特定个人信息的集合体等。注：个人信息数据库的存储介质可包括磁介质、电子介质、网络媒介、纸介质、声音、照片等。3.10 个人信息主体画像 personal information su
15、bject profiling 根据已获得的个人信息主体的相关表征数据，合法勾勒、描摹个人信息主体的基本特征，形成基本的个人信息认知。3.11 个人信息开发 personal information develop 基于已知个人数据，目的明确、合法的深度挖掘、分析、整合、加工，以获取、分析、评价个人信息主体的个人偏好、行为模式、社会经历等更加宽泛、细节的个人数据，并形成相对深度、宽度的个人信息认知。3.12 个人信息主体同意 personal information subject agreement 个人信息管理活动或行为与个人信息主体意愿一致，个人信息主体明确表示赞成。表达形式包括：a)个
16、人信息主体以书面形式同意；b)个人信息主体以可鉴证的、有规范记录的、满足书面形式要求的非书面形式同意等。注1：下述情况视为个人信息主体同意：1）由监护人代表未成年的或无法做出正确判断的成年个人信息主体表达的意愿；2）个人信息管理者与个人信息主体签订合同中确认了相关个人信息处理的规定，个人信息主体同意履行合同等。DB21/T 1628.12026 3 注2：单独同意，应存在认知误区和风险缝隙。单独是自然人个体独自的行为，不能确认个人信息主体，亦不能明确个人信息主体意愿；注3：明示同意，与明确同意的区别，明示同意更多用于正式文件（法律文书、合同约定等）。明确同意则更直接表述清晰、准确、无歧义的意愿
17、3.13 过程改进 process Improvement 个人信息管理者依据相关法规、内审报告及可能的需求变化等，采用PDCA过程模式，定期评估、分析个人信息安全管理体系运行状况，并持续改进和完善。4 缩略语 下列缩略语适用于本文件。PDCA：GB/T 19001/ISO 9001 确立的全面质量管理应遵循的科学方法，本文件用于个人信息管理相关活动的质量管理（Plan-Do-Check-Act）PISMS：个人信息安全管理体系（Personal Information Security Management System）5 个人信息 综述 5.1 个人应是自然人群体中的单个个体，具有多义
18、性、多指性。个人信息基于个人的含义，是泛化、普适的概念，泛指自然人群体中单个个体拥有数据的画像、加工等。个人信息具有多种存在形态。收集个人数据，画像、加工，可识别自然人群体中特定的个人，即个人信息主体。敏感个人信息 5.2 敏感个人信息应是自然人特殊、私密、不应示人的个人隐私数据。敏感个人信息的特征，应是信息形成数据本源即具有高度敏感性（生物特征、社会活动特征等）。敏感个人信息主要应包括自然人个体生物性隐私数据、社会生活、活动中某些特殊的私密隐私数据等。个人信息敏感性 5.3 自然人个体在社会、生活、工作中经常使用的、具有特定的商业价值的某些个人数据，在处理、使用过程中产生敏感性。个人信息敏感
19、性的特征，是个人数据处理、使用过程形成的敏感性，非本源性形成的敏感性。双重性 5.4 新技术发展、应用过程中，自然人个体在社会、生活、工作中经常使用的、具有特定商业价值的个人数据，向敏感个人信息延伸，敏感个人信息的特征随之发生转变。如自然人面部特征数据应属于敏感个人信息，随着智能识别的应用普及，转化为具有个人信息敏感性特征的个人信息。但是，敏感个人信息特征在个人信息处理、使用过程中发生转化，是基于应用场景的暂时性改变，敏感个人信息的特征不应发生变化。DB21/T 1628.12026 4 个人信息生命周期 5.5 个人信息生命周期应包括3个环节：a)个人信息获取过程：个人信息主体同意，基于特定
20、明确、合法目的，直接或间接收集自然人个体的相关信息；b)个人信息处理过程：基于收集目的的个人信息使用、利用过程，主要可包括 4 种形式：1)包括编辑、加工、检索、存储、传输等不同的使用流程；2)包括提供、委托、交换等不同的利用过程；3)包括交易、二次开发等不同的利用过程；4)个人信息的后处理过程；c)基于生命周期的过程管理：在个人信息生命周期内，采用 PDCA 模式管理针对个人信息及相关资源、环境、管理体系等的活动或行为。6 主体 个人信息主体 6.1 个人信息主体应是自然人群体中特定的个体，可存在2种识别方式：a)个人信息主体是可通过个人信息识别的特定的自然人个体，具有主体唯一性，且个人信
21、息主体权益也应是唯一的；b)个人信息基于已识别个人信息主体，依据主体唯一性获取。个人信息管理者 6.2 个人信息管理者应是：a)基于特定的目的，获得个人信息主体明确同意的管理主体；b)接受合法委托、授权，收集、拥有、保存（存储）、管理、处理、控制、使用、利用个人信息的组织、机构、个人等；c)可拥有、控制、处理个人信息，但不应发生个人信息主体权益转移等。7 个人信息主体权利 要求 7.1 个人信息管理者为保障个人主体权益，下列情况应首先向个人信息主体申明个人信息主体应有的权力（这些权利包括知情权、支配权、质疑权等）：a)基于特定目的，获得个人信息主体明确同意，并接受合法委托、授权时；b)个人信息
22、生命周期全过程中与个人信息主体权益相关的所有相关活动、行为等。知情权 7.2 个人信息主体知情权应包括：a)个人信息主体知悉同意、委托、授权管理主体的相关信息的权利；b)个人信息主体知悉个人信息管理目的、知识、方法、技术等相关信息的权利；c)个人信息主体知悉个人信息收集、处理、使用、利用的目的、方式、范围等相关信息的权利；d)个人信息主体知悉个人信息数据库中与自己相关的信息的权利；DB21/T 1628.12026 5 e)个人信息主体知悉个人信息生命周期内个人信息管理和个人信息质量等相关信息的权利；f)个人信息主体查询个人信息收集、处理、使用、利用及管理等的过程及相关信息的权利等。支配权 7
23、3 个人信息主体支配权应包括：a)个人信息主体同意或否定委托、授权管理与之相关的个人信息的权利；b)个人信息主体同意或否定与个人信息管理相关事项的权力；c)个人信息主体同意或否定收集、处理、使用、利用其个人信息的权利；d)个人信息主体修改、删除、完善与之相关的个人信息，以保证个人信息质量（包括完整、准确和最新状态等）的权利；e)个人信息主体决定如何管理、处理、使用、利用与之相关的个人信息的权利；f)个人信息主体提议改进、完善个人信息生命周期内个人信息管理质量的权利等。质疑权 7.4 个人信息主体质疑权应包括：a)个人信息主体质疑申请委托、授权管理个人信息的权利；b)个人信息主体质疑个人信息管
24、理能力、知识、方法、技术、行为或活动等的权利；c)个人信息主体质疑与之相关的个人信息的准确性、完整性和时效性的权利；d)个人信息主体质疑或反对个人信息收集、处理、使用、利用的目的、方式、范围等的权利；e)个人信息主体质疑或反对与之相关的个人信息管理目的、过程等的权利；f)如果个人信息收集、处理、使用、利用的目的、方式、范围等，及个人信息管理目的、过程违背了个人信息主体意愿或其它正当理由，个人信息主体请求停止相关活动、行为或提出撤消该个人信息的权利；g)个人信息主体确认停止或撤销个人信息管理、收集、处理、使用、利用等的权利；h)个人信息主体质疑个人信息生命周期内个人信息管理质量的可靠性的权利等。
25、8 个人信息管理者 综述 8.1 8.1.1 发生下列情况时，即产生个人信息管理相关活动或行为：a)获得个人信息主体明确同意并接受个人信息相关委托、授权时；b)个人信息收集（各种存在形态个人信息的获取）时；c)个人信息处理、使用、利用等时等。8.1.2 基于个人信息主体权益安全保障，这类活动或行为应责成相应的责任主体（个人信息管理者），并承担相应的管理责任和义务。8.1.3 各种不同的个人信息需求产生的不同细分角色，应负有相同的管理责任和义务，亦应统称为个人信息管理者。约束规则 8.2 个人信息管理者的约束规则应包括：a)个人信息管理者收集、处理、使用、利用、管理个人信息应获得个人信息主体授权
26、并确定明确、合法的目的；DB21/T 1628.12026 6 b)个人信息管理者应为个人信息主体提供个人信息生命周期内的服务管理；c)个人信息管理者应明确管理职能、职责，承担相应的责任和义务；d)个人信息管理者不应因利益、条件等的变化降低个人信息管理质量的可靠性等。角色 8.3 个人信息管理者可根据不同的需要细分不同的角色，如个人信息收集、个人信息处理、个人信息控制等，但均应遵循本章确立的规则，保障个人信息主体的权益。服务管理 8.4 个人信息管理应是个人信息管理者为个人信息主体提供服务的过程。个人信息管理者应满足：a)个人信息管理者应具有各类资源的转换能力和相应的管理职能，以保证个人信息
27、管理的有效性；b)个人信息管理者应建立有效的内部管理机制并形成管理体系，以保证个人信息管理质量的可靠性；c)个人信息管理者应提供透明的服务管理过程，以保证第 5 章确立的个人信息主体的权力等。责任和义务 8.5 个人信息管理者的管理责任和义务应包括：a)管理责任：个人信息管理者及相应的细分角色均应负有收集、存储、处理、使用、利用个人信息的管理责任，并征得个人信息主体同意后开展个人信息相关管理活动或行为；b)权利保障：个人信息管理者应保障第 7 章确立的个人信息主体的权利；c)目的明确：个人信息管理者应保证个人信息管理目的与个人信息主体意愿一致，管理过程或行为不应超目的、超范围；d)告知：个人信
28、息管理者应将收集、管理个人信息的目的和方式、不提供个人信息的可能后果、第 7 章确立的个人信息主体权利，以及个人信息管理者本身的相关信息等告知个人信息主体；e)质量保证：个人信息管理者应在管理活动或行为中保证个人信息的完整性、准确性、可用性，并保持最新状态；f)保密性：个人信息管理者应对所管理的个人信息予以保密，并对个人信息管理过程中的安全负责。9 个人信息管理 目的 9.1 9.1.1 个人信息管理是以占有、控制、利用、使用个人信息为目的的管理行为、活动。个人信息管理者收集各类个人信息资源，根据收集目的，控制、处理、使用、利用个人信息，协调、组织个人信息资源与个人信息主体的符合性，采取相应的
29、控制策略和措施。9.1.2 个人信息管理者应履行管理责任和义务，协调、组织、转换 PISMS 和各类相关资源，根据收集目的，在收集、处理、使用、利用个人信息中采取相应的控制策略和措施，保证个人信息安全和个人信息主体权益。管理组织 9.2 9.2.1 要求 DB21/T 1628.12026 7 个人信息管理者应根据管理、业务等实际，建立个人信息管理相关机构，构建PISMS，实施个人信息生命周期全过程的符合个人信息相关法规、标准的体系化管理，组织个人信息管理活动或行为，保障个人信息的安全。9.2.2 责任主体及职责 9.2.2.1 最高管理者 个人信息管理者的最高行政领导，应重视个人信息管理，并
30、选择、任命有能力的个人信息管理代表组建、负责个人信息管理责任主体，在资金、资源等各个方面提供完全的支持。9.2.2.2 管理责任主体 个人信息管理代表的职责主要应包括：a)建立、落实个人信息管理责任主体，明确责任主体职能和职责；b)宜分工建立个人信息管理相关责任主体，可包括宣传教育、安全管理、服务咨询等；c)制定、实施个人信息管理计划；d)建立、实施、运行 PISMS；e)明确个人信息管理相关责任主体和人员职能、职责、责任；f)管理个人信息相关活动、行为，包括相关宣传教育、安全管理、服务咨询等；g)基于个人信息生命周期的过程管理；h)PISMS 运行检查、评估、改进、完善；i)记录个人信息管理
31、活动，并编制 PISMS 运行报告等。9.2.3 内审责任主体 个人信息管理者应建立PISMS内审责任主体，并应由最高管理者指定PISMS内审代表负责。内审代表可以在个人信息管理者内部选聘，或聘请社会人士担任。其职责应包括：a)独立、公平、公正地开展 PISMS 监督、检查、调查工作；b)制定 PISMS 内审制度和内审计划，并按计划实施内审；c)跟踪、监控、评估 PISMS 实施、运行；d)编制内审报告，督促、建议 PISMS 的改进、完善等。PISMS 9.3 个人信息管理代表应建立基于服务管理的 PISMS，满足个人信息管理的需要。PISMS 应包括以下要素：a)个人信息安全目标和基本原
32、则；b)个人信息管理机构；c)个人信息管理；d)个人信息生命周期管理；e)过程管理；f)过程改进；g)内审等。资源 9.4 DB21/T 1628.12026 8 个人信息资源是由个人信息主体、个人信息和相应的技术、手段、过程等及其它个人信息管理所需资源有机构成，通过个人信息管理者主体的行为、活动，实现个人信息的价值。原则 9.5 个人信息管理的原则应包括：a)目的明确：收集个人信息应有明确的目的，不应超目的范围处理、利用、使用；b)主体权利：个人信息管理应保证个人信息主体享有的权利；c)个人信息质量：在管理活动或行为中应保证个人信息的准确性、完整性和最新状态；d)合理限制：收集、处理、使用、
33、利用个人信息，应采用合法、合理的手段和方式，并保持公开的形式；e)安全保障：应采取必要、合理的管理和技术措施，防止个人信息滥用、篡改、丢失、泄露、损毁等。方针 9.6 个人信息管理者应制定个人信息管理方针（隐私政策），以说明个人信息管理的策略、方法等。方针应遵循国家相关法规、标准规定的原则、措施和本文件，符合个人信息管理者实际情况，并应以简洁、明确的语言阐述，以各种方式（场地、网站、App等）公之于众。方针内容应包括：a)个人信息主体的权利；b)个人信息管理者的责任和义务；c)个人信息管理的目的和原则；d)个人信息管理的措施和方法；e)个人信息管理的改进和完善；f)个人信息安全承诺等。计划 9
34、7 个人信息管理者应根据管理、业务目标，制定基于个人信息生命周期的管理计划。计划应包括：a)个人信息收集目的、策略；b)个人信息管理措施、策略；c)个人信息管理和各类相关资源的组织、协调、转换和沟通；d)个人信息安全风险评估；e)个人信息全生命周期过程管理和控制；f)个人信息安全应急管理；g)个人信息管理计划评估、改进；h)其它必要的管理策略等。管理机制 9.8 9.8.1 管理制度 9.8.1.1 基本规章 应建立个人信息管理基本规章，成为个人信息管理者及其全体工作人员应遵循的行为准则，并应使每个工作人员完全理解并遵照执行。基本规章应包括个人信息安全管理体系构成要素和个人信息生命周期各个环
35、节的管理规则，并应在实施过程中不断改进和完善。DB21/T 1628.12026 9 9.8.1.2 管理细则 个人信息管理者内各从属机构、部门等应根据实际需要制定与基本规章一致，并符合从属机构、部门特点、切实可行的相关管理细则。9.8.1.3 其它规定 个人信息管理者有其它业务或有特殊要求业务开展，涉及个人信息管理，应制定相应的管理规定。9.8.2 人员管理 9.8.2.1 相关人员 应明确与个人信息管理相关人员的权限、责任，加强监督和管理，防范未经授权的个人信息接触、职责不清、不作为、渎职等管理风险。9.8.2.2 工作人员 应加强所有与个人信息管理者相关工作人员的宣传和教育，明确岗位职责
36、提高保护个人信息主体权益的意识，避免发生个人信息安全事件。9.8.2.3 激励 应采取有计划的措施，激发工作人员与个人信息管理机构之间的互动交流、合理诉求，增强工作人员保护个人信息的热情、责任感、积极性和事业心，以实现个人信息管理目标。9.8.3 宣传教育 9.8.3.1 宣传 9.8.3.1.1 基本宣传 个人信息管理者应在其内部向全体工作人员及其它相关人员说明个人信息管理的重要性和相关管理策略，以得到工作人员及其它相关人员对个人信息管理工作的配合和重视。9.8.3.1.2 业务宣传 个人信息管理者处理涉及个人信息的相关业务时，应主动说明收集、处理、使用、利用个人信息的目的、措施、方法和规
37、定，并做出保密承诺。9.8.3.1.3 社会宣传 个人信息管理者应在相关媒介（宣传资料、网络媒介（如网站等）及其它相关的面向社会的电子类、纸质等材料）中增加个人信息管理的相关内容。9.8.3.2 培训教育 9.8.3.2.1 计划 应根据人员、机构、业务、需求等实际情况，制定个人信息管理相关的培训和教育制度，适时开展相应的培训教育。9.8.3.2.2 对象 DB21/T 1628.12026 10 培训教育的对象，应包括：a)全体工作人员；b)临时员工；c)其他相关人员等。9.8.3.2.3 内容 培训教育的主要内容，应包括：a)个人信息安全相关法律、法规、规范、标准和管理制度；b)个人信息管
38、理的重要性和必要性；c)PISMS 的构成、实施等；d)个人信息主体的权利、责任；e)管理、业务活动中个人信息管理的方式、措施等；f)违反个人信息安全相关标准可能引起的损害和后果；g)其它必要的教育等。9.8.4 文档管理 9.8.4.1 记录 应在个人信息管理过程中记录与个人信息相关活动和行为的目的、时间、范围、对象、方式方法、效果、反馈等信息。这些活动和行为包括体系建立、宣传、培训教育、安全管理、过程管理、过程改进、内审等。9.8.4.2 备案 应建立与个人信息管理相关的规章、文件、记录、合同等文档的备案管理制度，并不断改进和完善。9.8.5 公示 公开、公示个人信息，应以适当方式通知个人
39、信息主体，并征得个人信息主体同意。通知的内容应包括：a)个人信息管理者的相关信息；b)公示的目的、方式、范围和内容；c)个人信息主体的权利；d)公示和非公示的结果等。9.8.6 控制 个人信息管理代表应根据管理计划适时评估PISMS的效能和个人信息管理效果，检查、修正个人信息管理相关活动、行为，并监督管理计划的实施。9.8.7 协调 在个人信息管理活动或行为中，应注意个人信息主体与个人信息管理者、个人信息管理者各部门（从属责任主体）与PISMS、PISMS内、PISMS与相关资源之间等的协调、沟通。10 获取过程 DB21/T 1628.12026 11 目的 10.1 基于个人信息生命周期，
40、在个人信息获取过程中，所有个人信息收集行为，应具有特定、明确、合法的目的，并应征得个人信息主体同意，限定在收集目的范围内。限制 10.2 应遵循8.5、9.5 的规则，基于特定、明确、合法的目的，采用科学、规范、合法、适度、适当的收集方法和手段，以保障个人信息主体的权益：a)应将收集目的、范围、方法和手段、处理方式等清晰无误的告知个人信息主体，并征得个人信息主体明确同意；b)间接或被动收集时，应将收集目的、范围、内容、方法和手段、处理方式等以适当形式公开，如以公告形式发布。如有疑义、反对，应停止收集；c)个人信息收集应依据实际需要和个人信息主体同意的目的、范围适当、适度，不应限于最小收集；d)
41、个人信息收集应严格区分敏感个人信息和个人信息的敏感性：1)敏感个人信息收集应遵循本标准第 14 章的规则；2)具有敏感性个人信息收集应依据相关法规、标准和本文件规则，采取相应的安全保障措施等。注：最小收集易于引发二次收集的安全风险。类别 10.3 10.3.1 直接收集 直接收集应是目的明确，并征得个人信息主体同意，直接面向个人信息主体收集其个人信息。直接收集应向个人信息主体提供的信息包括：a)个人信息管理者的相关信息；b)个人信息收集、处理、使用的目的、方法；c)接受并管理该个人信息的第三方的相关信息；d)个人信息主体拒绝提供相关个人信息可能会产生的后果；e)本文件确立的个人信息主体权利；f
42、)个人信息安全和保密承诺；g)后处理方式等。10.3.2 间接收集 间接收集应是非直接地、通过各种方式收集个人信息。间接收集应遵循10.2的限制，保证个人信息主体知悉并同意。间接收集应保证个人信息主体权利，并保证个人信息主体权益不受侵害。应保证个人信息主体知悉的信息，参照10.3.1。10.3.3 被动收集 被动收集应是在个人信息主体不知情或不能控制的情况下收集、处理、使用、利用个人信息。被动收集亦应保证个人信息主体权利，并保障个人信息主体权益权益不受侵害：a)应遵循 8.5、9.5 确定的原则和责任义务；b)应遵循 10.2 的限制；DB21/T 1628.12026 12 c)通过各种电子
43、网络媒介（如博客、微博、微信、论坛、云盘、网盘、邮件、即时通讯、网站、网络视频等）、纸媒体、公共监控、面部识别、AI 等，及大数据采集应用等获取公开的个人信息，亦应遵循 8.5、9.5 确定的原则、责任义务，同时应遵循 10.2 的限制；d)依据 10.2，应采取适宜的方式公告、公示，以保证个人信息主体知悉相关信息，可参照 10.3.1。保存 10.4 10.4.1 要求 个人信息管理者应以个人信息数据库的统一模式，形成逻辑统一的个人信息保存（存储）管理方式，集中保存、存储、管理以各种形式、方式收集的个人信息，并应建立相应的规范、统一的个人信息数据库管理机制。应遵守国家法律、标准及本文件，将
44、个人信息数据库规范在国内。10.4.2 个人信息数据库 10.4.2.1 记录 个人信息管理者应以简捷、易用、易懂的形式在个人信息数据库中记载、存储个人信息，并可以清晰无误地依据收集目的提取、拷贝。10.4.2.2 假名 个人信息如采用假名化保存，应分别建立个人信息可识别特征数据库和一般性琐碎信息数据库。10.4.2.3 权利 个人信息管理者应以各种方式保证个人信息主体明确并确认个人信息数据库的记录、方式、时态、质量等的可信性。10.4.2.4 时限 个人信息管理者应为个人信息的存储、保存设定一个合理的时限，并与目的充分相关。10.4.2.5 备案 个人信息数据库的使用、查阅，应建立备案登记制
45、度，并有专人负责。记录应包括责任人、存储（保存）目的、时限、更新时间、获取方法、获取途径、位置、使用目的、使用方法、安全承诺、废弃原因和方法等。10.4.2.6 个人管理 个人信息主体保有的可移动设备、媒介等构成了移动的个人信息数据库，个人信息主体应提高安全意识，采取必要的安全措施，防止不正当收集个人信息，避免个人信息泄露。11 处理过程 约束 11.1 提供、委托、开发、交易等各种处理过程涉及的如个人信息加工、编辑、存储、检索、交换、传输等行为或活动及其它使用行为或活动等，应遵循：DB21/T 1628.12026 13 a)应根据本文件中个人信息管理者、个人信息管理的相关规则，管控个人信息
46、处理过程，以保证个人信息质量和个人信息主体权益；b)应根据国家法律、标准和本文件中个人信息管理者、个人信息管理的相关规则，管控智能识别、智能应用等新技术应用过程中个人信息处理过程，以保证个人信息安全和个人信息主体权益；c)应根据国家法律、标准和本文件中个人信息管理者、个人信息管理的相关规则，管控个人信息跨境处理过程，以保证个人信息安全和个人信息主体权益；d)应依据第 14 章规则，严格管控敏感个人信息的收集、处理；e)应接受内审机构的检查、监控，随时改进、完善个人信息处理过程，以保证个人信息安全等。使用 11.2 个人信息管理者以各种方式、形式处理、使用个人信息，应基于明确、合法的目的，并遵循
47、以下约束：a)应以各种方式征得个人信息主体同意；或为履行与个人信息主体达成的合法协议的需要；b)应限定在个人信息主体明确同意的个人信息收集目的范围内处理、使用个人信息；c)如需要超出个人信息收集目的范围处理、使用个人信息，应通知并征得个人信息主体明确同意。通知信息参照 10.3.1；d)任何处理、使用个人信息的行为，应履行 8.5、9.5 规定的原则和个人信息管理者的责任、义务，征得个人信息主体同意，并限定在个人信息主体同意的范围内，避免随意泄露、传播和扩散，以保证个人信息安全。通知信息参照 10.3.1。提供 11.3 11.3.1 要求 个人信息管理者收集、拥有的个人信息，向任何第三方提供
48、包括跨境提供），均应遵守国家法律、标准和本文件的约束。11.3.2 合法性 个人信息管理者收集、拥有的个人信息，应是依特定、明确、合法的目的，经个人信息主体明确同意，采取适当、合法、有效的方法和手段获得的，并不与收集目的相悖。11.3.3 权益保障 个人信息管理者合法拥有的个人信息，在向第三方提供（包括跨境提供）时，应履行第8章规定的个人信息管理者的责任和义务，保障个人信息主体的合法权益。11.3.4 授权许可 个人信息管理者向第三方提供个人信息（包括跨境提供），应申明个人信息主体权利并获得个人信息主体授权，在个人信息主体同意并允许的目的范围内，采用合法、适当、适度的方法使用、提供。应向个人
49、信息主体说明的信息，参照10.3.1。11.3.5 质量保证 第三方（包括境外）接受个人信息管理者提供的个人信息，应遵循本文件关于质量保证的原则。11.3.6 安全承诺 DB21/T 1628.12026 14 个人信息管理者向第三方提供个人信息（包括跨境提供）时，应获得第三方（包括境外）以书面形式（或以可见证的、有规范记录的、满足书面形式要求的非书面形式）保证个人信息的完整性、准确性、安全性以及个人信息主体权益的明确承诺，避免不正确使用或泄露。委托 11.4 11.4.1 类型 委托个人信息相关业务，主要应包括：a)个人信息管理者委托第三方收集个人信息；b)第三方（包括境外）委托个人信息管理
50、者收集个人信息；c)第三方（包括境外）委托个人信息处理业务或接受个人信息处理委托业务等。11.4.2 要求 个人信息相关委托业务，应在个人信息主体明确同意的，或委托方以合同或其它方式要求的使用目的范围内处理，不可超范围、超目的随意处理，并应向个人信息主体提供受托方相关信息。提供的信息可参照10.3.1。11.4.3 委托信用 涉及个人信息委托业务时，应选择已建立PISMS（涉及境外时，境外相关机构应已建立严格的个人信息安全机制、认证等）的个人信息管理者，以建立相应的委托信用机制，保证不会发生个人信息泄露或个人信息滥用。委托合同中事涉个人信息安全相关内容主要应包括：a)委托方、受托方的基本情况和
