1、ICS 35.040 L 80 道2中华人民共和国国家标准化指导性技术文件GB/Z 28828-2012 信息安全技术公共及商用服务信息系统个人信息保护指南Information security technology-Guideline for personal information protection within information system for public and commercial services 2012-11-05发布a01_0_6，战， .9-(i!.007句式求il r:_: 省1二、工;s; V嗣问/中华人民共和国国家质量监督检验检疫总局中国国家标准化
2、管理委员会2013-02-01实施发布GB/Z 28828-2012 目次前言.1 引言.n l 范围-2 规范性引用文件3 术语和定义4 个人信息保护概述4. 1 角色和职责.2 4.2 基本原则35 信息处理过程中的个人信息保护35. 1 概述.3 5.2 收集阶段.4 5.3 加工阶段45.4 转移阶段45.5 删除阶段.5 参考文献.6 G/Z 28828-2012 目Ij1=1 本指导性技术文件按照GB/T1. 1-2009给出的规则起草。本指导性技术文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。本指导性技术文件起草单位:中国软件评测中心、北京赛迪信息技术评测有
3、限公司、中国信息安全测评中心、中国电子技术标准化研究院、大连软件行业协会、中国软件行业协会、中国互联网协会、中国通信企业协会通信网络安全专业委员会、北京金山安全软件有限公司、深圳市腾讯计算机系统有限公司、北京奇虎科技有限公司、北京新浪互联信息服务有限公司、北京百合在线科技有限公司、上海花千树信息科技有限公司、北京百度网讯科技有限公司。本指导性技术文件主要起草人:高炽扬、李守鹏、朱璇、杨建军、罗锋盈、何伟起、郭涛、彭勇、严霄凤、刘陶、朱信铭、王芳、郭臣、唐刚、张宏伟、唐旺、刘淑鹤、张博、王颖、孙鹏、曹剑、尹宏、王开红。本指导性技术文件为首次制定。I GB/Z 28828-2012 引随着信息技术
4、的广泛应用和互联网的不断普及，个人信息在社会、经济活动中的地位日益凸显，滥用个人信息的现象随之出现，给社会秩序和个人切身利益带来了危害。为促进个人信息的合理利用，指导和规范利用信息系统处理个人信息的活动，制定本指导性技术文件。H 1 范围信息安全技术公共及商用服务信息系统个人信息保护指南GB/Z 28828-2012 本指导性技术文件规范了全部或部分通过信息系统进行个人信息处理的过程，为信息系统中个人信息处理不同阶段的个人信息保护提供指导。本指导性技术文件适用于指导除政府机关等行使公共管理职责的机构以外的各类组织和机构，如电信、金融、医疗等领域的服务机构，开展信息系统中的个人信息保护工作。2
5、规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GBjZ 20986-2007 信息安全技术信息安全事件分类分级指南3 术语和定义GB/Z 20986-2007中界定的以及下列术语和定义适用于文件。3. 1 信息系统information system 计算机信息系统，由计算机(含移动通信终端)及其相关的和配套的设备、设施(含网络构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。注:改写GB/Z20986-2007.定义2.1.3.2
6、个人信息personal information 可为信息系统所处理、与特定自然人相关、能够单独或通过与其他信息结合识别该特定自然人的计算机数据。3.3 3.4 3.5 注:个人信息可以分为个人敏感信息和个人一般信息。个人信息主体subject of personal information 个人信息指向的自然人。个人信息管理者administrator of personal information 决定个人信息处理的目的和方式，实际控制个人信息并利用信息系统处理个人信息的组织和机构。个人信息获得者receiver of personal information 从信息系统获取个人信息，并对
7、获得的个人信息进行处理的个人、组织和机构。GB/Z 28828-2012 3.6 第三方测评机构third party testing and evaluation agency 独立于个人信息管理者的专业测评机构。3. 7 个人敏感信息personal sensitive information 一旦遭到泄露或修改，会对标识的个人信息主体造成不良影响的个人信息。注:各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各自业务特点确定。个人敏感信息可以包括身份证号码、手机号码、种族、政治观点、宗教信仰、基因、指纹等。3.8 明示同意expressed consent 个人信息主体明确授
8、叼意，并保留证据J 4. 1. 3 个人信息管理者负责依照国家法律、法规和本指导性技术文件，规划、设计和建立信息系统个人信息处理流程;制定个人信息管理制度、落实个人信息管理责任;指定专门机构或人员负责机构内部的个人信息保护工作，接受个人信息主体的投诉与质询;制定个人信息保护的教育培训计划并组织落实E建立个人信息保护的内控机制，并定期对信息系统个人信息的安全状况、保护制度及措施的落实情况进行自查或委托独立测评机构进行测评。管控信息系统个人信息处理过程中的风险，对个人信息处理过程中可能出现的泄露、丢失、损坏、篡改、不当使用等事件制定预案;发现个人信息遭到泄露、丢失、篡改后，及时采取应对措施，防止事
9、件影响进一步扩大，并及时告知受影响的个人信息主体;发生重大事件的，及时向个人信息保护管理部门通报。GB/Z 28828-2012 接受个人信息保护管理部门对个人信息保护状况的检查、监督和指导，积极参与和配合第三方测评机构对信息系统个人信息保护状况的测评。4. 1. 4 个人信息藐得者依据个人信息主体的意愿处理个人信息。当个人信息的获取是出于对方委托加工等目的，个人信息获得者要依照本指导性技术文件和委托合同，对个人信息进行加工，并在完成加工任务后，立即删除相关个人信息。4. 1. 5 第三方测评机构飞/飞/、JF-Ge-g) h) 5 信息处理过程中的个人信息保护5. 1 概述信息系统中个人信息
10、的处理过程可分为收集、加工、转移、删除4个主要环节。对个人信息的保护贯穿于4个环节中:a) 收集指对个人信息进行获取并记录。b) 加工指对个人信息进行的操作，如录入、存储、修改、标注、比对、挖掘、屏蔽等。c) 转移指将个人信息提供给个人信息获得者的行为，如向公众公开、向特定群体披露、由于委托他人加工而将个人信息复制到其他信息系统等。d) 删除指使个人信息在信息系统中不再可用。3 GB/Z 28828-2012 5.2 收集阶段5.2. 1 收集个人信息要具有特定、明确、合理的目的。5.2.2 收集前要采用个人信息主体易知悉的方式，向个人信息主体明确告知和警示如下事项=a) 处理个人信息的目的;
11、b) 个人信息的收集方式和手段、收集的具体内容和留存时限;。个人信息的使用范围，包括披露或向其他组织和机构提供其个人信息的范围;d) 个人信息的保护措施;e) 个人信息管理者的名称、地址、联系方式等相关信息;f) 个人信息主体提供个人信息后可能存在的风险;g) 个人信息主体不提供个人信息可能出现的后果;h) 个人信息主体的投诉渠道;i) 如需将个人信息转移或委托于其他组织和机构，要向个人信息主体明确告知包括但不限于以下信息:转移或委托的目的，转移或委托个人信息的具体内容和使用范围，接受委托的个人信息获得者的名称、地址、联系方式等。5.2.3 处理个人信息前要征得个人信息主体的同意，包括默许同意
12、或明示同意。收集个人一般信息时，可认为个人信息主体默许同意，如果个人信息主体明确反对，要停止收集或删除个人信息;收集个人敏感信息时，要得到个人信息主体的明示同意。5.2.4 只收集能够达到己告知目的的最少信息。5.2.5 要采用已告知的手段和方式直接向个人信息主体收集，不采取隐蔽手段或以间接方式收集个人信息。5.2.6 持续收集个人信息时提供相关功能，允许个人信息主体配置、调整、关闭个人信息收集功能。5.2.7 不直接向未满16周岁的未成年人等限制民事行为能力人或无行为能力人收集个人敏感信息，确需收集其个人敏感信息的，要征得其法定监护人的明示同意。5.3 加工阶段5.3. 1 不违背收集阶段已
13、告知的使用目的，或超出告知范围对个人信息进行加工。5.3.2 采用已告知的方法和手段。5.3.3 保证加工过程中个人信息不被任何与处理目的元关的个人、组织和机构获知。5.3.4 未经个人信息主体明示同意，不向其他个人、组织和机构披露其处理的个人信息。5.3.5 保证加工过程中信息系统持续稳定运行，个人信息处于完整、可用状态，且保持最新。5.3.6 个人信息主体发现其个人信息存在缺陷并要求修改时，个人信息管理者要根据个人信息主体的要求进行查验核对，在保证个人信息完整性的前提下，修改或补充相关信息。5.3.7 详细记录个人信息的状态，个人信息主体要求对其个人信息进行查询时，个人信息管理者要如实并免
14、费告知是否拥有其个人信息、拥有其个人信息的内容、个人信息的加工状态等，除非告知成本或者请求频率超出合理的范围。5.4 转移阶段5.4. 1 不违背收集阶段告知的转移目的，或超出告知的转移范围转移个人信息。5.4.2 向其他组织和机构转移个人信息前，评估其是否能够按照本指导性技术文件的要求处理个人信息，并通过合同明确该组织和机构的个人信息保护责任。5.4.3 保证转移过程中，个人信息不被个人信息获得者之外的任何个人、组织和机构所获知。5.4.4 保证转移前后，个人信息的完整性和可用性，且保持最新。GB/Z 28828-2012 5.4.5 未经个人信息主体的明示同意，或法律法规明确规定，或未经主
15、管部门同意，个人信息管理者不得将个人信息转移给境外个人信息获得者，包括位于境外的个人或境外注册的组织和机构。5.5 删除阶段5.5.1 个人信息主体有正当理由要求删除其个人信息时，及时删除个人信息。删除个人信息可能会影响执法机构调查取证时，采取适当的存储和屏蔽措施。5.5.2 收集阶段告知的个人信息使用目的达到后，立即删除个人信息;如需继续处理，要消除其中能够识别具体个人的内容;如需继续处理个人敏感信息，要获得个人信息主体的明示同意。5.5.3 超出收集阶段告知的个人信息留存期限，要立即删除相关信息;对留存期限有明确规定的，按相关规定执行。5.5.4 个人信息管理者破产或解散时，若元法继续完成
16、承诺的个人信息处理目的，要删除个人信息。删除个人信息可能会影响执法机构调查取证时，采取适当的存储和屏蔽措施。5 GB/Z 28828-2012 6 参考文献lJ 中华人民共和国计算机信息系统安全保护条例(国务院令第147号)，19942J 中华人民共和国计算机信息网络国际联网管理暂行规定(国务院令第195号)，19963J 中华人民共和国计算机信息网络国际联网管理暂行规定实施办法，19974J 欧盟电子通讯领域个人数据处理及个人隐私保护指令2002/58/EC，2002 5J OECD关于保护隐私和个人数据跨国流通的建议，2007NFON!NNN阁。中华人民共和国国家标准化指导性技术文件信息安
17、全技术公共及商用服务信息系统个人信息保护指南GB/Z 28828-2012 当&中国标准出版社出版发行北京市朝阳区和平里西街甲2号(100013)北京市西城区三里河北街16号(100045)网址总编室:(010)64275323发行中心:(010)51780235读者服务部:(010)68523946中国标准出版社秦皇岛印刷厂印刷各地新华书店经销* 印张O.75 字数12千字2013年2月第一次印刷开本880X12301/16 2013年2月第一版* 书号:155066. 1-45996 16.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话:(010)68510107定价GB/Z 28828-2012 打印日期:2013年2月27日F002A
