最新《個人信息安全規范》發佈!首次明確:個人原始信息不應存儲

最新《個人信息安全規范》發佈!首次明確:個人原始信息不應存儲

繼 2017 年 12 月《信息安全技術 個人信息安全規范》發佈之後,時隔兩年多,歷經兩次公開向社會征求意見,3 月 6 日,《規范》有瞭新的變化調整,包括:

新增「多項業務功能的自主選擇」「用戶畫像的使用限制」「個性化展示的使用」「第三方接入管理」「個人信息處理活動記錄」等多項內容,並將個人生物識別信息的要求細化並完善。

在收集個人生物識別信息前,需單獨向用戶告知收集、使用個人生物識別信息的目的、方式和范圍以及存儲時間等規則,並征得用戶的明示同意;其次,個人生物識別信息要與個人身份信息分開存儲,原則上不應存儲原始個人生物識別信息。

新版《規范》能否為個人信息安全栓上一道「鎖」,讓我們拭目以待。

撰文 | 凡雪

3 月 6 日,國傢市場監督管理總局、國傢標準化管理委員會正式發佈國傢標準《信息安全技術 個人信息安全規范》(下稱《規范》),並定於 2020 年 10 月 1 日實施。

該《規范》對個人信息收集、儲存、使用做出瞭明確規定,並規定瞭個人信息主體具有查詢、更正、刪除、撤回授權、註銷賬戶、獲取個人信息副本等權力。

最新《個人信息安全規范》發佈!首次明確:個人原始信息不應存儲

一 《信息安全技術 個人信息安全規范》早有淵源

早在 2017 年 12 月,全國信息安全標準化技術委員會組織制定和歸口管理的國傢標準 GB/T 35273-2017《信息安全技術 個人信息安全規范》就已正式發佈,當時《規范》規定將於 2018 年 5 月 1 日實施。

2019 年 6 月,據 App 專項治理工作組顯示,《規范》公開向社會征求意見,截止 10 月,標準編制組共收到並處理意見約 400 條。基於各單位反饋意見以及 App 違法違規收集使用個人信息專項治理工作實踐經驗。

此後,標準編制組對征求意見稿版本予以補充完善、優化和更新,2019 年 10 月 24 日,《信息安全技術 個人信息安全規范》最新版征求意見稿(簡稱「新版征求意見稿」)對外發佈。相比 6 月份的征求意見稿,新版征求意見稿規定,App 應提供簡便易操作的註銷功能,核驗身份時不得要求用戶提供超過註冊、使用時收集的個人信息。

二 「不應存儲原始個人生物識別信息」

2020 版《規范》繼續沿用瞭 2017 版的七大原則,分別是:權責一致原則、目的明確原則、選擇同意原則、最少夠用原則、公開透明原則、確保安全原則、主體參與原則。

與 2017 版《規范》相比,2020 版也有瞭新變化。

首先,個人信息安全規范無外乎用戶隱私泄露問題,而從 2019 年 10 月「人臉識別第一案」到之後爆出的人臉照片黑色產業鏈,以及各類 APP「換臉大法」,都讓個人隱私成為技術發展應用後,大眾追問的話題,便利用戶、技術運用不應該成為竊取用戶隱私的「遮羞佈」。

針對個人生物識別信息方面,新版《規范》也提出具體的解決措施。

《規范》規定在收集個人生物識別信息前,應單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍,以及存儲時間等規則,並征得個人信息主體的明示同意。

第一,個人生物識別信息要與個人身份信息分開存儲;

第二,原則上不應存儲原始個人生物識別信息,可采取的措施包括但不限於:

僅存儲個人性別信息的摘要信息;在采集終端中直接使用個人生物識別信息實現身份識別、認證等功能;在使用面部識別特征、 指紋、掌紋、虹膜等實現識別身份、認證等功能後刪除可提取個人生物識別信息的原始圖像。

其次,此版《規范》增加瞭「多項業務功能的自主選擇」「用戶畫像的使用限制」「個性化展示的使用」「基於不同業務目所收集個人信息的匯聚融合」「第三方接入管理」「個人信息安全工程」「個人信息處理活動記錄」等內容。

在「多項業務功能的自主選擇」方面,根據個人信息主體選擇、使用所提供產品或服務的根本期待和最主要的需求,劃定產品或服務的基本業務功能,產品或服務所提供的基本業務功能之外的其他功能,劃定為擴展業務功能。

據《規范》顯示,擴展的業務功能,應允許個人信息主體逐項選擇同意。用戶不同意的,個人信息控制者不得反復征求用戶同意,除非用戶主動選擇開啟擴展功能,且不應拒絕提供基本業務功能或降低基本業務功能的服務質量。

在選擇同意的流程中,《規范》建議,應通過如彈窗、文字說明、填寫框、提示條、提示音等形式進行提示,並且要讓用戶主動做出肯定性的動作,比如勾選、點擊「同意」或「下一步」。

在「個性化展示的使用」方面,App 在提供業務功能的過程中使用個性化展示的,應顯著區分個性化展示的內容和非個性化展示的內容,比如標明「定推」字樣。同時,App 應提供不針對用戶特征的選項。《規范》還建議,App 向用戶提供個性化展示的,宜建立用戶對個人信息(如標簽、畫像維度)的自主控制機制,保障用戶調控個性化展示相關程度的能力。

當個人信息主體選擇退出個性化展示模式時,應向個人信息主體提供刪除或匿名化定向推送活動所基於的個人信息的選項。

最後,在征得授權同意的例外中,《規范》明確,隱私政策的主要功能為公開個人信息控制者收集、使用個人信息范圍和規則,不應將其視為根據個人信息主體要求簽訂和履行的合同,並在此基礎上修改「征得授權同意的例外」「個人信息主體註銷賬戶」「明確責任部門與人員」「實現個人信息主體自主意願的方法」等內容。

《規范》持續強調個人信息控制者應承擔的義務,並新增要求「不強迫接受多項業務功能,即當產品或服務提供多項需收集個人信息的業務功能時,個人信息控制者不應違背個人信息主體的自主意願,強迫個人信息主體接受產品或服務所提供的業務功能及相應的個人信息收集請求」,但目前尚未明確定義個人信息處理者、個人信息聯合控制者、個人信息外包方等角色應履行的義務。

Published in News by Awesome.

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *