標準編號:	GB/T 35273-2020
中文名稱:	信息安全技術 個人信息安全規范
英文名稱:	Information security technology—Personal information security specification
中標分類:	L80    數據加密
行業分類:	GB    國家標準
ICS分類:	35.040 35.040    字符集和信息編碼 35.040
發布機構:	國家市場監督管理總局 國家標準化管理委員會
發布日期:	2020-03-06
實施日期:	2020-10-1
標準狀態:	valid
替代舊標準:	GB/T 35273-2017 信息安全技術 個人信息安全規范
翻譯語言:	英文
文件格式:	PDF
中文字符數:	40000 字
翻譯價格(元):	1800.0
交付時間:	付款后 1 個工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This standard is developed in accordance with the rules given in GB/T 1.1-2009. This standard replaces GB/T 35273-2017 Information security technology - Personal information security specification. In addition to a number of editorial changes, the following technical changes have been made with respect to GB/T 35273-2017: ——The Subcaluse - "Independent selection in case of multiple business functions" is added (see 5.3); ——The Subcaluse - "Exceptions for consent obtaining" is modified (see 5.6 of this standard; 5.4 of Edition 2017); ——The Subcaluse - "Restrictions on use of user profiling” is added (see 7.4); ——The Subcaluse - "Use of personalized display" is added (see 7.5); ——The Subcaluse - "Convergence and fusion of personal information collected for different business purposes" is added (see 7.6); ——The Subcaluse - "Account cancellation of personal information subject” is modified (see 8.5 of this standard; 7.8 of Edition 2017); ——The Subcaluse - "Third party access management" is added (see 9.7); ——The Subcaluse - “Specifying responsible departments and personnel” is modified (see 11.1 of this standard; 10.1 of Edition 2017); ——The Subcaluse - "Personal information security project" is added (see 11.2); ——The Subcaluse - "Records of personal information processing activities" is added (see 11.3); ——"Method for realizing free will of personal information subject" is modified (see Annex C to this standard; Annex C to Edition 2017). Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this document shall not be held responsible for identifying any or all such patent rights. This standard was proposed by and is under the jurisdiction of the National Technical Committee 260 on Information Security of Standardization Administration of China (SAC/TC 260). The previous edition of this standard is as follows: ——GB/T 35273-2017. ? Introduction In recent years, with the rapid development of information technology and the popularity of Internet applications, more and more organizations collect and use personal information in large quantities, which has brought convenience to people's lives while, at the same time, has also resulted in illegal collection, abuse and disclosure of personal information. Personal information security is facing a serious threat. This standard addresses the security issues faced by personal information and regulates the relevant behaviors of personal information controllers in the information processing links such as collection, preservation, use, sharing, transfer of control and public disclosure in accordance with the Cybersecurity Law of the People's Republic of China, aiming at restraining the illegal collection, abuse, disclosure, etc. of personal information so as to guarantee individual legitimate rights and interests of individuals and the public interest to the maximum extent. The specific issues in this standard, if specified in laws and regulations, shall comply with such laws and regulations. Information security technology - Personal information security specification 1 Scope This standard regulates the principles and relevant security requirements which shall be followed by personal information processing activities like collection, preservation, use, sharing, transfer of control, public disclosure, deletion, etc. This standard is applicable to the regulation of personal information processing activities of various organizations and also applicable to the supervision, management and evaluation of personal information processing activities by organizations such as competent supervision departments and third-party evaluation agencies. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB/T 25069-2010 Information security technology - Glossary 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 25069-2010 and the following apply. 3.1 personal information various information recorded electronically or otherwise that can, either alone or in combination with other information, identify a particular natural person or reflect the activity of such a person Note 1: Personal information includes name, date of birth, ID number, personal biometric identifying information, address, communication and contact information, communication record and content, account and password, property information, credit information, whereabouts, accommodation information, health and physiology information, transaction information. Note 2: See Annex A for the judgment method and type of personal information. Note 3: The information formed by the personal information controller by processing personal information or other information, such as user profiling or features, labels, is regarded as personal information if it can be used to, either alone or in combination with other information, identify a particular natural person or reflect the activities of such a person. 3.2 personal sensitive information personal information which, once disclosed, illegally provided or abused, will possibly endanger the personal and property safety and easily result in damages to personal reputation and physical and mental health or result in discriminatory treatment Note 1: Personal sensitive information includes ID number, personal biometric identifying information, bank account, communication record and content, property information, credit information, whereabouts, accommodation information, health and physiology information, transaction information and personal information of children less than or equal to14 years old. Note 2: See Annex B for the judgment method and type of personal sensitive information. Note 3: The information formed by the personal information controller by processing personal information or other information is regarded as personal sensitive information if it, once disclosed, illegally provided or abused, will possibly endanger the personal and property safety and easily result in damage to personal reputation as well as physical and mental health damage or discriminatory treatment. 3.3 personal information subject natural person identified by or connected to personal information 3.4 personal information controller organization or individual that has the power to determine the purpose, manner, etc. of the processing of the personal information 3.5 collect behavior of obtaining the right of control over personal information Note 1: Such behavior includes positive collection through initiative provision by, interaction with, or recording behaviors of personal information subject as well as indirect acquisition through sharing, transfer of control and collection of public information. Note 2: If the product or service provider, who provides tools for use by the personal information subject, does not access personal information, it is not a collection behavior specified in this standard. For example, the offline navigation software, after obtaining the location information of the personal information subject from the terminal, does not return such information to the software provider, it is not a personal information collection behavior. 3.6 explicit consent behavior, of a personal information subject, of explicit authorization in terms of the specific processing of his or her personal information through a written or oral statement, in either electronic or paper form, or making affirmative actions in an initiative manner Note: Affirmative actions include selection of or click on "Agree", "Register", "Send", "Dial", filling in or provision of personal information, etc. made by personal information subject in an initiative manner. 3.7 consent behavior, of a personal information subject, of explicit authorization in terms of the specific processing of his or her personal information Note: It includes the authorization through positive behavior (i.e. explicit consent), or negative act (e.g. the personal information subject in the information acquisition area did not left such area after being informed of the information acquisition behavior). 3.8 user profiling process of personal characteristic model formation through analyzing or predicting the personal characteristics of a particular natural person, such as occupation, economy, health, education, personal preference, credit and behavior, on the basis of collecting, gathering, and analyzing personal information Note: The characteristic model of certain natural person which is formed by directly using the personal information of such natural person is called direct user profiling. The characteristic model of certain natural person which is formed by using the personal information from other than such natural person, such as the data of the group in which such natural person is, is called indirect user profiling. 3.9 personal information security impact assessment process of inspecting the extent to which the personal information processing activities are lawful and compliant, of determining the various risks of such activities that cause damage to legitimate rights and interests of personal information subject and of assessing the effectiveness of various measures used to protect personal information subject 3.10 delete behavior of removing personal information in a system which is involved in realization of daily business functions so that such personal information is kept in a status making it cannot be retrieved or accessed 3.11 public disclosure behavior of publishing information to society or an unspecified group of people 3.12 transfer of control process of transferring the control right over personal information from one controller to another 3.13 sharing process of providing personal information by a personal information controller to other controller, with the parties having independent control right over the personal information 3.14 anonymization process of processing personal information in technical terms so that the personal information subject cannot be identified or connected, with the processed information unable to be restored Note: The information obtained after anonymization processing of personal information is not categorized as personal information. 3.15 de-identification process of processing personal information in technical terms so that the personal information subject cannot be identified or connected without additional information Note: De-identification is based on the individual, retaining the individual granularity, and replacing the identification of personal information by adopting technical means like pseudonym, encryption, hash function, etc. 3.16 personalized display activities such as displaying information contents and providing search results of goods or services to specific personal information subject based on his or her personal information such as web browsing history, interests, hobbies, consumption records and habits 3.17 business function service types that meet the specific use needs of personal information subjects Note: For example, map navigation, online car booking, instant messaging, online community, online payment, news information, online shopping, express distribution, transportation and ticketing. 4 Basic principles of personal information security The personal information controller, when conducting personal information processing activities, shall follow the principles of lawfulness, justification and necessity as follows: a) Right and responsibility consistence——taking technical and other necessary measures to ensure the personal information security, and undertaking the responsibilities for the damage caused to the legitimate rights and interests of personal information subject by the personal information processing activities. b) Explicit purpose——having definite, explicit and specific personal information processing purpose. c) Consent based on selection——expressing the purpose, means, scope and other rules of personal information processing to the personal information subject to ask for consent. d) Minimum necessary——only processing the minimum types and amount of personal information necessary for satisfying the purpose authorized and agreed by the personal information subject. After the purpose is achieved, the personal information shall be deleted in time. e) Openness and transparency——publicizing the scope, purpose, rules, etc. of personal information processing in a clear, understandable and reasonable manner, and accepting external supervision. f) Security——possessing the security capabilities that match the security risks confronted with, and taking adequate management measures and technical means to protect the confidentiality, integrity, and availability of the personal information. g) Subject participation——providing personal information subject with methods whereby he or she can access to, correct or delete his/her personal information, as well as withdraw the consent, close the account or make complaints. 5 Personal information collection 5.1 Legality requirements for collecting personal information The personal information controller shall: a) Not defraud, deceive, or mislead personal information subject to provide his/her personal information; b) Not conceal the personal information collection function of product or service; c) Not obtain personal information through illegal channels. 5.2 Minimum necessary requirements for collecting personal information Requirements for the personal information controller include: a) The type of personal information collected shall have direct connection with the product or service business function to be realized. Direct connection means that without the participation of the information the product or service function cannot be realized. b) The frequency of positively collecting personal information shall be the minimum one necessary to realize the business function of the product or service. c) The amount of personal information indirectly acquired shall be the minimum amount necessary to realize the business function of the product or service.

Foreword i Introduction iii 1 Scope 2 Normative references 3 Terms and definitions 4 Basic principles of personal information security 5 Personal information collection 5.1 Legality requirements for collecting personal information 5.2 Minimum necessary requirements for collecting personal information 5.3 Independent selection in case of multiple business functions 5.4 Consent for personal information collection 5.5 Personal information protection policy 5.6 Exceptions for consent obtaining 6 Storage of personal information 6.1 Minimizing the storage period of personal information 6.2 De-identification processing 6.3 Transmission and storage of personal sensitive information 6.4 Stopping of product/service operation by personal information controller 7 Use of personal information 7.1 Personal information access control measures 7.2 Restrictions on display of personal information 7.3 Restrictions on use purpose of personal information 7.4 Restrictions on use of user profiling 7.5 Use of personalized display 7.6 Convergence and fusion of personal information collected for different business purposes 7.7 Use of the automatic decision-making mechanism of information system 8 Rights of personal information subject 8.1 Query of personal information 8.2 Correction of personal information 8.3 Deletion of personal information 8.4 Consent withdrawal by personal information subject 8.5 Account closure of personal information subject 8.6 Means for personal information subjects to obtain a copy of their personal information 8.7 Responding the requests of personal information subject 8.8 Complaint management 9 Entrusted processing, sharing, transfer of control, and public disclosure of personal information 9.1 Entrusted processing 9.2 Sharing and transfer of control of personal information 9.3 Personal information transfer of control during acquisition, merger, restructuring and bankruptcy 9.4 Public disclosure of personal information 9.5 Situations exempted from the acquisition of prior consent for the sharing, transfer of control, and public disclosure of personal information 9.6 Joint personal information controller 9.7 Third party access management 9.8 Cross-border transmission of personal information 10 Handling of personal information security incident 10.1 Emergency responses and report for information security incident 10.2 Notification on safety incidents 11 Personal information security management requirements for the organization 11.1 Specifying responsible department and personnel 11.2 Personal information security project 11.3 Records of personal information processing activities 11.4 Conducting personal information security impact assessment 11.5 Data security capacity 11.6 Personnel management and training 11.7 Security audit Annex A (Informative) Examples of personal information Annex B (Informative) Determination of personal sensitive information Annex C (Informative) Methods for fulfilling free will of personal information subject Annex D (Informative) Personal information protection policy template Bibliography

信息安全技術 個人信息安全規范 1 范圍 本標準規定了開展收集、存儲、使用、共享、轉讓、公開披露、刪除等個人信息處理活動的原則和安全要求。 本標準適用于規范各類組織的個人信息處理活動，也適用于主管監管部門、第三方評估機構等組織對個人信息處理活動進行監督、管理和評估。 2規范性引用文件 下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。 GB/T 25069—2010信息安全技術 術語 3術語和定義 GB/T 25069—2010界定的以及下列術語和定義適用于本文件。 3.1 個人信息personal information 以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息。 注1：個人信息包括姓名、出生日期、身份證件號碼、個人生物識別信息、住址、通信通訊聯系方式、通信記錄和內容、賬號密碼、財產信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息等。 注2：關于個人信息的判定方法和類型參見附錄A。 注3：個人信息控制者通過個人信息或其他信息加工處理后形成的信息，例如，用戶畫像或特征標簽，能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的，屬于個人信息。 3.2 個人敏感信息personal sensitive information 一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的個人信息。 注1：個人敏感信息包括身份證件號碼、個人生物識別信息、銀行賬戶、通信記錄和內容、財產信息、征信信息、行蹤軌跡、住宿信息、健康生理信息、交易信息、14歲以下(含)兒童的個人信息等。 注2：關于個人敏感信息的判定方法和類型參見附錄B。 注3：個人信息控制者通過個人信息或其他信息加工處理后形成的信息，如一旦泄露、非法提供或濫用可能危害人身和財產安全，極易導致個人名譽、身心健康受到損害或歧視性待遇等的，屬于個人敏感信息。 3.3 個人信息主體personal information subject 個人信息所標識或者關聯的自然人。 3.4 個人信息控制者personal information controller 有能力決定個人信息處理目的、方式等的組織或個人。 3.5 收集 collect 獲得個人信息的控制權的行為。 注1：包括由個人信息主體主動提供、通過與個人信息主體交互或記錄個人信息主體行為等自動采集行為，以及通過共享、轉讓、搜集公開信息等間接獲取個人信息等行為。 注2：如果產品或服務的提供者提供工具供個人信息主體使用，提供者不對個人信息進行訪問的，則不屬于本標準所稱的收集。例如，離線導航軟件在終端獲取個人信息主體位置信息后，如果不回傳至軟件提供者，則不屬于個人信息主體位置信息的收集。 3.6 明示同意 explicit consent 個人信息主體通過書面、口頭等方式主動作出紙質或電子形式的聲明，或者自主作出肯定性動作，對其個人信息進行特定處理作出明確授權的行為。 注：肯定性動作包括個人信息主體主動勾選、主動點擊“同意”“注冊”“發送”“撥打”、主動填寫或提供等。 3.7 授權同意consent 個人信息主體對其個人信息進行特定處理作出明確授權的行為。 注：包括通過積極的行為作出授權(即明示同意)，或者通過消極的不作為而作出授權(如信息采集區域內的個人信息主體在被告知信息收集行為后沒有離開該區域)。 3.8 用戶畫像user profiling 通過收集、匯聚、分析個人信息，對某特定自然人個人特征，如職業、經濟、健康、教育、個人喜好、信用、行為等方面作出分析或預測，形成其個人特征模型的過程。 注：直接使用特定自然人的個人信息，形成該自然人的特征模型，稱為直接用戶畫像。使用來源于特定自然人以外的個人信息，如其所在群體的數據，形成該自然人的特征模型，稱為間接用戶畫像。 3.9 個人信息安全影響評估personal information security impact assessment 針對個人信息處理活動，檢驗其合法合規程度，判斷其對個人信息主體合法權益造成損害的各種風險，以及評估用于保護個人信息主體的各項措施有效性的過程。 3.10 刪除delete 在實現日常業務功能所涉及的系統中去除個人信息的行為，使其保持不可被檢索、訪問的狀態。 3.11 公開披露public disclosure 向社會或不特定人群發布信息的行為。 3.12 轉讓transfer of control 將個人信息控制權由一個控制者向另一個控制者轉移的過程。 3.13 共享sharing 個人信息控制者向其他控制者提供個人信息，且雙方分別對個人信息擁有獨立控制權的過程。 3.14 匿名化 anonymization 通過對個人信息的技術處理，使得個人信息主體無法被識別或者關聯，且處理后的信息不能被復原的過程。 注：個人信息經匿名化處理后所得的信息不屬于個人信息。 3.15 去標識化de-identification 通過對個人信息的技術處理，使其在不借助額外信息的情況下，無法識別或者關聯個人信息主體的過程。 注：去標識化建立在個體基礎之上，保留了個體顆粒度，采用假名、加密、哈希函數等技術手段替代對個人信息的標識。 3.16 個性化展示personalized display 基于特定個人信息主體的網絡瀏覽歷史、興趣愛好、消費記錄和習慣等個人信息，向該個人信息主體展示信息內容、提供商品或服務的搜索結果等活動。 3.17 業務功能 business function 滿足個人信息主體的具體使用需求的服務類型。 注：如地圖導航、網絡約車、即時通信、網絡社區、網絡支付、新聞資訊、網上購物、快遞配送、交通票務等。 4個人信息安全基本原則 個人信息控制者開展個人信息處理活動應遵循合法、正當、必要的原則，具體包括： a)權責一致——采取技術和其他必要的措施保障個人信息的安全，對其個人信息處理活動對個人信息主體合法權益造成的損害承擔責任。 b)目的明確——具有明確、清晰、具體的個人信息處理目的。 c)選擇同意——向個人信息主體明示個人信息處理目的、方式、范圍等規則，征求其授權同意。 d)最小必要——只處理滿足個人信息主體授權同意的目的所需的最少個人信息類型和數量。目的達成后，應及時刪除個人信息。 e)公開透明——以明確、易懂和合理的方式公開處理個人信息的范圍、目的、規則等，并接受外部監督。 f)確保安全——具備與所面臨的安全風險相匹配的安全能力，并采取足夠的管理措施和技術手段，保護個人信息的保密性、完整性、可用性。 g)主體參與——向個人信息主體提供能夠查詢、更正、刪除其個人信息，以及撤回授權同意、注銷賬戶、投訴等方法。 5個人信息的收集 5.1 收集個人信息的合法性 對個人信息控制者的要求包括： a)不應以欺詐、誘騙、誤導的方式收集個人信息； b)不應隱瞞產品或服務所具有的收集個人信息的功能； c)不應從非法渠道獲取個人信息。 5.2收集個人信息的最小必要 對個人信息控制者的要求包括： a)收集的個人信息的類型應與實現產品或服務的業務功能有直接關聯；直接關聯是指沒有上述個人信息的參與，產品或服務的功能無法實現。 b)自動采集個人信息的頻率應是實現產品或服務的業務功能所必需的最低頻率。 c)間接獲取個人信息的數量應是實現產品或服務的業務功能所必需的最少數量。 5.3 多項業務功能的自主選擇 當產品或服務提供多項需收集個人信息的業務功能時，個人信息控制者不應違背個人信息主體的自主意愿，強迫個人信息主體接受產品或服務所提供的業務功能及相應的個人信息收集請求。對個人信息控制者的要求包括： a)不應通過捆綁產品或服務各項業務功能的方式，要求個人信息主體一次性接受并授權同意其未申請或使用的業務功能收集個人信息的請求。 b)應把個人信息主體自主作出的肯定性動作，如主動點擊、勾選、填寫等，作為產品或服務的特定業務功能的開啟條件。個人信息控制者應僅在個人信息主體開啟該業務功能后，開始收集個人信息。 c)關閉或退出業務功能的途徑或方式應與個人信息主體選擇使用業務功能的途徑或方式同樣方便。個人信息主體選擇關閉或退出特定業務功能后，個人信息控制者應停止該業務功能的個人信息收集活動。 d)個人信息主體不授權同意使用、關閉或退出特定業務功能的，不應頻繁征求個人信息主體的授權同意。 e)個人信息主體不授權同意使用、關閉或退出特定業務功能的，不應暫停個人信息主體自主選擇使用的其他業務功能，或降低其他業務功能的服務質量。 f)不得僅以改善服務質量、提升使用體驗、研發新產品、增強安全性等為由，強制要求個人信息主體同意收集個人信息。 5.4收集個人信息時的授權同意 對個人信息控制者的要求包括： a)收集個人信息，應向個人信息主體告知收集、使用個人信息的目的、方式和范圍等規則，并獲得個人信息主體的授權同意。 注1：如產品或服務僅提供一項收集、使用個人信息的業務功能時，個人信息控制者可通過個人信息保護政策的形式，實現向個人信息主體的告知；產品或服務提供多項收集、使用個人信息的業務功能的，除個人信息保護政策外，個人信息控制者宜在實際開始收集特定個人信息時，向個人信息主體提供收集、使用該個人信息的目的、方式和范圍，以便個人信息主體在作出具體的授權同意前，能充分考慮對其的具體影響。 注2：符合5.3和a)要求的實現方法，可參考附錄C。 b)收集個人敏感信息前，應征得個人信息主體的明示同意，并應確保個人信息主體的明示同意是其在完全知情的基礎上自主給出的、具體的、清晰明確的意愿表示。 c)收集個人生物識別信息前，應單獨向個人信息主體告知收集、使用個人生物識別信息的目的、方式和范圍，以及存儲時間等規則，并征得個人信息主體的明示同意。 注3：個人生物識別信息包括個人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部識別特征等。 d)收集年滿14周歲未成年人的個人信息前，應征得未成年人或其監護人的明示同意；不滿14周歲的，應征得其監護人的明示同意。 e)間接獲取個人信息時： 1)應要求個人信息提供方說明個人信息來源，并對其個人信息來源的合法性進行確認； 2)應了解個人信息提供方已獲得的個人信息處理的授權同意范圍，包括使用目的，個人信息主體是否授權同意轉讓、共享、公開披露、刪除等； 3)如開展業務所需進行的個人信息處理活動超出已獲得的授權同意范圍的，應在獲取個人信息后的合理期限內或處理個人信息前，征得個人信息主體的明示同意，或通過個人信息提供方征得個人信息主體的明示同意。 5.5個人信息保護政策 對個人信息控制者的要求包括： a)應制定個人信息保護政策，內容應包括但不限于： 1)個人信息控制者的基本情況，包括主體身份、聯系方式。 2)收集、使用個人信息的業務功能，以及各業務功能分別收集的個人信息類型。涉及個人敏感信息的，需明確標識或突出顯示。 3)個人信息收集方式、存儲期限、涉及數據出境情況等個人信息處理規則。 4)對外共享、轉讓、公開披露個人信息的目的、涉及的個人信息類型、接收個人信息的第三方類型，以及各自的安全和法律責任。 5)個人信息主體的權利和實現機制，如查詢方法、更正方法、刪除方法、注銷賬戶的方法、撤回授權同意的方法、獲取個人信息副本的方法、對信息系統自動決策結果進行投訴的方法等。 6)提供個人信息后可能存在的安全風險，及不提供個人信息可能產生的影響。 7)遵循的個人信息安全基本原則，具備的數據安全能力，以及采取的個人信息安全保護措施，必要時可公開數據安全和個人信息保護相關的合規證明。 8)處理個人信息主體詢問、投訴的渠道和機制，以及外部糾紛解決機構及聯絡方式。 b)個人信息保護政策所告知的信息應真實、準確、完整。 c)個人信息保護政策的內容應清晰易懂，符合通用的語言習慣，使用標準化的數字、圖示等，避免使用有歧義的語言。 d)個人信息保護政策應公開發布且易于訪問，例如，在網站主頁、移動互聯網應用程序安裝頁、附錄C中的交互界面或設計等顯著位置設置鏈接。 e)個人信息保護政策應逐一送達個人信息主體。當成本過高或有顯著困難時，可以公告的形式發布。 f)在a)所載事項發生變化時，應及時更新個人信息保護政策并重新告知個人信息主體。 注1：組織會習慣性將個人信息保護政策命名為“隱私政策”或其他名稱，其內容宜與個人信息保護政策內容保持一致。 注2：個人信息保護政策的內容可參考附錄D。 注3：在個人信息主體首次打開產品或服務、注冊賬戶等情形時，宜通過彈窗等形式主動向其展示個人信息保護政策的主要或核心內容，幫助個人信息主體理解該產品或服務的個人信息處理范圍和規則，并決定是否繼續使用該產品或服務。 5.6征得授權同意的例外 以下情形中，個人信息控制者收集、使用個人信息不必征得個人信息主體的授權同意： a)與個人信息控制者履行法律法規規定的義務相關的； b)與國家安全、國防安全直接相關的； c)與公共安全、公共衛生、重大公共利益直接相關的； d)與刑事偵查、起訴、審判和判決執行等直接相關的； e)出于維護個人信息主體或其他個人的生命、財產等重大合法權益但又很難得到本人授權同意的； f)所涉及的個人信息是個人信息主體自行向社會公眾公開的； g)根據個人信息主體要求簽訂和履行合同所必需的； 注：個人信息保護政策的主要功能為公開個人信息控制者收集、使用個人信息范圍和規則，不宜將其視為合同。 h)從合法公開披露的信息中收集個人信息的，如合法的新聞報道、政府信息公開等渠道； i)維護所提供產品或服務的安全穩定運行所必需的，如發現、處置產品或服務的故障； j)個人信息控制者為新聞單位，且其開展合法的新聞報道所必需的； k)個人信息控制者為學術研究機構，出于公共利益開展統計或學術研究所必要，且其對外提供學術研究或描述的結果時，對結果中所包含的個人信息進行去標識化處理的。 6個人信息的存儲 6.1 個人信息存儲時間最小化 對個人信息控制者的要求包括： a)個人信息存儲期限應為實現個人信息主體授權使用的目的所必需的最短時間，法律法規另有規定或者個人信息主體另行授權同意的除外； b)超出上述個人信息存儲期限后，應對個人信息進行刪除或匿名化處理。 6.2去標識化處理 收集個人信息后，個人信息控制者宜立即進行去標識化處理，并采取技術和管理方面的措施，將可用于恢復識別個人的信息與去標識化后的信息分開存儲并加強訪問和使用的權限管理。 6.3個人敏感信息的傳輸和存儲 對個人信息控制者的要求包括： a)傳輸和存儲個人敏感信息時，應采用加密等安全措施； 注1：采用密碼技術時宜遵循密碼管理相關國家標準。 b)個人生物識別信息應與個人身份信息分開存儲； c)原則上不應存儲原始個人生物識別信息(如樣本、圖像等)，可采取的措施包括但不限于： 1)僅存儲個人生物識別信息的摘要信息； 2)在采集終端中直接使用個人生物識別信息實現身份識別、認證等功能； 3)在使用面部識別特征、指紋、掌紋、虹膜等實現識別身份、認證等功能后刪除可提取個人生物識別信息的原始圖像。 注2：摘要信息通常具有不可逆特點，無法回溯到原始信息。 注3：個人信息控制者履行法律法規規定的義務相關的情形除外。 6.4個人信息控制者停止運營 當個人信息控制者停止運營其產品或服務時，應： a)及時停止繼續收集個人信息； b)將停止運營的通知以逐一送達或公告的形式通知個人信息主體； c)對其所持有的個人信息進行刪除或匿名化處理。 7個人信息的使用 7.1個人信息訪問控制措施 對個人信息控制者的要求包括： a)對被授權訪問個人信息的人員，應建立最小授權的訪問控制策略，使其只能訪問職責所需的最小必要的個人信息，且僅具備完成職責所需的最少的數據操作權限； b)對個人信息的重要操作設置內部審批流程，如進行批量修改、拷貝、下載等重要操作； c)對安全管理人員、數據操作人員、審計人員的角色進行分離設置； d)確因工作需要，需授權特定人員超權限處理個人信息的，應經個人信息保護責任人或個人信息保護工作機構進行審批，并記錄在冊； 注：個人信息保護責任人或個人信息保護工作機構的確定見11.1。 e)對個人敏感信息的訪問、修改等操作行為，宜在對角色權限控制的基礎上，按照業務流程的需求觸發操作授權。例如，當收到客戶投訴，投訴處理人員才可訪問該個人信息主體的相關信息。 7.2個人信息的展示限制 涉及通過界面展示個人信息的(如顯示屏幕、紙面)，個人信息控制者宜對需展示的個人信息采取去標識化處理等措施，降低個人信息在展示環節的泄露風險。例如，在個人信息展示時，防止內部非授權人員及個人信息主體之外的其他人員未經授權獲取個人信息。 7.3 個人信息使用的目的限制 對個人信息控制者的要求包括： a)使用個人信息時，不應超出與收集個人信息時所聲稱的目的具有直接或合理關聯的范圍。因業務需要，確需超出上述范圍使用個人信息的，應再次征得個人信息主體明示同意。 注1：將所收集的個人信息用于學術研究或得出對自然、科學、社會、經濟等現象總體狀態的描述，屬于與收集目的具有合理關聯的范圍之內。但對外提供學術研究或描述的結果時，需對結果中所包含的個人信息進行去標識化處理。 b)如所收集的個人信息進行加工處理而產生的信息，能夠單獨或與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的，應將其認定為個人信息。對其處理應遵循收集個人信息時獲得的授權同意范圍。 注2：加工處理而產生的個人信息屬于個人敏感信息的，對其處理需符合對個人敏感信息的要求。