證服務(wù).jpg)
個(gè)人信息安全管理體系認(rèn)證證書辦理?xiàng)l件
發(fā)布時(shí)間：2020-11-02 瀏覽次數(shù)：164
2020年11月2號，《GBT 35273-2017信息安全技術(shù) 個(gè)人信息安全規(guī)范》（以下簡稱“舊版規(guī)范”）為基礎(chǔ)，同時(shí)結(jié)合或參考了《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》《信息安全技術(shù)-個(gè)人信息告知同意指南（征求意見稿）》《網(wǎng)絡(luò)安全實(shí)踐指南—移動(dòng)互聯(lián)網(wǎng)應(yīng)用基本業(yè)務(wù)功能必要信息規(guī)范》等文件。
《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（下稱“個(gè)人信安規(guī)范”，文中如無特別說明，系指現(xiàn)行版本、各個(gè)修訂版本及即將生效版本的統(tǒng)稱）屬于推薦性國家標(biāo)準(zhǔn)，并不具備強(qiáng)制效力。但個(gè)人信安規(guī)范的歷次發(fā)布和意見征求，均在業(yè)界引發(fā)廣泛關(guān)注與討論。究其原因，在于該規(guī)范已發(fā)揮出了遠(yuǎn)超于推薦性國家標(biāo)準(zhǔn)的作用，得到了監(jiān)管部門乃至立法部門的肯定。
（1）不得捆綁業(yè)務(wù)功能以獲得用戶一攬子授權(quán)；
（2）用戶做出肯定性動(dòng)作后方可開啟特定業(yè)務(wù)功能，企業(yè)才可就該業(yè)務(wù)功能收集用戶個(gè)人信息；
（3）開啟和關(guān)閉特定業(yè)務(wù)功能同樣方便，且用戶關(guān)閉某項(xiàng)業(yè)務(wù)功能后，企業(yè)應(yīng)停止就該項(xiàng)業(yè)務(wù)功能繼續(xù)收集用戶個(gè)人信息；
（4）不得頻繁征求用戶授權(quán)同意；
（5）不得因用戶未開啟、關(guān)閉或退出某項(xiàng)業(yè)務(wù)功能而拒絕向其提供其他業(yè)務(wù)功能或降低服務(wù)質(zhì)量；
（6）不得僅以改善服務(wù)質(zhì)量、提升使用體驗(yàn)、研發(fā)新產(chǎn)品、增強(qiáng)安全性等為由，強(qiáng)制要求用戶同意收集個(gè)人信息。
2017年12月29日，國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局、國家標(biāo)準(zhǔn)化管理委員會發(fā)布GB/T 35273-2017《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（Information security technology—Personal information security specification，下稱“2017個(gè)人信安規(guī)范”），并于2018年5月1日起實(shí)施。
在正式實(shí)施僅半年多后，2017個(gè)人信安規(guī)范的修訂工作即提上日程，回顧其在2019年度的數(shù)次修訂意見征求，歷經(jīng)一次草案、兩次征求意見稿，可謂步履不停、一波三折：
（1）2019年2月1日，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處發(fā)布《信息安全技術(shù) 個(gè)人信息安全規(guī)范（草案）》，面向社會公開征求意見；
（2）2019年6月25日，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處發(fā)布《信息安全技術(shù) 個(gè)人信息安全規(guī)范》征求意見稿，面向社會廣泛征求意見；
（3）2019年10月24日，App專項(xiàng)治理工作組發(fā)布GB/T 35273《信息安全技術(shù) 個(gè)人信息安全規(guī)范》最新版征求意見稿；
（4）2020年3月6日，國家市場監(jiān)督管理總局、國家標(biāo)準(zhǔn)化管理委員會正式發(fā)布 GB/T 35273—2020《信息安全技術(shù) 個(gè)人信息安全規(guī)范》（Information security technology—Personal information security specification，下稱“2020個(gè)人信安規(guī)范”或“新版規(guī)范”），并定于2020年10月1日實(shí)施，以替代2017個(gè)人信安規(guī)范。
2017個(gè)人信安規(guī)范發(fā)布時(shí)，對于當(dāng)時(shí)的個(gè)人信息保護(hù)尚能起到指導(dǎo)性作用。但經(jīng)過兩年的發(fā)展，實(shí)務(wù)中新技術(shù)及新業(yè)務(wù)模式的不斷涌現(xiàn)，在個(gè)人信息保護(hù)方面產(chǎn)生了不少新問題，而這些問題產(chǎn)生并游離于2017個(gè)人信安規(guī)范的真空地帶，亟需新的規(guī)范予以調(diào)整，2020個(gè)人信安規(guī)范順勢而起，在風(fēng)起云涌的信息化時(shí)代，對于新技術(shù)、新模式、新風(fēng)口，給出了自己的回答。
（一）個(gè)人生物識別信息
根據(jù)2020個(gè)人信安規(guī)范，個(gè)人生物識別信息包括個(gè)人基因、指紋、聲紋、掌紋、耳廓、虹膜、面部識別特征等。與普通個(gè)人信息相比，個(gè)人生物識別信息具有唯一性，且更改難度極大，一旦被非法收集、泄露或交易，不僅會對自然人的人身財(cái)產(chǎn)安全產(chǎn)生威脅或現(xiàn)實(shí)損害，在損害發(fā)生后也難以采取補(bǔ)救措施預(yù)防后續(xù)損害的發(fā)生。
實(shí)務(wù)中，個(gè)人生物識別信息最常運(yùn)用的方式為人臉識別。如新零售場景下，商場或店鋪安裝攝像頭，采集人臉信息后，分析顧客的購物習(xí)慣、滯留時(shí)間，以用于產(chǎn)品的精準(zhǔn)營銷或安保之用；智慧校園、智慧城市等場景下，學(xué)校、交通部門使用人臉識別系統(tǒng)進(jìn)行監(jiān)測，以用于考勤或交通執(zhí)法之用；金融場景下，金融機(jī)構(gòu)自助設(shè)備通過采集人臉信息后，進(jìn)行客戶身份信息核實(shí)，或反洗錢、反欺詐用途。
但個(gè)人生物識別信息的過度使用，也對其保護(hù)提出了挑戰(zhàn)。未經(jīng)用戶同意收集、超范圍使用、未履行安全保障義務(wù)導(dǎo)致個(gè)人生物識別信息泄露等行為，將給個(gè)人信息控制者帶來重大合規(guī)隱患。
因此，2020個(gè)人信安規(guī)范對于個(gè)人信息控制者提出了更高的要求：
1. 收集方面，要求個(gè)人信息控制者在收集前，應(yīng)單獨(dú)向個(gè)人信息主體告知收集、使用個(gè)人生物識別信息的目的、方式和范圍，以及存儲時(shí)間等規(guī)則，并征得個(gè)人信息主體的明示同意。
2. 存儲方面，要求個(gè)人生物識別信息應(yīng)與個(gè)人身份信息分開儲存，且原則上不應(yīng)儲存原始個(gè)人生物識別信息（如樣本、圖像等）。
3. 此外，個(gè)人生物識別信息原則上不應(yīng)共享、轉(zhuǎn)讓，因業(yè)務(wù)確需轉(zhuǎn)讓的，應(yīng)該單獨(dú)告知目的、涉及的個(gè)人生物識別信息類型、數(shù)據(jù)接收方的具體身份和數(shù)據(jù)安全能力等，并且取得個(gè)人信息主體的明示同意。
本公司專業(yè)辦理GBT35273個(gè)人信息安全管理體系認(rèn)證證書，費(fèi)用低，流程快，權(quán)威證書認(rèn)監(jiān)委網(wǎng)站可查詢。
