个人信息安全管理认证咨询 GB/T35273-2020

GB/T 35273-2020《信息安全技术个人信息安全规范》是中国针对个人信息保护领域的强制性国家标准，旨在确保各类组织在处理个人信息时遵循严格的安全和隐私保护要求。该标准于2020年10月1日正式实施，替代了之前的GB/T35273—2017版本，涵盖了从个人信息的收集、存储、使用、加工、传输到销毁的全生命周期管理要求。以下是该标准的一些关键要点：

1. 术语和定义：明确了个人信息、敏感个人信息等关键概念，帮助理解和执行规范。

2. 个人信息分类与等级：将个人信息分为基本信息和敏感信息两类，并依据信息的敏感程度提出不同级别的保护要求。

3. 收集原则：规定个人信息的收集需遵循合法、正当、必要的原则，明示收集目的、方式和范围，并需得到信息主体的明示同意。

4. 存储与使用：要求采取适当的技术和管理措施保护个人信息安全，确保信息的保密性和完整性。个人信息的使用应限制在收集时声明的范围内，不得未经同意向第三方披露或用于其他目的。

5. 安全保护措施：组织应实施数据加密、访问控制、安全审计、应急响应等技术措施，以及制定个人信息安全政策、开展员工培训等管理措施。

6. 个人信息主体权利：保障个人信息主体的知情权、访问权、更正权、删除权（被遗忘权）等权益。

7. 跨境传输：对个人信息的跨境传输设定了严格的条件和要求，确保个人信息在海外处理时也能得到同等保护。

8. 隐私影响评估：鼓励进行隐私影响评估，特别是在处理大量个人信息或处理敏感个人信息前，评估可能带来的风险并采取缓解措施。

9. 不强迫接受多项业务功能：强调在提供多项需收集个人信息的业务功能时，不应强迫用户接受所有服务，用户应有选择同意特定服务的权利。

该标准适用于所有处理个人信息的组织，包括政府机构、企业、社会团体等，对于提升中国个人信息保护水平、促进数字经济健康发展具有重要意义。