DB23_T 3325—2022平台用户信息保护指南

《DB23_T 3325—2022平台用户信息保护指南》由会员分享，可在线阅读，更多相关《DB23_T 3325—2022平台用户信息保护指南（17页珍藏版）》请在金锄头文库上搜索。

1、ICS 35.030CCS L 09DB23黑龙江省地方标准DB23/T 33252022平台用户信息保护指南Guidelines for platform user information protection2022 - 08 - 22 发布2022 - 09 - 21 实施黑龙江省市场监督管理局发 布DB23/T 33252022目次前言II1 范围12 规范性引用文件13 术语和定义14 基本原则25 管理能力36 信息处理过程47 相关利益方权益98 服务监督、评价与改进10附录 A （资料性） 安全环境相关标准12参考文献13II前言本文件按照 GB/T 1.12020标准化工作导

2、则 第 1 部分：标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由黑龙江省工业和信息化厅提出并归口。本文件起草单位：黑龙江省运通科技有限公司。本文件主要起草人：吕翔宇、王业光、王国辉、许加利、田鑫、李飒 。DB23/T 33252022平台用户信息保护指南1 范围本文件给出了平台用户信息保护的术语和定义、基本原则、管理能力、信息处理过程、相关利益方 权益、服务监督、评价与改进相关利益方权益。本文件适用于指导平台用户信息的保护工作。2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日

3、期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 2887 计算机场地通用规范GB/T 9361 计算机场地安全要求GB/T 20985.2 信息技术 安全技术 信息安全事件管理 第 2 部分：事件响应规划和准备指南GB/T 20985.1 信息技术 安全技术 信息安全事件管理 第 1 部分：事件管理原理GB/T 24363 信息安全技术 信息安全应急响应计划规范GB/T 25069-2010信息安全技术 术语GB/T31167信息安全技术 云计算服务安全指南GB/T31168信息安全技术 云计算服务安全能力要求GB/T3

4、1722信息技术 安全技术 信息安全风险管理GB/T34942信息安全技术 云计算服务安全能力评估方法GB/T35273信息安全技术 个人信息安全规范GB/T40652信息安全技术 恶意软件事件预防和处理指南3 术语和定义GB/T 25069-2010 界定的以及下列术语和定义适用于本文件。3.1平 台 platform充分运用互联网和移动技术，构建由数据驱动、平台支撑、网络协同的活动单元，在本质上是市场的具化，是一种虚拟或真实的交易场所。3.2用户信息 user information基于平台提供的服务，收集用户喜好、用户细分、用户需求、用户联系方式等基本资料信息，主要 分为描述类信息、行为

5、类信息和关联类信息。3.3最小元素集合 minimum collection以明确、合理的目的收集与用户直接相关的信息，并确定对用户权益影响最小的要素范围。10注：直接关联是指没有该信息的参与，无法实现功能。3.4用户信息主体 subject of personal information用户信息所标识的自然人、法人和非法人组织。3.5用户信息管理者 administrator of personal information决定用户信息处理的目的和方式，实际控制用户信息并利用信息系统处理用户信息的组织和机构。3.6用户信息获得者 receiver of personal information

6、从信息系统获取用户信息的个人、组织和机构，依据用户信息主体的意愿对获得的用户信息进行处理。3.7敏感信息 sensitive information一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人或组织身心健康、名誉受损或受到歧视性待遇等的信息。注 1：个人、法人和非法人组织身份证件号码个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14 周岁以下(含)儿童的个人信息等。注 2：法人和非法人组织的商业秘密等。3.8用户一般信息 user general information除用户敏感信息以外的用户信息。3.9用户信息处理

7、 personal information handing处置用户信息的行为，包括收集、存储、使用、加工、传输、提供、公开、删除等。3.10去标识化 de-identification通过对用户信息的技术处理，使其在不借助额外信息的情况下，无法识别用户信息主体的过程。3.11匿名化 anonymization通过对用户信息的技术处理，使得用户信息主体无法被识别，且处理后的信息不能被复原的过程。4 基本原则4.1 总体原则遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。4.2 目的原则为实现关联处理目的，以用户信息处理为核心，采取最小元素集合限度的手段。4.3 公开透

8、明原则明示用户信息的处理目的、方式和范围，强化用户的主体地位，保障用户的知情权和决定权。4.4 质量原则保证用户信息质量的准确性、完整性、时效性，避免因用户信息不准确、不完整对用户权益造成不 利影响。4.5 责任原则处理者对用户信息处理活动负责，将用户信息安全作为工作重点，并采取必要的保障措施。5 管理能力5.1 组织的管理能力5.1.1 明确用户信息保护管理目标，规划内容和范围，制定信息处理过程管理制度，并对过程管理进行记录。5.1.2 建立组织结构框架图，规定用户信息管理人员职务或职位，明确各岗位责任。注 1：公开用户信息保护负责人，包括姓名、联系方式等，并报送履行用户信息保护职责的部门。

9、注 2：规定的中华人民共和国境外的用户信息处理者，需在中华人民共和国境内设立专门机构或者指定代表，负责处理用户信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行用户信息保护职责的部门。5.1.3 制定并组织实施用户信息安全事件应急预案。5.1.4 建立定期评估管理制度，对处理用户信息遵守的法律、行政法规的情况，进行合规审计。5.1.5 制定岗位培训计划，进行岗前、在岗和离岗管理，定期对从业人员进行安全教育和岗位培训。注 1：调查和了解从业人员背景，签署保密协议或在劳动合同中设置相应的条款。注 2：按照管理制度，及时终止离职人员对用户信息的访问权限。5.1.6 建立用户投诉渠

10、道，用户行使权利方式宜便捷，拒绝用户行使权利请求时，应当说明理由。5.2 人员的职业能力5.2.1 能够掌握用户信息安全相关法律、法规、标准、管理制度、岗位职责及保密条款。5.2.2 能够落实和宣传用户信息保护策略，开展用户信息保护日常管理。5.2.3 能够执行用户信息保护制度，在授权范围内进行用户信息的处理。5.2.4 能够分析处理用户信息保护存在的问题，提出风险控制建议和技术改进指导方案。5.2.5 能够按照国家网信部门要求，监督检查用户信息处理活动全过程。注：设置专职用户信息保护负责人管理岗位。5.3 环境的保护条件5.3.1 建立安全环境保护制度，包括但不限于：物理环境、网络环境、计管

11、机环境和应用环境，宜参考附录 A 的相关标准。5.3.2 建立用户信息存储相关设备和各类介质安全管理制度，对设备移入或移出保护区域，进行严格的申请和审批管理。注：介质包括但不限于：磁介质、半导体介质和光介质。5.3.3 建立机房分区管理制度，设置不同区域，区域之间设置物理隔离装置或隔离标识，在重要区域前设置交付或安装等过渡区。5.3.4 机房环境安全宜分类保护、多级保护，包括但不限于：增加防盗技术、安装报警设备、布设监控设施、安装空调系统与报警系统联动控制设施、防电磁泄露装置，严格控制静电源、安全可靠及时消 除机房的静电、定期对防静电设施进行检测和维护。5.3.5 建立物理线路安全、物理访问控

12、制、电力供应安全保障制度。5.3.6 计算机场地基础建设符合 GB/T 2887，计算机场地安全保障符合 GB/T 9361 的相关规定。5.3.7 制定应用环境运行管理制度，包括但不限于：测评机构、设备供应商、电信运营商、外来参观人员。6 信息处理过程6.1 收集6.1.1 概述履行用户信息收集管理制度，明确用户信息收集目的、范围、方法手段、处理方式等内容，保障用 户信息的质量和准确性。宜采取显著标注的方式、清晰易懂的语言，真实、准确、完整地告知用户，并 在充分知情的前提下使用户自愿、明确地作出单独同意。6.1.2 收集目的基于为用户提供服务、与用户建立联系、改善服务质量等目的收集和使用用户

13、信息。注：提示用户提供用户信息后可能存在的风险，以及不提供用户信息可能出现的后果。6.1.3 收集范围收集范围包括用户信息和用户敏感信息，用户信息包括以电子或者其他方式记录的已识别或者可识别的个人、法人和非法人组织有关的各种信息，不包括匿名化处理的信息。用户敏感信息包括生物识别、 宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息。注 1：用户敏感信息一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。注 2：收集未成年人用户信息前，需征得未成年人或其监护人的明示同意，未满 14 周岁的，需征得其监护人的明示同意。6.1.4 方法手段信息收集前，确认数据来源的

14、合法性，保存期限以实现处理目的所必要的最短时间。采取最小元素 集合确定收集内容，仅采用已告知的技术手段收集用户信息，不采取隐藏的技术手段收集用户信息。在 公共环境下，收集用户信息的客户端采用隐蔽去标识化处理的输入方式。注：如果是通过交易得来的数据，明确交易对象和过程的合法性。6.1.5 处理方式宜按照收集目的，立即对收集的用户信息进行去标识化处理，不对用户信息进行其他不相关的处理。 未经用户信息处理者同意，受托人不得转委托他人处理用户信息。对用户信息的处理采取相应技术管理措施，保障用户信息的安全。6.2 存储6.2.1 概述履行用户信息存储管理制度，对信息系统用户进行分类管理，建立用户分类清单，明确用户信息存 储的信息存储时限、原始信息存储、敏感信息存储、境内存储、停止运营存储、存储安全等内容，保障 用户信息的存储安全。6.2.2 信息存储时限基于实现用户信息授权使用的目的，明确用户信息存储期限所必需的最短时间，超出约定存储期限 后,采取删除或匿名化处理。注：法律法规另有规定或者用户另行授权同意的除外。6.2.3 原始信息存储单独存储用户的原始信息，加强访问和使用的权限管理，保证收集的用户信息不被其他设