个人信息保护体系建设方案1.docx

个人信息保护体系建设方案

1.总述

1.1.现状

“‘十四五‘时期是我国全面建成小康社会、实现第一个百年奋斗目标之后，乘势而上开启全面建设社会主义现代化国家新征程、向第二个百年奋斗目标进军的第一个五年。”建设数字化中国是实现我国全面建成小康社会的重要机遇，在

这一过程中保护数据要素的安全，保护个人信息安全是其中重要的一个部分。

在一段时间里，由于我国个人信息保护立法不健全，民众的个人信息保护意识不强，很多人都有频繁的销售电话、短信侵害经历，更有甚者遭遇到了电信诈骗受到经济损失甚至失去生命。为此我国在2003年启动了《个人信息保护》的立法程序，随后《刑法修正案(七)》、《侵权责任法》等法律法规从刑法、侵权责任等角度明确了个人信息保护要求。2017年《中华人民共和国网络安全法》定义了个人信息的概念，提出了个人信息保护的基本要求，随后《个人信息安全规范》、《个人信息出镜安全评估办法(征求意见稿)》、《中华人民共和国个人信息保护法(草案)》等法律、法规和标准相继推出，个人信息安全保护的

工作正在逐步落实。这也对组织提出个人信息保护的要求。

个人信息保护涉及了合规、法务和网络安全等多种内部角色，要协调、组织好各项目工作，需要以体系化的思路，工程化的方法，统筹管理各方面的工作。目前的网络安全管理已逐渐成熟，各类组织已根据等级保护要求或信息安全管理体系初步建立起适合于自身业务发展的网络安全管理框架。当我们需要建立个人信息保护体系时，完全抛弃已有的网络安全管理经验是不明智的，借鉴、补充、

优化已有的安全管理经验，才是尽快建立起个人信息保护能力的最佳方案。

个人信息安全保护体系正是在这种情况下产生的。

1.2.依据

《中华人民共和国个人信息保护法》

《中华人民共和国网络安全法》

《个人信息出境安全评估办法(征求意见稿)》

《常见类型移动互联网应用程序必要个人信息范围规定》

《儿童个人信息网络保护规定》

《GB/T

35273-2020

信息安全技术个人信息安全规范》

《GB/T

39335-2020

信息安全技术个人信息安全影响评估指南》

《GB/T

34978-2017

信息安全技术移动智能终端个人信护技术要求》

《GB/T

22239-2019

信息安全技术网络安全等级保护基本要求》

《GB/T

37988-2019

信息安全技术数据安全能力成熟度模型》

《GB/T

37964-2019

信息安全技术个人信息去标识化指南》

《GB/T

20984-2007

信息安全技术信息安全风险评估规范》

《网络安全标准实践指南—移动互联网应用程序(App)中的第三方软件开

发工具包(SDK)安全指引》

《网络安全标准实践指南一移动互联网应用程序(App)系统权限申请使用

指南》

《网络安全标准实践指南一移动互联网应用程序)APP)个人信息保护常见

问题及处置指南》

《网络安全标准实践指南—移动互联网应用程序(App)收集使用个人信息

自评估指南》

《ISO/IEC27001-2013信息技术安全技术信息安全管理体系要求》

《ISO/IEC27002-2013信息技术安全技术信息安全控制实用规则》

《ISO/IEC27701-2019隐私信息管理ISO/IEC27001和ISO/IEC27002R

扩展-要求和准则》

《ISO/IECE29100-2011信息技术安全技术隐私框架》

《ISO/IECE29151-2017信息技术安全技术保护可辨识个人资料的工作

守则》

1.3.相关术语定义

个人信息

个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关

的各种信息，不包括匿名化处理后的信息

个人敏感信息

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人

信息。

个人信息处理

个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公

开、删除等。

个人信息处理者

是指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。

自动化决策

是指通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、

健康、信用状况等，并进行决策的活动。

去标识化

是指个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然

人的过程。

匿名化

是指个人信息经过处理无法识别特定自然人且不能复原的过程。

2.个人信息安全保护体系建设需求

2.1.合规性需求

《中华人民共和国个人信息保护法》

我国境内的个人信息处理者及处理我国个人信息的境外个人信息处理者应当承担个人信息保护的义务，采用必要措施确保处理个人信息的活动符合法规、行政法规的规定，并采取有效措施保护个人合法权益，保护个人信息