信息安全技术——网络数据处理安全规范.pdf

GB/TXXXXX—XXXX

信息安全技术网络数据处理安全规范

1范围

本文件规定了网络运营者利用网络开展数据收集、存储、使用、加工、传输、提供、公开等数据处

理活动应遵循的规范和安全要求。

本文件适用于网络运营者规范数据处理活动，提高数据安全管理和个人信息保护水平，也适用于主

管监管部门对网络运营者数据处理活动进行监督管理，同时还可为第三方评估机构开展相关评估工作提

供指导。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T22080信息技术安全技术信息安全管理体系要求

GB/T25069信息安全技术术语

GB/T35273信息安全技术个人信息安全规范

3术语和定义

GB/T25069、GB/T35273和GB/T22080界定的以及下列术语和定义适用于本文件。

3.1

数据data

本文件所称数据是指网络数据，即通过网络处理和产生的各种电子数据，如个人信息、重要数据等。

3.2

网络运营者networkoperator

网络的所有者、管理者和网络服务提供者。

3.3

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息。

注：个人信息包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信

息、行踪信息等。

[来源：GB/T35273—2020，3.1，有修改]

3.4

个人敏感信息personalsensitiveinformation

5

GB/TXXXXX—XXXX

一旦泄露、非法提供或者滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或

者歧视性待遇等的个人信息。

注：个人敏感信息包括自然人的身份证件号码、生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、

行踪信息、住址、健康信息、交易信息、14岁以下（含）儿童的个人信息等。

[来源：GB/T35273—2020，3.2，有修改]

3.5

个人信息主体personaldatasubject

个人信息能够识别或者关联到的自然人。

[来源：GB/T35273—2020，3.3，有修改]

3.6

重要数据keydata

一旦泄露可能直接影响国家安全、公共安全、经济安全和社会稳定的数据，包括未公开的政府信息，

数量达到一定规模的基因、地理、矿产信息等，原则上不包括个人信息、企业内部经营管理信息等。

3.7

数据提供方dataprovider

数据处理活动中提供数据的组织或者个人。

3.8

数据接收方datareceiver

数据处理活动中接收数据的组织或者个人。

3.9

第三方应用thirdpartyapplication

由第三方提供的产品或者服务，以及被接入或者嵌入网络运营者产品或者服务的自动化工具，包括

但不限于软件开发工具包（SDK等）、第三方代码、组件、脚本、接口、算法模型、小程序等。

3.10

匿名化anonymization

是指对个人信息进行加工，使之无法识别特定个人且不能复原。

[来源：GB/T35273—2020，3.14，有修改]

4数据处理总体要求

4.1数据识别

网络运营者应识别数据处理活动中涉及的数据，包括个人信息、重要数据和其他数据，形成数据保

护目录，并及时更新。

4.2分级分类

网络运营者应按照法律法规、国家标准有关要求，根据业务运营需要，对所掌握的数据进行分级分

类管理；采取加密