HYK-MS-231-S01 PII收集管理制度.docxVIP

第

第PAGE1页共NUMPAGES9页

深圳市企启信息科技有限公司

PII收集管理制度

文档编号：HYK-MS-231-S01

版本信息：V1.0

创建人：信息安全与隐私安全小组

审核者：周静

批准人：黄伟

编制日期：2022年5月10日

批准日期：2022年5月10日

文件变更记录

版本

变更描述

日期

修订人

批准日期

批准人

V1.0

初始版本，文档建立

2022年5月10日

周静

2022年5月10日

黄伟

目录

TOC\o1-2\h\u1目的 4

2适用范围 4

3术语 4

4职责 4

5制度 4

5.1PII控制者在收集和处理阶段的要求 4

5.2PII处理者在收集和处理阶段的要求 8

6相关记录 9

目的

为明确PII控制者和PII处理者在PII收集和处理阶段的具体要求，制定本制度。

适用范围

适用对象：PII控制者、PII处理者、PII主体

适用范围：PII收集、PII处理

术语

PII收集

PII处理

职责

行政部负责法律法规的识别，客户合同/协议的合规性识别

行政部负责收集和处理过程中的技术实施

行政部负责与PII主体的沟通以及确认，并按要求保留相关记录。

制度

PII控制者在收集和处理阶段的要求

收集的目的

行政部应明确并定义收集PII主体信息的目的，并交领导层审批确认。将收集PII主体信息的目的反馈给行政部，由行政部编制在《客户告知书》中，以清晰的文件化信息告知PII主体，使每一个PII主体知晓本公司收集其信息的目的，PII主体的同意与否的内容应形成在《PII收集记录》中。

识别法律法规的要求

行政部负责识别司法管辖区内法律法规的要求，并形成《法律法规清单》，确保行政部在PII的收集和处理过程中符合相关法律法规的要求。

限制收集

行政部应充分考虑5.1中定义的收集的目的，并限制PII的收集是适当的和相关的。要求行政部依据《客户告知书》约定的PII收集的目的，制定所要收集的《PII信息目录》，PII信息目录内容按照最小化原则，杜绝收集与目的无关信息，或重复收集与有关的信息；

当有针对已存在的PII收集和处理过程的任何可选项，PII主体的默认隐私保护意味着每一项选择不能通过默认完成，只能由这个PII主体清楚地选择完成，关于PII主体的默认隐私详见《设计隐私和默认隐私管理制度》。

确定何时与如何获得同意

除非法律法规的特殊规定，行政部应在PII处理之前获得PII主体的同意记录，例如签署客户告知书，以何方式获得了PII主体签署的客户告知书表示同意参见5.1.1，并保存相关记录，以便可以将PII主体的同意信息和处理目的相关联。

行政部识别了某些司法管辖区的特殊要求，详见《法律法规清单》。

获取和记录同意

行政部负责获取以及记录PII主体同意的记录，例如客户告知书，应按照文件管理制度要求保管。

PII主体的同意记录（例如客户告知书）应是：

-自愿的

-指定的处理目的

-清晰无隐瞒的

与PII处理者合同

行政部负责识别与PII处理者的合同合规性，要求PII处理者实施ISO27701中附录B红的所有适用的控制措施。

与PII处理者的合同中，应清晰规定各方职责。

联合PII控制者

行政部负责识别与联合PII控制者的协议或合同的合规性，应至少包括以下内容：

-分享PII的目的或联合PII控制者的关系

-联合PII控制者与PII控制者的关系

-联合PII控制者和PII控制者的角色和职责

-确定收集/处理/分享PII的内容

-处理过程各项操作的评审（如转移、适用）

-为PII保护实施技术和管理的安全措施责任

-防止PII危害责任

-PII保留或消除的术语

-违反协议的后果

-如何满足PII主体的义务

-如何向PII主体提供联合PII控制者之间签署的协议要素

-PII主体如何获取另外他们有权获知的信息

-与PII主体的联系方式

限制处理过程

行政部应充分考虑处理PII的目的，利用处理PII的ICT系统操作权限管理限制相关的、成比例的PII的处理过程。

PII的处理过程，包括

-公布

-PII存储

-访问PII信息

限制PII处理过程应通过信息和隐私安全和隐私策略以及制度进行管理。默认应被限制为最小化，需要识别默认的目的，限制处理过程的默认隐私，详见《设计隐私和默认隐私管理制度》。

与PII相关的处理记录

行政部依据收集的《PII信息目录》中PII数据信息，按照PII处理流程负责建立《PII处理活动列表》，应包括以下内容

-处理的类型

-处理的目的

-PII信息类型和数据主体的描述（例如儿童）

-PII信息类型的接收人，公开的内容（包括第三国家或国际组织的接收人）

-技术和管理的安全措施的描述

-隐私