个人信息保护认证实施规则.pdf

附件

个人信息保护认证实施规则

1适用范围

本规则依据《中华人民共和国认证认可条例》制定，规定了

对个人信息处理者开展个人信息收集、存储、使用、加工、传输、

提供、公开、删除以及跨境等处理活动进行认证的基本原则和

要求。

2认证依据m

o

个人信息处理者应当符合GB/T35273《信息安全技术个人信

c

息安全规范》的要求。.

对于开展跨境处理活动的个人信息处理者，还应当符合

w

TC260-PG-20222A《个人信息跨境处理活动安全认证规范》的要求。

x

上述标准、规范原则上应当执行最新版本。

f

3认证模式z

b

个人信息保护认证的认证模式为：

.

技术验证+现场审核+获证后监督

w

4认证实施程序

w

4.1认证委托

w

认证机构应当明确认证委托资料要求，包括但不限于认证委

托人基本材料、认证委托书、相关证明文档等。

认证委托人应当按认证机构要求提交认证委托资料，认证机

构在对认证委托资料审查后及时反馈是否受理。

认证机构应当根据认证委托资料确定认证方案，包括个人信

息类型和数量、涉及的个人信息处理活动范围、技术验证机构信

息等，并通知认证委托人。

4.2技术验证

技术验证机构应当按照认证方案实施技术验证，并向认证机

构和认证委托人出具技术验证报告。

4.3现场审核

认证机构实施现场审核，并向认证委托人出具现场审核报告。

m

4.4认证结果评价和批准o

c

认证机构根据认证委托资料、技术验证报告、现场审核报告

.

和其他相关资料信息进行综合评价，作出认证决定。对符合认证

w

要求的，颁发认证证书；对暂不符合认证要求的，可要求认证委

x

托人限期整改，整改后仍不符合的，以书面形式通知认证委托人

f

终止认证。z

b

如发现认证委托人、个人信息处理者存在欺骗、隐瞒信息、

.

故意违反认证要求等严重影响认证实施的行为时，认证不予通过。

w

4.5获证后监督

w

4.5.1监督的频次

w

认证机构应当在认证有效期内，对获得认证的个人信息处理

者进行持续监督，并合理确定监督频次。

4.5.2监督的内容

认证机构应当采取适当的方式实施获证后监督，确保获得认

证的个人信息处理者持续符合认证要求。

4.5.3获证后监督结果的评价