实名制的智能门锁系统个人信息保护实施指南.docx

T/OIDAA×—××××

1

实名制的智能门锁系统个人信息保护实施指南

1范围

本文件提供了实名制的智能门锁系统个人信息保护实施指南。

本文件适用于旅馆、日租房（网约房）等场景下的智能门锁系统个人身份认证服务。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T22239—2019信息安全技术网络安全等级保护基本要求GB/T35273信息安全技术个人信息安全规范

GB/T35678—2017

公共安全人脸识别应用图像技术要求

GB/T37076—2018

信息安全技术

指纹识别系统技术要求

GB/T39786—2021

信息安全技术

信息系统密码应用基本要求

GB/T42574—2023

信息安全技术

个人信息处理中告知和同意的实施指南

GA/T467—2019居民身份证验证安全控制模块接口技术规范

GA/T1723.4—2020居民身份网络认证认证服务第4部分：人脸图像采集控件技术要求GM/T0028—2014密码模块安全技术要求

T/OIDAA01—2024智能门锁系统个人身份认证服务基本功能规范3术语和定义

T/OIDAA01-2024界定的术语和定义适用于本文件。

4总则

4.1系统参考模型

实名制的智能门锁系统由智能门锁管理平台和智能门锁组成：

——智能门锁管理平台主要实现对预订信息、入住信息、密钥的管理及对智能门锁的接入认证和安全连接；

——智能门锁主要实现身份信息的收集、认证、接受远程控制、控制门锁开启和关闭、数据记录功能。

智能门锁系统的外部相关方本文件不进行指导，可能涉及：

——预订系统：预订系统是对互联网预订平台、酒店/网约房业务平台的抽象化逻辑实体；——居民身份网络认证服务系统：作为智能门锁系统的支撑，完成个人身份认证服务；

——居民身份证相关系统：完成实名身份的认证服务；

——监管系统。监管系统是有关部门的相关系统，主要负责接收由智能门锁系统上报的用户信息，可以实现流动人口动、静态信息的全面管理，必要时将用户信息作为追溯依据。

个人信息在实名制的智能门锁系统中主要包括姓名、身份信息摘要、身份信息密文、网络标识、居民身份网络可信凭证、生物特征信息、公民身份号码、手机号等敏感个人

T/OIDAA×—××××

2

外部相关系统预订系统居民身份网络认证服务系统居民身份证相关系统

外部相关系统

预订系统

居民身份网络认证服务系统

居民身份证相关系统

监管系统

全生命周期保护

个人信息告知

个人信息收集

个人信息传输

个人信息存储

个人信息使用

个人信息删除

系统

智能门锁系统

智能门锁管理平台（含移动端应用服务）

智能门锁

图1实名制的智能门锁系统个人信息保护参考框架图

实名制的智能门锁系统个人信息保护主要涉及个人信息的告知、收集、传输、存储、使用和删除过程。

4.2安全目标

实名制的智能门锁系统个人信息保护实施过程中使用密码技术对个人信息进行机密性、完整性、真实性和不可否认性保护。在需要同时保证个人信息的机密性和完整性时,先对个人信息进行完整性保护,再对个人信息进行机密性保护。具体实施方法包括但不限于：

——个人信息机密性保护。采用数字信封方式对个人信息进行加密，以保证个人信息的机密性。对于敏感个人信息，采用对敏感个人信息进行去标识化处理后再进行加密保护。可参考GB/T37964-2019第5章去标识化过程。

——个人信息完整性保护。采用对个人信息进行签名操作的方式，保证个人信息的完整性。

——个人信息真实性保护。采用密码技术确保交互双方实体的真实性，确保个人信息数据来源的真实可靠性。

——个人信息不可否认性。用户对智能门锁操作行为和提供的个人信息的不可否认性。

5告知和同意

为确保智能门锁系统在处理个人信息时合规，并遵循《GB/T42574—2023信息安全技术个人信息处理中告知和同意的实施指南》的规定，系统需在信息收集、处理、存储、使用和删除的各环节向用户进行充分告知，并取得明确同意。从预订阶段、身份认证和访问控制阶段及信息上报阶段阐述具体的告知与用户同意实施方法和步骤。

5.1预订阶段

5.1.1告知的内容和方式

在预订阶段，用户需通过用于管理和操作智能门锁的软件或硬件完成个人信息的登记和授权。除参照GB/T42574-2023第8章内容外，还需基于以下告知方式及内容，形成告知的具体实施方法和步骤。实施要点包括：

T/OIDAA×—××××

3

a)首次注册使