《数字产品数据安全和隐私保护要求》.docxVIP

ICS35.240CCSL80

团体标准

T/CIQA105—2024

数字产品数据安全和隐私保护要求

Datasecurityandprivacyprotectionrequirementsfordigitalproducts

2024-12-20发布2024-12-20实施

中国出入境检验检疫协会发布

T/CIQA105—2024

目录

前言 I

1范围 1

2规范性引用文件 1

3术语和定义 1

4数据安全和隐私保护原则 3

5数据收集 4

6数据存储和传输 5

7数据使用和加工 5

8数据提供和公开 6

9数据删除 6

10数据出境 7

11数据安全事件应急处置 7

参考文献 1

T/CIQA105—2024

1

数字产品数据安全和隐私保护要求

1范围

本文件规定了数字产品针对用户信息的收集、存储、使用、加工、是供、公开、出境等数据处理活动的安全要求。

本文件适用于数字产品提供者规范数据处理活动，也可为监管部门、第三方评估机构对数字产品中数据处理活动进行监督、评估提供参考。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T25069

信息安全技术

术语

GB/T35273

信息安全技术

个人信息安全规范

GB/T41391

信息安全技术

移动互联网应用程序（App）收集个人信息基本要求

GB/T41479

信息安全技术

网络数据处理安全要求

3术语和定义

下列术语和定义适用于本文件。

3.1

数字产品digitalproducts

数字产品是指支撑数字信息处理的终端设备或高度应用数字化技术的智能设备，主要包括：智能办公产品、智能娱乐产品、智能健康产品、智能穿戴产品、智能车联网产品、智能监控设备、智能无人机、智能机器人等。

3.2

数据data

信息的可再解释的形式化表示，以适用于通信、解释或处理。

注：数据可以由人工或自动的方式加工处理。

[来源：GB/T18391.1-2009，定义3.2.6]3.3

用户信息userinformation

与个人、法人或其他组织有关的信息，以及定义和描述此类信息的数据。

T/CIQA105—2024

2

注：用户信息包括个人信息，用户生成的文档、程序、多媒体资料，用户通信的内容、地址、时间,产品的配置、运行及位置数据，系统运行过程产生的日志等。

[来源：ISO/IEC17027:2014，2.56]3.4

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合来识别特定自然人身份或者反映其活动情况的各种信息。

注1：个人信息包括姓名、出生日期、公民身份号码、个人生物特征信息、住址、联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

注2：个人信息控制者通过个人信息或其他加工处理后形成的信息，例如，用户画像特征标签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的,也属于个人信息。

[来源：GB/T25069-2022，3.196]3.5

隐私privacy

隐私是自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

[来源《中华人民共和国民法典》第一千零三十二条第二款]3.6

隐私信息privacyinformation

是指自然人或个人不愿意公开的与个人身份、行为、通信、财务状况、健康状况等相关的信息。这些信息包括但不限于：

个人身份信息：如姓名、身份证号码、护照号码、社会保险号码等。

联系信息：如家庭地址、电话号码、电子邮箱地址等。

金融信息：如银行账户信息、信用卡信息、交易记录等。

健康信息：包括医疗记录、健康检查结果、遗传信息等。

在线活动信息：如浏览历史、搜索记录、社交媒体账户、商品和服务交易信息等。

通信内容：如电子邮件、短信、即时通讯应用中的消息内容等。

位置数据：通过GPS或其他技术收集的个人位置信息。

其他：国家法律法规规定的其他信息。

3.7

个人信息主体personalinformationsubject

个人信息所标识或关联的自然人。

[来源：GB/T35273-2020，定义