GB-T 45577-2025 数据安全技术 数据安全风险评估方法 - 附录A 个人信息保护.xlsxVIP

项目编号： 项目名称：

核查对象： 个人信息 安全层面/安全类： 个人信息保护

IP地址： / 资产类别： 个人信息保护

核查时间： 测评作业指导书： 个人信息保护

序号 安全类 安全子类 评估项 评估方法 结果记录 无问题情况 配合人员

1 个人信息处理基本原则 合法、诚信原则 a）通过误导、欺诈、胁迫等方式处理个人信息的情况； 1、人员访谈。访谈相关人员，询问通过误导、欺诈、胁迫等方式处理个人信息的情况。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

2 个人信息处理基本原则 合法、诚信原则 b）非法收集、使用、加工、存储、传输个人信息的情况； 1、人员访谈。访谈相关人员，询问非法收集、使用、加工、存储、传输个人信息的情况。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

3 个人信息处理基本原则 合法、诚信原则 c）非法买卖、提供或者公开他人个人信息的情况； 1、人员访谈。访谈相关人员，询问非法买卖、提供或者公开他人个人信息的情况。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

4 个人信息处理基本原则 合法、诚信原则 d）是否从事危害国家安全、公共利益的个人信息处理活动； 1、人员访谈。访谈相关人员，询问是否从事危害国家安全、公共利益的个人信息处理活动。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

5 个人信息处理基本原则 合法、诚信原则 e）个人信息处理活动是否具备《个人信息保护法》规定的合法性事由； 1、人员访谈。访谈相关人员，询问开展个人信息处理活动是否满足以下情形：

（1）取得个人的同意；

（2）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；

（3）为履行法定职责或者法定义务所必需；

（4）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；

（5）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；

（6）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息； 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

6 个人信息处理基本原则 合法、诚信原则 f）是否存在隐瞒产品或服务所收集个人信息功能的情况； 1、人员访谈.访谈相关人员，询问是否存在隐瞒产品或服务所收集个人信息功能的情况。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

7 个人信息处理基本原则 合法、诚信原则 g）移动互联网应用（如App、SDK、小程序等）是否存在违法违规收集使用个人信息或侵害用户权益行为。 1、人员访谈。访谈相关人员，询问移动互联网应用（如App、SDK、小程序等）是否存在违法违规收集使用个人信息或侵害用户权益行为。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

8 个人信息处理基本原则 正当、必要原则 a）处理个人信息是否具有明确、合理的目的； 1、人员访谈。访谈相关人员，询问处理个人信息是否具有明确、合理的目的 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

9 个人信息处理基本原则 正当、必要原则 b）处理个人信息是否与处理目的直接相关，是否采取对个人权益影响最小的方式； 1、人员访谈。访谈相关人员，询问处理个人信息是否与处理目的直接相关，是否采取对个人权益影响最小的方式。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

10 个人信息处理基本原则 正当、必要原则 c）收集个人信息是否限于实现处理目的的最小范围，如最少类型、最低频次等；是否存在过度收集个人信息行为； 1、人员访谈。访谈相关人员，询问收集个人信息是否限于实现处理目的的最小范围，如最少类型、最低频次等；是否存在过度收集个人信息行为。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

11 个人信息处理基本原则 正当、必要原则 d）是否以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，或者干扰个人正常使用服务，处理个人信息属于提供产品或者服务所必需的除外。 1、人员访谈。访谈相关人员，询问是否以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务，或者干扰个人正常使用服务，处理个人信息属于提供产品或者服务所必需的除外。 熟悉个人信息保护内容，涵盖个人信息告知、同意、转移等，如何保障用户权益等方面。

12