云平台个人信息保护技术要求.docxVIP

T/CSACXXXX—XXXX

PAGEII4IV

ICS35.030

CCSL80

T/CSAC

团体标准

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX发布

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX实施

云平台个人信息保护技术要求

Technicalrequirementsforpersonalinformationprotectionofcloudplatform

（征求意见稿）

（征求意见稿）

（本稿完成日期：2024/11/30）

中国网络空间安全协会??发布

T/CSACFORMTEXTXXXXX—FORMTEXTXXXX

T/CSACXXXX—XXXX

PAGE335I

PAGEII4II

目??次TOC\o1-2\h\z\u

前言 III

1范围 1

2规范性引用文件 1

3术语和定义 1

4概述 2

4.1云平台账户个人信息全生命周期 2

4.2云平台服务个人信息全生命周期 2

4.3云平台个人信息组织安全管理 3

4.4云平台个人信息保护原则 3

5云平台账户个人信息保护技术要求 3

5.1收集要求 3

5.2存储要求 4

5.3使用要求 4

5.4提供、转移要求 5

5.5公开要求 5

5.6删除要求 6

6云平台服务个人信息保护要求 6

6.1合同策略 6

6.2传输要求 6

6.3存储要求 7

6.4处理要求 7

6.5提供、转移要求 7

6.6公开要求 7

6.7删除要求 7

7云平台个人信息安全管理要求 8

7.1明确责任部门与人员 8

7.2安全影响评估要求 8

7.3安全事件处置要求 8

7.4人员管理与培训要求 8

7.5平台内部权限管理要求 8

7.6日志记录要求 9

7.7存证审计要求 9

附录A（资料性）云平台账户个人信息分类 10

A.1云平台账户个人信息分类 10

参考文献 11

前??言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中国网络空间安全协会提出并归口。

本文件起草单位：

本文件主要起草人：

云平台个人信息保护技术要求

范围

本文件规定了云平台个人信息的保护要求，对云平台个人信息的收集、存储、使用、共享、转让、删除等全生命周期保护技术要求，以及云平台服务中个人信息的保护要求及安全管理要求进行了规范，本文件可支撑云平台对用户个人信息保护的安全评测和合规监管。

本文件适用于规范云平台的个人信息处理活动，也适用于主管监管部门、第三方评估机构等组织对云平台个人信息处理活动进行监督、管理和评估。

规范性引用文件

本文件引述下列文件中的部分内容。下列文件中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本适用于本文件。

GB/T25069-2022信息安全技术术语

GB/T32400-2015信息技术云计算概览与词汇

GB/T35273-2020信息安全技术个人信息安全规范

GB/T22081-2016信息技术安全技术信息安全控制实现指南

GB/T41574-2022信息技术安全技术公有云中个人信息保护实践指南

GB/T39335-2020信息安全技术个人信息安全影响评估指南

T/CSAC009-2024隐私计算删除控制技术要求

术语和定义

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合来识别特定自然人身份或者反映其活动情况的各种信息，包含个人信息本身及其衍生信息，不包括匿名化处理后的信息。

云平台涉及到的个人信息包括两个类别，第一种是云平台提供服务所必需收集的客户个人信息信息，这部分信息称为云平台账户个人信息，包括姓名、手机号码、电子邮箱地址等；另一种是客户使用云平台作为个人信息处理容器时上传到云平台的个人信息，这部分信息称为云平台服务个人信息。

[来源：GB/T35273—2020,3.1,有修改]

敏感个人信息sensitivepersonalinformation

一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、