视频监控个人信息保护技术要求.docxVIP

PAGE7

PAGE8

视频监控个人信息保护技术要求

范围

本文件描述了视频监控个人信息保护的信息内容分类、敏感性分类和具体保护要求。

本文件适用于视频监控系统应用过程中相关各类组织的个人信息保护，也适用于主管监管部门、第三方评估机构等组织对视频监控系统个人信息处理活动进行监督、管理和评估。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T25069-2022信息安全技术术语

GB/T35273-2020信息安全技术个人信息安全规范

GB/T40660-2021信息安全技术生物特征识别信息保护基本要求

GB/T41819-2022信息安全技术人脸识别数据安全要求

T/CSAC009-2024隐私计算删除控制技术要求

术语和定义

视频监控系统videosurveillancesystem

由前端采集、传输、存储、管理、显示等组成，利用视频技术探测、监视设防区域并实时显示、记录现场图像的电子系统或网络。

[来源：YD/T3492—2019,3.1]

个人信息personalinformation

以电子或者其他方式记录的能够单独或者与其他信息结合来识别特定自然人身份或者反映其活动情况的各种信息。

注1：个人信息包括姓名、出生日期、公民身份号码、个人生物特征信息、住址、联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

注2：个人信息处理者通过个人信息或其他加工处理后形成的信息，例如，用户画像特征标签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，也属于个人信息。

[来源：GB/T25069—2022,3.194]

敏感个人信息sensitivepersonalinformation

敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息。

注：敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

个人信息主体personalinformationsubject

个人信息所标识或关联的自然人。

[来源：GB/T35273—2020,3.3]

个人信息处理者personalinformationprocessor

对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除、脱敏、存证与取证等操作的实体。

删除delete

采用访问控制、消磁、物理破坏等技术或措施，使得信息不能被访问或被检索，或者从物理上去除了信息并保障其难以恢复的操作。

注：删除包括不能被访问或被检索、全部物理删除或部分物理删除。

[来源：GB/T35273—2020,3.10,有修改]

脱敏desensitization

通过采用有失真且不可逆的方法对信息进行保护，使脱敏后的信息无法与个人信息主体关联起来。

概述

视频监控个人信息保护原则

视频监控个人信息保护原则应按GB/T35273-2020中的要求，遵循其权责一致、目的明确、选择同意、最小必要、公开透明、确保安全、主体参与这七大原则，合理地收集、处理或提供个人信息。

权责一致原则，采取技术和其他必要的措施保障个人信息的安全，对其个人信息处理活动对个人信息主体合法权益造成的损害承担责任；

目的明确原则，具有明确、清晰、具体的个人信息处理目的；

选择同意原则，向个人信息主体明示个人信息处理目的、方式、范围等规则，征求其授权同意；

最小必要原则，只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。目的达成后，应及时删除个人信息；

公开透明原则，以明确、易懂和合理的方式公开处理个人信息的范围、目的、规则等，并接受外部监督；

确保安全原则，具备与所面临的安全风险相匹配的安全能力，并采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性；

主体参与原则，向个人信息主体提供能够查询、更正、删除其个人信息，以及撤回授权同意、注销账户、投诉等方法。

视频监控个人信息参与者

视频监控系统个人信息的参与者包括:视频监控个人信息收集者、视频监控个人信息处理者、视频监控个人信息提供者和视频监控个人信息主体。对于企事业单位等组织，还包括视频监控系统组织管理者，对视频监控系统内的个人信息处理活动进行评估、审计与处置。

视频监控个人信息全生命周期过程

视频监控系统个人信息全生命周期过程包括个人信息的收集、存储、使用、传输、提供、公开、删除、委托处理等