GB／T 35273-2025 中文版 个人信息安全规范.docxVIP

GB/T35273-2025中文版个人信息安全规范

个人信息保护最容易出现的错觉，是“我们没卖数据，所以没问题”。现实中，绝大多数问题发生在看似正常的业务动作里：注册页默认勾选、SDK悄悄采集通讯录、注销入口藏到第五层、第三方推送把用户画像传了出去。规范要约束的，正是这些日常细节。

这份规范以“收集、存储、使用、共享、删除”的生命周期为主线，给出可操作的要求。它不是法律条文，但它是把法律原则翻译成工程与管理动作的重要桥梁。本文按生命周期展开，并重点讨论落地中最容易出错的环节。

一、基本原则

原则不是装饰，而是判断具体做法是否合规的尺子。当规则没有覆盖某个新场景时，回到原则往往能得出答案。

（一）合法、正当、必要

处理个人信息要有合法依据，目的要正当，范围要必要。必要性是实践中最难把握的：一款手电筒应用申请通讯录权限，显然不必要。

（二）最小化

只收集实现目的所必需的最少信息，只保留必要期限，只让必要的人访问。最小化不是“少收集一点”，而是“每一份收集都能说清用途”。

（三）公开透明

以清晰易懂的方式告知处理规则，让用户能够理解并作出选择。用晦涩的法律文本掩盖关键信息，不符合透明原则。

（四）目的限制

收集时说明的目的，不能随意扩张。要把数据用于新目的，通常需要重新获得同意或具备其他合法依据。

（五）质量与责任

保证信息准确、完整、及时更新；对处理活动负责，能够证明合规。

二