重磅！四方面解读《信息安全技术 个人信息安全规范》

2017年12月11日，就百度旗下“手机百度”、“百度浏览器”等两款手机APP存在“监听电话”、“读取短彩信”、“读取联系人”等涉及消费者个人信息安全的相关权限且拒不整改的情形，江苏省消费者权益保护委员会就北京百度网讯科技有限公司涉嫌违法获取消费者个人信息及相关问题提起消费民事公益诉讼，今年1月2日，南京市中级人民法院已正式立案。1月6日，随着“支付宝年度账单事件”的发酵，国家网信办网络安全协调局约谈了支付宝（中国）网络技术有限公司、芝麻信用管理有限公司的有关负责人并指出，支付宝、芝麻信用收集使用个人信息的方式，不符合《信息安全技术个人信息安全规范》国家标准的精神，违背了其前不久签署的《个人信息保护倡议》的承诺，应严格按照《网络安全法》（以下称“《网安法》”）的要求，加强对平台的全面排查，进行专项整顿，切实采取有效措施，防止类似事件再次发生。自《网安法》正式实施以来，人大、工信、网信、网安以及消协系统，在全国各地掀起了一系列个人信息专项检查、整治行动，处罚违法违规行为的同时，也加强了社会公众对个人信息保护的重视程度。
然而，由于法律规范及各地监管政策的原则性、模糊化及碎片化，很多条文缺乏落地的细则，这就给很多网络运营者个人信息合规工作带来极大的困惑。去年12月29日，中国国家标准化管理委员会正式发布《信息安全技术个人信息安全规范》（以下称“《安全规范》”），1月24日，国家标准全文公开系统正式对外公布规范全文，并将于2018年5月1日起实施。《安全规范》以国家标准的形式，明确了个人信息的收集、保存、使用、共享的合规要求，为网络运营者制定隐私政策及完善内控提供了指引。
《安全规范》的具体规定
相关法律概念
《安全规范》在《网安法》已有的原则性规定的基础上针对网络运营者在实践中关注的具体问题，明确了相关法律概念的具体定义。
首先，关于个人敏感信息，2013年实施的《信息安全技术公共及商用服务信息系统个人信息保护指南》将个人敏感信息定义为在遭受泄露或修改后会对个人信息主体造成不良影响的个人信息，同时建议各行业个人敏感信息的具体内容根据接受服务的个人信息主体意愿和各自业务特点确定。《安全规范》则在定义中进一步强调了个人敏感信息被泄露、非法提供或滥用可能危害人身、财产安全，致使个人名誉、身心健康受到损害或歧视性待遇等严重后果，并在附录B中给出了个人敏感信息的具体示例，衔接了《网安法》第二十一条规定的数据分类义务。
其次，关于个人信息的收集，《安全规范》将个人信息主体主动提供、网络运营者自动采集以及从第三方间接获取等三种方式定义为“收集”，同时规定了例外情形，在终端获取个人信息但不回传至运营者服务器的，不属于“收集”。
最后，关于个人信息的匿名化与去标识化，《安全规范》将两者区别开来，经匿名化处理后的信息无法复原，也不再属于个人信息之列；而去标识化处理则保证了个人信息在不借助额外信息的情况下，无法识别信息主体，但依旧保留了个人颗粒度，采用假名、加密、哈希函数等手段替代了原有个人信息的标识。此外，去年8月15日，《信息安全技术个人信息去标识化指南》征求意见稿发布，内容涉及去标识化的过程及技术应用等，目前已在送审阶段，网络运营者在落实个人信息去标识化工作时值得借鉴。
个人信息的收集
《安全规范》规定个人信息收集应遵循合法性要求和最小化要求，其中，间接获取个人信息的授权同意要求和收集个人敏感信息的明示同意要求值得关注。
在间接获取个人信息时，作为接收方的企业有义务要求提供方对相关个人信息的来源进行说明并确认其合法性，同时还应当了解个人信息主体对于提供方的授权范围，包括使用目的、个人信息主体是否授权同意转让、共享、公开披露等内容，若接收方处理个人信息超出上述范围的，还应在合理期限内另行征得个人信息主体的明示同意。确立间接收集个人信息的授权同意模式是《安全规范》有关个人信息收集部分的亮点之一，这一模式强化了信息接收方的审查义务，增加了相应的合规成本。
在收集个人敏感信息方面，首先，《安全规范》在《网安法》的基础上进一步要求个人信息主体的明示同意是其在完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示；其次，若个人信息控制者收集个人敏感信息用于其产品或服务的核心业务功能，则应当明确告知信息主体其所提供的核心业务功能、所需收集的个人敏感信息和个人信息主体的选择权三项内容；最后，若个人信息控制者收集个人敏感信息用于其他附加功能的，则应当明确告知具体的附加功能和个人信息主体的选择权，但拒绝附加功能所需的个人敏感信息并不意味着核心业务功能的停止提供。
个人信息的分享
在委托第三方处理个人信息时，除委托行为本身不得超出个人信息主体授权同意的范围之外，《安全规范》还明确规定，个人信息控制者应当开展个人信息安全影响评估，并采取合同约定责任义务、审计等方式对受托者进行监督，保证准确记录和保存受托者处理个人信息的情况。
关于个人信息的共享与转让，《安全规范》同样规定了个人信息控制者的安全影响评估义务，同时个人信息控制者应当向个人信息主体告知共享、转让个人信息的目的、数据接收方类型，涉及个人敏感信息的，还应当告知敏感信息的类型、数据接收方的身份和安全能力等，在事先征得个人信息主体明示同意后方可共享或转让。此外，个人信息控制者需准确记录和保存个人信息共享和转让情况，承担因共享、转让个人信息对信息主体合法权益造成损害的法律责任。因并购、重组等发生控制主体变更的，应当单独向个人信息主体告知有关情况。
关于个人信息的跨境传输，《安全规范》要求个人信息控制者应按照网信办会同相关部门制定的标准进行安全评估。根据去年4月发布的《个人信息和重要数据出境安全评估办法（征求意见稿）》，网络运营者在数据出境前应自行组织数据出境安全评估，并对结果负责，若含有或累计含有50万人以上个人信息以及由关键信息基础设施对外提供个人信息的，还应报请行业主管或监管部门组织安全评估。去年8月30日由全国信息安全标准化技术委员会公布的《信息安全技术数据出境安全评估指南（征求意见稿）》（以下称“《评估指南》”）同样值得关注，《评估指南》明示了数据出境安全评估的使用范围及例外，细化个人信息及重要数据的类型，增加了网络运营者个人信息出境的告知义务，区分安全自评估与主管部门评估流程，为个人信息控制者具体落实个人信息跨境传输提供了参考依据。
安全管理要求
《网安法》自实施以来，赋予了网络运营者诸多安全保护义务，其中之一便是制定内部安全管理制度和操作规程，落实网络安全保护责任，具体到《安全规范》中，主要包括三个方面。第一，应当明确责任部门与人员，根据《安全规范》，在业务、人员规模、个人信息处理量等方面满足特定条件的个人信息控制者，应设立专职的个人信息保护负责人和工作机构以便个人信息安全工作的具体实施，防止个人信息的泄露、损毁、丢失。第二，应当构建人员管理与培训制度，根据《安全规范》，个人信息控制者应当与从事个人信息处理岗位的员工签署保密协议并进行背景审查，明确相关岗位的安全职责和发生安全事件后的处罚机制，同时定期开展专业化培训和考核，确保相关员工掌握隐私政策和规章流程。第三，应当开展个人信息安全影响评估与审计制度，评估个人信息处理过程中可能产生的风险与不利影响，形成评估报告以供相关方查阅，同时建立自动化审计系统，监测记录个人信息处理活动，及时处理审计过程中个人信息违规使用、滥用等情况。
结语
《安全规范》的正式发布结束了《网安法》实施以来个人信息保护原则性规定较多而具体措施欠缺的局面，解答了广大互联网企业的困惑，其在附录部分更是制作了个人信息主体授权同意的功能界面和隐私政策的模板，使得网络产品和服务的提供有了完备的合规和风控政策。虽然《安全规范》编号显示为国家推荐标准，但在实践中，去年网信办、工信部、公安部等四部门开展的隐私政策评审工作主要以《安全规范》征求意见稿为依据，今年年初网信办就年度账单事件约谈支付宝时，也再次强调了《安全规范》的准据效力，上述事件均从侧面反映了《安全规范》对于完善个人信息保护制度的重要性。广大网络运营者应发力个人信息的收集、保存、使用、分享等多个方面，完善内部管理与隐私政策制定，以应对趋于严格的监管形势。