个人信息外流管理条例解读

个人信息外流管理条例解读
一、前言
近年来，随着信息技术的快速发展和互联网应用的普及，越来越多的组织大量收集、使用个人信息。

给人们生活带来便利的同时，也出现了对个人信息的非法收集、滥用、泄露等问题，个人信息安全面临严重威胁。

为了保护公民个人隐私数据不被肆意收集、滥用、泄漏甚至非法售卖，各国政府纷纷出台相关法律政策文件，对公民个人隐私数据做出法律上的保护与行为规范。

2018年5月25日起，欧盟正式施行新版数据安全保护条例《General Data Protection Regulation》，即《一般数据保护条例》，人们认为史上最严的GDPR条款会改变整个互联网现状。

而我国也于2017年12月29号，由中华人民共和国国家质量监督检验检疫总局与中国国家标准化管理委员会联合发布《个人信息安全规范标准》，并规定于2018年5月1号起开始实施。

以上标准皆针对个人信息面临的安全问题，规范个人信息控制者在收集、保存、使用、共享、转让、公开披露等信息处理环节中的相关行为。

旨在遏制个人信息非法收集、滥用、泄漏等乱象，最大程度地保障个人的合法权益和社会公共利益。

这些数据保护条例将会极大地影响大数据行业的从业者们，以往混乱的数据市场将会被极其严格的监管重新调整、洗牌，乱象消失之后，相信相关行业能够更加健康、稳健、安全地向前发展。

大数据行业的从业者们都应该了解并知晓相关基本的数据安全
保护条例，健全自身数据安全意识，协助公司、行业一同完善数据安全管理体系。

本文以我国《个人信息安全规范标准》内容为主，参考部分欧盟《一般数据保护条例》，从个人数据信息的收集、保存、使用、共享，到个人数据信息的安全事件处置、组织的管理要求等方面解读需要从业者们关注的条规。

二、适用范围
我国《个人信息安全规范标准》（下文简称本标准），规范了开展收集、保存、使用、共享、转让、公开披露等个人信息处理活动应遵循的原则和安全要求。

覆盖了个人信息处理活动的全生命周期，并对周期内各个阶段的活动内容定义了相应需要遵守的原则、需要做到的安全要求。

适用于规范各类组织的个人信息处理活动，也适用于主管监管部门、第三方评估机构等组织对个人信息处理活动进行监督、管理和评估。

即所有涉及个人信息处理活动的组织都在本标准规定的范围中。

且相关的监管机构在对组织进行评估时，本标准的内容将会是其参考依据。

三、术语与定义
本标准围绕着个人信息处理活动事件上定义了比较全面的基本
术语与标准定义。

这些术语定义将贯穿本标准全文，是理解本标准的
基础元素。

个人信息
以电子或者其他方式记录的能够单独或者与其他信息结合识别
特定自然人身份、反映特定自然人活动情况的各种信息。

如：姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。

个人敏感信息
一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。

如：身份证件号码、个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下(含)儿童的个人信息等。

个人信息主体
个人信息所标识的自然人，即个人信息的拥有者。

个人信息控制者
有权决定个人信息处理目的、方式等的组织或个人。

收集
获得对个人信息控制权的行为，是个人信息控制者获取个人信息的方式，包括：
主动提供：由个人信息主体主动提供
自动采集：通过与个人信息主体交互或记录个人信息主体行为等
自动采集
间接获取：以及通过共享、转让、搜集公开信息等方式。

另外，如果服务商提供工具给个人信息主体使用，提供者不对个人信息进行访问则不属于本标准范围，比如工具软件不上传个人信息至提供者的情况。

明示同意
个人信息主体通过书面声明或主动做出肯定性动作，对其个人信息进行特定处理做出明确授权的行为。

即个人信息主体主动同意、主动授权的行为，肯定性动作包括个人信息主体主动作出声明(电子或纸质形式)、主动勾选、主动点击“同意”、“注册”、“发送”、“拨打”等。

用户画像
通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如其职业、经济、健康、教育、个人喜好、信用、行为等方面做出分析或预测，形成其个人特征模型的过程。

直接用户画像：直接使用特定自然人的个人信息，形成该自然人的特征模型。

间接用户画像：使用来源于特定自然人以外的个人信息，如其所在群体的数据，形成该自然人的特征模型。

个人信息安全影响评估
针对个人信息处理活动，检验其合法合规程度，判断其对个人信息主体合法权益造成损害的各种风险，以及评估用于保护个人信息主
体的各项措施有效性的过程。

评估关键点：
是否有损害个人信息主体权益的风险
是否有保护个人信息的安全措施
删除
在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态。

公开披露
向社会或不特定人群发布信息的行为。

转让
将个人信息控制权由一个控制者向另一个控制者转移的过程。

共享
个人信息控制者向其他控制者提供个人信息，且双方分别对个人信息拥有独立控制权的过程。

去标识化
通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别个人信息主体的过程。

去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人信息的标识。

匿名化
通过对个人信息的技术处理，使得个人信息主体无法被识别，且处理后的信息不能被复原的过程。

个人信息经匿名化处理后所得的信息不属于个人信息。

匿名化是一种数据处理技术，可移除或修改个人身份信息，经过匿名化处理的数据无法用来与任何个人关联到一起。

常用的匿名化技术：
对数据进行泛化处理，实现K匿名效果
使用差别隐私向数据中添加噪声
去标识化和匿名化的区别在于，信息一旦匿名化就再也无法与特定的人关联在一起且无法恢复，而去标识化后，借助一些辅助信息仍然可以判断信息所属的特定所有人。

四、个人信息安全基本原则
个人信息控制者开展个人信息处理活动，应遵循以下基本原则: 权责一致原则：对其个人信息处理活动对个人信息主体合法权益造成的损害承担责任。

即如果个人信息处理过程中对，个人信息所有者造成损害的，需要承担相应责任。

目的明确原则：具有合法、正当、必要、明确的个人信息处理目的。

个人信息控制者对个人信息处理活动的目的，需要合法合规。

选择同意原则：向个人信息主体明示个人信息处理目的、方式、范围、规则等，征求其授权同意。

需要向个人信息所有者说明个人信息处理活动的详细内容，并向其征求同意后才可进行。

最少够用原则：除与个人信息主体另有约定外，只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。

目的达成后，应及时根据约定删除个人信息。

对于个人信息的处理活动，应该取涉及业务范围内的最小内容，满足业务需求即可。

业务目标完成后，如有约定应及时删除个人信息。

公开透明原则：以明确、易懂和合理的方式公开处理个人信息的范围、目的、规则等，并接受外部监督。

合理地向外部披露个人信息处理活动的涉及范围、处理目的以及处理规则。

确保安全原则：具备与所面临的安全风险相匹配的安全能力，并采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性。

对个人信息的处理过程中，需要有安全能力、管理措施和技术手段保护个人信息不泄露、不篡改、不缺失。

主体参与原则：向个人信息主体提供能够访问、更正、删除其个人信息，以及撤回同意、注销账户等方法。

个人信息主体可以要求个人信息控制者对其个人信息进行增删
改查操作，并可以撤回此前的授权同意。

个人信息安全基本原则从个人信息处理活动的事前、事中、事后等各个方面为个人信息控制者规范了其需要遵守的基本原则，进行个人信息处理活动的相关人员应以此原则为基础规范及完善其处理行
为。

以此原则为基础，5-10章将对个人信息处理活动中各个环节展开详细的要求与解释。