标准规范下载简介

GB／T 39335-2020 信息安全技术 个人信息安全影响评估指南.pdf简介：

GB/T 39335-2020《信息安全技术 个人信息安全影响评估指南》是由中国国家标准管理机构制定并发布的关于信息安全领域的一项国家标准。该标准主要针对在收集、处理、存储和使用个人信息时，如何进行个人信息安全影响评估给出指导。

该指南的目的是为了帮助企业、组织和个人在实施个人信息处理活动前，系统地识别、评估和管理个人信息安全风险，以确保符合相关法律法规要求，保护个人信息安全，防止信息泄露、滥用等风险。它涵盖了个人信息安全影响评估的整个生命周期，包括评估的启动、*法选择、风险分析、措施制定和评估结果的报告和维护等环节。

通过遵循该指南，组织可以建立科学、规范的个人信息安全影响评估流程，提升个人信息保护的系统性和有效性。同时，它也适用于所有与个人信息处理相关的行业，包括但不限于互联网、金融、电信、教育、医疗等领域。

GB／T 39335-2020 信息安全技术 个人信息安全影响评估指南.pdf部分内容预览：

本标准给出了个人信息安全影响评估的基本原理、实施流程， 本标准适用于各类组织自行开展个人信息安全影响评估工作，同时可为主管监管部门、第三*测评 机构等组织开展个人信息安全监督、检查、评估等工作提供参考。

下列文件对于本文件的应用是必不可少的。凡是注目期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T20984信息安全技术信息安全风险评估规范 GB/T25069一2010信息安全技术术语 GB/T35273—2020 信息安全技术个人信息安全规范

GB/T25069一2010、GB/T35273一2020界定的以及下列术语和定义适用于本文件， 3.1 个人信息personalinformation 以电子或者其他**记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然 人活动情况的各种信息。 ［GB/T35273—2020,定义3.1] 3.2 个人敏感信息personalsensitiveinformation 一且泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧 视性待遇等的个人信息。 [GB/T35273—2020,定义3.2] 3.3 个人信息主体 personalinformationsubject 个人信息所标识或者关联的自然人。 [GB/T35273—2020,定义3.3] 3.4 个人信息安全影响评估 personal information security impact assessment 针对个人信息处理活动，检验其合法合规程度，判断其对个人信息主体合法权益造成损害的各种风 险，以及评估用于保护个人信息主体的各项措施有效性的过程，

法释[2009]5号标准下载个人信息安全影响评估旨在发现、处置和持续监控个人信息处理过程中对个人信息主体合法权益 造成不利影响的风险

个人信息安全影响评估报告的内容主要包括：评估所覆盖的业务场景、业务场景所涉及的具体的个 人信息处理活动、负责及参与的部门和人员、已识别的风险、已采用及拟采用的安全控制措施清单、剩余 风险等。 因此，个人信息安全影响评估报告的用途包括但不限于： a 对于个人信息主体，评估报告可确保个人信息主体了解其个人信息被如何处理、如何保护，并 使个人信息主体能够判断是否有剩余风险尚未得到处置。 b） 对于开展影响评估的组织，评估报告的用途可能包括： 1）在产品、服务或项目的规划阶段，用于确保在产品或服务的设计中充分考虑并实现个人信 息的保护要求（例如，安全机制的可实现性、可行性、可追踪性等）； 2） 在产品、服务或项目的运营过程中，用于判断运营的内外部因素（例如运营团队的变动、互 联网安全环境、信息共享的第三*安全控制能力等）、法律法规是否发生实质变更，是否需 要对影响评估结果进行审核和修正； 3） 用于建立责任制度，监督发现存在安全风险的个人信息处理活动是否已采取安全保护措 施，改善或消除已识别的风险； 4）用于提升内部员工的个人信息安全意识 对于主管监管部门，要求组织提供个人信息安全影响评估报告，可督促组织开展评估并采取有

的范围和数量，以及能访问个人信息的人员范围等，都会成为影响评估规模的重要因素

4.6.3评估工作形*

个人信息安全影响评估可用于合规差距分析，也可以用于合规之上、进一步提升自身安全风险管理 能力和安全水平的目的。因此启动个人信息安全影响评估的必要性，取决于组织的个人信息安全目标 组织可根据实际的需求选取需要启动评估的业务场景

5.1.2合规差距评估

当组织定义的个人信息安全目标为符合相关法律、法规或标准的基线要求时，则个人信息安全影 主要目的在于识别待评估的具体个人信息处理活动已采取的安全控制措施，与相关法律、法规或 具体要求之间的差距，例如在某业务场景中与第三*共享个人信息，是否取得了个人信息主体的 意。

5.1.2.2整体合规分析

组织可根据所适用的个人信息保护相关法律、法规、政策及标准，分析特定产品或服务所涉及的 人信息处理活动与所适用规则的差距。该评估**的应用场景包括但不限于以下情形：

GB/T39335—2020

5.1.2.3局部合规分析

组织可根 务所涉及的部分 个人信息处理活动与所适用规则的差距进行分析。该评估**的应用场景包括但不限于以下情形： a）新增功能需要收集新的个人信息类型时的评估； b）法律、法规、政策、标准出现部分变化时的评估； c）业务模*、信息系统、运行环境等发生变化时评估

5.1.2.4评估性合规要求分析

5.1.3尽责性风险评估

出于审慎经营、声誉维护、品牌建立等目的，组织往往选取可能对个人合法权益产生高风险的个人 信息处理活动，开展尽责性风险评估。此种风险评估的目标，是在符合相关法律、法规和标准的基线要 求之上，尽可能降低对个人信息主体合法权益的不利影响。 注：高风险个人信息处理活动示例可参考附录B。 组织可使用本标准提供的个人信息安全影响评估*法，对高风险个人信息处理活动进行评估，进 步降低个人信息处理活动的安全风险

5.2.1组建评估团队

组织确认并任命负责进行个人信息安全影响评估的人员（评估人）。此外，组织还要指定人员负责 签署评估报告。 评估人明确规定个人信息安全影响评估报告的提交对象、个人信息安全影响评估的时间段、是否会 公布评估报告或其摘要。 如有必要评估人需申请团队支持，例如由技术部门、相关业务部门及法律部门的代表构成的团队， 组织内部个人信息安全影响评估需要组织管理层给予长期支持。

管理层需为个人信息安全影响评估团队配置必要资源

5.2.2制定评估计划

计划需清楚规定完成个人信息安全影响评估报告所进行的工作、评估任务分工、评估计划表。此 外，计划还需考虑到待评估场景中止或撤销的情况。具体操作时考虑以下*面： a）人员、技能、经验及能力； b）执行各项任务所需时间； c）进行评估每一步骤所需资源，如自动化的评估工具等。 注：涉及的场景复杂、耗用资源多时，建议对原有*案进行更新迭代，针对常规评估活动或涉及待评估场景复杂度 低等情形时，可沿用原有计划或简化该步骤。 如涉及相关***，计划需说明在何种情况下需要**相关*、将**哪些人员以及具体的*** *（例如通过公众意见调查、研讨会、焦点小组、公众听证会、线上体验等等）

5.2.3确定评估对象和范围

从以下三个*面描述评估的对象和范围： a）描述系统基本信息，包括但不限于： 1）处理个人信息的目的和类型； 2） 对支撑当前或未来业务流程的信息系统的描述： 3） 履行信息系统管理职责的部门或相关人员，以及其职责或履行水平： 关于个人信息处理**、处理范围的说明、有权访问个人信息的角色等； 5） 如预计委托第三*处理，或与第三*共享、转让信息系统的个人信息，说明上述第三*身 份、第三*接入信息系统的情况等。 b）描述系统设计信息，包括但不限于： 1）功能（或逻辑）结构概览； 物理结构概览； 3） 包含个人信息的信息系统数据库、表格和字段的清单和结构 4） 按组件和接口划分的数据流示意图； 5） 个人信息生命周期的数据流示意图，例如个人信息的收集、存储、使用和共享等； 描述通知个人信息主体的时间节点以及取得个人信息主体同意的时间节点和工作流 程图； 可对外传输个人信息的接口清单； 8）个人信息处理过程中的安全措施， C 描述处理流程和程序信息，包括但不限于： 信息系统的身份与用户管理概念： 操作概念，包括信息系统或其中部分结构采用现场运行、外部托管，或云外包的**； 3 支持概念，包括列示可访问个人信息的第三*范围、其所拥有的个人信息访问权限、其可 访问个人信息的位置等； 4） 记录概念，包括已登入信息的保存计划； 5） 备份与恢复计划； 6 元数据的保护与管理； 数据保存与删除计划及存储介质的处置

5.2.4制定相关***计

DB51／T 1525-2012标准下载相关*包括但不限于：

相关*包括但不限于：

组织在针对个人信息处理过程进行全面的调研后，形成清晰的数据清单及数据映射图表。 数据映射分析阶段需结合个人信息处理的具体场景。调研内容包括个人信息收集、存储、使用、转 上、共享、删除等环节涉及的个人信息类型、处理目的、具体实现**等，以及个人信息处理过程涉及的 资源（如内部信息系统）和相关*（如个人信息处理者、平台经营者、外部服务供应商、云服务商等第三 *）。调研过程中尽可能考虑已下线系统、系统数据合并、企业收购、并购及全球化扩张等情况。 梳理数据映射分析的结果时，根据个人信息的类型、敏感程度、收集场景、处理**、涉及相关*等 要素，对个人信息处理活动进行分类，并描述每类个人信息处理活动的具体情形，便于后续分类进行影 响分析和风险评价， 注：开展数据映射分析,可参考附录 C中表 C.1 和表 C.2

GB/T39335—2020

5.5个人权益影响分析

5.5.1个人权益维度

个人权益影响分析指分析特定的个人信息处理活动是否会对个人信息主体合法权益产生影响，以 及可能产生何种影响。个人权益影响概括可分为“限制个人自主决定权”“引发差别性待遇”“个人名誉 受损或遭受精神压力”“人身财产受损”四个维度： a）限制个人自主决定权，例如被强迫执行不愿执行的操作、缺乏相关知识或缺少相关渠道更正个 人信息、无法选择拒绝个性化广告的推送、被蓄意推送影响个人价值观判断的资讯等； b）引发差别性待遇，例如因疾病、婚史、学籍等信息泄露造成的针对个人权利的歧视，因个人消费

GB/T 393352020

JGJ∕T 285-2014 公共建筑能耗远程监测系统技术规程5.5.2个人权益影响分析过程