服务项目

信息安全认证：个人信息安全使用要求，ISO27000信息安全体系证书办理

文章录入：华道众合文章来源：华道众合添加时间：2022-11-22

1.个人信息访问控制措施

对个人信息控制者的要求包括：

a) 对被授权访问个人信息的人员，应建立最小授权的访问控制策略，使其只能访问职责所需的最小必要的个人信息，且仅具备完成职责所需的最少的数据操作权限;

b) 对个人信息的重要操作设置内部审批流程，如进行批量修改、拷贝、下载等重要操作;

c) 对安全管理人员、数据操作人员、审计人员的角色进行分离设置;

d) 确因工作需要，需授权特定人员超权限处理个人信息的，应经个人信息保护责任人或个人信息保护工作机构进行审批，并记录在册;

注：个人信息保护责任人或个，人信息保护工作机构的确定见11.1。

e) 对个人敏感信息的访问、修改等操作行为，宜在对角色权限控制的基础上，按照业务流程的需求触发操作授权。例如，当收到客户投诉，投诉处理人员才可访问该个人信息主体的相关信息。

2.个人信息的展示限制

涉及通过界面展示个人信息的(如显示屏幕、纸面)，个人信息控制者宜对需展示的个人信息采取去标识化处理等措施，降低个人信息在展示环节的泄露风险。例如，在个人信息展示时，防止内部非授权人员及个人信息主体之外的其他人员未经授权获取个人信息。

3.个人信息使用的目的限制

对个人信息控制者的要求包括：

a)使用个人信息时，不应超出与收集个人信息时所声称的目的具有直接或合理关联的范围。因业务需要,确需超出上述范围使用个人信息的，应再次征得个人信息主体明示同意;

注：将所收集的个人信息用于学术研究或得出对自然、科学、社会、经济等现象总体状态的描述，属于与收集目的具有合理关联的范围之内。但对外提供学术研究或描述的结果时，需对结果中所包含的个人信息进行去标识化处理。

b)如所收集的个人信息进行加工处理而产生的信息，能够单独或与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，应将其认定为个人信息。对其处理应遵循收集个人信息时获得的授权同意范围。

注：加工处理而产生的个人信息属于个人敏感信息的，对其处理需符合对个人敏感信息的要求。

4.用户画像的使用限制

对个人信息控制者的要求包括：

a)用户画像中对个人信息主体的特征描述，不应：

1) 包含淫秽、色情、赌博、迷信、恐怖、暴力的内容;

2) 表达对民族、种族、宗教、残疾、疾病歧视的内容。

b)在业务运营或对外业务合作中使用用户画像的，不应：

1) 侵害公民、法人和其他组织的合法权益;

2) 危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度，煽动分裂国家、破坏国家统一，宣扬恐怖主义、极端主义，宣扬民族仇恨、民族歧视，传播暴力、淫秽色情信息，编造、传播虛假信息扰乱经济秩序和社会秩序。
c)除为实现个人信息主体授权同意的使用目的所必需外，使用个人信息时应消除明确身份指向性，避免精确定位到特定个人。例如，为准确评价个人信用状况,可使用直接用户画像，而用于推送商业广告目的时，则宜使用间接用户画像。

5.个性化展示的使用

对个人信息控制者的要求包括：

a)在向个人信息主体提供业务功能的过程中使用个性化展示的，应显著区分个性化展示的内容和非个性化展示的内容;

注：显著区分的方式包括但不限于:标明“定推”等字样，或通过不同的栏目、版块、页面分别展示等。
b) 在向个人信息主体提供电子商务服务的过程中，根据消费者的兴趣爱好、消费习惯等特征向其提供商品或者服务搜索结果的个性化展示的，应当同时向该消费者提供不针对其个人特征的选项;

注：基于个人信息主体所选择的特定地理位置进行展示、搜索结果排序，且不因个人信息主体身份不同展示不一-样的内容和搜索结果排序，则属于不针对其个人特征的选项。

c)在向个人信息主体推送新闻信息服务的过程中使用个性化展示的，应：
1)为个人信息主体提供简单直观的退出或关闭个性化展示模式的选项;

2)当个人信息主体选择退出或关闭个性化展示模式时，向个人信息主体提供删除或匿名化定向推送活动所基于的个人信息的选项。

d) 在向个人信息主体提供业务功能的过程中使用个性化展示的，宜建立个人信息主体对个性化展示所依赖的个人信息(如标签、画像维度等)的自主控制机制，保障个人信息主体调控个性化展示相关性程度的能力。

6.基于不同业务目的所收集个人信息的汇聚融合

对个人信息控制者的要求包括：

a)应遵守3的要求;

b)应根据汇聚融合后个人信息所用于的目的，开展个人信息安全影响评估，采取有效的个人信息保护措施。

7.信息系统自动决策机制的使用

个人信息控制者业务运营所使用的信息系统，具备自动决策机制且能对个人信息主体权益造成显著影响的(例如，自动决定个人征信及贷款额度，或用于面试人员的自动化筛选等)，应：

a)在规划设计阶段或首次使用前开展个人信息安全影响评估，并依评估结果采取有效的保护个人信息主体的措施;

b) 在使用过程中定期(至少每年一次)开展个人信息安全影响评估，并依评估结果改进保护个人信息主体的措施;

c) 向个人信息主体提供针对自动决策结果的投诉渠道，并支持对自动决策结果的人工复核。

想了解更多的关于信息安全认证信息可以经常关注我们

【相关文章】

信息安全认证： 个人信息安全使用要求，ISO27000信息安全体系证书办理

信息安全认证：个人信息安全使用要求，ISO27000信息安全体系证书办理