GB-T 41871-2022 信息安全技術(shù) 汽車數(shù)據(jù)處理安全要求

信息安全技術(shù)汽車數(shù)據(jù)處理安全要求Informationsecuritytechnology—Securityrequirementsforprocessingof2022-10-12發(fā)布國家標(biāo)準(zhǔn)化管理委員會國家市場監(jiān)督管理總局發(fā)布國家標(biāo)準(zhǔn)化管理委員會I前言 12規(guī)范性引用文件 13術(shù)語和定義 14通用安全要求 25車外數(shù)據(jù)安全要求 36座艙數(shù)據(jù)安全要求 37管理安全要求 4 4Ⅲ1本文件規(guī)定了汽車數(shù)據(jù)處理者對汽車數(shù)據(jù)進(jìn)行收集、傳輸?shù)忍幚砘顒拥耐ㄓ冒踩蟆④囃鈹?shù)據(jù)安全要求、座艙數(shù)據(jù)安全要求和管理安全要求。本文件適用于汽車數(shù)據(jù)處理者開展汽車數(shù)據(jù)處理活動，適用于汽車的設(shè)計(jì)、生產(chǎn)、銷售、使用和運(yùn)維，也適用于主管監(jiān)管部門和第三方評估機(jī)構(gòu)等對汽車數(shù)據(jù)處理活動進(jìn)行監(jiān)督、管理和評估。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于GB/T35273信息安全技術(shù)個人信息安全規(guī)范GB/T40660信息安全技術(shù)生物特征識別信息保護(hù)基本要求3術(shù)語和定義下列術(shù)語和定義適用于本文件。以電子或者其他方式記錄的與已識別或者可識別的車主、駕駛?cè)?、乘車人、車外人員等有關(guān)的各種一旦泄露或者非法使用，可能導(dǎo)致車主、駕駛?cè)?、乘車人、車外人員等受受到嚴(yán)重危害的個人信息。法權(quán)益的數(shù)據(jù)。2汽車數(shù)據(jù)處理者motorvehicledataprocessor開展汽車數(shù)據(jù)處理活動的組織，包括汽車制造商、零部件和軟件供應(yīng)商、經(jīng)銷服務(wù)企業(yè)等。通過攝像頭、紅外傳感器、指紋傳感器或傳聲器等部件從汽車座艙采集的可能包含個人信息的數(shù)據(jù)，以及對其進(jìn)行加工后產(chǎn)生的數(shù)據(jù)。4通用安全要求4.1汽車數(shù)據(jù)處理者處理個人信息符合下列要求。a)應(yīng)符合GB/T35273中的全部要求。b)取得個人同意時(shí)，應(yīng)通過至少一種顯著方式向個人告知。顯著方式包括用戶手冊單獨(dú)章條提示、語音播放、車載顯示面板單獨(dú)彈窗提示、汽車使用相關(guān)應(yīng)用程序交互、汽車銷售協(xié)議單獨(dú)章條提示、維修服務(wù)協(xié)議單獨(dú)章條提示或出行服務(wù)應(yīng)用程序交互等。c)應(yīng)使用清晰易懂的文字向個人信息主體說明收集個人信息的具體情境和必要性。d)向個人信息主體告知各類型個人信息的保存期限時(shí)，應(yīng)具體且明確，例如30天或1年等。e)向個人信息主體告知其個人信息保存地點(diǎn)時(shí)，應(yīng)將保存地點(diǎn)位置精確到地級市并告知所有保存地點(diǎn)。f)應(yīng)為個人信息主體提供便捷的查閱、復(fù)制和刪除等個人信息管理功能；提供的產(chǎn)品或服務(wù)支持交互操作時(shí)，例如提供網(wǎng)站、車載應(yīng)用程序或移動通信終端應(yīng)用程序等，個人信息管理功能應(yīng)為交互式，且其功能入口應(yīng)處于個人信息主體容易察覺的顯著位置。4.2汽車數(shù)據(jù)處理者處理敏感個人信息符合下列要求。a)應(yīng)對每項(xiàng)敏感個人信息取得個人信息主體單獨(dú)同意，不應(yīng)一次性針對多項(xiàng)敏感個人信息或多種處理活動取得同意。b)取得個人信息主體單獨(dú)同意時(shí)，處理敏感個人信息的同意期限不應(yīng)設(shè)置為“始終允許”或“永c)為了在收到刪除個人信息請求后十個工作日內(nèi)完成刪除，原則上應(yīng)建立個人信息結(jié)構(gòu)化目錄，實(shí)現(xiàn)個人信息的可追溯管理。d)原則上不應(yīng)以改善服務(wù)質(zhì)量、提升用戶體驗(yàn)以及研發(fā)新產(chǎn)品等為目的處理敏感個人信息。4.3汽車數(shù)據(jù)處理者持續(xù)收集敏感個人信息符合下列告知要求。a)應(yīng)通過車載顯示面板圖標(biāo)或信號裝置指示燈的閃爍或長亮等方式提示收集狀態(tài)。b)持續(xù)提示收集敏感個人信息時(shí)，應(yīng)根據(jù)信息類型的不同設(shè)置差異明顯且清晰易懂的提示。4.4汽車數(shù)據(jù)處理者處理人臉、聲紋或指紋等生物識別特征信息符合下列要求。a)應(yīng)評估是否具有增強(qiáng)行車安全的目的和充分的必要性。3a)應(yīng)具備個人信息保護(hù)和個人權(quán)益保護(hù)等方面的專業(yè)知識。b)應(yīng)及時(shí)受理并處置個人信息保護(hù)方面的投訴和舉報(bào)。d)出租汽車和公共汽車等營運(yùn)車輛向監(jiān)管機(jī)構(gòu)傳輸數(shù)據(jù)。e)道路交通事故發(fā)生后按執(zhí)法部門要求傳輸數(shù)據(jù)。內(nèi)傳聲器和攝像頭等收集座艙數(shù)據(jù)的部件。為保證行車安全以及人身安全，下列情況可不關(guān)閉相關(guān)a)正在提供公路營運(yùn)服務(wù)的道路運(yùn)輸車輛持續(xù)收集座艙數(shù)據(jù)