個人信息處理法律合規(guī)性評估指引

ICST/CLASTGuidelineforLegalComplianceAssessmentofPersonalInformationProcessingT/CLASTGuidelineforlegalcomplianceassessmentofpersonalinformationprocessing—I 1 1 1 1 7 8 8 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》給出的司、榮耀終端有限公司、華米科技、OPPO廣東移動通信有限公司、比亞迪股份有限公司、廣州小鵬汽涂俊峰、談建、周濤、任曉明、李偉民、崔騰、王水兵、何冠輝、杜文琦、倪榮、劉志樂、本文件由中國科學(xué)技術(shù)法學(xué)會、深圳市北鵬前沿科技法律研究院引入法律領(lǐng)域的視角來幫助組織確認(rèn)其信息安全保障能的網(wǎng)絡(luò)安全（cybersecurity）視為整體網(wǎng)絡(luò)體統(tǒng)中的一個單元考慮之外，個人信息出境或跨境轉(zhuǎn)移還可能涉及國家對在其管轄之下的個人信息、重要數(shù)據(jù)的國家安全和信息主權(quán)利益的因此，組織的個人信息處理合規(guī)意味著履行和滿泄露、毀損、丟失”的結(jié)果或狀態(tài)的符合性要求。又例如，加密傳輸、匿名化、去標(biāo)識化等都使得組織在向個人信息相關(guān)方溝通和證明其個人信息處理是否合規(guī)以及具備何種程度的合規(guī)水平時個人信息處理法律合規(guī)性評估指引的目的在于支持組織證明和聲明其個人信息處理的合規(guī)狀態(tài)和處理法律合規(guī)性評估活動的啟動、規(guī)劃、實(shí)施、報告、評審、監(jiān)控和再全與信息安全相關(guān)標(biāo)準(zhǔn)（如GB/T22239—），作為個人信息處理法律合規(guī)性評估指引的第1部分，本文件界定和匯集了個人信息處理及其法律合僅是在法律合規(guī)性評估語境下的標(biāo)準(zhǔn)化，也旨在為政策制定者提供參考。1個人信息處理法律合規(guī)性評估指引第1部分：概述和術(shù)語估的評估目的、評估主體、評估對象、評估準(zhǔn)則和評估方35273—2020、GB/T29246—2017、GB/T19000—2016、GB/T27000—200注1：關(guān)于信息安全、隱私和信息技術(shù)、網(wǎng)絡(luò)安全主題的現(xiàn)有國家標(biāo)準(zhǔn)和國際標(biāo)準(zhǔn)中已經(jīng)給出了與個人信息處理有關(guān)的大多數(shù)術(shù)語。為了給個人信息處理法律合規(guī)性評估建立一個統(tǒng)一的語境，本文件匯總和抄錄了其中的部分術(shù)語。為便于將本文件與現(xiàn)有的標(biāo)準(zhǔn)相結(jié)合使用，附錄A給出了本文件中采用注2：本文件中的一些術(shù)語是現(xiàn)有標(biāo)準(zhǔn)中未涵蓋從而必須予以定義的概念，另一些則是標(biāo)準(zhǔn)化和相關(guān)活動的通用詞匯在適用于個人信息處理法律合規(guī)性評估語境時有必要予以調(diào)整或解釋，本文件通過注釋的改寫和添加示例1)GB/T19000—2016和且上述兩個規(guī)范性引用文件中對同一術(shù)語給出了不同的定義2注3：法律合規(guī)性評估可能包括為獲取客觀證據(jù)所需的測量、試驗(yàn)、檢驗(yàn)、記錄、事實(shí)陳述、文件評審等活動，基于客觀證據(jù)評價合規(guī)要求得到滿足所需的驗(yàn)證、確認(rèn)等活動，以及基于客觀證據(jù)評價合規(guī)要求得到滿足的程評估對象objectofasse產(chǎn)品、服務(wù)、過程、程序、管理體系、信息處理設(shè)施、個評估委托方assessmentc第一方評估first-partyasse注：第一方評估包括由評估對象的組織自行實(shí)施的第二方評估second-partyass注：第二方評估的例子包括但不限于顧客、潛在顧客、消費(fèi)者組織、監(jiān)管第三方評估third-partyasse3在評估組中被指定對整個法律合規(guī)性評估的過程和結(jié)果負(fù)責(zé)任的評估注1：信息技術(shù)產(chǎn)品包括計算機(jī)及其輔助設(shè)備、通信設(shè)備、網(wǎng)絡(luò)設(shè)備、自動控制設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用軟產(chǎn)生的輸出。通常，產(chǎn)品的主要要素是有形的，可以分為：有形的、其量具有計數(shù)特性的硬件；有形的、其注3：當(dāng)產(chǎn)品交付給顧客時，通常包含服務(wù)因素。例如，計算機(jī)產(chǎn)品交付時可能附帶操作培訓(xùn)服務(wù)，也可能附帶有4出。通常，服務(wù)的主要要素是無形的，包含與顧客在接觸面的活動，由顧客體驗(yàn)。服務(wù)中可能包含產(chǎn)品的交付或使用。此時產(chǎn)品或服務(wù)的區(qū)分取決于其主導(dǎo)成分。基于信息技術(shù)的服務(wù)的特殊類別是云服務(wù)，例如基礎(chǔ)設(shè)施作為服務(wù)（IaaS）、平臺作為服務(wù)（注3：組織和顧客的接觸面和服務(wù)的交付均可以是在線上或線下，如線上接觸和交付的在線服務(wù)、線上接觸線下交評估準(zhǔn)則assessmentcrT/CLAST001.2—2021給出的規(guī)定合規(guī)義務(wù)complianceob對作為評估對象的組織有法律意義上的約束力的規(guī)定要5產(chǎn)生可適用于評估對象的法定要求、監(jiān)管要求、司法要求的規(guī)范性注：改寫自GB/T19000—2016，注：改寫自GB/T19000—2016，示例：司法要求的例子，如司法機(jī)關(guān)制定的司法解釋，或者評估對組織承諾遵守從而對其具有約束力的、適用于評估對象的注：差距可以是一個單一事件或多項(xiàng)事件，在法律合規(guī)性評估中差距并不必然表明不符合6注2：就法律合規(guī)性評估的目的而言，客觀證據(jù)的形式可以是與評估準(zhǔn)則相關(guān)的記錄、事實(shí)陳述、文件、成文信息注1：規(guī)范可能與活動有關(guān)（如：程序文件、過程規(guī)范和試驗(yàn)規(guī)范）或與產(chǎn)品有關(guān)（如：產(chǎn)品規(guī)范、性能規(guī)范和圖對客體實(shí)現(xiàn)所規(guī)定目標(biāo)的適宜性、充分性或有效性的確通過提供客觀證據(jù)對特定的預(yù)期用途或應(yīng)用要求已得到滿足的7為實(shí)現(xiàn)目標(biāo)，由職責(zé)、權(quán)限和相互關(guān)系構(gòu)成自身功能的一個人注：組織的概念包括，但不限于個體經(jīng)營者、公司、集與個人信息控制者共同決定個人信息處理目的、方式的個示例：顧客、投資者、組織內(nèi)人員、供方、債權(quán)人、監(jiān)管群體。對于特定個人信息控制者而言，個人信息相關(guān)方尤其包括個人信息主體、8注：改寫自ISO/IEC29100:201注：改寫自ISO/IEC29100:201以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別特定自然人身份或者反映特定自然注1：個人信息包括姓名、出生日期、身份證件號碼、個人生物識別信息、住址、通信通訊聯(lián)系方式、通信記錄和注2：關(guān)于個人信息的判定方法、相關(guān)術(shù)語、子分類，參見GB/T35273—2020附錄A。注3：個人信息控制者通過個人信息或其他信息加工處理后形成的信息，例如，用戶畫像或特征標(biāo)簽，能夠單獨(dú)或注1：個人敏感信息包括身份證件號碼、個人生物識別信息、銀行賬號、通信記錄和內(nèi)容、財產(chǎn)信息、征信信息、注2：個人信息控制者通過個人信息或者其他信息加工處理后形成的信息，如一旦泄露、非法提供或者濫用可能危借助信息系統(tǒng)執(zhí)行的、以個人信息為輸入和/或輸注1：個人信息處理的示例包括但不限于采集、存儲、修改、檢索、咨詢、披露、匿名化、假名化、傳播或以其他9注2：通常個人信息處理的輸入和輸出均為個人信息。個人信息僅為輸入的例子如匿名化；個人信息僅為輸出的例注4：個人信息處理是至少有一個活動是借助信息系統(tǒng)執(zhí)行的過程，完全由人工進(jìn)行的分類、歸并、存檔、查詢、注5：個人信息處理是信息處理（屬）的種概念。注6：兩個或兩個以上相互關(guān)聯(lián)和相互作用的連續(xù)過程也可作為一個過程。一個或兩個以上的個人信息處理的預(yù)期結(jié)果可能是導(dǎo)致個人信息控制權(quán)變動，如個人信息控制權(quán)的獲得、保持、轉(zhuǎn)移、喪失，或者使其他個人或組織獲得個人信息控制權(quán)，表達(dá)此類個人信息處理的概念包括收集、持有、轉(zhuǎn)讓、共享等。本文件用個人信息處理行為表示預(yù)期結(jié)果是導(dǎo)致個人信息控制權(quán)變動的事實(shí)行為或法律行為的整體概念。個人信息處理行為可能由一個或兩個以上的個人信息處理操作組成，如個人信息控制權(quán)的放棄可能通過刪除實(shí)現(xiàn)，個人信息的收——個人信息控制者（包括通過其個人信息處理者）的采集，如通過與個人信息主體的交互或者記錄個人信——間接獲取，如通過第三方的共享、轉(zhuǎn)讓或披露，搜集公開信息，或者通過其他個人信息主體主動提供或注3：供方提供產(chǎn)品或服務(wù)供個人信息主體自行進(jìn)行個人信息處理，但供方不對個人信息進(jìn)行訪問或雖然訪問但不決定個人信息處理的目的和方式的，不屬于收集。例如，移動智能終端的供方不訪問移動智能終端所處理的個人信息，云服務(wù)的供方代表個人信息主體或在個人信息主體的指令下進(jìn)行個人信息的存儲等，應(yīng)用程序的產(chǎn)品或服務(wù)為滿足顧客特定使用需求，所規(guī)劃或已實(shí)現(xiàn)的目的注2：這是GB/T35273—2020個性化展示personalized對外提供externalprov通過共享、轉(zhuǎn)讓、披露、公開披露等方式，預(yù)期注1：轉(zhuǎn)讓的過程中可能包含個人信息的傳輸或個人信息存儲介質(zhì)的傳遞，也可能不包含，如因收購、合并等導(dǎo)致注：披露的預(yù)期結(jié)果中可能包含個人信息控制權(quán)的變動，如共享、轉(zhuǎn)讓通過收集、匯聚、分析個人信息，對某特定自然人個人特征，如職業(yè)、經(jīng)濟(jì)、健康、教育、個人喜好、信用、行為等方面作出分析或預(yù)測，形成其個人特征注：直接使用特定自然人的個人信息，形成該自然人的特征模型，稱為直注1：假名化可以由個人信息主體或個人信息控制者進(jìn)行。個人信息主體可以使用假名化來一致地使用資源或服務(wù)注2：假名化并不排除對經(jīng)假名化的個人信息可能有個人信息控制者以外的（一組受限的）個人信息相關(guān)方能夠基將與個人信息處理有關(guān)的信息提供給個人信息主體，使其了解個人信息處理的有關(guān)規(guī)則。個人信息主體對其個人信息進(jìn)行特定處理作出明確授權(quán)的），對其個人信息進(jìn)行特定處理作出明確授權(quán)的注2：管理體系要素規(guī)定了組織的結(jié)構(gòu)、崗位和職責(zé)、策劃、運(yùn)行、方針、慣例、規(guī)則、理念、目標(biāo)，以及實(shí)現(xiàn)這注3：管理體系的范圍可能包括整個組織、組織中可被明確識別的職能或可被明確識別的部門，以及跨組織的單一2)GB/T25069—2010給出了信息安全技術(shù)術(shù)語，GB/T安全技術(shù)術(shù)語。如果本文件中使用了在本文件中未改寫或抄錄的信息安全技術(shù)文件中對同一術(shù)語給出了不同的定義時，GB/T3)本文件的規(guī)范性引用文件GB/T29246—2017給注2：目標(biāo)能與不同方面（諸如財務(wù)、健康與安全及環(huán)境的目標(biāo)）相關(guān)，且能應(yīng)用于不同層面，如戰(zhàn)略層、整個組注1：泄露是指個人信息暴露于對該個人信息不具有訪問或接收權(quán)限的人或組織從而保密性受損的狀態(tài)，如被內(nèi)部或外部未經(jīng)授權(quán)的人或組織訪問、接收，也包括被竊取等個人信息控制者事實(shí)上已失去對該個人信息的訪問或披露的控制；篡改是指個人信息被未經(jīng)授權(quán)地修改而完整性受損的狀態(tài)；毀損是指個人信息受到損壞而不再完整甚至不再可用的狀態(tài)；丟失是指個人信息不再存在于信息系統(tǒng)或不再能被信息系統(tǒng)訪問和使用可用性注2：信息安全事件的定義見GB/Z20986—2007，信息安全技術(shù)信人信息處理的信息系統(tǒng)發(fā)生有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容事件、設(shè)備設(shè)施故障、災(zāi)害性事件、其他事件等信息安全事件，導(dǎo)致個人信息發(fā)生意外或未經(jīng)授權(quán)的泄露、篡改、毀損、丟失，則4個人信息處理法律合規(guī)性評估概述4.1概述本文件提供了一個高度靈活和可定制的個人信息處理法律合規(guī)性評估框架，以適應(yīng)不同類型的組規(guī)性評估的目的與目標(biāo)也影響了法律合規(guī)性評估模式、評估主體及具體評估團(tuán)隊(duì)的選擇。4.2法律合規(guī)性評估的目的與目標(biāo)?支持組織在個人信息處理中維持或改進(jìn)其合規(guī)狀態(tài)；示例：“改進(jìn)—確定現(xiàn)狀”的法律合規(guī)性評估例子，如將法律合規(guī)性評估作為組織的一種管理手段、履示例：“證明—確定現(xiàn)狀”的法律合規(guī)性評估的例子，如組織面向顧客或社會作出合規(guī)現(xiàn)狀的聲明，向——法律合規(guī)性評估的目標(biāo)可以是確定組織所具備的個人信息保護(hù)措施在實(shí)現(xiàn)組織個人信息處理按照該法律合規(guī)性評估目標(biāo)獲得的評估結(jié)論可能適用的法律合規(guī)性評估的目的可能?支持組織改進(jìn)現(xiàn)有的個人信息保護(hù)能力，使其更加適應(yīng)個人信息處理的組織合規(guī)目標(biāo)；示例：“改進(jìn)—確定保護(hù)能力”的法律合規(guī)性評估的例子，如確定組織現(xiàn)有的信息安全管理體系、等級安全保護(hù)能力在實(shí)現(xiàn)組織個人信息處理合規(guī)目標(biāo)方面的適宜性、充分性和有效性，識別差距和可能的改進(jìn)空示例：“證明—確定合規(guī)保障能力”目的的法律合規(guī)性評估例子，如在個人信息委托處理前顧客對供方?證明組織的個人信息處理合規(guī)能力和盡職程度。示例：“證明—確定合規(guī)能力”目的的法律合規(guī)性評估例子，如在涉及個人信息出境、新的產(chǎn)品或服務(wù)上線前作為個人信息影響評估的一部分進(jìn)行的法律合規(guī)性評估；在出現(xiàn)重大個人信息安全事件或違規(guī)后，證4.3法律合規(guī)性評估模式與評估組法律合規(guī)性評估模式的選擇將取決于法律合規(guī)性評不同的法律合規(guī)性評估模式在評估主體和評估團(tuán)隊(duì)組成方面法律合規(guī)性評估對組織有意義。通常不需要觀察員、協(xié)調(diào)員——第三方評估是由獨(dú)立于評估對象且在評估對象中不享有利益或利益沖突的組織實(shí)施。評估組4.4法律合規(guī)性評估范圍4.4.1概述多大范圍內(nèi)確定合規(guī)狀態(tài)，以及為此采用的諸如采樣方法的設(shè)計。在證明-確定現(xiàn)狀型法律合規(guī)性評估4.4.2評估對象的范圍和邊界估的順利進(jìn)行至關(guān)重要。組織宜盡可能全面、詳細(xì)和準(zhǔn)確地界定評估對象的范圍和邊界。在組織決定啟動法律合規(guī)性評估項(xiàng)目時，組織可以將評估對象初步界定為組織的個人信息處理活——可以將評估對象界定為組織在提供信息技術(shù)產(chǎn)品的場景中進(jìn)行的所有個人信息處理活動。例端（如智能可穿戴設(shè)備、智能音箱等）及這些終端的操作系統(tǒng)、應(yīng)用軟件和移動應(yīng)用程序、數(shù)據(jù)存儲系統(tǒng)、使用該信息技術(shù)產(chǎn)品的最終用戶可能是個人信息主體，或者使用該信息技術(shù)產(chǎn)品的過程中可能產(chǎn)生對眾多個人信息主體的個人信息處理。如商用或公務(wù)用人臉識別門禁設(shè)備、移動終端（如用于電子支付的近距離無線通信的移動終端）、物聯(lián)網(wǎng)感知終端（如智能音視頻采集設(shè)備）以及這些設(shè)備或終注：如果組織僅僅提供信息技術(shù)產(chǎn)品而不進(jìn)行任何個人信息處理，如產(chǎn)品，但組織并不通過該信息技術(shù)產(chǎn)品收集個人信息，則——可以將評估對象界定為組織在提供基于信息技術(shù)的服務(wù)的場景中進(jìn)行的所有個人信息處理活示例：組織以信息技術(shù)為手段提供的任何其他服務(wù)的實(shí)例，如在健身房、餐廳、學(xué)校、劇院、公園等線下交付的服務(wù)中使用具有個人信息處理功能的信息系統(tǒng)，例如，門禁系統(tǒng)、辦公系統(tǒng)、視頻監(jiān)控系統(tǒng)、預(yù)約示例：例如，對于同時通過網(wǎng)頁和移動應(yīng)用程序提供在線票務(wù)預(yù)訂的組織，僅為改進(jìn)目的將評估對象界定為網(wǎng)頁端的個人信息收集、傳輸、存儲、使用、對外提供等環(huán)節(jié)，而沒有包含個人信息的刪除或匿名化等環(huán)節(jié)和移動應(yīng)用程序端的任何環(huán)節(jié)是可接受的，但對于證明目的而言，所界定的評估對象可能難以向接受證人信息，個人信息處理流程需有連續(xù)性，使得可以將該組合視為一個完整的個人信息處理過程并便于進(jìn)行法導(dǎo)航、跟蹤等位置服務(wù)（定義見GB/T35638—2017，4.1）以及網(wǎng)約車服務(wù)，該移動應(yīng)用程序本身即是按照對組織的個人信息處理活動進(jìn)行完整的法律合規(guī)性評估并得出總體的同類活動從而提高效率。但組合界定評估對象也可能導(dǎo)致法律合規(guī)于多樣、復(fù)雜而難以確定評估準(zhǔn)則，或在法律合規(guī)性評估項(xiàng)目中信息、所涉及的個人信息主體方面可能都滿足額外聯(lián)結(jié)點(diǎn)的要求多個組織或同一組織內(nèi)的多個獨(dú)立部門。如果組合界定的評估對象最管理體系、信息處理設(shè)施、個人信息相關(guān)方及其他——以下要素對于界定組織的個人信息處理活動而言是必不可少的要素：?評估對象中所包含的個人信息處理的目的、過程和程序；?所處理的個人信息的類型及其所涉及的個人信息主體的類型；?作為個人信息控制者和/或個人信息處理者角色的組織?！韵乱貙τ诮M織的個人信息處理活動具有重要影響，宜予以界定：?個人信息控制者和/或個人信息處理者的組織架構(gòu)，以及兩者之間的法律關(guān)系；?與評估對象中所包含的個人信息處理活動有關(guān)的組織內(nèi)?個人信息處理中存在的接口或界面，既可能是技術(shù)?評估對象中所包含的組織的管理體系、信息安全保護(hù)能力，以及已經(jīng)采取的控制措施。4.4.3評估準(zhǔn)則法律合規(guī)性評估指標(biāo)中所包含的合規(guī)要求，由組織的合規(guī)義務(wù)和組織選擇遵守的其他規(guī)定要求組——組織作出的合規(guī)承諾也構(gòu)成了合規(guī)義務(wù)的來括評價已被識別的任何新的和變更的合規(guī)義務(wù)對——T/CLAST001.2—2021給出的合規(guī)框架，提供組織宜集成上述所有合規(guī)要求，最終得出有關(guān)評估準(zhǔn)——顧客或其他證明接受一方確定的能力評價——其他希望或追求符合的自愿性的標(biāo)準(zhǔn)、原則或行為準(zhǔn)則給出的能力評價模型。4.5評估方法論4.5.1評估流程和方法律合規(guī)性評估流程基礎(chǔ)上，增加了賦值、評審和解釋能力作為必要否在法律合規(guī)性評估期內(nèi)調(diào)整宜予以詳細(xì)記4.5.2評估結(jié)論估對象與評估準(zhǔn)則中的某項(xiàng)合規(guī)要求之間存在差距，并且通過調(diào)整和處置未能消除差距?！u估員對于該差距和殘留風(fēng)險是否影響4.5.3可持續(xù)的評估組織宜對其個人信息處理合規(guī)狀態(tài)進(jìn)行持續(xù)監(jiān)控和周期性這種迭代的法律合規(guī)性評估在持續(xù)的法律合規(guī)性評估—改進(jìn)—監(jiān)控/再評估—改進(jìn)—監(jiān)控/再評估的過程中拉近組織合規(guī)狀態(tài)與組織合規(guī)目標(biāo)之間的_________________________________T/CLASTGuidelinesforlegalcomplianceassessmentofprocessingofpersonalinformation—I 1 1 1 1 2 2 4 4 8 8 9 9 9 V 本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》給出的司、榮耀終端有限公司、華米科技、OPPO廣東移動通信有限公司、比亞迪股份有限公司、廣州小鵬汽涂俊峰、談建、周濤、任曉明、李偉民、崔騰、王水兵、何冠輝、杜文琦、倪榮、劉志樂、個人信息處理法律合規(guī)性評估指引第2部分：合規(guī)框架T/CLAST001.1-2021個人信息處理法律合規(guī)性評估指引概述和術(shù)語T/CLAST001.3-2021個人信息處理法律合規(guī)性評估指引實(shí)施指南T/CLAST001.1-2021中界定的或規(guī)范性引用的術(shù)語和定義適用于本文4概述基于自愿遵守使用本文件規(guī)范其個人信息處理活動。當(dāng)與組織的其他合規(guī)要求相結(jié)合使用第5章給出了通用法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)。法律合規(guī)性評估維2者并非特定于某一個個人信息處理環(huán)節(jié)。第5章給出的通用法律合規(guī)性評估維度采用度—指標(biāo)”或“維度—指標(biāo)—特性”框架（見章給出的指標(biāo)要求或特性要求適用到特定個人信息處理環(huán)節(jié)時所5.1通用法律合規(guī)性評估維度概述第5章給出了個人信息處理的法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)。法律合上或所有個人信息處理，或者并非特定于某一個個人信息處理環(huán)本章中每個一級條標(biāo)題（如5.2或5.3）是法律合規(guī)性評估維度這些差距的調(diào)整或處置如何影響法律合規(guī)性評立的要求，因此一個法律合規(guī)性評估指標(biāo)的表述結(jié)構(gòu)一般是由“指標(biāo)要求”、“評估要求”3其中包含4個特性的確定，例如，相對獨(dú)立性（5.6.4.2）、易于訪問性（5.6.45.2合法性基礎(chǔ)維度5.2.1.1明示同意處理個人信息處理是基于個人信息主體或其監(jiān)護(hù)人的明示同意（見5.8.2.5a)）。5得明示同意（見5.8.2.5a)）。5.2.1.2合同必要處理b)應(yīng)在個人信息處理前獲得個人信息主體的授權(quán)同意（見5.8.2）。息處理前獲得授權(quán)同意（見5.8.2）。合同必要處理的必要性確定方法及示例，見附錄B.3。5.2.1.3法定義務(wù)處理a)個人信息處理應(yīng)是為了履行個人信息控制者和/或個人信息處理者的法定義務(wù)或法——驗(yàn)證個人信息處理所涉及的個人信息和個人信息處理類型、所涉及的個人信息主5.2.1.4公共利益必要處理6a)個人信息處理應(yīng)是為了實(shí)現(xiàn)或維護(hù)以下公共利益而b)應(yīng)能夠證明符合以下主體適格性要求之一：2)被評估方是在符合1)項(xiàng)要求的個人信息控制者的控制之下進(jìn)行該個援引本項(xiàng)作為合法性基礎(chǔ)的個人信息處理不應(yīng)超出該——評審被評估方的主體資格類或其他文件，以驗(yàn)證被評估方的主體適格性；——驗(yàn)證個人信息處理所涉及的個人信息和個人信息處理類型、所涉及的個人信息主5.2.1.5公開信息公平處理2）從其他合法公開披露的信息中收集的，如合法的新聞報道、出版物或政府信（見5.8.3d)個人信息處理符合來源合法指標(biāo)（見5.3.5）及其收集環(huán)節(jié)擴(kuò)展要求。注：除個人信息主體的合法權(quán)益之外，在具體場景中個人信息處理可能為其他組織或個人的合法權(quán)益?zhèn)€人對其數(shù)據(jù)享有的合法權(quán)益，從而面臨《反不正當(dāng)競爭法》《刑法》項(xiàng)下的責(zé)任，這些要求見7來源合法指標(biāo)收集環(huán)節(jié)擴(kuò)展要求（見6.2.響評估或其他組織流程，審慎地評估所要收集的公開信息渠道以及收集的合理限估指標(biāo)（如政策告知指標(biāo)和事件告知指標(biāo)中的送達(dá)方式特性要求，見5.7.2.4和5.7.3.4評估員宜留意在法律合規(guī)性評估中公開信息公平處理包含的比例性確定存在固有的局5.2.1.6為保護(hù)重大合法權(quán)益而必要的處理a)個人信息處理應(yīng)是為保護(hù)個人信息主體、其他組織或個人的重大合法權(quán)益而必要b)應(yīng)能夠證明在當(dāng)時的具體場景中難以事先獲得個人信息主體的授權(quán)同意；評估員宜留意在法律合規(guī)性評估中為保護(hù)重大合法權(quán)益而必要的處理所包含的比例性只能確定被評估方對于這些為保護(hù)重大合法權(quán)益而必要的處理存在審慎盡職的利益平衡考85.2.1.7合法利益公平處理b)應(yīng)具體識別其個人信息處理所追求的現(xiàn)實(shí)的和當(dāng)下的合法利益；注1：個人信息處理所追求的合法利益的例子，諸如，行使e)至少為個人信息主體提供行選擇退出機(jī)制（見5.8.3且個人信息主體未明確本-收益比例性論證和利益-損害比例性論證是——確認(rèn)至少存在選擇退出機(jī)制，并且個人信息主體的選擇退出（見5.8.3）得到執(zhí)評估員宜留意在法律合規(guī)性評估中合法利益公平處理包含的比例性確定存在其固有的5.3手段合法維度9手段合法維度包含4個法律合規(guī)性評估指標(biāo)，即從個人信息處理的主體、程序、對型與來源等方面，確定個人信息處理沒有違反可適用在未充分識別評估對象的可適用的法的前提下是無法適用的，并且在可適用的法發(fā)生變化示例：可適用的法設(shè)定主體資格準(zhǔn)入要求的例子，如設(shè)立經(jīng)營個人征信業(yè)務(wù)的征信機(jī)構(gòu)，須經(jīng)國務(wù)院征信業(yè)監(jiān)督管理部門批準(zhǔn)。個人征信業(yè)務(wù)，即對個人的信用信息進(jìn)行采集、整理、保存、加工并向信息使示例：可適用的法要求審批程序的例子，如《中華人民共和國人類遺傳資源管理?xiàng)l例》雖未禁止外國組織、個人及其設(shè)立或者實(shí)際控制的機(jī)構(gòu)利用我國人類遺傳資源（包括人類遺傳資源信息和人類遺傳資源材料）開展科學(xué)研究活動，但第21-22條評估對象是否對可適用的法禁止處理的個人信息類型進(jìn)行處圍內(nèi)所涉及個人信息處理過程輸入和輸出的個人信息類型，見T/CLAST001.3———確定這些來源是否符合來源合法指標(biāo)收集環(huán)節(jié)擴(kuò)展要求（見6.2.3）。注1：處理目的足夠具體宜在場景中確定，如在個人信息保護(hù)政策或者在征求授權(quán)同意前的同步告知注2：如被評估方進(jìn)行多個相互關(guān)聯(lián)的個人信息處理操作或行為，宜識別個人信息處理過程的總體目公開形式指標(biāo)中的易于理解性特性（見5.6.4.4）和同步告知指標(biāo)性（見5.7.4.3均包含向個人信息主體溝通處理目的時的具體性要求，在法律合規(guī)性息處理者溝通的有關(guān)處理目的的要求或合同條款，向監(jiān)管部門提交的書面申請或其他書面聲明處理實(shí)踐不符，宜將這些情形確定為差距，調(diào)整或處置的方法見5.4.注1：處理目的正當(dāng)并不必然等同于個人信息處理的合法性基因歧視等不公平因素，從而在這一具體場景中目的限制維度中的法律合規(guī)性評估指標(biāo)關(guān)注的是在實(shí)際收集個人信息時以及在所有后最小必要處理指標(biāo)是可適用的法（如必要性原則）和現(xiàn)有響的個人信息主體進(jìn)行事件告知和進(jìn)行適當(dāng)估法律意見書中如實(shí)披露相關(guān)的風(fēng)險，由評估委托方進(jìn)行風(fēng)險接受或進(jìn)行其他額外處置。認(rèn)在該次目的轉(zhuǎn)用時是否存在相應(yīng)的個人信息保護(hù)政策更新和政策種與最初收集目的不兼容的后續(xù)處理前，是否存在同步告知和明示同意步合理關(guān)聯(lián)（兼容性）確定方法及示例，見附5.6公開透明維度公開透明維度中的法律合規(guī)性評估指標(biāo)共同關(guān)注的是有關(guān)個人信息處理政策與實(shí)踐的公開透明維度包含3個法律合規(guī)性評估指標(biāo)，包括信息充分指標(biāo)、公到對于評估對象的范圍和邊界外的差距識別和風(fēng)險提示并非法律合規(guī)性評估的范圍。應(yīng)公開與其個人信息處理政策與實(shí)踐有關(guān)的充分的信息，a)所公開的信息的適用范圍，例如，適用于哪些產(chǎn)品、服務(wù)、2)如果有個人信息處理者，應(yīng)包含個人信息處理者的身注：具體見信息充分指標(biāo)收集環(huán)節(jié)擴(kuò)展要求（見6.2d)所收集的個人信息的后續(xù)處理目的后續(xù)處理目的，通?？梢酝ㄟ^“總體目的+該總體目的之下的后續(xù)個人信息處理環(huán)節(jié)”的方式給注2：收集目的和后續(xù)處理目的以滿足目的具體指標(biāo)（見5.4.2）和目的明示指標(biāo)（見5.4.3）的）；g)提供個人信息后可能存在的安全風(fēng)險，發(fā)生個人信息安全事件時的處置或補(bǔ)救措信息安全能力，以及采取的個人信息安全保注：更新規(guī)則應(yīng)界定必須更新的重大變更事項(xiàng)的范圍對象、目的和方式）或個人信息主體合法權(quán)益行使能力與方式產(chǎn)生實(shí)質(zhì)影響的事項(xiàng)，至少應(yīng)包括應(yīng)確保信息充分指標(biāo)（見5.6.2）所記載的信息真實(shí)、準(zhǔn)確和完整地體現(xiàn)了組織影響的變更時，宜及時更新個人信息保護(hù)政策，以使其保持真差距。在其他法律合規(guī)性評估維度/指標(biāo)的差距需要通過修改或更新個人信息保護(hù)政5.6.4.1公開形式指標(biāo)概述公開形式指標(biāo)關(guān)注的是個人信息處理政策與實(shí)踐的信息是否以有助于透明度和公正性公開形式指標(biāo)包含有關(guān)個人信息處理政策與實(shí)踐的信息的4個特性的性、易于訪問性、易于理解性和易于閱讀性。以下各條給出了4個特性的具體要求、示5.6.4.2相對獨(dú)立性應(yīng)通過制定相對獨(dú)立的文件提供信息充分指標(biāo)（見5.6.2）所述信息，其呈現(xiàn)形式應(yīng)5.6.4.3易于訪問性文或提供可訪問個人信息保護(hù)政策全文的二維碼或個人信息保護(hù)政策所在網(wǎng)頁的5.6.4.4易于理解性個人信息保護(hù)政策應(yīng)采用具體、清晰和易于理解的語言。具體而示例：籠統(tǒng)抽象和模棱兩可的例子，如“為了更好地提供服務(wù)和升級產(chǎn)品，我們可能會將您的某些個人信息提供給合作伙伴用于統(tǒng)計分析”，“我們采用行業(yè)通行人信息安全”的表述，過于籠統(tǒng)抽象，從而未能提供有關(guān)個人信息處理的有意義的信息；而“合作伙伴”的術(shù)語在未經(jīng)定義的前提下，難以確定是指委托的個人信息處理者還是向第三方共享或轉(zhuǎn)讓；“我們可能5.6.4.5易于閱讀性個人信息保護(hù)政策應(yīng)易于閱讀，并對其中的重要信息采用突出5.7告知維度置。在法律合規(guī)性評估中宜允許被評估方對微小的差距進(jìn)行及時的調(diào)整。5.7.2.1政策告知指標(biāo)概述政策告知指標(biāo)包含3個特性的確定，即政策告知的時機(jī)、政策告知的形式和送達(dá)方式的后續(xù)個人信息處理前或間接獲取個人信息后的合理期限中較早截至的時機(jī)前進(jìn)行首次告知和重新告知的，需對調(diào)整前的風(fēng)險進(jìn)行揭示，由評估委托方進(jìn)行5.7.2.2政策告知時機(jī)適當(dāng)性示例：間接獲取后進(jìn)行的后續(xù)個人信息處理的示例，如利用間接獲取的個人信息與個人信息主體進(jìn)行首次通信，將間接獲取的個人信息與個人信息控制者已經(jīng)持有的個人信息進(jìn)行匯聚融合，存儲至可以訪問間接獲取的個人信息以進(jìn)行用戶畫像、個性化展示、自動決策等的業(yè)務(wù)系統(tǒng)中，以及委托處理、向第三方5.7.2.3政策告知內(nèi)容適當(dāng)性5.7.2.4政策告知送達(dá)方式適當(dāng)性5.7.3.1事件告知指標(biāo)概述事件告知指標(biāo)關(guān)注的是當(dāng)發(fā)生可能給個人信息主體的合法權(quán)益造成嚴(yán)重危害的個人信——通過抽樣方式確定在這些事件發(fā)生后，被評估方是否及時進(jìn)行適當(dāng)事件告知；5.7.3.2事件告知時機(jī)適當(dāng)性個人信息安全事件或其他個人信息處理違規(guī)行為可能給個人信息主體的合法權(quán)益造成嚴(yán)重危害的，如個人敏感信息的泄露，應(yīng)盡快向個人信息主體進(jìn)行事注1：有些個人信息處理違規(guī)行為，如違反最小必要處理指標(biāo)（見5.5.2）或目的限制維度（見5.5.1）從而超范圍進(jìn)行的個人信息收集或后續(xù)個人信息處理，有可能會導(dǎo)致未經(jīng)個人信息主5.7.3.3事件告知內(nèi)容適當(dāng)性5.7.3.4事件告知送達(dá)方式適當(dāng)性5.7.4.1同步告知指標(biāo)概述5.7.4.2同步告知時機(jī)與內(nèi)容適當(dāng)性5.7.4.3同步告知形式適當(dāng)性關(guān)信息的個人信息主體進(jìn)行展示或者將個人信息主體指引至個人信息保護(hù)政策中的對應(yīng)條注：未主動提供最密切相關(guān)的信息，也未展示或?qū)€人信息主體指引至個人信息保護(hù)政策中的對應(yīng)條款或段落，而僅是彈出個人信息保護(hù)政策鏈接需要個人信息主體主動訪問全文并自行尋找相關(guān)條5.7.4.4同步告知送達(dá)方式適當(dāng)性5.7.4.5免于同步告知的情形三方獲得至少一次同步告知，并且未發(fā)生需要重新獲得授權(quán)同意的b)特定個人信息處理所援引的合法性基礎(chǔ)符合5.2.1.3或5.2.1.4，并且個人信內(nèi)進(jìn)行并且在發(fā)布成果時已經(jīng)進(jìn)行適當(dāng)去標(biāo)識化處理的統(tǒng)計研究，公開信息公平處理（見5.8選擇維度選擇維度包含2個法律合規(guī)性評估指標(biāo)，即選擇同意指標(biāo)和選擇退出指標(biāo)。宜留意兩個存在則是必要條件，而選擇同意指標(biāo)則不是必5.8.2.1選擇同意指標(biāo)概述——在評估對象征求授權(quán)同意的具體場景中確定個人信息主體給出的授權(quán)同意滿足4個特性要求，即自由度、具體性、知情度和特定環(huán)節(jié)擴(kuò)展要求）。4個特性要求給出了對這些特性的具體解釋和示例，評估員宜留意除宜在充分考慮4個特性的前提下，綜合評定這些差距是否會使得被評估方按照現(xiàn)狀獲得的授——合同的簽訂、履行或者提供產(chǎn)品或服務(wù)基本業(yè)務(wù)功能，是否以個人信息主體對——是否將基本業(yè)務(wù)功能和擴(kuò)展業(yè)務(wù)功能捆綁在一起征求授權(quán)同意，并且未對擴(kuò)——拒絕授權(quán)同意、關(guān)閉或退出特定業(yè)務(wù)功能后，是否除了使個人信息主體不再——拒絕授權(quán)同意、關(guān)閉或退出特定業(yè)務(wù)功能后，是否頻繁地征求個人信息主體的——是否僅以改善服務(wù)質(zhì)量、提升使用體驗(yàn)、研發(fā)新產(chǎn)品、增強(qiáng)安全性等為由，強(qiáng)注：欺詐、誤導(dǎo)、夸大不利影響均需具體場景中存在具有虛假性的陳述或表示，并因此導(dǎo)致個人信息5.8.2.3具體性5.8.2.4知情度c)默認(rèn)勾選的對話框或默認(rèn)開啟的權(quán)限不應(yīng)被認(rèn)為是明注：通常沉默只有在有法律規(guī)定、當(dāng)事人約定或者符合當(dāng)事人之間的交易習(xí)慣時，才可以被視為是意b)選擇退出機(jī)制不應(yīng)設(shè)置不合理?xiàng)l件或提出額外要求增加選擇退出的難度或阻礙個退出請求期間按照原定個人信息處理過程不可避免的自動執(zhí)行和履行法定義務(wù)，，5.9權(quán)益保障維度權(quán)益保障機(jī)制應(yīng)具備的特性。隨后的4個指標(biāo)是適用于查詢、獲取副本、更正、刪除等個人權(quán)益行使機(jī)制通常是合規(guī)義務(wù)的一部分。第6個指標(biāo)是關(guān)于一般性的投訴舉報機(jī)制的指標(biāo)要a)個人信息控制者提供的行使其合法權(quán)1)個人信息控制者進(jìn)行個人信息處理的合法性基礎(chǔ)屬于法定義務(wù)處理（見5.2.1.3）或公共利益處理（見5.2.1.4并且依據(jù)該合法性基礎(chǔ)的性5)個人信息控制者有充分證據(jù)表明個人信息主體存在主觀惡d)直接執(zhí)行個人信息主體的請求需要個人信息控制者付出高額成本或存在其他顯著a)個人信息控制者應(yīng)向個人信息主體提供查詢其個人信息注：通過用戶信息管理、隱私管理或授權(quán)管理等交互界面提供自主查詢時，在交互界面已經(jīng)提供查詢的范圍內(nèi)不必人工響應(yīng)個人信息主體的查詢請求，宜通過個人信息保護(hù)政策、查詢界面自動回復(fù)b)本人的健康生理信息、教育工作信息。a)個人信息控制者應(yīng)向個人信息主體提供更正其個人信息的——個人信息控制者有侵犯個人信息主體合法權(quán)益的其他行為；——個人信息控制者根據(jù)可適用的法有義務(wù)采取更正措施求采取更正、刪除等必要措施。信用評價人應(yīng)當(dāng)及時核查，經(jīng)核查屬實(shí)的，應(yīng)當(dāng)及時采取必要制者或個人信息處理者共同使用的數(shù)據(jù)庫中進(jìn)行一并更正。但以下情形2)個人信息控制者在綜合考慮不發(fā)送更正通知或一并更正可能對個人信息主體a)個人信息控制者應(yīng)向個人信息主體提供刪除其個人信息示例：如違反最小必要處理指標(biāo)（見5.5.2）、目的兼容指標(biāo)（見5.權(quán)通知網(wǎng)絡(luò)服務(wù)提供者采取刪除、屏蔽、斷開鏈接等必要措施。通知應(yīng)當(dāng)包括構(gòu)成侵權(quán)的初步b)3)的示例1和示例2。2)個人信息控制者在綜合考慮不發(fā)送刪除通知或一并刪除可能對個人信息主體處理中的個人信息安全事件、違法或違規(guī)等事項(xiàng)并采取必5.10質(zhì)量維度5.10.1質(zhì)量維度/指標(biāo)質(zhì)量結(jié)果的保證。評估對象與質(zhì)量維度/指標(biāo)存在差距的，評估員宜在評估法律意見書5.11安全保護(hù)維度5.11.1安全保護(hù)維度概述安全保護(hù)維度關(guān)注的是組織的個人信息處理是否采取適當(dāng)?shù)募夹g(shù)、管理或其他必要措理以及未經(jīng)授權(quán)的和意外的篡改、毀損、丟失、訪問、5.11.2安全保護(hù)能力指標(biāo)a)評估對象中的個人信息處理信息系統(tǒng)應(yīng)滿足其信息安全保護(hù)等級所對應(yīng)的管理規(guī)只要能夠適當(dāng)確認(rèn)這些評審或測評的范圍已經(jīng)涵蓋評估對象范圍和邊界中的個人信息處理5.11.3事件管理指標(biāo)a)組織的信息安全事件應(yīng)急預(yù)案中所界定的信息安全事件范圍應(yīng)能夠涵蓋個人信息），置流程和崗位職責(zé)，該處置流程和崗位職責(zé)應(yīng)能夠確保在發(fā)生個人信息安全事件c)在發(fā)生個人信息安全事件后，應(yīng)根據(jù)應(yīng)急響應(yīng)預(yù)案采取包括但不限于以下處置措4)經(jīng)合規(guī)團(tuán)隊(duì)評估認(rèn)為必要時，應(yīng)進(jìn)行事件——評審培訓(xùn)記錄和演練記錄等，以驗(yàn)證存在定期培訓(xùn)和演練；5.11.4數(shù)據(jù)最小化指標(biāo)5.11.4.1數(shù)據(jù)最小化指標(biāo)概述息處理所涉及的數(shù)據(jù)最小化，從而降低對個人信息安全性的風(fēng)險和影響。5.11.4.2數(shù)據(jù)最小化技術(shù)類分級標(biāo)識管理制度，對個人信息進(jìn)行匿名化、去標(biāo)識化常見的去標(biāo)識化技術(shù)及其優(yōu)缺點(diǎn)，見GB/T5.11.4.3訪問最小化控制未被清理的冗余權(quán)限，被賦予的訪問權(quán)限明顯超出職責(zé)所必要的最小5.12權(quán)責(zé)一致維度5.12.1權(quán)責(zé)一致維度概述權(quán)責(zé)一致維度關(guān)注的是個人信息控制者是否明確界定并履行與其所享有的權(quán)利（或權(quán)權(quán)責(zé)一致維度包含4個法律合規(guī)性評估指標(biāo)，個人信息控制者自身的管理體系指標(biāo)、共5.12.2合規(guī)管理體系指標(biāo)5.12.2.1合規(guī)管理體系指標(biāo)概述合規(guī)管理體系指標(biāo)包含了3個特性要求，包括管理架構(gòu)、方針與制度、意識與培規(guī)管理體系指標(biāo)并不要求組織在現(xiàn)有的個人信息保護(hù)機(jī)構(gòu)或信息安全管理體系之外建立全5.12.2.2管理架構(gòu)組織內(nèi)應(yīng)存在旨在促進(jìn)個人信息處理合規(guī)的管理架構(gòu)，并具備4)通過明確的承諾和持續(xù)的管理過程支持在組織內(nèi)建立旨在保障組織個人信息處理合規(guī)的制度與文化，并鼓勵員工遵守這些合1)協(xié)助個人信息處理管理機(jī)構(gòu)制定并統(tǒng)籌實(shí)施旨在保障其個人信息處理合規(guī)的6)識別來自組織內(nèi)的和個人信息相關(guān)方的合規(guī)風(fēng)險，并及時向相關(guān)人員進(jìn)行警示，在必要時向個人信息處理管理機(jī)構(gòu)報告并建議采取制止或糾d)應(yīng)通過組織流程確保合規(guī)管理團(tuán)隊(duì)及其負(fù)責(zé)人在以下有關(guān)個人信息處理的重要事2)現(xiàn)有產(chǎn)品與服務(wù)中個人信息處理的重大決策及其重大變更，如個人信息控制e)應(yīng)建立合規(guī)管理團(tuán)隊(duì)與組織內(nèi)個人信息處理合規(guī)的其他相關(guān)部門之間的信息通報注：組織可以將合規(guī)管理團(tuán)隊(duì)的職責(zé)與權(quán)限分配給組織內(nèi)的現(xiàn)有部門和人員兼任，但需確保承擔(dān)組織合規(guī)管理團(tuán)隊(duì)職責(zé)與權(quán)限的部門和人員在履行其職責(zé)方面具有充分的專業(yè)性和獨(dú)立性，以避免潛5.12.2.3方針與制度組織應(yīng)建立旨在促進(jìn)個人信息處理合規(guī)的管理方針和a)組織內(nèi)應(yīng)有明確表達(dá)的持續(xù)改善個人信息處理合規(guī)狀態(tài)與能力的目標(biāo)和管理層承b)組織內(nèi)應(yīng)具備個人信息處理的制度體系，這些管理制度體系應(yīng)適應(yīng)組織的合規(guī)目）；5.12.2.4意識與培訓(xùn)和員工守則等被適時和充分地強(qiáng)調(diào)和告知在工作中遵守組織的個人信息處理合規(guī)5.12.3共同控制指標(biāo)b)應(yīng)通過個人信息保護(hù)政策等方式向個人信息主體明確告知個人信息共同控制者的存在、身份、各自的義務(wù)和責(zé)任，尤其是個人信息主體行使合法權(quán)益的方注：如未向個人信息主體明確告知個人信息共同控制者（包括在產(chǎn)品或服務(wù)中部署的收集個人信息且不單獨(dú)向個人信息主體征得授權(quán)同意的第三方插件）的身份和各自的義務(wù)和責(zé)任，可能被視為承擔(dān)個人信息共同控制者引起的個人信息安全責(zé)任，見GB/5.12.4委托處理管理指標(biāo)2)明確規(guī)定委托的個人信息處理目的以及遵守該處理目權(quán)對委托的個人信息處理進(jìn)行審計和定期評估委托處理的風(fēng)5)轉(zhuǎn)委托時事先征求委托方同意的要求，以及對兒童個人信息的轉(zhuǎn)委托進(jìn)行限8)約定采取措施保障信息安全的義務(wù)和托事項(xiàng)，并確保個人信息保護(hù)政策中公開的信息保持5.12.5第三方管理指標(biāo)5.13可問責(zé)性維度5.13.1概述程中盡職、審慎地評估和管理風(fēng)險，并通過持續(xù)的改進(jìn)來完善其合規(guī)可問責(zé)性維度包括3個法律合規(guī)性評估指標(biāo)，包括文件管理指標(biāo)、日志管理指標(biāo)5.13.2文件管理指標(biāo)b)有關(guān)其個人信息處理目的的成文信息；c)個人信息保護(hù)政策的歷次版本，以及在版本更新時進(jìn)行政策告k)有關(guān)個人信息處理合規(guī)的管理制度與——在法律合規(guī)性評估的整個過程中確認(rèn)被評估方的文件管理能夠確保在其必要時可5.13.3安全審計指標(biāo)時間；如果日志功能難以完全自動記錄本項(xiàng)的，應(yīng)采用人工記錄予以d)日志或記錄應(yīng)涵蓋每個信息系統(tǒng)用戶，記錄事件所涉及的個人信息主f)為日志配置的保存期限屆滿后應(yīng)予以刪除，該操作宜通過配——確認(rèn)所采用的日志記錄配置滿足上述記錄要——確認(rèn)被評估方定期對日志或記錄進(jìn)行審計5.13.4安全影響評估指標(biāo)——這些制度或流程是否能夠確保被評估方可以根據(jù)個人信息處理所涉及的風(fēng)險的變——這些制度或流程是否被定期評審和再評個人信息安全影響評估的內(nèi)容，見GB/T25273—2020,11.類型及其程度不盡相同。第5章確立的法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)，可第5章給出的法律合規(guī)性評估指標(biāo)均是在假定被評估方為個人信息控制者的前提下信息處理者提供合規(guī)義務(wù)清單并明確其合規(guī)要求的內(nèi)容（見5.1c)）。在此情形下，個人信息控制者可以通過在委托協(xié)議中引用本文件的法律合規(guī)性評估指標(biāo)名稱或編號的形考慮上述因素并且明確識別合規(guī)義務(wù)清單和合規(guī)要求清單以確定適用的法律合規(guī)性評估準(zhǔn)在本章中給出了第5章規(guī)定的法律合規(guī)性評估指標(biāo)適用于特定個人信息處理環(huán)節(jié)時的擴(kuò)一個新的法律合規(guī)性評估指標(biāo)，而應(yīng)視為第5章法律合規(guī)性評估指標(biāo)的每個一級條標(biāo)題項(xiàng)下的第一個二級條標(biāo)題（如6.2.1和6.3.1）是概述，給出了第5第二個二級條標(biāo)題（如6.2.2和6.3.2）開始按第5章給出的法律合規(guī)性評估維度的有關(guān)個人信息處理的合規(guī)義務(wù)多數(shù)是對個人信息收集環(huán)節(jié)的要求，在第5章給出的下各條中不再重復(fù)說明這些法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)對收集環(huán)節(jié)的適用否則將導(dǎo)致個人信息處理法律合規(guī)性評估的結(jié)論難以可靠地說明個人信6.2.2.1合法性基礎(chǔ)指標(biāo)（5.2.1）收集環(huán)6.2.3.1來源合法指標(biāo)（5.3.5）收集環(huán)詐、誘騙個人信息主體開啟自動采集權(quán)限或功能的虛假陳者提供處理目的文件，并按照個人信息控制者明示的處理目的進(jìn)6.2.5.1最小必要處理指標(biāo)（5.5.2）收集環(huán)b)自動采集個人信息的頻率應(yīng)是實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率；注：收集方式與明示的收集目的成比例是指，所采用的收集方式是能夠?qū)崿F(xiàn)收集目的的若干可行收集6.2.6.1信息充分指標(biāo)（5.6.2）收集環(huán)a)個人信息的收集目的應(yīng)包括收集個人信息的具體業(yè)務(wù)功能以及該業(yè)務(wù)功能中包含6.2.7.1同步告知指標(biāo)（5.7.4）收集環(huán)b)在收集個人信息前向個人信息主體同步告知（見5.7.4）收集的個人信息類型、注：如在請求個人信息主體提供電話號碼、住址等個人信息的交互界面或紙質(zhì)表單中，用文字說明、圖示等進(jìn)行告知；在人與人通過面對面、電話或在線互動的環(huán)境中，請求個人信息2)一次性自動采集的，宜在開始自動采注：通常在線交互環(huán)境中宜通過彈窗、文字說明、推送通知等交互界面完成同步告知；無屏幕的智能終端或物聯(lián)網(wǎng)設(shè)備，可在產(chǎn)品配置說明或在配置界面（如配套使用的移動應(yīng)用程序等）中提供同步告知，或者通過提示音、圖標(biāo)等方式提供同步告知；在進(jìn)入自動采集空間6.2.8.1選擇同意指標(biāo)（5.8.2）收集環(huán)a)當(dāng)適用于個人信息收集的合法性基礎(chǔ)要求具體性（見5.8.2.3）、知情度（見5.8.2.4）、明確性（見5.8.2.5）的6.2.11.1安全保護(hù)能力指標(biāo)（5.11.2）收集環(huán)節(jié)c)間接獲取個人信息的，應(yīng)對獲取個人信息的平臺或接口進(jìn)6.2.12.1合規(guī)管理體系指標(biāo)（5.12.2）收集環(huán)節(jié)b)是否需要采取額外的政策告知、同步告知或選擇同意等措施；6.2.13.1文件管理指標(biāo)（5.13.2）收集環(huán)節(jié)擴(kuò)展個人信息的使用環(huán)節(jié)包含了多種多樣的使用目的，在第5章給出的法律合規(guī)性評估維度復(fù)說明這些法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)對使6.3.2.1合法性基礎(chǔ)維度/指標(biāo)（5.2.1）使用環(huán)6.3.6.1信息充分指標(biāo)（5.6.2）使用環(huán)節(jié)a)個人信息保護(hù)政策中列出的后續(xù)處理目的應(yīng)包括任何與收集目的不具有合理關(guān)聯(lián)c)以與收集目的不具有合理關(guān)聯(lián)的目的使用個人敏感信息的，應(yīng)明確標(biāo)識或突出顯6.3.7.1同步告知指標(biāo)（5.7.4）使用環(huán)6.3.8.1選擇同意指標(biāo)（5.8.3）使用環(huán)收集目的不具有合理關(guān)聯(lián)的目的使用個人信息前，應(yīng)獲得個人信息主體的明示同b)可適用的法明確要求選擇同意的使用，應(yīng)獲得個人信息主體的選擇同意。注：通常在收集時的選擇同意已經(jīng)能夠涵蓋與收集目的具有合理關(guān)聯(lián)的使用，但在目的轉(zhuǎn)用時以及某些可適用的法要求選擇同意的特殊類型使用，需要額外考慮選擇同意指標(biāo)（見5.86.3.8.2選擇退出指標(biāo)（5.8.3）使用環(huán)a)使用個人信息向個人信息主體提供新聞信息個性化6.3.9.1投訴舉報機(jī)制指標(biāo)（5.9.7）使用環(huán)6.3.10.1質(zhì)量指標(biāo)（5.10.1）使用環(huán)節(jié)擴(kuò)展6.3.11.1數(shù)據(jù)最小化指標(biāo)（5.11.4）使用環(huán)節(jié)擴(kuò)展注：在首次將匯聚融合的個人信息轉(zhuǎn)移至新的使用個人信息的業(yè)務(wù)信息系統(tǒng)之前，需進(jìn)行個人信息安6.3.12.1合規(guī)管理體系指標(biāo)（5.12.2）使用環(huán)節(jié)c)是否需要采取額外的政策告知、同步告知或d)實(shí)質(zhì)變更后的個人信息使用范圍是否仍然滿足最小必要處6.3.13.1文件管理指標(biāo)（5.13.2）使用環(huán)節(jié)擴(kuò)展c)有關(guān)使用環(huán)節(jié)變更事項(xiàng)的政策告知e)使用環(huán)節(jié)所包含的個人信息處理過程被委托處理的，f)有關(guān)使用的個人信息合法收集來源的成文文件以及6.3.13.2安全影響評估指標(biāo)（5.13.4）使用環(huán)節(jié)b)在對匯聚融合后的個人信息首次轉(zhuǎn)移至使用目的與收集目的不具有合理關(guān)聯(lián)的業(yè)物識別信息的存儲合法性、必要性和安全性6.4.2.1合法性基礎(chǔ)維度/指標(biāo)（5.2.1）存儲環(huán)在存儲對于收集使用目的而言已不再必要或者超出個人信息保護(hù)政策聲明的存儲期限6.4.3.1主體合法指標(biāo)（5.3.2）存儲環(huán)注：在存儲環(huán)節(jié)，主體合法指標(biāo)與類型合法指標(biāo)有可能是重疊的，因?yàn)榭蛇m用的法通常只會對特定類人及其設(shè)立的或者實(shí)際控制的機(jī)構(gòu)在我國境內(nèi)采集、保藏人類遺傳資源（包括人類遺傳資源材料和人類遺傳資源信息）。又如，《非銀行支付機(jī)構(gòu)網(wǎng)絡(luò)支付業(yè)務(wù)管理辦法》第20條禁止非銀行支付機(jī)構(gòu)存儲客戶銀行卡的磁道信息或芯片信息、驗(yàn)證碼、密碼等敏感信息。這些特定類型的個人6.4.3.2類型合法指標(biāo)（5.3.4）存儲環(huán)注：在可適用的法并非以主體資格作為存儲特定類型個人信息的條件，而是在一般情形下禁止所有類型的組織存儲特定類型的個人信息時，宜適用類型合法指標(biāo)。在一般性禁止和例外允許存儲的情人信息的存儲期限超出收集目的的最小必要6.4.5.1最小必要處理指標(biāo)（5.5.2）存儲環(huán)或?qū)€人信息存入存檔系統(tǒng)，以使個人信息免于進(jìn)一6.4.6.1信息充分指標(biāo)（5.6.2）存儲環(huán)6.4.7.1事件告知指標(biāo)（5.7.3）存儲環(huán)所存儲的個人生物識別信息發(fā)生泄漏的，應(yīng)進(jìn)行事件6.4.7.2同步告知指標(biāo)（5.7.4）存儲環(huán)注：根據(jù)GB/T35273—2020,5.收集、使用個人生物識別信息的目的、方式和范圍，以及存儲時間等規(guī)則，并征得個人信息主體6.4.8.1選擇同意指標(biāo)（5.8.2）存儲環(huán)6.4.8.2選擇退出指標(biāo)（5.8.3）存儲環(huán)6.4.11.1安全保護(hù)能力指標(biāo)（5.11.2）存儲環(huán)節(jié)注：其他可被采用的措施也可包括在采集終端中直接使用個人生物識別信息實(shí)現(xiàn)身份識別、認(rèn)證等功能，或者在使用面部識別特征、指紋、掌紋、虹膜等實(shí)現(xiàn)識別身份、認(rèn)證等功能后刪除可提取個人生物識別信息的原始圖像。見GB/T35273—2020,存儲個人信息應(yīng)滿足權(quán)責(zé)一致維度（見5.126.4.13.1文件管理指標(biāo)（5.13.2）存儲環(huán)節(jié)擴(kuò)展存儲環(huán)節(jié)應(yīng)保留的證明合規(guī)性的文件包括但不b)（如適用）有關(guān)存儲目的的成文文件；c)存儲期限或存儲期限屆滿時處理方式變更的同步告知和選擇同意等的記錄或適當(dāng)?shù)?章給出的法律合規(guī)性評估維度在個人信息公開披露環(huán)節(jié)均可以適用。在以下各不再重復(fù)說明這些法律合規(guī)性評估維度和法律合規(guī)性評估指標(biāo)對公開披露環(huán)節(jié)6.5.2.1合法性基礎(chǔ)維度/指標(biāo)（5.2.1）公開披露公開披露前，應(yīng)明確識別合法性基礎(chǔ)并確定滿足相應(yīng)6.5.3.1類型合法指標(biāo)（5.3.4）公開披露環(huán)節(jié)b)所識別的公開披露目的應(yīng)形成成文信息并可用。6.5.6.1信息充分指標(biāo)（5.6.2）公開披露環(huán)節(jié)6.5.7.1同步告知指標(biāo)（5.7.4）公開披露環(huán)節(jié)6.5.8.1選擇同意指標(biāo)（5.8.2）公開披露環(huán)節(jié)6.5.8.2選擇退出指標(biāo)（5.8.3）公開披露環(huán)節(jié)6.5.9.1刪除機(jī)制指標(biāo)（5.9.6）公開披露環(huán)節(jié)個人信息控制者違反可適用的法的規(guī)定或違反與個人信息主體的約定公開披露個人信注：宜留意即使并非個人信息控制者直接違反可適用的法的規(guī)定或個人信息主體的約定，在某些特定情形下也可能基于“通知—刪除”規(guī)則等導(dǎo)致需刪除個人信息的情形。例如，《民法典》第1195條規(guī)定，網(wǎng)絡(luò)用戶利用網(wǎng)絡(luò)服務(wù)實(shí)施侵權(quán)行為的，權(quán)利人有權(quán)通知網(wǎng)絡(luò)服務(wù)提供者采取刪除、屏6.5.10.1質(zhì)量維度/指標(biāo)（5.10.1）公開披露環(huán)節(jié)6.5.11.1安全保護(hù)能力指標(biāo)（5.11.2）公開披露6.5.12.1合規(guī)管理體系指標(biāo)（5.12.2）公開披露應(yīng)有明確的制度、規(guī)章或組織流程要求相關(guān)部門或人員在以新的目的公開披露個人信c)實(shí)質(zhì)變更后的個人信息公開披露范圍是否仍然滿足最小必6.5.13.1文件管理指標(biāo)（5.13.2）公開披露環(huán)節(jié)擴(kuò)展b)（如適用）有關(guān)公開披露目的的成文文件；6.5.13.2安全影響評估指標(biāo)（5.13.4）公開披露第5章給出的法律合規(guī)性評估維度在個人信息共享環(huán)節(jié)均可以適用。在以下各條中選擇、權(quán)責(zé)一致和和可問責(zé)性法律合規(guī)性評估6.6.2.1合法性基礎(chǔ)維度/指標(biāo)（5.2.1）共享環(huán)共享個人信息的主體、程序、類型和來源應(yīng)滿足主體合法指標(biāo)（見5.3.2）、程序合共享個人信息應(yīng)滿足目的明確維度（見5.4）的全部法律合規(guī)性評估指標(biāo)，在共享環(huán)共享個人信息應(yīng)滿足目的限制維度（見5.5.1）的全部評估指標(biāo)，在共享環(huán)節(jié)無擴(kuò)展6.6.6.1信息充分指標(biāo)（5.6.2）共享環(huán)注：應(yīng)通過查詢機(jī)制提供通過個人信息控制者共享獲得個人信息的第三方身份，在共享前個人信息控制者應(yīng)進(jìn)行同步告知共享目的并獲得個人信息主體對共享的明示同意。應(yīng)通過接入注：此種情形的示例，如產(chǎn)品或服務(wù)的過程中部署的收集個人信息的第三方插件，例如統(tǒng)計分析工具、軟件開發(fā)工具包SDK、調(diào)用地圖API接口；如果沒有公開其身份和各自的安全和法6.6.7.1同步告知指標(biāo)（5.7.4）共享環(huán)a)對于產(chǎn)品或服務(wù)中接入的直接向個人信息主體收集個人信息的第三方產(chǎn)品或服務(wù)（見6.6.6.1a)），應(yīng)在個人信息主體通過個人信息控制者的產(chǎn)品或服務(wù)進(jìn)入第三方產(chǎn)品或服務(wù)時同步告知或設(shè)置明顯標(biāo)識提示正在進(jìn)入第三方產(chǎn)品或服6.6.8.1選擇同意指標(biāo)（5.8.2）共享環(huán)6.6.8.2選擇退出指標(biāo)（5.8.3）共享環(huán)6.6.9.1查詢機(jī)制指標(biāo)（5.9.3）共享環(huán)6.6.9.2刪除機(jī)制指標(biāo)（5.9.6）共享環(huán)節(jié)個人信息控制者違反法律法規(guī)規(guī)定或違反與個人信息主體的約定向第三方共享個人信息，個人信息主體要求刪除的，應(yīng)立即停止共6.6.12.1第三方管理指標(biāo)（5.12.5）應(yīng)建立第三方產(chǎn)品或服務(wù)接入管理機(jī)制和工a)必要時應(yīng)建立事前安全檢測、安全審查或安全評估d)明確自身向個人信息主體公開第三方身份或類型，以及各自安全義務(wù)與責(zé)任的規(guī)6.6.13.1文件管理指標(biāo)（5.13.2）共享環(huán)節(jié)擴(kuò)展共享環(huán)節(jié)應(yīng)保留的證明合規(guī)性的文件包括但不c)有關(guān)共享的個人信息保護(hù)政策歷次版本、同步告知和選擇同意等的記錄或適當(dāng)證6.6.13.2安全審計指標(biāo)（5.13.3）共享環(huán)節(jié)擴(kuò)展a)應(yīng)在個人信息控制者的產(chǎn)品或服務(wù)和第三方的產(chǎn)品或服務(wù)的邊界啟用日志記錄功6.6.13.3安全影響評估指標(biāo)（5.13.4）共享環(huán)節(jié)計劃通過公開開放或協(xié)議開放API接口等方式允許個人信息共同控制者、個人信息處理品或服務(wù)間接獲取個人信息的，應(yīng)在首次開放前以及在此后定期進(jìn)行個人信息安全影響評第5章給出的法律合規(guī)性評估維度在個人信息轉(zhuǎn)讓環(huán)節(jié)均可以適示同意處理和合法利益公平處理之外也較少有合法性基礎(chǔ)能夠?yàn)閭€人信息的轉(zhuǎn)讓賦予確定服務(wù)的業(yè)務(wù)功能場景而僅將個人信息交易作為轉(zhuǎn)讓目的往往更容6.7.2.1合法性基礎(chǔ)維度/指標(biāo)（5.2.1）轉(zhuǎn)讓環(huán)注：通常極少有可適用的法直接為個人信息的轉(zhuǎn)讓賦予合法性基礎(chǔ)，基于明示同意處理、合同必要處理和合法利益公平處理可能是最為相關(guān)的。其中，收購、兼并、重組、破產(chǎn)等組織變更所導(dǎo)致的個人信息轉(zhuǎn)讓，通常可以視為是為實(shí)現(xiàn)個人信息控制者的合法利益而必要的，并且要求選擇同意可能導(dǎo)致收購、兼并、重組、破產(chǎn)等交易或組織變更很容易導(dǎo)致難以確定估值和交割等障礙，提供選擇退出機(jī)制并且確保后續(xù)的個人信息控制者按照原定方式履行原個人信息控制者的義務(wù)和責(zé)轉(zhuǎn)讓個人信息的主體、程序、類型和來源應(yīng)滿足主體合法指標(biāo)（見5.3.2）、程轉(zhuǎn)讓個人信息應(yīng)滿足目的明確維度（見5.4）的全部法律合規(guī)性評估指標(biāo)，在6.7.6.1信息充分指標(biāo)（5.6.2）轉(zhuǎn)讓環(huán)6.7.7.1政策告知指標(biāo)（5.7.2）轉(zhuǎn)讓環(huán)節(jié)因收購、兼并、重組導(dǎo)致個人信息控制者發(fā)生6.7.7.2同步告知指標(biāo)（5.7.4）轉(zhuǎn)讓環(huán)注：個人信息控制者破產(chǎn)清算且無承接方的，應(yīng)對個人信息進(jìn)行刪除，在完成刪除后應(yīng)通過同步告知主體同步告知轉(zhuǎn)讓個人信息的目的、數(shù)據(jù)接收方的身份以及可能產(chǎn)生知涉及的個人敏感信息類型、數(shù)據(jù)接收方的身份和數(shù)6.7.8.1選擇同意指標(biāo)（5.8.2）轉(zhuǎn)讓環(huán)6.7.8.2選擇退出指標(biāo)（5.8.3）轉(zhuǎn)讓環(huán)節(jié)6.7.9.1合法權(quán)益行使機(jī)制通用指標(biāo)（5.9.2）轉(zhuǎn)讓環(huán)節(jié)擴(kuò)a)個人信息控制者違反法律法規(guī)規(guī)定或違反與個人信息主體的約定向第三方轉(zhuǎn)讓個人信息，個人信息主體要求刪除的，應(yīng)立即停止轉(zhuǎn)讓并通知第三方及6.7.12.1合規(guī)管理體系指標(biāo)（5.12.2）轉(zhuǎn)讓環(huán)節(jié)6.7.13.1文件管理指標(biāo)（5.13.2）轉(zhuǎn)讓環(huán)節(jié)擴(kuò)展c)有關(guān)轉(zhuǎn)讓的個人信息保護(hù)政策歷次版本、同步告知和選擇同意等的記錄或適當(dāng)證6.7.13.2安全影響評估指標(biāo)（5.13.4）轉(zhuǎn)讓環(huán)節(jié)本章給出了向境外提供、傳輸和刪除等3類特殊的個人信息處理類型的法律合規(guī)性指標(biāo)擴(kuò)展要求。這些個人信息處理類型的特殊性是源于其通常不具有獨(dú)立性，而往往是作為一個個人信息處理生命周期中的終點(diǎn)（如刪除、停止運(yùn)營等）。這些特殊性使得第合規(guī)要求方面的特殊性，以及由此導(dǎo)致的在法律合規(guī)性評估中的主要第二個二級條標(biāo)題開始給出適用于該特定個人信息處理類型并且具有擴(kuò)展要求的法律外提供個人信息涉及共享、轉(zhuǎn)讓、存儲等環(huán)節(jié)時，適用第5章給出的法律合規(guī)性評估指7.2.2.1程序合法指標(biāo)（5.3.3）向境外提供7.2.2.2類型合法指標(biāo)（5.3.4）向境外提供7.2.3.1最小必要處理指標(biāo)（5.5.2）向境外提供a)跨境傳輸?shù)膫€人信息類型應(yīng)與跨境傳輸?shù)哪康幕驑I(yè)務(wù)功能具有直接7.2.4.1信息充分指標(biāo)（5.6.2）向境外提供的個人信息類型，接收或訪問個人信息的第三方類型，以及各自的安全和7.2.5.1同步告知指標(biāo)（5.7.4）向境外提供7.2.6.1選擇同意指標(biāo)（5.8.2）向境外提供7.2.6.2選擇退出指標(biāo)（5.8.3）向境外提供7.2.7.1文件管理指標(biāo)（5.13.2）向境外提供環(huán)節(jié)7.2.7.2安全影響評估指標(biāo)（5.13.4）向境外注：向境外提供個人信息時的安全影響評估的內(nèi)容，應(yīng)遵守可適用7.3.2.1安全保護(hù)能力指標(biāo)（5.11.2）傳a)通過公共網(wǎng)絡(luò)傳輸個人敏感信息，應(yīng)采用加密通道或數(shù)b)安全控制措施可包括采用安全傳輸通道、數(shù)據(jù)加密等措施；c)在傳輸或接受傳輸前，應(yīng)對通信雙方進(jìn)行身在法律合規(guī)性評估中對個人信息處理終止環(huán)節(jié)的關(guān)注點(diǎn)僅在于告知維度、安全保護(hù)維7.4.2.1事件告知指標(biāo)（5.7.3）終止7.4.3.1安全保護(hù)能力指標(biāo)（5.11.2）終7.4.4.1合規(guī)管理體系指標(biāo)（5.12.2）終4)用于個人信息處理的信息處理設(shè)施或信息系統(tǒng)被退出使7.4.5.1文件管理指標(biāo)（5.13.2）終止環(huán)節(jié)應(yīng)妥善留存終止個人信息處理時采取刪除、銷毀、匿名化等操作的相關(guān)日志或記錄。相對獨(dú)易于訪易于理易于閱5.7.2.2政策告5.7.2.3政策告5.7.2.4政策告知送達(dá)方式適當(dāng)性5.7.3.2事件告5.7.3.3事件告5.7.3.4事件告知送法方式適當(dāng)性5.7.4.2同步告知時機(jī)與內(nèi)容適5.7.4.3同步告5.7.4.4同步告知送達(dá)方式適當(dāng)性5.7.4.5免于同5.10.1質(zhì)量維度5.11.2安全保護(hù)5.11.3事件管理5.11.4數(shù)據(jù)最小5.12.2合規(guī)管理5.12.3共同控制5.12.4委托處理5.12.5第三方管5.13.2文件管理5.13.3安全審計5.13.4安全影響《民法典》第1036條所表明的，在必要時個人信息保護(hù)須讓位于公共利益和他人的合法利），公共利益處理或合法利益公平處理作為合法法定義務(wù)處理中的必要性，是指沒有該特定的個人信息處理，個人信息控制者和/或個人信息處理險業(yè)務(wù)監(jiān)管暫行辦法》（保監(jiān)發(fā)[2015]6但不具有可適用的法規(guī)定的反欺詐義務(wù)的個人信息控制者，為防止身份冒用或其他交易欺詐進(jìn)示例1：支付所得的單位或個人作為個人所得稅的扣繳義務(wù)人，為辦理預(yù)扣預(yù)繳或匯算清繳收集并向稅務(wù)機(jī)關(guān)提供公共利益處理中的必要性測試的關(guān)注點(diǎn)在于，個人信息處理是否的確是基于“具體的”和“迫切不意味著該合法性基礎(chǔ)與非公共機(jī)構(gòu)的個人信息控制者和/或個人信息處理者無關(guān)。除個人信息控制者和/或個人信息處理者本身作為可適用的法授權(quán)主體之外，許多可適用的法中通常規(guī)定了組織或個人為——個人信息控制是能夠提供相關(guān)和充分的理由和論業(yè)單位和其他組織以及個體工商戶和個人等作為統(tǒng)計調(diào)查對象，真實(shí)、準(zhǔn)確、完整、及時此，當(dāng)個人信息處理是統(tǒng)計機(jī)構(gòu)依據(jù)《統(tǒng)計法》規(guī)定的統(tǒng)計項(xiàng)目的需要進(jìn)行的，或者是注：根據(jù)《統(tǒng)計法》第25條的規(guī)定，統(tǒng)計調(diào)查中獲得的能夠識別或者和個人不得對外提供、泄露，不得用于統(tǒng)計以外的目的。因此，當(dāng)個人信息控制者和/或個人信息處理者對外機(jī)關(guān)、公安機(jī)關(guān)和有關(guān)軍事機(jī)關(guān)提供必要的支持和協(xié)助的一般性義務(wù)。當(dāng)個人信息控制者和/或個人信息處理者發(fā)現(xiàn)危害國家安全活動的線索或知悉涉及危害國家安全活動的證據(jù)時，以及被國家安全機(jī)關(guān)、公安機(jī)具體的國家安全工作提供便利條件、支持和協(xié)助時，才能視為產(chǎn)生向有權(quán)機(jī)關(guān)提供已經(jīng)收或者在具有法定權(quán)限的有權(quán)機(jī)關(guān)控制之下依法進(jìn)行的，可以構(gòu)成個人信息處理的合法性基礎(chǔ)。者被有權(quán)機(jī)關(guān)要求配合技術(shù)偵查措施，則需要在有權(quán)機(jī)關(guān)的要求采取偵查措施獲取的材料，只能用于對犯罪的偵查、起訴和審判，不得用于其他嫌疑人的存款、匯款、債券、股票、基金份額等財產(chǎn)，有關(guān)單位和個人應(yīng)當(dāng)配合。當(dāng)個人信息控制者和/或個人信息處肖像、指紋、虹膜圖像等人體生物識別信息和血液、尿液、脫落細(xì)胞等生物樣本，并留存其簽名。機(jī)構(gòu)報告是個人信息處理目的，所必要的個人信息處理包括提供。但在發(fā)現(xiàn)傳染病病人核患者的密切接觸者進(jìn)行檢查等；非結(jié)核病定點(diǎn)醫(yī)療機(jī)構(gòu)的職責(zé)包括負(fù)責(zé)結(jié)核病患者和疑似點(diǎn)醫(yī)療機(jī)構(gòu)和非定點(diǎn)醫(yī)療機(jī)構(gòu)在履行該法定職責(zé)時，需要進(jìn)行的個人信息處理是必要的，并且出地和轉(zhuǎn)入地結(jié)核病定點(diǎn)醫(yī)療機(jī)構(gòu)之間交換該患者的信息，以確保落實(shí)患者的治療和管理措施（第機(jī)構(gòu)應(yīng)當(dāng)對居家治療的肺結(jié)核患者進(jìn)行定期訪視、督導(dǎo)服藥等管理。但上述法定職責(zé)的必要重?fù)p害的重大傳染病疫情、群體性不明原因疾病、重大食物和職業(yè)中毒以及其他嚴(yán)發(fā)事件應(yīng)急報告制度。第40條規(guī)定了傳染病爆發(fā)、流行時，街道、鄉(xiāng)鎮(zhèn)以及居民委員會示例4：要求填寫個人健康申報表。收集聯(lián)防聯(lián)控所必需的個人信息，收集對象原則上限于確診者、疑似者、密切接觸者等重點(diǎn)人群，一般不針對特定地區(qū)的所有人群，防止形成對特定地域人群治收集的個人信息，不得用于其他用途。任何單位和個人未經(jīng)被收集者同意，不得公開姓名、年號碼、家庭住址等個人信息，因聯(lián)防聯(lián)控工作需要，且經(jīng)過脫敏處理的除外。鼓勵有能力的企業(yè)積極利用大數(shù)據(jù)，分析預(yù)測確診者、疑似者、密切接應(yīng)根據(jù)電信管理機(jī)構(gòu)的協(xié)調(diào)向其用戶發(fā)送公益性短信息，尤其是涉及自然災(zāi)害、事件預(yù)警和處置等應(yīng)急公益性短信息。自然災(zāi)害、事故災(zāi)難、公共衛(wèi)生事件和社會安全事件預(yù)B.3合同必要處理和最小必要維度中的必要性（直接關(guān)聯(lián)集目的（如產(chǎn)品或服務(wù)的業(yè)務(wù)功能）無法實(shí)現(xiàn)”。“如果沒有A，則B無法實(shí)現(xiàn)”表述的是必要條件，用基本業(yè)務(wù)功能必要信息規(guī)范》（v.1.0-201906））中得到了豐富的闡釋和發(fā)展。作為運(yùn)用在私法意思是否存在其他合法性基礎(chǔ)。當(dāng)然在考慮合同的最小必要時，也可以產(chǎn)品或服務(wù)基本業(yè)務(wù)功能及其必要的個人信息處理，可參考GB/T35273—2020附錄C.2和示例1：為了