(高清版)GB∕T 39335-2020 信息安全技術(shù) 個(gè)人信息安全影響評(píng)估指南

ICS35.040L80中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)信息安全技術(shù)個(gè)人信息安全影響評(píng)估指南I—G國(guó)家市場(chǎng)監(jiān)督管理總局國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)GB／T39335—2020前言 2規(guī)范性引用文件 3術(shù)語和定義 4評(píng)估原理 4.2開展評(píng)估的價(jià)值 4.3評(píng)估報(bào)告的用途 4.4評(píng)估責(zé)任主體 4.5評(píng)估基本原理 4.6評(píng)估實(shí)施需考慮的要素 5評(píng)估實(shí)施流程 5.1評(píng)估必要性分析 5.2評(píng)估準(zhǔn)備工作 5.3數(shù)據(jù)映射分析 5.4風(fēng)險(xiǎn)源識(shí)別 5.5個(gè)人權(quán)益影響分析 5.6安全風(fēng)險(xiǎn)綜合分析 5.8風(fēng)險(xiǎn)處置和持續(xù)改進(jìn) 5.9制定報(bào)告發(fā)布策略 附錄A（資料性附錄）評(píng)估性合規(guī)的示例及評(píng)估要點(diǎn) 附錄B（資料性附錄）高風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)示例 附錄C（資料性附錄）個(gè)人信息安全影響評(píng)估常用工具表 附錄D（資料性附錄）個(gè)人信息安全影響評(píng)估參考方法 參考文獻(xiàn) GB／T39335—2020本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專利的責(zé)任。本標(biāo)準(zhǔn)由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)(SAC/TC260)提出并歸口。本標(biāo)準(zhǔn)起草單位：中國(guó)電子技術(shù)標(biāo)準(zhǔn)化研究院、四川大學(xué)、頤信科技有限公司、深圳市騰訊計(jì)算機(jī)系統(tǒng)有限公司、華為技術(shù)有限公司、全知科技（杭州）有限責(zé)任公司、北京騰云天下科技有限公司、國(guó)家金融IC卡安全檢測(cè)中心、強(qiáng)韻數(shù)據(jù)科技有限公司、中國(guó)信息通信研究院、北京信息安全測(cè)評(píng)中心、聯(lián)想（北京）有限公司、清華大學(xué)、阿里巴巴（北京）軟件服務(wù)有限公司、中國(guó)軟件評(píng)測(cè)中心、浙江螞蟻小微金融服務(wù)集團(tuán)股份有限公司、陜西省網(wǎng)絡(luò)與信息安全測(cè)評(píng)中心。本標(biāo)準(zhǔn)主要起草人：洪延青、何延哲、胡影、高強(qiáng)裔、陳湘、趙冉冉、劉賢剛、皮山杉、黃勁、葛夢(mèng)瑩、Ⅰ1GB／T39335—2020信息安全技術(shù)個(gè)人信息安全影響評(píng)估指南本標(biāo)準(zhǔn)給出了個(gè)人信息安全影響評(píng)估的基本原理、實(shí)施流程。本標(biāo)準(zhǔn)適用于各類組織自行開展個(gè)人信息安全影響評(píng)估工作，同時(shí)可為主管監(jiān)管部門、第三方測(cè)評(píng)機(jī)構(gòu)等組織開展個(gè)人信息安全監(jiān)督、檢查、評(píng)估等工作提供參考。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T20984信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/T25069—2010信息安全技術(shù)術(shù)語GB/T35273—2020信息安全技術(shù)個(gè)人信息安全規(guī)范3術(shù)語和定義GB/T25069—2010、GB/T35273—2020界定的以及下列術(shù)語和定義適用于本文件。3.1個(gè)人信息以電子或者其他方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識(shí)別特定自然人身份或者反映特定自然人活動(dòng)情況的各種信息。[GB/T35273—2020,定義3.1]3.2個(gè)人敏感信息一旦泄露、非法提供或?yàn)E用可能危害人身和財(cái)產(chǎn)安全，極易導(dǎo)致個(gè)人名譽(yù)、身心健康受到損害或歧視性待遇等的個(gè)人信息。[GB/T35273—2020,定義3.2]3.3個(gè)人信息主體個(gè)人信息所標(biāo)識(shí)或者關(guān)聯(lián)的自然人。[GB/T35273—2020,定義3.3]3.4個(gè)人信息安全影響評(píng)估針對(duì)個(gè)人信息處理活動(dòng)，檢驗(yàn)其合法合規(guī)程度，判斷其對(duì)個(gè)人信息主體合法權(quán)益造成損害的各種風(fēng) 險(xiǎn)，以及評(píng)估用于保護(hù)個(gè)人信息主體的各項(xiàng)措施有效性的過程。2GB／T39335—20204評(píng)估原理個(gè)人信息安全影響評(píng)估旨在發(fā)現(xiàn)、處置和持續(xù)監(jiān)控個(gè)人信息處理過程中對(duì)個(gè)人信息主體合法權(quán)益造成不利影響的風(fēng)險(xiǎn)。4.2開展評(píng)估的價(jià)值實(shí)施個(gè)人信息安全影響評(píng)估，能夠有效加強(qiáng)對(duì)個(gè)人信息主體權(quán)益的保護(hù)，有利于組織對(duì)外展示其保護(hù)個(gè)人信息安全的努力，提升透明度，增進(jìn)個(gè)人信息主體對(duì)其的信任。包括：a)在開展個(gè)人信息處理前，組織可通過影響評(píng)估，識(shí)別可能導(dǎo)致個(gè)人信息主體權(quán)益遭受損害的風(fēng)險(xiǎn)，并據(jù)此采用適當(dāng)?shù)膫€(gè)人信息安全控制措施。b)對(duì)于正在開展的個(gè)人信息處理，組織可通過影響評(píng)估，綜合考慮內(nèi)外部因素的變化情況，持續(xù)修正已采取的個(gè)人信息安全控制措施，確保對(duì)個(gè)人合法權(quán)益不利影響的風(fēng)險(xiǎn)處于總體可控的狀態(tài)。c)個(gè)人信息安全影響評(píng)估及其形成的記錄文檔，可幫助組織在政府、相關(guān)機(jī)構(gòu)或商業(yè)伙伴的調(diào)查、執(zhí)法、合規(guī)性審計(jì)等中，證明其遵守了個(gè)人信息保護(hù)與數(shù)據(jù)安全等方面的法律、法規(guī)和標(biāo)準(zhǔn)的要求。d)在發(fā)生個(gè)人信息安全事件時(shí)，個(gè)人信息安全影響評(píng)估及其形成的記錄文檔，可用于證明組織已經(jīng)主動(dòng)評(píng)估風(fēng)險(xiǎn)并采取一定的安全保護(hù)措施，有助于減輕、甚至免除組織相關(guān)責(zé)任和名譽(yù)損失。e)組織可通過個(gè)人信息安全影響評(píng)估，加強(qiáng)對(duì)員工的個(gè)人信息安全教育。參與評(píng)估之中，員工能熟悉各種個(gè)人信息安全風(fēng)險(xiǎn)，增強(qiáng)處置風(fēng)險(xiǎn)的能力。f)對(duì)合作伙伴，組織通過評(píng)估的實(shí)際行動(dòng)表明其嚴(yán)肅對(duì)待個(gè)人信息安全保護(hù)，并引導(dǎo)其能夠采取適當(dāng)?shù)陌踩刂拼胧?，以達(dá)到同等或類似的安全保護(hù)水平。4.3評(píng)估報(bào)告的用途個(gè)人信息安全影響評(píng)估報(bào)告的內(nèi)容主要包括：評(píng)估所覆蓋的業(yè)務(wù)場(chǎng)景、業(yè)務(wù)場(chǎng)景所涉及的具體的個(gè)人信息處理活動(dòng)、負(fù)責(zé)及參與的部門和人員、已識(shí)別的風(fēng)險(xiǎn)、已采用及擬采用的安全控制措施清單、剩余風(fēng)險(xiǎn)等。因此，個(gè)人信息安全影響評(píng)估報(bào)告的用途包括但不限于：a)對(duì)于個(gè)人信息主體，評(píng)估報(bào)告可確保個(gè)人信息主體了解其個(gè)人信息被如何處理、如何保護(hù)，并使個(gè)人信息主體能夠判斷是否有剩余風(fēng)險(xiǎn)尚未得到處置。b)對(duì)于開展影響評(píng)估的組織，評(píng)估報(bào)告的用途可能包括：1)在產(chǎn)品、服務(wù)或項(xiàng)目的規(guī)劃階段，用于確保在產(chǎn)品或服務(wù)的設(shè)計(jì)中充分考慮并實(shí)現(xiàn)個(gè)人信息的保護(hù)要求（例如，安全機(jī)制的可實(shí)現(xiàn)性、可行性、可追蹤性等2)在產(chǎn)品、服務(wù)或項(xiàng)目的運(yùn)營(yíng)過程中，用于判斷運(yùn)營(yíng)的內(nèi)外部因素（例如運(yùn)營(yíng)團(tuán)隊(duì)的變動(dòng)、互聯(lián)網(wǎng)安全環(huán)境、信息共享的第三方安全控制能力等）、法律法規(guī)是否發(fā)生實(shí)質(zhì)變更，是否需要對(duì)影響評(píng)估結(jié)果進(jìn)行審核和修正；3)用于建立責(zé)任制度，監(jiān)督發(fā)現(xiàn)存在安全風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)是否已采取安全保護(hù)措施，改善或消除已識(shí)別的風(fēng)險(xiǎn)；4)用于提升內(nèi)部員工的個(gè)人信息安全意識(shí)。c)對(duì)于主管監(jiān)管部門，要求組織提供個(gè)人信息安全影響評(píng)估報(bào)告，可督促組織開展評(píng)估并采取有3GB／T39335—2020效的安全控制措施。在處理個(gè)人信息安全相關(guān)投訴、調(diào)查個(gè)人信息安全事件等時(shí)，主管監(jiān)管部門可通過影響評(píng)估報(bào)告了解相關(guān)情況，或?qū)?bào)告作為相關(guān)證據(jù)。d)對(duì)于開展影響評(píng)估的組織的合作伙伴，用于整體了解其在業(yè)務(wù)場(chǎng)景中的角色和作用，以及其應(yīng)具體承擔(dān)的個(gè)人信息保護(hù)工作和責(zé)任。4.4評(píng)估責(zé)任主體組織指定個(gè)人信息安全影響評(píng)估的責(zé)任部門或責(zé)任人員，由其負(fù)責(zé)個(gè)人信息安全影響評(píng)估工作流程的制定、實(shí)施、改進(jìn)，并對(duì)個(gè)人信息安全影響評(píng)估工作結(jié)果的質(zhì)量負(fù)責(zé)。該責(zé)任部門或人員具有獨(dú)立性，不受到被評(píng)估方的影響。通常，組織內(nèi)部牽頭執(zhí)行個(gè)人信息安全影響評(píng)估工作的部門為法務(wù)部門、合規(guī)部門或信息安全部門。組織內(nèi)的責(zé)任部門可根據(jù)部門的具體能力配備情況，選擇自行開展個(gè)人信息安全影響評(píng)估工作，或聘請(qǐng)外部獨(dú)立第三方來承擔(dān)具體的個(gè)人信息安全影響評(píng)估工作。對(duì)于具體的產(chǎn)品、服務(wù)或項(xiàng)目，由相應(yīng)的產(chǎn)品、服務(wù)或項(xiàng)目負(fù)責(zé)人確保個(gè)人信息安全影響評(píng)估活動(dòng)的開展和順利進(jìn)行，并給予相應(yīng)支持。當(dāng)由組織自行進(jìn)行個(gè)人信息安全影響評(píng)估時(shí)，主管監(jiān)管部門和客戶可要求獨(dú)立審計(jì)來核證影響評(píng)估活動(dòng)的合理性和完備性。同時(shí)，該組織允許主管監(jiān)管部門對(duì)影響評(píng)估流程以及相關(guān)信息系統(tǒng)或程序進(jìn)行取證。4.5評(píng)估基本原理個(gè)人信息安全影響評(píng)估的基本原理如圖1。圖1評(píng)估原理示意圖開展評(píng)估前，需對(duì)待評(píng)估的對(duì)象（可為某項(xiàng)產(chǎn)品、某類業(yè)務(wù)、某項(xiàng)具體合作等）進(jìn)行全面的調(diào)研，形成清晰的數(shù)據(jù)清單及數(shù)據(jù)映射圖表(并梳理出待評(píng)估的具體的個(gè)人信息處理活動(dòng)。開展評(píng)估時(shí)，通過分析個(gè)人信息處理活動(dòng)對(duì)個(gè)人信息主體的權(quán)益可能造成的影響及其程度，以及分析安全措施是否有效、是否會(huì)導(dǎo)致安全事件發(fā)生及其可能性，綜合兩方面結(jié)果得出個(gè)人信息處理活動(dòng)的安全風(fēng)險(xiǎn)及風(fēng)險(xiǎn)等級(jí)，并提出相應(yīng)的改進(jìn)建議，形成評(píng)估報(bào)告。4.6評(píng)估實(shí)施需考慮的要素個(gè)人信息安全影響評(píng)估的規(guī)模往往取決于受到影響的個(gè)人信息主體范圍、數(shù)量和受影響的程度。通常，組織在實(shí)施該類個(gè)人信息安全影響評(píng)估時(shí)，個(gè)人信息的類型、敏感程度、數(shù)量，涉及個(gè)人信息主體4GB／T39335—2020的范圍和數(shù)量，以及能訪問個(gè)人信息的人員范圍等，都會(huì)成為影響評(píng)估規(guī)模的重要因素。評(píng)估實(shí)施過程中采用的基本評(píng)估方法，包括但不限于以下三種：a)訪談：指評(píng)估人員對(duì)相關(guān)人員進(jìn)行談話，以對(duì)信息系統(tǒng)中個(gè)人信息的處理、保護(hù)措施設(shè)計(jì)和實(shí)施情況進(jìn)行了解、分析和取證的過程。訪談的對(duì)象包括產(chǎn)品經(jīng)理、研發(fā)工程師、個(gè)人信息保護(hù)負(fù)責(zé)人、法務(wù)負(fù)責(zé)人員、系統(tǒng)架構(gòu)師、安全管理員、運(yùn)維人員、人力資源人員和系統(tǒng)用戶等。b)檢查：指評(píng)估人員通過對(duì)管理制度、安全策略和機(jī)制、合同協(xié)議、安全配置和設(shè)計(jì)文檔、運(yùn)行記錄等進(jìn)行觀察、查驗(yàn)、分析，以便理解、分析或取得證據(jù)的過程。檢查的對(duì)象為規(guī)范、機(jī)制和活動(dòng)，如個(gè)人信息保護(hù)策略規(guī)劃和程序、系統(tǒng)的設(shè)計(jì)文檔和接口規(guī)范、應(yīng)急規(guī)劃演練結(jié)果、事件響應(yīng)活動(dòng)、技術(shù)手冊(cè)和用戶／管理員指南、信息系統(tǒng)的硬件／軟件中信息技術(shù)機(jī)制的運(yùn)行等。c)測(cè)試：指評(píng)估人員通過人工或自動(dòng)化安全測(cè)試工具進(jìn)行技術(shù)測(cè)試，獲得相關(guān)信息，并進(jìn)行分析以便獲取證據(jù)的過程。測(cè)試的對(duì)象為安全控制機(jī)制，如訪問控制、身份識(shí)別和驗(yàn)證、安全審計(jì)機(jī)制、傳輸鏈路和保存加密機(jī)制、對(duì)重要事件進(jìn)行持續(xù)監(jiān)控、測(cè)試事件響應(yīng)能力以及應(yīng)急規(guī)劃演練能力等。從實(shí)施主體來區(qū)分，個(gè)人信息安全影響評(píng)估分為自評(píng)估和檢查評(píng)估兩種形式。自評(píng)估是指組織自行發(fā)起對(duì)其個(gè)人信息處理行為的評(píng)估，自評(píng)估可以由本組織指定專門負(fù)責(zé)評(píng)估、審計(jì)的崗位或角色開展，也可以委托外部專業(yè)組織開展評(píng)估工作。檢查評(píng)估是指組織的上級(jí)組織發(fā)起的個(gè)人信息安全影響評(píng)估工作。上級(jí)組織是對(duì)組織有直接領(lǐng)導(dǎo)關(guān)系或負(fù)有監(jiān)督管理責(zé)任的組織。檢查評(píng)估也可以委托外部專業(yè)組織開展評(píng)估。在確定評(píng)估規(guī)模，選定評(píng)估方法、評(píng)估工作形式后，評(píng)估實(shí)施的具體流程可參照第5章內(nèi)容。5評(píng)估實(shí)施流程5.1評(píng)估必要性分析個(gè)人信息安全影響評(píng)估可用于合規(guī)差距分析，也可以用于合規(guī)之上、進(jìn)一步提升自身安全風(fēng)險(xiǎn)管理能力和安全水平的目的。因此啟動(dòng)個(gè)人信息安全影響評(píng)估的必要性，取決于組織的個(gè)人信息安全目標(biāo)，組織可根據(jù)實(shí)際的需求選取需要啟動(dòng)評(píng)估的業(yè)務(wù)場(chǎng)景。當(dāng)組織定義的個(gè)人信息安全目標(biāo)為符合相關(guān)法律、法規(guī)或標(biāo)準(zhǔn)的基線要求時(shí)，則個(gè)人信息安全影響評(píng)估主要目的在于識(shí)別待評(píng)估的具體個(gè)人信息處理活動(dòng)已采取的安全控制措施，與相關(guān)法律、法規(guī)或標(biāo)準(zhǔn)的具體要求之間的差距，例如在某業(yè)務(wù)場(chǎng)景中與第三方共享個(gè)人信息，是否取得了個(gè)人信息主體的明示同意。組織可根據(jù)所適用的個(gè)人信息保護(hù)相關(guān)法律、法規(guī)、政策及標(biāo)準(zhǔn)，分析特定產(chǎn)品或服務(wù)所涉及的全部個(gè)人信息處理活動(dòng)與所適用規(guī)則的差距。該評(píng)估方式的應(yīng)用場(chǎng)景包括但不限于以下情形：5GB／T39335—2020a)產(chǎn)品或服務(wù)的年度整體評(píng)估；b)新產(chǎn)品或新服務(wù)（不限技術(shù)平臺(tái)）設(shè)計(jì)階段評(píng)估；c)新產(chǎn)品或新服務(wù)（不限技術(shù)平臺(tái)）上線初次評(píng)估；d)法律法規(guī)、政策、標(biāo)準(zhǔn)等出現(xiàn)重大變化時(shí)重新評(píng)估；e)業(yè)務(wù)模式、互聯(lián)網(wǎng)安全環(huán)境、外部環(huán)境等發(fā)生重大變化的重新評(píng)估；f)發(fā)生重大個(gè)人信息安全事件后重新評(píng)估；組織可根據(jù)所適用的個(gè)人信息保護(hù)相關(guān)法律、法規(guī)、政策及標(biāo)準(zhǔn)，對(duì)特定產(chǎn)品或服務(wù)所涉及的部分個(gè)人信息處理活動(dòng)與所適用規(guī)則的差距進(jìn)行分析。該評(píng)估方式的應(yīng)用場(chǎng)景包括但不限于以下情形：a)新增功能需要收集新的個(gè)人信息類型時(shí)的評(píng)估；c)業(yè)務(wù)模式、信息系統(tǒng)、運(yùn)行環(huán)境等發(fā)生變化時(shí)評(píng)估。部分個(gè)人信息保護(hù)相關(guān)的法律、法規(guī)、標(biāo)準(zhǔn)的規(guī)定提出了評(píng)估性合規(guī)要求。這類規(guī)定并沒有針對(duì)特定的個(gè)人信息處理活動(dòng)提出明確、具體的安全控制措施，而是要求組織針對(duì)特定個(gè)人信息處理活動(dòng)，專門開展風(fēng)險(xiǎn)評(píng)估，并采取與風(fēng)險(xiǎn)程度相適應(yīng)的安全控制措施，將對(duì)個(gè)人信息主體合法權(quán)益不利影響的風(fēng)險(xiǎn)降低到可接受的程度，才符合其規(guī)定。評(píng)估性合規(guī)要求往往針對(duì)的是對(duì)個(gè)人權(quán)益有重大影響的個(gè)人信息處理活動(dòng)，例如處理個(gè)人敏感信息、使用自動(dòng)化決策方式處理個(gè)人信息、委托處理個(gè)人信息、向第三方轉(zhuǎn)讓或共享個(gè)人信息、公開披露個(gè)人信息、向境外轉(zhuǎn)移個(gè)人信息等。針對(duì)此類規(guī)定，組織可使用本指南提供的個(gè)人信息安全影響評(píng)估方法進(jìn)行評(píng)估，保證個(gè)人信息處理活動(dòng)的安全風(fēng)險(xiǎn)可控，以符合相應(yīng)的法律、法規(guī)、標(biāo)準(zhǔn)的要求。注：評(píng)估性合規(guī)要求分析示例及具體評(píng)估要點(diǎn)可參考附錄A。出于審慎經(jīng)營(yíng)、聲譽(yù)維護(hù)、品牌建立等目的，組織往往選取可能對(duì)個(gè)人合法權(quán)益產(chǎn)生高風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)，開展盡責(zé)性風(fēng)險(xiǎn)評(píng)估。此種風(fēng)險(xiǎn)評(píng)估的目標(biāo)，是在符合相關(guān)法律、法規(guī)和標(biāo)準(zhǔn)的基線要求之上，盡可能降低對(duì)個(gè)人信息主體合法權(quán)益的不利影響。注：高風(fēng)險(xiǎn)個(gè)人信息處理活動(dòng)示例可參考附錄B。組織可使用本標(biāo)準(zhǔn)提供的個(gè)人信息安全影響評(píng)估方法，對(duì)高風(fēng)險(xiǎn)個(gè)人信息處理活動(dòng)進(jìn)行評(píng)估，進(jìn)一步降低個(gè)人信息處理活動(dòng)的安全風(fēng)險(xiǎn)。5.2評(píng)估準(zhǔn)備工作組織確認(rèn)并任命負(fù)責(zé)進(jìn)行個(gè)人信息安全影響評(píng)估的人員（評(píng)估人）。此外，組織還要指定人員負(fù)責(zé)簽署評(píng)估報(bào)告。評(píng)估人明確規(guī)定個(gè)人信息安全影響評(píng)估報(bào)告的提交對(duì)象、個(gè)人信息安全影響評(píng)估的時(shí)間段、是否會(huì)公布評(píng)估報(bào)告或其摘要。如有必要評(píng)估人需申請(qǐng)團(tuán)隊(duì)支持，例如由技術(shù)部門、相關(guān)業(yè)務(wù)部門及法律部門的代表構(gòu)成的團(tuán)隊(duì)。組織內(nèi)部個(gè)人信息安全影響評(píng)估需要組織管理層給予長(zhǎng)期支持。6GB／T39335—2020管理層需為個(gè)人信息安全影響評(píng)估團(tuán)隊(duì)配置必要資源。計(jì)劃需清楚規(guī)定完成個(gè)人信息安全影響評(píng)估報(bào)告所進(jìn)行的工作、評(píng)估任務(wù)分工、評(píng)估計(jì)劃表。此外，計(jì)劃還需考慮到待評(píng)估場(chǎng)景中止或撤銷的情況。具體操作時(shí)考慮以下方面：人員、技能、經(jīng)驗(yàn)及能力；b)執(zhí)行各項(xiàng)任務(wù)所需時(shí)間；c)進(jìn)行評(píng)估每一步驟所需資源，如自動(dòng)化的評(píng)估工具等。注：涉及的場(chǎng)景復(fù)雜、耗用資源多時(shí)，建議對(duì)原有方案進(jìn)行更新迭代，針對(duì)常規(guī)評(píng)估活動(dòng)或涉及待評(píng)估場(chǎng)景復(fù)雜度低等情形時(shí)，可沿用原有計(jì)劃或簡(jiǎn)化該步驟。如涉及相關(guān)方咨詢，計(jì)劃需說明在何種情況下需要咨詢相關(guān)方、將咨詢哪些人員以及具體的咨詢方式（例如通過公眾意見調(diào)查、研討會(huì)、焦點(diǎn)小組、公眾聽證會(huì)、線上體驗(yàn)等等）。5.2.3確定評(píng)估對(duì)象和范圍從以下三個(gè)方面描述評(píng)估的對(duì)象和范圍：a)描述系統(tǒng)基本信息，包括但不限于：1)處理個(gè)人信息的目的和類型；2)對(duì)支撐當(dāng)前或未來業(yè)務(wù)流程的信息系統(tǒng)的描述；3)履行信息系統(tǒng)管理職責(zé)的部門或相關(guān)人員，以及其職責(zé)或履行水平；4)關(guān)于個(gè)人信息處理方式、處理范圍的說明、有權(quán)訪問個(gè)人信息的角色等；5)如預(yù)計(jì)委托第三方處理，或與第三方共享、轉(zhuǎn)讓信息系統(tǒng)的個(gè)人信息，說明上述第三方身份、第三方接入信息系統(tǒng)的情況等。b)描述系統(tǒng)設(shè)計(jì)信息，包括但不限于：2)物理結(jié)構(gòu)概覽；3)包含個(gè)人信息的信息系統(tǒng)數(shù)據(jù)庫、表格和字段的清單和結(jié)構(gòu)；4)按組件和接口劃分的數(shù)據(jù)流示意圖；5)個(gè)人信息生命周期的數(shù)據(jù)流示意圖，例如個(gè)人信息的收集、存儲(chǔ)、使用和共享等；6)描述通知個(gè)人信息主體的時(shí)間節(jié)點(diǎn)以及取得個(gè)人信息主體同意的時(shí)間節(jié)點(diǎn)和工作流程圖；7)可對(duì)外傳輸個(gè)人信息的接口清單；8)個(gè)人信息處理過程中的安全措施。c)描述處理流程和程序信息，包括但不限于：1)信息系統(tǒng)的身份與用戶管理概念；2)操作概念，包括信息系統(tǒng)或其中部分結(jié)構(gòu)采用現(xiàn)場(chǎng)運(yùn)行、外部托管，或云外包的方式；3)支持概念，包括列示可訪問個(gè)人信息的第三方范圍、其所擁有的個(gè)人信息訪問權(quán)限、其可訪問個(gè)人信息的位置等；4)記錄概念，包括已登入信息的保存計(jì)劃；5)備份與恢復(fù)計(jì)劃；6)元數(shù)據(jù)的保護(hù)與管理；7)數(shù)據(jù)保存與刪除計(jì)劃及存儲(chǔ)介質(zhì)的處置。5.2.4制定相關(guān)方咨詢計(jì)劃相關(guān)方包括但不限于：7GB／T39335—2020—員工，例如人力資源、法律、信息安全、財(cái)務(wù)、業(yè)務(wù)運(yùn)營(yíng)職能、通信與內(nèi)部審計(jì)（尤其是在監(jiān)管環(huán)境下）相關(guān)人員；—個(gè)人信息主體和消費(fèi)者代表；—分包商和業(yè)務(wù)合作伙伴；—系統(tǒng)開發(fā)和運(yùn)維人員；—對(duì)于評(píng)估有相應(yīng)擔(dān)憂的其他組織人員。為保證評(píng)估流程的透明，實(shí)現(xiàn)降低安全風(fēng)險(xiǎn)的目標(biāo)，評(píng)估人需詳細(xì)確認(rèn)進(jìn)入評(píng)估程序的內(nèi)部或外部相關(guān)方。相關(guān)方與待評(píng)估的個(gè)人信息處理活動(dòng)具有直接的利益關(guān)系，相關(guān)方可以是擁有或可能獲取個(gè)人信息訪問權(quán)限的組織或個(gè)人。評(píng)估人需確認(rèn)相關(guān)方的分類，然后具體確認(rèn)各類相關(guān)方中的特定組織或個(gè)人。如果相關(guān)方為個(gè)人，則該個(gè)人宜盡可能具有代表性。個(gè)人信息的范圍與規(guī)模，以及業(yè)務(wù)重要性、成本收益等因素，對(duì)于確定恰當(dāng)?shù)南嚓P(guān)方非常重要。如對(duì)大型個(gè)人信息處理活動(dòng)進(jìn)行評(píng)估，則可能存在較多相關(guān)方。在這種情況下，社會(huì)團(tuán)體（如消費(fèi)者權(quán)益保護(hù)組織）可能被確認(rèn)為相關(guān)方。相反，一些小型評(píng)估，可能不需要確認(rèn)寬泛的相關(guān)方清單。制定咨詢計(jì)劃需明確不同的相關(guān)方所受的影響、后果（如果已知）以及所采取的用于降低不利影響的安全控制措施等相關(guān)問題。計(jì)劃中還包含咨詢范圍及計(jì)劃表。咨詢計(jì)劃的目標(biāo)包括但不限于：a)確定相關(guān)方的數(shù)量與范圍；b)相關(guān)方參與識(shí)別并評(píng)估個(gè)人權(quán)益影響及安全風(fēng)險(xiǎn)的具體方式；注：相關(guān)方的反饋意見所提出的問題可能與主觀風(fēng)險(xiǎn)認(rèn)識(shí)有關(guān)，而非客觀實(shí)際風(fēng)險(xiǎn)，但不能忽略這些意見，組織可將這些意見放在更廣泛的相關(guān)方管理問題中進(jìn)行處理，為交流活動(dòng)提供幫助。c)就評(píng)估報(bào)告咨詢相關(guān)方意見，以確認(rèn)報(bào)告是否充分反映他們對(duì)有關(guān)問題的關(guān)注。組織在開展個(gè)人信息安全影響評(píng)估時(shí)，可以督促適當(dāng)?shù)南嚓P(guān)方（主要包括分包商和業(yè)務(wù)合作伙伴）開展個(gè)人信息安全影響評(píng)估。適當(dāng)?shù)南嚓P(guān)方有義務(wù)開展個(gè)人信息安全影響評(píng)估，或者配合組織開展個(gè)人信息安全影響評(píng)估，組織可以引用相關(guān)方的個(gè)人信息安全影響評(píng)估報(bào)告作為咨詢結(jié)果。5.3數(shù)據(jù)映射分析組織在針對(duì)個(gè)人信息處理過程進(jìn)行全面的調(diào)研后，形成清晰的數(shù)據(jù)清單及數(shù)據(jù)映射圖表。數(shù)據(jù)映射分析階段需結(jié)合個(gè)人信息處理的具體場(chǎng)景。調(diào)研內(nèi)容包括個(gè)人信息收集、存儲(chǔ)、使用、轉(zhuǎn)讓、共享、刪除等環(huán)節(jié)涉及的個(gè)人信息類型、處理目的、具體實(shí)現(xiàn)方式等，以及個(gè)人信息處理過程涉及的資源（如內(nèi)部信息系統(tǒng)）和相關(guān)方（如個(gè)人信息處理者、平臺(tái)經(jīng)營(yíng)者、外部服務(wù)供應(yīng)商、云服務(wù)商等第三方）。調(diào)研過程中盡可能考慮已下線系統(tǒng)、系統(tǒng)數(shù)據(jù)合并、企業(yè)收購、并購及全球化擴(kuò)張等情況。梳理數(shù)據(jù)映射分析的結(jié)果時(shí)，根據(jù)個(gè)人信息的類型、敏感程度、收集場(chǎng)景、處理方式、涉及相關(guān)方等要素，對(duì)個(gè)人信息處理活動(dòng)進(jìn)行分類，并描述每類個(gè)人信息處理活動(dòng)的具體情形，便于后續(xù)分類進(jìn)行影響分析和風(fēng)險(xiǎn)評(píng)價(jià)。注：開展數(shù)據(jù)映射分析，可參考附錄C中表C.1和表C.2。5.4風(fēng)險(xiǎn)源識(shí)別風(fēng)險(xiǎn)源識(shí)別是為了分析個(gè)人信息處理活動(dòng)面臨哪些威脅源，是否缺乏足夠的安全措施，導(dǎo)致存在脆弱性而引發(fā)安全事件。決定個(gè)人信息安全事件發(fā)生的要素很多，就威脅源而言，有內(nèi)部威脅源，也有外部威脅源，有惡意人員導(dǎo)致的數(shù)據(jù)被竊取等事件，也有非惡意人員無意中導(dǎo)致的數(shù)據(jù)泄露等事件；就脆弱性而言，有物理環(huán)境影響導(dǎo)致的數(shù)據(jù)毀損，有技術(shù)因素導(dǎo)致的數(shù)據(jù)泄露、篡改、丟失等事件，也有管理不當(dāng)引起的濫用等事件。8GB／T39335—2020GB/T20984中所描述的威脅識(shí)別和脆弱性識(shí)別方法均可用于對(duì)個(gè)人信息安全事件的分析過程。為進(jìn)一步簡(jiǎn)化個(gè)人信息安全事件可能性的分析過程，將與個(gè)人信息安全事件可能性相關(guān)的要素歸納為以下四個(gè)方面：a)網(wǎng)絡(luò)環(huán)境和技術(shù)措施。評(píng)估時(shí)關(guān)注的要素包括但不限于：1)處理個(gè)人信息的信息系統(tǒng)所處網(wǎng)絡(luò)環(huán)境為內(nèi)部網(wǎng)絡(luò)還是互聯(lián)網(wǎng)，不同的網(wǎng)絡(luò)環(huán)境其面臨的威脅源不同，連接互聯(lián)網(wǎng)的信息系統(tǒng)面臨的風(fēng)險(xiǎn)更高；2)處理個(gè)人信息的信息系統(tǒng)與其他系統(tǒng)的交互方式，比如是否采用網(wǎng)絡(luò)接口進(jìn)行數(shù)據(jù)交互，是否嵌入可收集個(gè)人信息的第三方代碼、插件等，通常情況下數(shù)據(jù)交互越多，需采取更加全面的安全措施防止信息泄露、竊取等風(fēng)險(xiǎn)；3)個(gè)人信息處理過程中是否實(shí)施嚴(yán)格的身份鑒別、訪問控制等措施；4)是否在網(wǎng)絡(luò)邊界部署了邊界防護(hù)設(shè)備，配置了嚴(yán)格的邊界防護(hù)策略，實(shí)施了數(shù)據(jù)防泄露技術(shù)措施；5)是否監(jiān)測(cè)和記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)，是否標(biāo)記、分析個(gè)人信息在內(nèi)部或與第三方交互時(shí)的狀態(tài)，及時(shí)發(fā)現(xiàn)異常流量和違規(guī)使用情況；6)是否采取了防范病毒和木馬后門攻擊、端口掃描、拒絕服務(wù)攻擊等網(wǎng)絡(luò)入侵行為的技術(shù)措施；7)是否采用加密傳輸、加密存儲(chǔ)等措施對(duì)個(gè)人敏感信息進(jìn)行額外保護(hù)；8)是否對(duì)個(gè)人信息收集、保存、傳輸、使用、共享等各階段的個(gè)人信息處理活動(dòng)進(jìn)行審計(jì)，并對(duì)異常操作行為進(jìn)行報(bào)警；9)是否建立了完備的網(wǎng)絡(luò)安全事件預(yù)警、應(yīng)急處置、報(bào)告機(jī)制；10)是否對(duì)信息系統(tǒng)進(jìn)行定期安全檢查、評(píng)估、滲透測(cè)試，并及時(shí)進(jìn)行補(bǔ)丁更新和安全加固；11)是否對(duì)數(shù)據(jù)存儲(chǔ)介質(zhì)加強(qiáng)安全管理，是否具備對(duì)數(shù)據(jù)進(jìn)行備份和恢復(fù)的能力；12)其他必要的網(wǎng)絡(luò)安全技術(shù)保障措施。注1：如果組織參照其他網(wǎng)絡(luò)安全、數(shù)據(jù)安全相關(guān)國(guó)家標(biāo)準(zhǔn)建立成熟的安全防護(hù)體系，可基于其已有基礎(chǔ)進(jìn)行分析評(píng)估。b)個(gè)人信息處理流程。評(píng)估時(shí)關(guān)注的要素包括但不限于：1)個(gè)人敏感信息的判定是否準(zhǔn)確；2)收集個(gè)人信息的目的是否正當(dāng)、合法；3)從第三方獲得的數(shù)據(jù)是否得到正式的處理授權(quán)；4)告知方式和告知的內(nèi)容是否友好可達(dá)，是否所有的處理活動(dòng)都征得了用戶同意；5)是否定義了個(gè)人信息最小元素集，是否超范圍收集了個(gè)人信息；6)變更個(gè)人信息使用目的是否對(duì)個(gè)人信息主體產(chǎn)生影響；7)是否提供便捷有效的個(gè)體參與的機(jī)制，包括查詢、更正、刪除、撤回同意、注銷賬號(hào)等；8)接收個(gè)人信息的第三方是否會(huì)變更目的使用個(gè)人信息；9)個(gè)人信息的保存時(shí)間是否最小化，超出期限的刪除等機(jī)制是否合理；10)是否對(duì)用戶畫像機(jī)制進(jìn)行限制，避免精確定位到特定個(gè)人；11)是否為個(gè)性化展示提供用戶可控制、可退出或關(guān)閉的機(jī)制；12)匿名化機(jī)制是否有效，去標(biāo)識(shí)化后的個(gè)人信息是否能夠被關(guān)聯(lián)分析等，導(dǎo)致可重新識(shí)別個(gè)人信息主體身份；13)是否提供及時(shí)有效的安全事件通知機(jī)制和應(yīng)急處置機(jī)制；14)是否提供有效的投訴和維權(quán)渠道等；15)是否未經(jīng)用戶同意向第三方共享、轉(zhuǎn)讓個(gè)人信息；16)是否散播不準(zhǔn)確的數(shù)據(jù)或不完整的誤導(dǎo)性數(shù)據(jù)；9GB／T39335—202017)是否誘導(dǎo)或強(qiáng)迫個(gè)人提供過多個(gè)人信息；18)是否過多地追蹤或監(jiān)視個(gè)人行為；19)是否無根據(jù)地限制個(gè)人控制其個(gè)人信息的行為等；20)其他個(gè)人信息處理流程的規(guī)范性。注2：對(duì)個(gè)人信息處理流程規(guī)范性的分析可參照GB/T35273—2020相應(yīng)內(nèi)容。c)參與人員與第三方。評(píng)估時(shí)關(guān)注的要素包括但不限于：1)是否任命個(gè)人信息保護(hù)負(fù)責(zé)人或個(gè)人信息保護(hù)工作機(jī)構(gòu)，個(gè)人信息保護(hù)負(fù)責(zé)人是否由具有相關(guān)管理工作經(jīng)歷和個(gè)人信息保護(hù)專業(yè)知識(shí)的人員擔(dān)任；2)是否依據(jù)業(yè)務(wù)安全需求，制定并執(zhí)行個(gè)人信息安全管理的方針和策略；3)是否制定涉及個(gè)人信息處理各環(huán)節(jié)的安全管理制度，并提出具體的安全管理要求；4)是否與從事個(gè)人信息處理崗位上的相關(guān)人員簽署保密協(xié)議，并對(duì)大量接觸個(gè)人敏感信息的人員進(jìn)行背景審查；5)是否明確內(nèi)部涉及個(gè)人信息處理不同崗位的安全職責(zé)，并建立發(fā)生安全事件的處罰、問責(zé)機(jī)制；6)是否對(duì)個(gè)人信息處理崗位上的相關(guān)人員開展個(gè)人信息安全專業(yè)化培訓(xùn)和考核，并確保相關(guān)人員熟練掌握隱私政策和相關(guān)規(guī)程；7)是否明確可能訪問個(gè)人信息的外部服務(wù)人員需遵守的個(gè)人信息安全要求，并進(jìn)行監(jiān)督；8)是否與第三方簽署有約束力的合同等文件，約定個(gè)人信息傳輸至第三方后的處理目的、方式、數(shù)據(jù)留存期限、超出期限后的處理方式；9)是否對(duì)第三方處理個(gè)人信息的行為進(jìn)行定期檢查、審計(jì)，確保其嚴(yán)格執(zhí)行合同等約定；10)其他方面的必要措施。注3：如果組織參照其他網(wǎng)絡(luò)安全、數(shù)據(jù)安全相關(guān)國(guó)家標(biāo)準(zhǔn)建立成熟的安全管理體系，可基于其已有基礎(chǔ)進(jìn)行分析d)業(yè)務(wù)特點(diǎn)和規(guī)模及安全態(tài)勢(shì)。評(píng)估時(shí)關(guān)注的要素包括但不限于：1)業(yè)務(wù)對(duì)個(gè)人信息處理的依賴性；2)業(yè)務(wù)處理或可能處理個(gè)人信息的數(shù)量、頻率、用戶規(guī)模、用戶峰值等；3)是否曾經(jīng)發(fā)生過個(gè)人信息泄露、篡改、毀損、丟失等事件；4)個(gè)人信息保護(hù)相關(guān)執(zhí)法監(jiān)管動(dòng)態(tài)；5)近期內(nèi)遭受網(wǎng)絡(luò)攻擊或發(fā)生安全事件的情況；6)近期收到過或公開發(fā)布的安全相關(guān)的警示信息。組織在對(duì)以上維度的相應(yīng)內(nèi)容進(jìn)行充分了解后，通過調(diào)研訪談、查閱支撐性文檔、功能檢查、技術(shù)測(cè)試等方式，識(shí)別已采取的措施與當(dāng)前的狀態(tài)。針對(duì)5.5中對(duì)個(gè)人權(quán)益影響分析的不同維度，從以上四方面對(duì)安全事件發(fā)生的可能性等級(jí)進(jìn)行綜合評(píng)價(jià)。注4：安全事件可能性等級(jí)評(píng)估可參考附錄D中D.1。5.5個(gè)人權(quán)益影響分析個(gè)人權(quán)益影響分析指分析特定的個(gè)人信息處理活動(dòng)是否會(huì)對(duì)個(gè)人信息主體合法權(quán)益產(chǎn)生影響，以及可能產(chǎn)生何種影響。個(gè)人權(quán)益影響概括可分為“限制個(gè)人自主決定權(quán)”“引發(fā)差別性待遇”“個(gè)人名譽(yù)受損或遭受精神壓力”“人身財(cái)產(chǎn)受損”四個(gè)維度：a)限制個(gè)人自主決定權(quán)，例如被強(qiáng)迫執(zhí)行不愿執(zhí)行的操作、缺乏相關(guān)知識(shí)或缺少相關(guān)渠道更正個(gè)人信息、無法選擇拒絕個(gè)性化廣告的推送、被蓄意推送影響個(gè)人價(jià)值觀判斷的資訊等；b)引發(fā)差別性待遇，例如因疾病、婚史、學(xué)籍等信息泄露造成的針對(duì)個(gè)人權(quán)利的歧視，因個(gè)人消費(fèi)GB／T39335—2020習(xí)慣等信息的濫用而對(duì)個(gè)人公平交易權(quán)造成損害等；c)個(gè)人名譽(yù)受損或遭受精神壓力，例如被他人冒用身份、公開不愿為人知的習(xí)慣、經(jīng)歷等，被頻繁騷擾、監(jiān)視追蹤等；d)人身財(cái)產(chǎn)受損，例如引發(fā)人身傷害、資金賬戶被盜、遭受詐騙、勒索等。5.5.2個(gè)人權(quán)益影響分析過程組織可根據(jù)數(shù)據(jù)映射分析結(jié)果及確定需要評(píng)估的個(gè)人信息處理活動(dòng)，結(jié)合相關(guān)法律、法規(guī)、標(biāo)準(zhǔn)的要求或組織自定義的個(gè)人信息安全目標(biāo)，分析個(gè)人信息處理活動(dòng)全生命周期或特定處理行為對(duì)個(gè)人權(quán)益可能產(chǎn)生的影響，以及個(gè)人信息泄露、毀損、丟失、濫用等對(duì)個(gè)人權(quán)益可能產(chǎn)生的影響，以審視是否存在侵害個(gè)人信息主體權(quán)益的風(fēng)險(xiǎn)。個(gè)人權(quán)益影響分析過程一般包含對(duì)個(gè)人信息敏感程度分析、個(gè)人信息處理活動(dòng)特點(diǎn)分析、個(gè)人信息處理活動(dòng)問題分析以及影響程度分析四個(gè)階段：a)在個(gè)人信息敏感程度分析階段，組織可參照國(guó)家有關(guān)法律、法規(guī)、標(biāo)準(zhǔn)，依據(jù)數(shù)據(jù)映射分析結(jié)果，分析個(gè)人信息的敏感程度對(duì)個(gè)人權(quán)益可能產(chǎn)生的影響，例如健康生理信息的泄露、濫用等可能會(huì)對(duì)個(gè)人生理、心理產(chǎn)生較嚴(yán)重的影響；b)在個(gè)人信息處理活動(dòng)特點(diǎn)分析階段，組織可參照與國(guó)家有關(guān)法律、法規(guī)、標(biāo)準(zhǔn)，依據(jù)數(shù)據(jù)映射分析結(jié)果，分析個(gè)人信息處理活動(dòng)是否涉及限制個(gè)人自主決定權(quán)、引發(fā)差別性待遇、個(gè)人名譽(yù)受損或遭受精神壓力、人身財(cái)產(chǎn)受損等，例如公開披露個(gè)人經(jīng)歷的行為可能會(huì)對(duì)個(gè)人聲譽(yù)產(chǎn)生影響；c)在個(gè)人信息處理活動(dòng)問題分析階段，組織可參照與國(guó)家有關(guān)法律、法規(guī)、標(biāo)準(zhǔn)，依據(jù)數(shù)據(jù)映射分析結(jié)果，分析個(gè)人信息處理活動(dòng)可能存在的弱點(diǎn)、差距和問題，其中5.4b)中的對(duì)個(gè)人信息流程規(guī)范性的分析結(jié)果可以支撐該階段的分析過程，對(duì)問題嚴(yán)重程度的分析有助于分析個(gè)人權(quán)益的影響程度；d)在個(gè)人權(quán)益影響程度分析階段，組織可結(jié)合前幾個(gè)階段的分析結(jié)果，綜合分析個(gè)人信息處理活動(dòng)對(duì)個(gè)人權(quán)益可能造成的影響，及其嚴(yán)重程度。注：個(gè)人權(quán)益影響程度評(píng)估可參考D.2。5.6安全風(fēng)險(xiǎn)綜合分析進(jìn)行安全風(fēng)險(xiǎn)綜合分析時(shí)，可參照4.5中的基本原理，采取以下步驟：參照5.4,分析已實(shí)施的安全措施、相關(guān)方、處理規(guī)模等要素，評(píng)價(jià)安全事件發(fā)生的可能性等級(jí)；參照5.5,分析可能發(fā)生的安全事件會(huì)對(duì)個(gè)人權(quán)益產(chǎn)生何種影響，并評(píng)價(jià)對(duì)個(gè)人權(quán)益影響的程度等級(jí)；c)綜合考慮安全事件可能性和個(gè)人權(quán)益影響程度兩個(gè)要素，綜合分析得出個(gè)人信息處理活動(dòng)的安全風(fēng)險(xiǎn)等級(jí)。注：安全風(fēng)險(xiǎn)分析的具體過程和風(fēng)險(xiǎn)等級(jí)的判定可參考D.3,安全風(fēng)險(xiǎn)分析的具體過程可參考使用表C.3、表C.4和在完成針對(duì)特定個(gè)人信息處理活動(dòng)影響評(píng)估之后，組織可綜合針對(duì)所有相關(guān)個(gè)人信息處理活動(dòng)的評(píng)估結(jié)果，形成對(duì)整個(gè)評(píng)估對(duì)象（如業(yè)務(wù)部門、具體項(xiàng)目、具體合作等）的風(fēng)險(xiǎn)等級(jí)。評(píng)估報(bào)告的內(nèi)容通常包括：個(gè)人信息保護(hù)專員的審批頁面、評(píng)估報(bào)告適用范圍、實(shí)施評(píng)估及撰寫報(bào)告的人員信息、參考的法律、法規(guī)和標(biāo)準(zhǔn)、個(gè)人信息影響評(píng)估對(duì)象（明確涉及的個(gè)人敏感信息）、評(píng)估內(nèi)容、涉及的相關(guān)方等，以及個(gè)人權(quán)益影響分析結(jié)果，安全保護(hù)措施分析結(jié)果、安全事件發(fā)生的可能性分析GB／T39335—2020結(jié)果、風(fēng)險(xiǎn)判定的準(zhǔn)則、合規(guī)性分析結(jié)果、風(fēng)險(xiǎn)分析過程及結(jié)果、風(fēng)險(xiǎn)處置建議等。5.8風(fēng)險(xiǎn)處置和持續(xù)改進(jìn)根據(jù)評(píng)估結(jié)果，組織可選取并實(shí)施相應(yīng)的安全控制措施進(jìn)行風(fēng)險(xiǎn)處置。通常情況下，可根據(jù)風(fēng)險(xiǎn)的等級(jí)，采取立即處置、限期處置、權(quán)衡影響和成本后處置，接受風(fēng)險(xiǎn)等處置方式。組織需持續(xù)跟蹤風(fēng)險(xiǎn)處置的落實(shí)情況，評(píng)估剩余風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。此外，還可將評(píng)估結(jié)果用于下一次個(gè)人信息安全影響評(píng)估工作。5.9制定報(bào)告發(fā)布策略為促進(jìn)自身持續(xù)提升個(gè)人信息保護(hù)水平、配合監(jiān)管活動(dòng)、增加客戶信任，組織可制定個(gè)人信息安全影響評(píng)估報(bào)告發(fā)布策略。選擇公開發(fā)布的個(gè)人信息安全影響評(píng)估報(bào)告可以在已有評(píng)估報(bào)告基礎(chǔ)上予以簡(jiǎn)化，但其內(nèi)容通常不少于以下方面：a)收集和處理個(gè)人信息的類型和必要性；b)收集和處理的個(gè)人信息類型（個(gè)人敏感信息需單獨(dú)強(qiáng)調(diào)c)個(gè)人信息處理的例外情況（法律法規(guī)規(guī)定等）；d)合規(guī)性分析的概況；e)評(píng)估過程和結(jié)果概況；f)已實(shí)施和將要實(shí)施的風(fēng)險(xiǎn)處置措施概況；g)對(duì)個(gè)人信息主體的建議；h)實(shí)施評(píng)估責(zé)任部門和人員的聯(lián)系方式和解答疑問的渠道等。GB／T39335—2020附錄A（資料性附錄）評(píng)估性合規(guī)的示例及評(píng)估要點(diǎn)常見的個(gè)人信息相關(guān)法律、法規(guī)、標(biāo)準(zhǔn)中評(píng)估性合規(guī)要求，包括處理個(gè)人敏感信息、使用自動(dòng)化決策方式處理個(gè)人信息、委托處理個(gè)人信息、向第三方轉(zhuǎn)讓或共享個(gè)人信息、公開披露個(gè)人信息、向境外轉(zhuǎn)移個(gè)人信息、個(gè)人信息處理目的變更評(píng)估、個(gè)人信息匿名化和去標(biāo)識(shí)化效果評(píng)估，以及確定個(gè)人信息安全事件處置方案的評(píng)估等，其中部分評(píng)估要點(diǎn)示例如下。A.2個(gè)人信息出境安全評(píng)估個(gè)人信息出境場(chǎng)景的評(píng)估可參照有關(guān)國(guó)家標(biāo)準(zhǔn)執(zhí)行。A.3個(gè)人信息處理目的變更前的影響評(píng)估分析個(gè)人信息處理活動(dòng)的影響時(shí)，需要考慮多種因素，以評(píng)估“與收集個(gè)人信息時(shí)所聲稱的目的具有直接或合理關(guān)聯(lián)的范圍”的影響為例，如果新設(shè)目的與原目的有直接或合理的關(guān)聯(lián)，且不會(huì)為個(gè)人權(quán)益帶來額外影響，無需再次告知個(gè)人信息主體并征得其明示同意。判斷時(shí)是否有直接或合理的關(guān)聯(lián)，至少需要考慮如下因素：—個(gè)人信息主體對(duì)原先目的、組織處理個(gè)人信息方式和方法的合理性的理解程度；—個(gè)人信息收集時(shí)的場(chǎng)景，包括個(gè)人信息主體和組織之間的關(guān)系、產(chǎn)品或服務(wù)的范圍及使用的商標(biāo)和名稱、個(gè)人信息主體使用產(chǎn)品或服務(wù)的方式、產(chǎn)品或服務(wù)為個(gè)人信息主體提供的便利等；—特定場(chǎng)景中可合理預(yù)期的個(gè)人信息處理方式，如常規(guī)商業(yè)運(yùn)營(yíng)中，可預(yù)見到的將被使用的個(gè)人信息的類型，與個(gè)人信息主體之間直接互動(dòng)的范圍、頻率、性質(zhì)、歷史，以及為提供產(chǎn)品或服務(wù)，或改進(jìn)或推廣產(chǎn)品或服務(wù)，可預(yù)見到的將被使用的個(gè)人信息的類型；—如將所收集的個(gè)人信息用于學(xué)術(shù)研究或得出對(duì)自然、科學(xué)、社會(huì)、經(jīng)濟(jì)等現(xiàn)象總體狀態(tài)的描述，屬于與收集目的具有合理關(guān)聯(lián)的范圍之內(nèi)。但對(duì)外提供學(xué)術(shù)研究或描述的結(jié)果時(shí)，需對(duì)結(jié)果中所包含的個(gè)人信息進(jìn)行去標(biāo)識(shí)化處理，否則在對(duì)目的變更后的影響評(píng)估中可能會(huì)得出存在高風(fēng)險(xiǎn)的判斷。A.4個(gè)人信息匿名化和去標(biāo)識(shí)化效果評(píng)估匿名化和去標(biāo)識(shí)化對(duì)個(gè)人信息進(jìn)行了技術(shù)處理，使其在不借助額外信息的情況下，無法識(shí)別個(gè)人信息主體。但數(shù)據(jù)接收方可能會(huì)借助于額外的信息以及技術(shù)手段，進(jìn)行重標(biāo)識(shí)攻擊，從而將去標(biāo)識(shí)化的數(shù)據(jù)集歸因到原始個(gè)人信息主體或一組個(gè)人信息主體。常見的用于重標(biāo)識(shí)的方法如下：—篩選：基于是否能唯一確定一個(gè)個(gè)人信息主體，將屬于一個(gè)個(gè)人信息主體的記錄篩選出來；—關(guān)聯(lián)：將不同數(shù)據(jù)集中關(guān)于相同個(gè)人信息主體的信息關(guān)聯(lián)； —推斷：通過其他屬性的值以一定概率推斷出一個(gè)屬性的值。評(píng)估個(gè)人信息匿名化和去標(biāo)識(shí)化效果時(shí)，可充分考慮以下要素：GB／T39335—2020—個(gè)人信息匿名化和去標(biāo)識(shí)化過程的規(guī)范性，所采用技術(shù)的通用性；—匿名化后的個(gè)人信息是否為統(tǒng)計(jì)型結(jié)果；—去標(biāo)識(shí)化后的個(gè)人信息是否能夠達(dá)到使用目的；—匿名化和去標(biāo)識(shí)化后的個(gè)人信息使用場(chǎng)景；—如委托第三方進(jìn)行去標(biāo)識(shí)化或匿名化時(shí)，需評(píng)估其采用的方案及數(shù)據(jù)安全保障能力；—能否在公開渠道或數(shù)據(jù)交易組織獲得類似的個(gè)人信息；—未經(jīng)去標(biāo)識(shí)化或匿名化處理保留的個(gè)人信息類型和內(nèi)容的特殊性。A.5個(gè)人信息委托處理、轉(zhuǎn)讓、共享或公開披露前的影響評(píng)估在對(duì)個(gè)人信息進(jìn)行委托處理、轉(zhuǎn)讓、共享和公開披露前，開展個(gè)人信息安全影響評(píng)估，評(píng)估的內(nèi)容包括但不限于以下方面：—個(gè)人信息的類型、數(shù)量、敏感程度等；—是否向個(gè)人信息主體告知了轉(zhuǎn)讓、共享、公開披露的基本情況，并征得個(gè)人信息主體的明示授權(quán)同意；—數(shù)據(jù)發(fā)送方的安全管理保障和安全技術(shù)保障能力；—數(shù)據(jù)接收方的安全管理保障和安全技術(shù)保障能力（不包括公開披露—數(shù)據(jù)接收方可能會(huì)開展的個(gè)人信息處理活動(dòng)，或公開披露的個(gè)人信息可能會(huì)被使用的個(gè)人信息處理場(chǎng)景；—個(gè)人信息是否進(jìn)行過去標(biāo)識(shí)化處理；—發(fā)生個(gè)人信息安全事件后的補(bǔ)救措施；—數(shù)據(jù)接收方所能響應(yīng)個(gè)人信息主體的請(qǐng)求的范圍，如：訪問、更正、刪除等。A.6確定個(gè)人信息安全事件處置方案的評(píng)估發(fā)生個(gè)人信息安全事件后，組織需及時(shí)評(píng)估事件可能造成的影響，并采取必要措施控制事態(tài)，消除隱患。評(píng)估影響時(shí)，可充分考慮以下因素：—個(gè)人信息的類型、數(shù)量、敏感程度、涉及的個(gè)人信息主體數(shù)量等；—發(fā)生事件的信息系統(tǒng)狀況，對(duì)其他互聯(lián)系統(tǒng)的影響；—已采取或?qū)⒁扇〉奶幹么胧┘按胧┑挠行裕弧獙?duì)個(gè)人信息主體權(quán)益造成的直接影響和長(zhǎng)期影響；—向個(gè)人信息主體告知事件的方式和內(nèi)容；—是否達(dá)到《國(guó)家網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》等有關(guān)規(guī)定的上報(bào)要求。A.7使用自動(dòng)化決策方式處理個(gè)人信息的評(píng)估組織在設(shè)計(jì)、采用自動(dòng)化決策方式處理個(gè)人信息時(shí)，如自動(dòng)決定個(gè)人征信及貸款額度，或用于面試人員的自動(dòng)化篩選等，需充分考慮對(duì)個(gè)人權(quán)益產(chǎn)生的不利影響，并在規(guī)劃設(shè)計(jì)階段或首次使用前開展個(gè)人信息安全影響評(píng)估，評(píng)估考慮的要素包括：—是否向用戶說明了自動(dòng)化決策的基本原理或運(yùn)行機(jī)制；—是否定期對(duì)自動(dòng)化決策的效果進(jìn)行評(píng)價(jià)；—是否對(duì)自動(dòng)化決策使用的數(shù)據(jù)源、算法等持續(xù)優(yōu)化；—是否向用戶提供針對(duì)自動(dòng)化決策結(jié)果的投訴渠道；—是否支持對(duì)自動(dòng)化決策結(jié)果的人工復(fù)核。GB／T39335—2020附錄B（資料性附錄）高風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)示例個(gè)人信息處理活動(dòng)自身可能涉及對(duì)個(gè)人信息主體權(quán)益影響及相應(yīng)風(fēng)險(xiǎn)較高的情況下，需開展個(gè)人信息安全影響評(píng)估，可能產(chǎn)生高風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)及場(chǎng)景示例見表B.1。表B.1高風(fēng)險(xiǎn)的個(gè)人信息處理活動(dòng)及場(chǎng)景示例個(gè)人信息處理活動(dòng)場(chǎng)景示例數(shù)據(jù)處理涉及對(duì)個(gè)人信息主體的評(píng)價(jià)或評(píng)分，特別是對(duì)個(gè)人信息主體的工作表現(xiàn)、經(jīng)濟(jì)狀況、健康狀況、偏好或興趣的評(píng)估或預(yù)測(cè)示例1：對(duì)個(gè)人信息主體使用社交網(wǎng)絡(luò)和其他應(yīng)用程序的行為進(jìn)行分析，以便向其發(fā)送商業(yè)信息或垃圾郵件。示例2：銀行或其他金融組織在提供貸款前使用人工智能算法對(duì)個(gè)人信息主體進(jìn)行信用評(píng)估，數(shù)據(jù)處理可能涉及與信用評(píng)估沒有直接關(guān)聯(lián)的個(gè)人信息。示例3：保險(xiǎn)公司通過分析香煙、酒精、極限運(yùn)動(dòng)、駕駛等偏好數(shù)據(jù)，評(píng)估個(gè)人信息主體的生活方式、健康狀況等，據(jù)此作出保費(fèi)設(shè)置的決策。析給出司法裁定或其他對(duì)個(gè)人有重大影響的決定示例1：在設(shè)置有分段測(cè)速或電子收費(fèi)的道路，建設(shè)有用于流量、道路違規(guī)等行為的檢測(cè)系統(tǒng)，特別是能夠自動(dòng)識(shí)別車輛的系統(tǒng)，對(duì)駕駛員及其駕駛行為進(jìn)行詳細(xì)的記錄和監(jiān)督，并給出是否違法的判斷。示例2：電商平臺(tái)監(jiān)控用戶購物行為，進(jìn)行用戶畫像，分析用戶的購買偏好和購買能力，設(shè)置針對(duì)用戶特定偏好的營(yíng)銷計(jì)劃。個(gè)人信息，如在公共區(qū)域監(jiān)在涉及違規(guī)事件分析時(shí)才使用的視頻監(jiān)測(cè)系統(tǒng)除外示例1：大規(guī)模公共空間監(jiān)測(cè)系統(tǒng)，用于人員追蹤，并且能夠收集超出提供服務(wù)范圍的個(gè)人信息。示例2：設(shè)置在工作場(chǎng)所的IT監(jiān)測(cè)系統(tǒng)，監(jiān)控員工的電子郵件、所使用的應(yīng)用程序等，用于分析員工工作時(shí)間及使用工具（如電子郵件、互聯(lián)網(wǎng)）的情況。d)收集的個(gè)人敏感信息數(shù)量、高，與個(gè)人經(jīng)歷、思想觀點(diǎn)、健康、財(cái)務(wù)狀況等密切相關(guān)示例1：通過智能手表、手環(huán)、制服、頭盔或其他移動(dòng)設(shè)備持續(xù)收集或監(jiān)控個(gè)人信息主體的活動(dòng)、健康相關(guān)數(shù)據(jù)。示例2：通過健身手環(huán)或智能手機(jī)中的傳感器持續(xù)收集或監(jiān)控用戶運(yùn)動(dòng)、健康相關(guān)數(shù)據(jù)，通過數(shù)據(jù)分析和處理提供定制化的健身建議或改善訓(xùn)練流程的服務(wù)。e)數(shù)據(jù)處理的規(guī)模較大，如涉及100萬人以上、持續(xù)時(shí)間久、在某個(gè)特定群體的占比超過涵蓋的地理區(qū)域廣泛或較集中等示例1：社交網(wǎng)絡(luò)、在線瀏覽器、有線電視訂閱服務(wù)大規(guī)模收集用戶瀏覽網(wǎng)站、購買記錄、觀看記錄、收聽記錄等數(shù)據(jù)。示例2：百貨商店、購物中心或其他類似營(yíng)業(yè)場(chǎng)所中，通過收集路人和顧客的GPS、藍(lán)牙或移動(dòng)通信信號(hào)，對(duì)客流情況進(jìn)行監(jiān)測(cè)，跟蹤顧客的購物路線和購物習(xí)慣。f)對(duì)不同處理活動(dòng)的數(shù)據(jù)集進(jìn)行匹配和合并，并應(yīng)用于業(yè)務(wù)示例1：基于防欺詐或風(fēng)險(xiǎn)管控目的，電商平臺(tái)合并處理不同來源的數(shù)據(jù)集，以便根據(jù)分析或測(cè)試結(jié)果顯示的風(fēng)險(xiǎn)值采取相應(yīng)管控措施。示例2：電商平臺(tái)、零售商店通過分析顧客的購物、優(yōu)惠券使用等行為數(shù)據(jù)，結(jié)合顧客的信用數(shù)據(jù)、第三方和社交網(wǎng)絡(luò)數(shù)據(jù)等，獲得提高銷售額的營(yíng)銷策略。GB／T39335—2020個(gè)人信息處理活動(dòng)場(chǎng)景示例g)數(shù)據(jù)處理涉及弱勢(shì)群體的，如未成年人、病人、老年人、低收入人群等示例1：能夠連接網(wǎng)絡(luò)的智能玩具收集兒童玩耍的音頻、視頻數(shù)據(jù)，或收集兒童的年齡、性別、位置等信息。示例2：在遠(yuǎn)程醫(yī)療場(chǎng)景中，醫(yī)生通過網(wǎng)站或應(yīng)用程序與患者進(jìn)行視頻通話，通過各類傳感器收集分析患者的血糖、血氧等健康數(shù)據(jù)。聯(lián)網(wǎng)、人工智能等示例1：通過人工智能提供客戶服務(wù)或支持，呼叫中心利用人工智能技術(shù)處理呼叫者的音頻數(shù)據(jù)，自動(dòng)評(píng)估呼叫者的心情，并根據(jù)評(píng)估結(jié)果確定與呼叫者的溝通方式或向呼叫者提供的建議。示例2：健身俱樂部、酒店等入口控制系統(tǒng)，指紋支付或刷臉支付等支付程序，通過收集和處理個(gè)人信息主體的個(gè)人生物識(shí)別信息，判斷是否擁有進(jìn)入某些區(qū)域、使用某些功能的權(quán)限。i)處理個(gè)人信息可能導(dǎo)致個(gè)人信息主體無法行使權(quán)利、使用服務(wù)或得到合同保障等示例1：提供貸款、信貸、分期付款銷售的實(shí)體通過收集、處理包含有債務(wù)人或類似個(gè)人信息主體的數(shù)據(jù)庫信息，針對(duì)潛在客戶制定信貸決策。判斷個(gè)人信息處理活動(dòng)是否與上述場(chǎng)景相關(guān)，需考慮貫穿數(shù)據(jù)映射分析、合規(guī)差距分析等過程，一旦涉及上述情形，可針對(duì)以上場(chǎng)景評(píng)估影響和風(fēng)險(xiǎn)，同時(shí)重視個(gè)人信息主體代表等相關(guān)方的咨詢意見，保障評(píng)估的準(zhǔn)確性。GB／T39335—2020（資料性附錄）個(gè)人信息安全影響評(píng)估常用工具表以下工具表（表C.1~表C.5)均為資料性工具，供組織進(jìn)行評(píng)估時(shí)選取參考。工具表以個(gè)人信息處理活動(dòng)／場(chǎng)景／特性或組件為維度，各表可基于此項(xiàng)進(jìn)行整合或分開處理。建議組織采取IT化／自動(dòng)化處理方式進(jìn)行影響評(píng)估?；谔幚砘顒?dòng)／場(chǎng)景／特性或組件的個(gè)人信息映射表個(gè)人信息處理活組件個(gè)人信息個(gè)人信息主體個(gè)人信息收目的個(gè)人信息處理的合法事由個(gè)人信息個(gè)人信息是否涉及是否涉及第三方共享5)處理活動(dòng)A處理活動(dòng)B處理活動(dòng)C個(gè)人信息處理活組件相關(guān)個(gè)人信息項(xiàng)收集來源收集方式存儲(chǔ)方式/加密措施傳輸方式/加密措施存儲(chǔ)期限化方式處理活動(dòng)A6)處理活動(dòng)B處理活動(dòng)C安全事件可能性分析表個(gè)人信息處理活動(dòng)/場(chǎng)景／特性或組件風(fēng)險(xiǎn)源維度產(chǎn)生風(fēng)險(xiǎn)的原因／存在的問題相關(guān)證據(jù)安全事件發(fā)生可能性處理活動(dòng)A網(wǎng)絡(luò)環(huán)境和技術(shù)措施個(gè)人信息處理流程參與人員與第三方業(yè)務(wù)特點(diǎn)和規(guī)模及安全態(tài)勢(shì)1)具體字段請(qǐng)?jiān)敿?xì)列舉。2)涉及聯(lián)合控制者的，請(qǐng)?jiān)敿?xì)列舉并說明。3)涉及多個(gè)處理者的，請(qǐng)?jiān)敿?xì)列舉并說明。4)如涉及，請(qǐng)?zhí)顚懕鞢.3相關(guān)內(nèi)容。5)如涉及，請(qǐng)?zhí)顚懕鞢.3相關(guān)內(nèi)容。6)此處可分為多行填寫（每一行對(duì)應(yīng)一項(xiàng)個(gè)人信息字段也可合并處理。GB／T39335—2020續(xù)）個(gè)人信息處理活動(dòng)/場(chǎng)景／特性或組件風(fēng)險(xiǎn)源維度產(chǎn)生風(fēng)險(xiǎn)的原因／存在的問題相關(guān)證據(jù)安全事件發(fā)生可能性處理活動(dòng)B表C.4安全風(fēng)險(xiǎn)評(píng)估及整改措施表個(gè)人信息處理活動(dòng)/或組件風(fēng)險(xiǎn)源維度產(chǎn)生風(fēng)險(xiǎn)的的問題安全事件發(fā)生可能性等級(jí)對(duì)個(gè)人權(quán)益產(chǎn)生的影響維度影響程度風(fēng)險(xiǎn)描述及等級(jí)相關(guān)責(zé)任方與風(fēng)險(xiǎn)處置建議整改效果驗(yàn)證及歸檔情況處理活動(dòng)A技術(shù)措施限制個(gè)人自主決定權(quán)引發(fā)差別性待遇個(gè)人名譽(yù)受損或遭受精神壓力人身財(cái)產(chǎn)受損個(gè)人信息處理流程參與人員與第三方業(yè)務(wù)特點(diǎn)和規(guī)模及安全態(tài)勢(shì)處理活動(dòng)B注：評(píng)估過程中僅需體現(xiàn)識(shí)別出的風(fēng)險(xiǎn)源維度及對(duì)個(gè)人權(quán)益產(chǎn)生的影響維度，可不體現(xiàn)本標(biāo)準(zhǔn)所列舉所有維度。組織針對(duì)特定個(gè)人信息處理活動(dòng)開展具體的風(fēng)險(xiǎn)分析時(shí)，可參考表C.5簡(jiǎn)化評(píng)估過程，首先，從識(shí)別的風(fēng)險(xiǎn)源維度出發(fā)，分析可能發(fā)生的安全事件及其可能性，同時(shí)，按照影響程度類型，分析對(duì)個(gè)人信息主體權(quán)益的影響程度，如果兩者存在交叉，則可參考表D.5得出風(fēng)險(xiǎn)等級(jí)，并簡(jiǎn)要說明存在風(fēng)險(xiǎn)的原因。GB／T39335—2020表C.5特定個(gè)人信息處理活動(dòng)的安全風(fēng)險(xiǎn)評(píng)估表影響方面限制個(gè)人自主決定權(quán)引發(fā)差別性待遇名譽(yù)受損或精神壓力人身財(cái)產(chǎn)受損風(fēng)險(xiǎn)等級(jí)原因說明風(fēng)險(xiǎn)等級(jí)原因說明風(fēng)險(xiǎn)等級(jí)原因說明風(fēng)險(xiǎn)等級(jí)原因說明網(wǎng)絡(luò)環(huán)境和技術(shù)措施個(gè)人信息處理流程參與人員與第三方業(yè)務(wù)特點(diǎn)和規(guī)模及安全態(tài)勢(shì)GB／T39335—2020附錄D（資料性附錄）個(gè)人信息安全影響評(píng)估參考方法D.1評(píng)估安全事件發(fā)生的可能性安全事件可能性等級(jí)評(píng)價(jià)可采用定性、半定量和定量的方式。安全事件可能性等級(jí)判定準(zhǔn)則見表D.1安全事件可能性等級(jí)判定準(zhǔn)則可能性描述可能性等級(jí)采取的措施嚴(yán)重不足，個(gè)人信息處理行為極不規(guī)范，安全事件的發(fā)生幾乎不可避免很高采取的措施存在不足，個(gè)人信息處理行為不規(guī)范，安全事件曾經(jīng)發(fā)生過或已經(jīng)在類似場(chǎng)景下被證實(shí)發(fā)生過高采取了一定的措施，個(gè)人信息處理行為遵循了基本的規(guī)范性原則，安全事件在同行業(yè)、領(lǐng)域被證實(shí)發(fā)生過中采取了較有效的措施，個(gè)人信息處理行為遵循了規(guī)范性最佳實(shí)踐，安全事件還未被證實(shí)發(fā)生過低以定性方式為例，可從“網(wǎng)絡(luò)環(huán)境和技術(shù)措施”“處理流程規(guī)范性”“參與人員與第三方”“安全態(tài)勢(shì)及 業(yè)務(wù)特點(diǎn)”等方面，依據(jù)表D.1的判定準(zhǔn)則，對(duì)安全事件可能性等級(jí)進(jìn)行評(píng)價(jià)。可能性等級(jí)分為“很高”表D.2可能性判定表可能性描述可能性等級(jí)網(wǎng)絡(luò)環(huán)境與互聯(lián)網(wǎng)及大量信息系統(tǒng)有交互現(xiàn)象，基本上未采取安全措施保護(hù)個(gè)人信息安全很高該個(gè)人信息處理行為為常態(tài)、不間斷的業(yè)務(wù)行為，該行為已經(jīng)對(duì)個(gè)人主體的權(quán)益造成了影響，或收到了大量相關(guān)的投訴，并引起了社會(huì)關(guān)注任意人員可接觸到個(gè)人信息，對(duì)第三方處理個(gè)人信息的范圍無任何限制，或已出現(xiàn)第三方濫用個(gè)人信息的情形威脅引發(fā)的相關(guān)安全事件已經(jīng)被本組織發(fā)現(xiàn)，或已收到監(jiān)管部門發(fā)出的相關(guān)風(fēng)險(xiǎn)警報(bào)網(wǎng)絡(luò)環(huán)境與互聯(lián)網(wǎng)及其他信息系統(tǒng)有較多交互現(xiàn)象，采取的安全措施不夠全面高該個(gè)人信息處理行為為常態(tài)、不間斷的業(yè)務(wù)行為，個(gè)人信息處理行為不規(guī)范，且收到了相關(guān)的投訴對(duì)處理個(gè)人信息相關(guān)人員的管理松散，管理制度無落實(shí)的記錄，未對(duì)第三方處理個(gè)人信息的范圍提出相關(guān)要求威脅引發(fā)的相關(guān)安全事件曾經(jīng)在組織內(nèi)部發(fā)生過，或已在合作方中發(fā)生，或收到過權(quán)威組織發(fā)出的相關(guān)風(fēng)險(xiǎn)預(yù)警信息，或處理個(gè)人信息的規(guī)模超過1000萬人GB／T39335—2020可能性描述可能性等級(jí)網(wǎng)絡(luò)環(huán)境與互聯(lián)網(wǎng)及其他信息系統(tǒng)有交互現(xiàn)象，采取了一定的安全措施中該個(gè)人信息處理行為為常態(tài)業(yè)務(wù)行為，個(gè)人信息處理行為規(guī)范性欠缺，且合作伙伴或同領(lǐng)域其他組織收到過相關(guān)的投訴有相關(guān)的管理制度，對(duì)人員提出了管理要求，對(duì)第三方處理個(gè)人信息的范圍提出限制條件，但相應(yīng)的管理和監(jiān)督效果不明威脅引發(fā)的相關(guān)安全事件已經(jīng)被同領(lǐng)域其他組織發(fā)現(xiàn)，或在專業(yè)組織相關(guān)報(bào)告中被證實(shí)已出現(xiàn)，或處理個(gè)人信息的規(guī)模超過100萬人網(wǎng)絡(luò)環(huán)境比較獨(dú)立，交互少，或采取了有效的措施保護(hù)個(gè)人信息安全低該個(gè)人信息處理行為非常態(tài)業(yè)務(wù)行為，個(gè)人信息處理行為符合規(guī)范，幾乎沒有出現(xiàn)關(guān)于該行為的投訴有完善的管理機(jī)制，對(duì)人員的管理和審核比較嚴(yán)格，與第三方合作時(shí)提出有效的約束條件并進(jìn)行監(jiān)督威脅引發(fā)的安全事件僅被專業(yè)組織所預(yù)測(cè)評(píng)估過程中，可根據(jù)事件自身的性質(zhì)估計(jì)和經(jīng)驗(yàn)數(shù)據(jù)評(píng)估其可能性，再根據(jù)組織所實(shí)施的針對(duì)性安全控制措施、相關(guān)事件處置經(jīng)驗(yàn)對(duì)可能性進(jìn)行修正。比如，個(gè)人信息處理的規(guī)模超過1000萬人，但有完備的、針對(duì)性的個(gè)人信息保護(hù)措施和應(yīng)急機(jī)制，或者已具備類似事件處置的經(jīng)驗(yàn)，并得到了個(gè)人信息主體的認(rèn)同，則安全可能性等級(jí)可降低一個(gè)級(jí)別。在進(jìn)行修正時(shí)需要具體說明修正的理由，必要時(shí)可咨詢外部專業(yè)組織保證修正過程的合理性。D.2評(píng)估個(gè)人信息主體權(quán)益影響程度個(gè)人權(quán)益影響程度評(píng)價(jià)可采用定性、半定量和定量的方式。個(gè)人權(quán)益影響程度判定準(zhǔn)則見表D.3。表D.3個(gè)人權(quán)益影響程度判定準(zhǔn)則影響描述影響程度個(gè)人信息主體可能會(huì)遭受重大的、不可消除的、可能無法克服的影響，如遭受無法承擔(dān)的債務(wù)、失去工作能力、導(dǎo)致長(zhǎng)期的心理或生理疾病、導(dǎo)致死亡等嚴(yán)重個(gè)人信息主體可能遭受重大影響，個(gè)人信息主體克服難度高，消除影響代價(jià)大，如遭受詐騙、資金被盜用、被銀行列入黑名單、信用評(píng)分受損、名譽(yù)受損、造成歧視、被解雇、被法院傳喚、健康狀況惡化等高個(gè)人信息主體可能會(huì)遭受較嚴(yán)重的困擾，且克服困擾存在一定的難度，如付出額外成本、無法使用所提供的服務(wù)、造成誤解、產(chǎn)生害怕和緊張的情緒、導(dǎo)致較小的生理疾病等中個(gè)人信息主體可能會(huì)遭受一定程度的困擾，但尚可以克服，如