2020年3月6日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告(2020年第1号),全国信息安全标准化技术委员会归口的GB/T 35273-2020《信息安全技术 个人信息安全规范》(以下简称“新版规范”)正式发布,并将于2020年10月1日实施。
新版规范以《GBT 35273-2017信息安全技术 个人信息安全规范》(以下简称“旧版规范”)为基础,同时结合或参考了《App违法违规收集使用个人信息行为认定方法》《信息安全技术-个人信息告知同意指南(征求意见稿)》《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》等文件。
首先 个人生物识别信息:个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等; 生物特征是明确属于个人敏感信息;
区别 | 个人敏感信息 | 一般个人信息 |
---|---|---|
收集 | 明示同意 | 授权同意 |
个人隐私保护政策 | 涉及个人敏感信息的,需明确标识或突出显示 | 无特别要求 |
传输存储 | 应采用加密等安全措施 | 无特别要求 |
权限控制 | 宜在对角色权限控制的基础上,按照业务流程的需求触发操作授权。 | 重要操作才需授权 |
共享 | 明示同意;告知内容增加了的个人敏感信息类型、数据接收方的身份和数据安全能力; | 授权同意 |
公开披露 | 告知内容增加个人敏感信息的内容 | 无需告知信息内容 |
信息安全事件 | 泄露即需告知 |