个人信息保护合规建设桔皮书奇安信科技集团股份有限公司年月版权声明本文中出现的任何文字叙述文档格式插图图片方法过程等内容除另有特别注明版权均为奇安信集团指包括但不限于奇安信科技集团股份有限公司网神信息技术北京股份有限公司北京网康科技有限公司所有受到有关产权及版权法保护任何个人机构未经奇安信集团的书面授权许可不得以任何方式复制或引用本文的任何片段前言随着大数据时代的到来个人信息保护得到了前所未有的重视国际上围绕个人信息的获取分析利用和控制的竞争越来越激烈个人信息安全已成为维护国家安全保持社会稳定关系长远利益的关键组成部分备受各国政府的关注和重视如何确保个人信息安全已是各国政府及各种组织改进其竞争能力的一个新的具有挑战性的任务个人信息保护工作任重而道远这不仅仅是个人信息保护专业人士的责任也需要得到所有人的关注和投入因此个人信息保护工作也要与时俱进成为数字化转型道路上的照明灯和守护者企业或组织的管理者要主动应对各种个人信息风险和问题持续关注个人信息监管和行业标准最新动态并积极参与管理实践和隐私科技的发展此外个人信息保护能力也将作为企业或组织影响力的关键因素从用户隐私体验科技透明度和市场信任感上为业务赋能编订个人信息保护合规建设实践桔皮书全面分析了企业或组织个人信息保护合规建设驱动力所面临的挑战提出了合规建设的技术应用探索并全面阐述了建设方案和关键技术的应用探索希冀本桔皮书能为企业或组织个人信息保护合规建设提供借鉴和参考分享研究成果共谋发展目录一个人信息保护建设背景一合规监管要求逐渐完善二监管执法强度持续提高二个人信息保护建设面临的问题和困境一数据挖掘与个人信息保护的矛盾二个人信息保护建设面临的困境业务与合规经营模式的变革组织与制度跨部门协作导致合规成本升高人员与技术多学科交叉导致合规效果不理想目标与过程合规建设的复杂性与持续性三个人信息保护建设思考一识别监管要求聚焦安全保护重点个人信息处理原则合规个人信息处理规则明确个人信息处理责任落实个人信息主体权利保障二技术辅助企业或组织个人信息保护合规落地四个人信息保护建设实践方法一识别监管要求建立企业或组织合规体系二嵌入全流程的个人信息合规管理三个人信息前端收集工具合规评估四个人信息使用过程中的风险管控五建立个人信息安全事件处置机制六通过个人信息安全影响评估持续改进五结语一个人信息保护建设背景随着大数据时代的到来作为数字经济时代最核心最具价值的生产要素数据已经成为国家基础性战略资源对国家治理能力经济运行机制社会生活方式产生深刻影响与此同时在数字技术不断推动经济发展的同时其背后的安全风险也日益显现出来近年来各类数据泄漏数据滥用个人隐私侵害等安全事件更是层出不穷如何在保障数字经济高速发展的同时正确开展数据安全治理保护公民个人隐私不被侵害已引起各国的高度重视和全社会的广泛探讨年月日全国人大常委会会议通过个人信息保护法年月日正式实施个人信息保护法正式颁布实施标志着我国个人信息保护立法体系进入新的阶段个人信息保护法的出台为个人信息权益保护信息处理者的义务以及主管机关的职权范围提供了全面的体系化的法律依据涵盖个人信息收集存储使用加工传输提供公开删除等多个环节以及自动化决策个人信息跨境提供等特定场景与民法典网络安全法数据安全法等共同构成了我国个人信息保护的法律框架该法将合法正当必要与最小必要透明公开公平公正作为个人信息活动的基本原则明确个人信息跨境处理要求充分保障用户对个人信息处理的知情权和控制权赋予用户删除查询更正补充个人信息等权利明确个人信息处理者应当遵循告知个人信息分类个人信息安全加密敏感个人信息事前影响评估等义务保障用户个人信息安全个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页随着数据价值的进一步凸显侵犯个人隐私的情形不断增多由于智能手机和移动应用的流行企业或组织收集个人信息的主要手段包括小程序等用户在智能手机上存储了大量个人信息而如何对这些个人信息加以保护遂成为重要挑战为此国家监管机构发布了一系列的相关法律法规和监管标准围绕监管和个人信息违法犯罪活动开展了诸多执法专项行动一合规监管要求逐渐完善监管机关针对个人信息保护监管与执法都呈现出趋严趋紧的特点不断加大个人信息保护监管力度年月日国家互联网信息办公室工业和信息化部公安部市场监管总局联合制定了违法违规收集使用个人信息行为认定方法自印发之日起实施重点关注可被认定为未公开收集使用规则的行为可被认定为未明示收集使用个人信息的目的方式和范围的行为可被认定为未经用户同意收集使用个人信息的行为可被认定为违反必要原则收集与其提供的服务无关的个人信息的行为可被认定为未经同意向他人提供个人信息的行为以及可被认定为未按法律规定提供删除或更正个人信息功能或未公布投诉举报方式等信息的行为为运营者提供合规指引年月国家网信办等四部委联合制定的常见类型移动互联网应用程序必要个人信息范围规定正式实施明确不得强制收集非必要个人信息工信部针对的治理开展了专项行动采取一系列措施总体效个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页果比较明显近期拟会同相关部门联合出台移动互联网应用程序个人信息保护的管理暂行规定个人信息处理活动应当采用合法正当的方式遵循诚信原则不得通过欺骗误导等方式处理个人信息切实保障用户同意权知情权选择权和个人信息安全对个人信息处理活动负责此外年月国家网信办会同相关部门研究起草的网络数据安全管理条例公开征求意见其中个人信息保护章节详细规定了知情同意最小必要权利保障生物特征信息等方面的要求并明确提出处理一百万人以上个人信息应视为重要数据处理者进行管理进一步强化消费者个人信息保护二监管执法强度持续提高根据国家计算机网络应急技术处理协调中心中国网络空间安全协会发布的违法违规收集使用个人信息监测分析报告今年以来国家网信办持续开展违法违规收集使用个人信息专项治理工作加大执法监管力度组织对种常见类型公众大量使用的款开展了专项检测已对其中存在严重违法违规问题的款进行了公开通报责令限期整改对未在规定时限内整改的依法采取了相关处罚措施国家计算机网络应急技术处理协调中心积极运用大数据等新技术手段建设收集使用个人信息监测平台实现对国内主流应用商店在架存在的不给权限不让用频繁索权干扰用户启动就索要无关权限未经用户同意收集个人信息等项典型违法违规问题的全量快速检测专项治理有力震慑了违法违规个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页行为大大提高了运营者对个人信息保护工作的重视程度取得了良好的治理效果和社会反响此外年月工信部已累计完成万款技术检测对款违规提出整改要求公开通报款整改不到位组织下架了款拒不整改的通过持续整治热点难点问题在前期专项整治的基础上进一步聚焦工具类通信类等加大欺骗诱导用户下载弹窗信息难以关闭违规共享使用个人信息和利用第三方嵌入式软件损害用户权益等热点难点问题的整治力度面对不断加大的数据安全及个人信息保护监管力度企业或组织如何建立健全符合企业或组织管理现状及发展需求的个人信息保护管理体系确保个人信息安全合规同时充分发挥数据对企业或组织发展的积极推动作用已成为各行各业发展过程中的重大挑战二个人信息保护建设面临的问题和困境数字经济的持续深化推进数据已成为影响世界各国竞争的战略性资源能够充分发挥数据经济价值和战略意义的数据开发利用技术蓬勃发展的同时防止数据泄漏丢失滥用保障数据安全流通共享与流通的数据安全技术也愈发重要主要包括二方面难点一方面是数据安全与数据开发利用效率之间尚存在明显矛盾成为制约数据价值释放的重要短板另一方面随着数据安全法个人信息保护法的实施在个人信息保护工作中大多数企业或组织面临的首要挑战是监管合规了解监管要求后企业或组织需要摸索个人信个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页息保护体系建设一数据挖掘与个人信息保护的矛盾数字经济时代数据蕴含的巨大价值越来越多的企业或组织利用大数据分析数据中台分析评估消费者的个人特征用于商业营销或与产业上下游的业务伙伴通过数据流通实现深度合作以此来挖掘数据价值获取竞争优势手机应用程序因其便捷性等优势被广泛运用于日常生活专业服务和社会治理等多领域为人们带来便捷的同时也带来了信息安全隐患近年来违规违法收集使用用户信息事件频发有报告显示超七成存在过度索权行为即在非必要的情况下获取用户隐私权限增加了个人信息泄漏的风险随着个人信息保护相关法规标准的不断出台加上监管治理的不断深入企业或组织原本的发展方式必然受到影响一些依靠收集使用个人信息推动业务发展的模式甚至面临违法犯罪风险企业或组织的经营模式由原来的先发展后治理转变为边发展边治理另一方面频发的个人信息泄漏事件也引发了公众对数字经济发展中的个人信息保护的意识觉醒对待数字经济时代的数据价值挖掘需要结合日渐趋严的合规监管要求积极探索个人信息保护和数据价值挖掘的平衡点平衡信息化数字化发展需求与保障个人信息安全之间的矛盾成为亟待解决的问题个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页二个人信息保护建设面临的困境业务与合规经营模式的变革当数据已经成为重要的生产要素时个人信息已经成为各大企业或组织需要重点保护的核心数据资产在复杂的全球个人信息保护框架下用户个人信息保护在收集存储使用共享等环节流动起来时任何企业或组织都面临着前所未有的数据安全与个人信息保护的挑战随着个人信息保护相关法规标准的不断出台加上监管治理的不断深入企业或组织原本的发展方式必然受到影响一些依靠收集使用个人信息推动业务发展的模式甚至面临违法犯罪风险企业或组织的经营模式由原来的先发展后治理转变为边发展边治理处理个人信息应当具有明确合理的目的并应当与处理目的直接相关采取对个人权益影响最小的方式收集个人信息应当限于实现处理目的的最小范围不得过度收集个人信息在建立健全隐私政策和执行符合实际企业或组织需求的个人信息保护策略同时企业或组织要抓紧转变当前的经营模式除去大数据杀熟调整个性化推荐的方案梳理广告投放方案等内容还需根据合规的要求调整业务逻辑比如减少诱导性下载诱导用户注册以及通过线下推广等方式获取用户信息的行为实现业务内容的良性发展个人信息保护合规建设桔皮书奇安信集团股票简称奇安信股票代码第页共页组织与制度跨部门协作导致合规成本升高相对于以往发展模式企业或组织在稳步经营的前提下需要增加额外资源对新的合规要求进行及时响应根据合规要求企业或组织需要投入资源在管理制度人力资源技术保障方面进行完善随着监管机构对合规问题的越来越重视未来会有更多的会被纳入监管的检测通报和下架的范围之中如何在业务持续不断开拓创新与为用户提供更好更安全更尊重的个人信息保护体验之间建立有力的可落地完备的解决方案是当前合规面临的主要难题而有力的落地方案是企业或组织内部多部门协作的结果而企业或组织需要根据法规要求设置数据安全负责人个人信息保护负责人而这个负责人需要协调公司的安全产品线测试线