酷应用

《个人信息安全规范》中国版的 GDPR

百家作者：绿盟科技 2018-06-05 09:43:43

《信息安全技术个人信息安全规范》（GB/T 35273—2017）（以下简称《个人信息安全规范》或《规范》）是我国国家质量监督检验检疫总局和国家标准化管理委员会在2017年12月29日发布，2018年5月1日正式实施的一部关于我国公民个人隐私安全保护重磅技术标准。

与GDPR不同的是，该标准不是一部强制性标准而是一部推荐性标准。尽管如此，该标准在编制之初，各界专家以及我国监管机构都对此给予了高度关注和重视。在2016年中央网信办《关于加强国家网络安全标准化工作的若干意见》的第二部分《加强标准体系建设》中就提出“推进急需重点标准制定”，并明确将制定“个人信息保护”方面的标准列为工作重点之一。该标准的编制有以下四个特点。

特点一

充分考虑标准在多方诉求方面的平衡性标准的编制不仅考虑了个人对信息保护的诉求，也同时考虑了社会发展应用的需求、国家安全的需求。做到多方的价值平衡。

特点二

立足国内现有的法律、法规、规章、标准标准的编制考虑到与现有法律、法规、规章、标准要求的一致性。包括全国人大常委会《关于维护互联网安全的决定》、全国人大常委会《关于加强网络信息保护的决定》、《刑法修正案(五)》、《刑法修正案(七)》、《刑法修正案(九)》、《电信和互联网用户个人信息保护规定》、《信息安全技术公共及商用服务信息系统个人信息保护指南》（GB/Z28812-2012）、《信息安全技术信息技术产品供应方行为安全准则》（报批稿）等。

特点三

参考对标国际最先进的规则和立法标准的编制，参考了在个人信息保护方面最先进的国外立法。例如， OECD（经济合作与发展组织）隐私框架、APEC（亚洲太平洋经济合作组织）隐私框架等国际规则，欧盟《通用数据保护条例》（GDPR）、欧美“隐私盾”（EU-US Privacy Shield）协议、美国“消费者隐私权法案”（Consumer Privacy Bill of Rights）等欧美个人信息保护方面的立法。

特点四

不是自成一体而是与国际接轨标准的编制在内容上与国际标准接轨，主要参考ISO/IEC 29100系列标准，包括：ISO/IEC 29100《隐私保护框架》、ISO/IEC 29101《隐私体系架构》、ISO/IEC 29190《隐私能力评估模型》、ISO/IEC 29134《隐私影响评估》、ISO/IEC29151《个人可识别信息保护指南》等。此外，还有美国的保护个人身份信息机密性指南（NIST SP800-122）、联邦信息系统隐私与安全控制（NISTSP800-53）；欧盟的数据保护审计实践清单（CWA 15262:2005），管理者的自评估框架（CWA 16112:2010），个人数据保护良好实践（CWA 16113:2010）等。

在对《个人信息安全规范》进行详细解读，有两点需要特别指出。

第一，虽然该标准是推荐性标准，但是该标准的定位是我国个人信息保护工作的基础性标准文件。它是我国今后开展与个人信息保护相关的各类活动的参考标准，而且也为今后制定和实施个人信息保护相关法律法规奠定基础。因此社会各机构，尤其是与个人信息搜集及使用紧密联系的金融、运营商、医疗、社保、教育以及政府等机构务必认真关注和研读该标准并开展相关的数据安全建设活动。

第二，该标准的整体内容要求不亚于国际标准，在某些内容上甚至高于国际标准，即便是对比GDPR。例如《个人信息安全规范》要求组织开展个人信息安全培训，对建立个人信息保护负责人和个人信息保护工作机构的组织大小及个人信息处理数量做出了规定（见10.1 明确责任部门与人员）；要求建立个人信息安全影响评估制度，定期（至少每年一次）开展个人信息安全影响评估（见10.2 开展个人信息安全影响评估）；要求对接触个人敏感信息的内部人员开展背景调查，除了培训还需考核，并使用自动化审计工具（见10.4 人员管理与培训）；要求开展个人信息安全审计（见10.5 安全审计）。以上这些条款和要求在GDPR中都没有明确或涉及。