GB/T 42574-2023 信息安全技术个人信息处理中告知和同意的实施指南

展开文章目录

文章目录

1. 标准背景与意义
2. 标准的主要内容

2.1 告知义务
2.2 同意要求
2.3 特殊类型的同意
2.4 同意管理与记录
2.5 适用范围
2.6 法律法规的合规性要求

3. 标准的应用场景
4. 实施中的挑战与建议

GB/T 42574-2023 信息安全技术个人信息处理中告知和同意的实施指南（57p）.pdf

《GB/T 42574—2023 信息安全技术个人信息处理中告知和同意的实施指南》是中国国家标准委员会发布的有关个人信息保护的实施指南，旨在为组织在个人信息处理过程中如何有效进行告知和获得用户同意提供明确的技术规范和操作指南。随着个人信息保护法规的逐步完善，尤其是《个人信息保护法》（PIPL）等法律的实施，如何合法合规地处理用户个人信息，尤其是获取用户的知情同意，已经成为信息安全管理中至关重要的一环。

该指南的发布，是为了帮助组织和企业在个人信息处理活动中，做到透明、公正地告知用户信息处理的目的、范围、方式等内容，并在此基础上合法获取用户的同意，确保在个人信息保护方面符合法律法规的要求。

1. 标准背景与意义

随着互联网技术的发展，个人信息在各类应用中得到广泛收集和使用，个人信息泄露、滥用等问题引发了公众的广泛关注。全球范围内，各国纷纷出台相应的法律法规对个人信息进行保护，其中中国的《个人信息保护法》已成为指导个人信息处理活动的重要依据。

在这样的背景下，如何在信息采集阶段就做好告知与同意，是数据保护中至关重要的环节。个人信息的告知和同意不仅仅是一个法律要求，更是尊重用户隐私、维护用户信任的表现。《GB/T 42574—2023》作为个人信息保护领域的重要标准，明确了在信息处理过程中如何获得有效的用户同意，并确保用户能够清晰、准确地知晓信息处理的相关内容，进而确保数据的合法、合规处理。

2. 标准的主要内容

2.1 告知义务

《GB/T 42574—2023》明确了数据处理者在收集个人信息时应履行的告知义务。数据处理方应当采取适当方式，在获取用户信息之前，充分告知用户以下内容：

信息处理的目的：必须明确告知用户收集和处理其个人信息的具体目的。例如，是否用于提供服务、广告推荐、市场分析等。
信息处理的方式与范围：应告知用户其个人信息将如何被处理，包括数据收集的方式、存储方式以及使用范围。对于敏感信息，必须采取更加明确和透明的方式进行告知。
信息处理的风险：用户应被告知可能存在的风险，如数据泄露、滥用、第三方共享等，以便用户根据自己的情况做出选择。
第三方共享情况：如有必要，数据处理者应告知是否会将用户信息提供给第三方、合作伙伴或服务提供商，以及相关的保障措施。
数据存储与保留：应明确告知用户数据的存储期限，及数据处理完毕后的销毁方式。

告知内容应当真实、准确、完整，并以简明易懂的方式呈现。避免使用含糊不清或过于复杂的法律术语，确保用户能够充分理解。

2.2 同意要求

标准规定，数据处理者在收集个人信息时，必须获得用户的明示同意，而非默认同意或隐性同意。具体要求如下：

明确同意：同意应当通过积极的、明确的行为进行，如点击同意按钮、签署同意书等，而非通过默认勾选框、隐性操作等方式获得。
撤回同意：用户应当具备随时撤回同意的权利。在撤回同意后，数据处理方应停止进一步收集和处理用户的个人信息，并根据用户要求删除其已经收集的个人信息。
不同意的后果：用户若不同意收集其个人信息，数据处理者应当明确告知用户不同意后可能带来的后果，例如无法提供某项服务或功能，或者无法满足用户的某些请求。

2.3 特殊类型的同意

对于某些特殊类型的个人信息，如敏感信息或跨境数据流动，标准要求更高的同意要求：

敏感信息的处理：在处理敏感个人信息时，如健康信息、金融数据、面部识别数据等，数据处理者应额外确保用户的知情同意，并加强对该信息的保护措施。尤其是在敏感信息的收集和使用过程中，必须单独获得用户的明确同意。
跨境数据传输：当用户的个人信息需要传输到国外时，数据处理者应告知用户跨境数据传输的情况，并明确保障用户信息安全的措施，确保跨境传输符合相关法律法规要求。