CBT《信息安全技术 大型互联网企业内设个人信息保护监督机构要求》.pdf

ICS 35.030 CCS L 80 中华人民共和国国家标准 GB/T XXXXX—XXXX 信息安全技术 大型互联网企业内设个人 信息保护监督机构要求 Information security technology －Requirements for large Internet companies internal personal information protection supervision agency (点击此处添加与国际标准一致性程度的标识) （征求意见稿） （本稿完成时间：2023 年8 月24 日） 在提交反馈意见时，请将您知道的相关专利连同支持性文件一并附上。 XXXX - XX - XX 发布 XXXX - XX - XX 实施 GB/T XXXXX—XXXX 信息安全技术 大型互联网企业内设个人信息保护监督机构要求 1 范围 本文件规定了大型互联网企业建立和运行个人信息保护监督机构的要求，包括个人信息保护监督 机构的设置、职责、工作规则，以及个人信息保护监督机构的成员等要求。 本文件适用于大型互联网企业建立和运行个人信息保护监督机构，也可为监管、检查、评估等活动 提供参考。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本 文件。 GB/T 25069—2022 信息安全技术 术语 GB/T 35273—2020 信息安全技术 个人信息安全规范 3 术语和定义 GB/T 25069—2022 和GB/T 35273—2020 界定的以及下列术语和定义适用于本文件。 3.1 大型互联网企业 large Internet enterprise 提供重要互联网平台服务、用户数量巨大、业务类型复杂的互联网企业，同时具备较大用户规模、 较广业务种类、较多业务范围、较高经济体量和较强影响能力的大型互联网平台。 3.2 个人信息保护监督机构 personal information protection supervision agency 大型互联网企业建立的主要由外部成员组成，对自身个人信息保护合法合规情况、履行个人信息保 护社会责任情况等进行独立监督，并对提升个人信息保护水平提出建议和意见的机构。 3.3 个人信息保护监督机构外部成员 external member of personal information protection supervision agency 具备个人信息保护专业知识和技能，不在大型互联网企业担任除个人信息保护监督机构外部成员 外的其他职务，与受聘大型互联网企业及其主要股东不存在可能妨碍其进行独立客观判断的关系，对大 型互联网企业个人信息保护情况进行监督，发表独立客观建议、意见的外部专家。 4 个人信息保护监督机构的设立 4.1 成立要求 3 GB/T XXXXX—XXXX 大型互联网企业应在六个月内成立个人信息保护监督机构，对本企业的个人信息保护合法合规情 况、履行个人信息保护社会责任情况等进行独立监督。 4.2 人员构成要求 大型互联网企业个人信息保护监督机构应由七至十五名成员组成，其中外部成员占比不低于三分 之二，内部成员不超过三分之一。 4.3 主任、副主任及职责 个人信息保护监督机构应设主任、副主任各一人，由外部成员担任，经个人信息保护监督机构全体 成员过半数选举产生。 个人信息保护监督机构会议期间，主任应负责主持个人信息保护监督机构会议。个人信息保护监督 机构休会期间，主任可组织外部成员与大型互联网企业用户代