数据安全合规性评估制度.pdfVIP

数据安全合规性评估制度--第1页

数据安全合规性评估制度

第一章数据源合规

第一条对数据采取合理的分类分级管理制度，并根据管理制度留存

数据处理记录。

第二条遵循合法、正当、必要的原则，使用个人信息的目的、方式

和范围不得超出个人信息主体授权同意的范围。

第三条对于需要进行数据融合的需求，融合后的使用目的不应超出

原有授权范围，否则应重新获得用户或数据上游合作企业的授权同意，

以避免被认定为超授权范围违法使用个人信息，或者引发潜在的违约

责任。

第四条对于要将个人信息用于推送或营销的情况，应获得接收方的

明示同意，避免采取“一揽子授权”的概括授权获取方式，同时提供

退订渠道。

第二章数据共享合规

第一条对于共享信息的业务场景，未经个人信息主体同意，不得向

他人提供用户个人信息，如姓名、住址、联系方式、身份证件等；未

经个人及其家属同意，不得向他人提供个人信息主体及其家属信息数

据；未经同意，不得向他人告知组织机构相关信息数据。

第二条对照《信息安全技术个人信息安全规范》等行业规范，在共

享个人信息之前事先开展个人信息安全影响评估工作，并向个人信息

数据安全合规性评估制度--第1页

数据安全合规性评估制度--第2页

主体告知共享个人信息的目的、数据接收方的类型，在征得个人信息

主体的授权同意后，可以准确记录和保存个人信息的共享情况，帮助

个人信息主体了解数据接收方对个人信息的保存和使用等情况，以及

个人信息主体的权利。

第三条在共享除个人信息之外的其他数据，应当提前识别该共享行

为所产生的风险，并在识别筛选后再进行共享，对于数据下游合作商

家及企业的数据安全能力采取一定的审核措施。

第三章第三方委托处理合规

第一条委托第三方进行个人信息处理的，应遵守《中华人民共和国

网络安全法》第四十一条规定的基本原则，确保第三方委托处理行为

未超过个人信息主体授权同意的范围。

第二条对照《信息安全技术个人信息安全规范》开展个人信息安全

影响评估，确保处理者具备足够的数据安全处理能力。

第三条在指定数据处理者时，应提前与处理者订立数据处理协议，

明确数据处理方案和流程，确保各类数据信息顺利处理，以理清双方

在数据保护及合规处理方面的责任和义务。

第四条针对重点业务，需要对第三方采取一定的管控措施，落实合

作前需要做数据安全能力调研和安全风险评估工作，合作中进行定期

核查，合作中妥善处理数据，进行删除销毁工作确保数据安全，或匿

名化后续工作。

数据安全合规性评估制度--第2页

数据安全合规性评估制度--第3页

第四章组织机构合规

第一条查验文件通报或数据安全管理办法，需明确数据安全管理责

任部门，需明确部门名称及负责人，相关文件已面向组织机构内部发

文通报,内部进行流转传达。

第二条查验文件通报或数据安全管理办法，需明确数据安全管理责

任部门职责，部门职责需包括但不限于制定数据安全管理整体方针策

略，协调建立数据安全技术保障措施，做好数据安全合规性评估、安

全审计管理、数据安全事件应急处置、教育培训等工作。

第三条查验文件通报或数据安全管理办法，需明确划分数据安全管

理责任部门与各项工作执行落实部门分工界面，工作执行落实部门需

完整包含数据协同管理部门、数据使用部门、运维支撑部门等。

第四条查验数据安全监督检查制度,需明确由责任部门定期对执行

部门数据安