《个人信息保护合规管理实施指南》.pdf

ICS35.020

L70

团体标准

T/GDCSAXXX-XXXX

个人信息保护合规管理实施指南

Personalinformationprotectioncompliancemanagementimplementation

guide

(征求意见稿)

2024-XX-XX发布2024-XX-XX实施

广东省网络空间安全协会发布

T/GDCSA000—2024

个人信息保护合规管理实施指南

1范围

本文件规定了建立、实施、评估、维护及改进个人信息保护合规管理的总体要求，并为安全管理和

合规操作提供了实施指南。

本文件适用于开展个人信息保护合规管理工作的企事业单位、社会团体、政府部门以及其他各类组

织机构（以下统称为组织），也可为监管、检查、评估等活动提供参考。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本

文件。

GB/T25069-2022信息安全技术术语

GB/T35273-2020信息安全技术个人信息安全规范

GB/T43697-2024数据安全技术数据分类分级规则

3术语和定义

GB/T25069-2022、GB/T35273-2020界定的以及下列术语和定义适用于本文件。

3.1

个人信息personalinformation

以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后

的信息。

[来源：GB/T35273-2020,3.1，有修改]

3.2

敏感个人信息sensitivepersonalinformation

一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人

信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周

岁未成年人的个人信息。

[来源：GB/T35273-2020,3.2，有修改]

3.3

重要数据keydata

特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危

害国家安全、经济运行、社会稳定、公共健康和安全的数据。

[来源：GB/T43697-2024,3.2]

1

T/GDCSA000—2024

注：仅影响组织自身或公民个体的数据一般不作为重要数据。

3.4

个人信息处理者personalinformationprocessor

在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。

[来源：GB/T35273-2020,3.4，有修改]

3.5

个人信息主体personalinformationsubject

个人信息已识别或者可识别的自然人。

[来源：GB/T35273-2020,3.3，有修改]

3.6

个人信息处理活动personalinformationprocessingactivities

个人信息的收集、存储、使用、加工、传输、提供、公开、删除等活动。

3.7

个人信息保护合规管理personalinformationprotectioncompliancemanagement

组织以有效防控个人信息保护合规风险