轉讓個人資訊前應得到本人授權同意
A07版
為有效防範侵犯公民個人資訊違法行為，保障網路資料安全和公民合法權益，公安部網路安全保衛局11月30日釋出《網際網路個人資訊保安保護指引（徵求意見稿）》，面向社會廣泛徵求意見。
定義——
【個人資訊】
以電子或者其他方式記錄的能夠單獨或者與其他資訊結合識別特定自然人身份或者反映特定自然人活動情況的各種資訊。
個人資訊包括姓名、出生日期、身份證件號碼、個人生物識別資訊、住址、通訊通訊聯絡方式、通訊記錄和內容、賬號密碼、財產資訊、徵信資訊、行蹤軌跡、住宿資訊、健康生理資訊、交易資訊等。
【個人資訊主體】
個人資訊所標識的自然人。
【個人資訊持有者】
對個人資訊進行控制和處理的組織或個人。
焦點1——收集
應公示收集資訊的目的
徵求意見稿規定，個人資訊的收集行為應滿足以下要求：
個人資訊收集前，應向被收集的個人資訊主體公示本機構收集的目的、範圍、方法和手段、處理方式等資訊；
個人資訊收集應獲得個人資訊主體的同意和授權；
個人資訊收集應執行收集前簽署的約定和協議，不應有超範圍收集的現象；
應確保收集個人資訊過程的安全性：收集個人資訊之前，應有對被收集人進行身份認證的機制，該身份認證機制應具有相應安全性；收集個人資訊時，資訊在傳輸過程中應進行加密等保護處理；收集個人資訊的系統應落實網路安全等級保護要求；收集個人資訊時應有對收集內容進行安全檢測和過濾的機制，防止非法內容提交。
焦點2——儲存
應設定相應的儲存時限
徵求意見稿規定，個人資訊的儲存行為應滿足以下要求：
收集到的個人資訊應採取相應的安全加密儲存等安全措施進行處理；
應對儲存的個人資訊根據收集、使用目的、被收集人授權設定相應的儲存時限；
應對儲存的個人資訊在超出設定的時限後予以刪除；
儲存資訊的主要裝置，應對個人資訊資料提供備份和恢復功能，確保資料備份的頻率和時間間隔，並使用不少於以下一種備份手段：具有本地資料備份功能；將備份介質進行場外存放；具有異地資料備份功能。
焦點3——應用
應允許本人修改資訊
徵求意見稿規定，個人資訊的應用應滿足以下要求：
對個人資訊的應用，應符合與個人資訊主體簽署的相關協議和規定，不應超範圍應用個人資訊。經過匿名化或脫敏的方式處理的個人資訊資料可用於歷史、統計或科學目的，可以超出與資訊主體簽署的相關使用協議和約定，但應提供適當的保護措施進行保護。
個人資訊主體應擁有控制本人資訊的許可權，包括：允許對本人資訊的訪問；允許對本人資訊的修改，包括糾正不準確和不完整的資料；
應對個人資訊的接觸者設定相應的訪問控制措施，包括：對被授權訪問個人資訊資料的工作人員按照最小授權的原則，只能訪問最少夠用的資訊，只具有完成職責所需的最少的資料操作許可權；對個人資訊的重要操作設定內部審批流程，如批量修改、拷貝、下載等；對特定人員超限制處理個人資訊時配置相應的責任人或負責機構進行審批，並對這種行為進行記錄。
應對必須要通過介面展示的個人資訊進行去標識化的處理。
延伸
A 如何確保資訊被徹底刪除？
徵求意見稿中，對個人資訊持有者刪除資訊的流程作了詳細規定——
個人資訊相關儲存裝置，應在個人資訊超過儲存時限之後進行刪除；
個人資訊相關儲存裝置，將儲存的個人資訊資料進行刪除之後應採取措施防止通過技術手段恢復；
對儲存過個人資訊的裝置在進行新資訊的儲存時，應將之前的內容全部進行刪除；
廢棄儲存裝置，應在進行刪除後再進行處理。
B 能否隨意委託第三方處理？
徵求意見稿規定，在對個人資訊委託處理時，不應超出該資訊主體授權同意的範圍。此外，在對個人資訊的相關處理進行委託時，應對受託方的資料安全能力進行評估。
在流程方面，對個人資訊進行委託處理時，應簽訂相關協議要求受託方符合本規範；應向受託方進行對個人資訊資料的使用和訪問的授權；受託方對個人資訊的相關資料進行處理完成之後，應對儲存的個人資訊資料的內容進行刪除。
C 個人資訊可以隨意轉讓嗎？
徵求意見稿規定，如存在個人資訊共享和轉讓行為時，應滿足以下要求：
共享和轉讓行為應經過合法性、必要性評估；
在對個人資訊進行共享和轉讓時應進行安全影響評估，應對受讓方的資料安全能力進行評估，並按照評估結果採取有效的保護個人資訊主體的措施；
在共享、轉讓前應向個人資訊主體告知轉讓該資訊的目的、資料接收方的型別等資訊；
在共享、轉讓前應得到個人資訊主體的授權同意；
應記錄共享、轉讓資訊內容，將共享、轉讓情況中包括共享、轉讓的日期、資料量、目的和資料接收方的基本情況在內的資訊進行登記；
在共享、轉讓後應瞭解接收方對個人資訊的儲存、使用情況和個人資訊主體的權利，例如訪問、更正、刪除、登出等。
D 個人資訊可以公開披露嗎？
徵求意見稿規定，個人資訊原則上不得公開披露。如存在該行為，應滿足以下要求：
公開披露行為應經過合法性、必要性評估；
應對該行為進行安全影響評估，並按照評估結果採取有效的保護個人資訊主體的措施；
在披露前應向個人資訊主體告知披露的目的、型別等；
在公開披露前應得到個人資訊主體的明示同意；
應記錄公開披露的資訊內容，將公開披露情況中包括公開披露的日期、資料量、目的和資料接收方的基本情況在內的資訊進行記錄。