信息安全技术个人信息保护指南

信息安全技术个人信息保护指南信息安全技术个人信息保护指南#/14个人信息管理者委托第三方对个人信息进行加工时，应确保第三方是达到本指南要求的、合格的第三方，并且应通过合同明确第三方的个人信息保护责任。个人信息管理者向接受委托的第三方转移个人信息时，应保证转移过程中的个人信息安全。接受委托的第三方应按照法律法规的规定、本指南的要求和委托者的合同，采取必要的措施和手段，保障个人信息在加工过程中的安全。接受委托的第三方完成个人信息加工任务并移交给委托者后，应删除相关个人信息。个人信息转移个人信息管理者一般情况下不应向其他机构转移其收集的个人信息，如需转移应当向个人信息主体说明转移的目的、转移的对象，并获得个人信息主体的明示同意。个人信息管理者向其他机构转移个人信息时，应确保个人信息的接收者是达到本指南要求的、合格的接收者，应保障个人信息在转移过程中的安全。个人信息管理者与其他机构合并或被其他机构收购时，应在合同中明确处理个人信息的目的不改变，并采取措施确保其个人保护水平不下降。个人信息管理者破产时，应采取措施确保个人信息主体的各项权利不受损害。如法律法规没有明确规定，或未经行业主管部门同意，个人信息管理者不应将个人信息转移给境外注册的个人信息管理者。个人信息使用、屏蔽和删除个人信息管理者应将收集的个人信息限定在收集时告知个人信息主体的范围之内，不应向其他机构披露相关个人信息。未经个人信息主体明示同意，个人信息管理者不应公开其处理的个人信息。个人信息使用应限于收集个人信息时告知的目的，除非法律法规有明确规定或个人信息主体明示同意，不应超出目的使用个人信息。个人信息主体有正当理由要求删除其个人信息时，个人信息管理者应及时删除个人信息。删除个人信息可能会影响公安机关调查取证时，个人信息管理者应采取适当的信息保全措施。个人信息使用完成后应删除，需要继续处理的，应采取匿名方式。保存期限有明确规定的，按相关规定执行。个人信息主体发现其个人信息有误并要求修改时，个人信息管理者应查验相关信息，并在核对正确后修改或补充相关信息。对于未满16周岁未成年人的个人信息，应强化保护措施和手段，不得超出收集时告知的使用目的之外使用其个人信息。个人信息管理个人信息管理者利用信息系统处理个人信息的，应制定个人信息保护政策，建立个人信息管理制度，落实个人信息管理责任，加强个人信息安全管理，规范个人信息处理活动。个人信息管理者应指定专门机构或人员负责内部的个人信息保护工作，接受个人信息主体的投诉与质询。个人信息管理者应采取必要的措施和手段，保护个人信息安全，确保但不限于以下目标：a）防止对个人信息处理场所和个人信息存储介质的未授权访问、损坏和干扰；b）处理个人信息时，应保证信息系统持续稳定运行；c）保证个人信息在信息系统中的保密性、真实性和完整性。个人信息管理者在个人信息主体提出查询请求时，应如实并免费地告知请求人与其相关的个人信息，除非告知成本或者请求频率超出合理的范围。个人信息管理者应加强个人信息风险管理，识别、分析、评估潜在的风险因素，制定风险应对策略，采取风险控制措施，监控风险变化。个人信息管理者应对个人信息处理过程中可能出现的泄露、丢失、损坏、篡改、不当使用等事件制定预案，采取相应的预防和应对措施。个人信息管理者应制定个人信息保护的教育培训计划并组织落实。个人信息管理者应