《信息安全技术+个人信息处理中告知和同意的实施指南gbt+42574-2023》详细解读

《信息安全技术个人信息处理中告知和同意的实施指南gb/t42574-2023》详细解读contents目录1范围2规范性引用文件3术语和定义4缩略语5告知的适用情形5.1收集个人信息contents目录5.2提供、公开个人信息5.3处理活动等发生变更5.4其他情形6同意的适用情形6.1需取得同意的情形6.2免于取得同意的情形7告知和同意的基本原则contents目录7.1告知的基本原则7.2同意的基本原则7.3告知和同意宜考虑的要素8告知8.1告知的方式contents目录8.2告知的内容8.3告知的实施9同意9.1同意机制的选择9.2同意的实施9.3单独同意的实施9.4书面同意的实施9.5拒绝同意的实施contents目录9.6同意的撤回9.7同意的证据留存附录A(资料性)App基本业务功能与扩展业务功能的告知和同意附录B(资料性)App嵌入第三方SDK场景下的告知和同意附录C(资料性)处理不满14周岁的未成年人个人信息的告知和同意附录D(资料性)智慧生活场景下的告知和同意contents目录附录E(资料性)公共场所场景下的告知和同意附录F(资料性)个性化推送场景下的告知和同意附录G(资料性)云计算服务场景下的告知和同意附录H(资料性)车内场景下的告知和同意contents目录附录I(资料性)互联网金融场景下的告知和同意附录J(资料性)网上购物场景下的告知和同意附录K(资料性)快递物流场景下的告知和同意附录L(资料性)互联网房产经纪服务场景下的告知和同意contents目录附录M(资料性)个人身份认证场景下的告知和同意附录N(资料性)可推定为同意的情形示例参考文献011范围本标准适用于各类组织，包括但不限于政府机关、企事业单位、社会团体等，在个人信息处理活动中告知和获取同意的行为。主体本标准所指个人信息包括但不限于自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等。客体适用主体和客体包括从信息主体直接收集和通过间接方式获取的个人信息。个人信息收集包括对个人信息的加工、处理、分析、比对、展示、共享、转让、公开披露等行为。个人信息使用包括个人信息的保密、完整、可用以及可追溯等保护措施。个人信息保护涉及的活动范围010203本标准作为推荐性国家标准，为各类组织在个人信息处理活动中告知和获取同意提供指导。组织应结合自身实际情况，制定符合本标准的个人信息处理政策，并通过适当方式公开，接受社会监督。标准的约束力022规范性引用文件确保实施指南的准确性和权威性通过引用相关的规范性文件，可以确保本实施指南的内容与最新的法规、标准保持一致，从而提高其准确性和权威性。提供读者更全面的参考引用文件可以为读者提供更详细、更全面的背景信息和参考资料，有助于读者更好地理解和应用本实施指南。引用文件的目的《中华人民共和国网络安全法》作为个人信息处理的基本法律框架，明确了个人信息保护的原则和要求。《信息安全技术个人信息安全规范》提供了个人信息保护的具体技术和管理措施，是本实施指南的重要参考依据。其他相关法规和标准根据实际需要，本实施指南还可能引用其他与个人信息处理相关的法规、标准等文件。主要引用的文件对于重要的法规、标准等文件，采取直接引用的方式，确保内容的准确无误。直接引用在引用文件时，应优先选择其最新版本，以确保内容的时效性和有效性。遵循最新版本原则在引用文件的内容时，应保持与原文的一致，避免产生歧义或误导读者。保持与原文一致引用文件的方式和原则033术语和定义个人信息主体主体合法性个人信息主体应当是合法的，即具备相应的民事行为能力，能够独立享有权利并承担义务。权利主体个人信息主体享有对其个人信息的知情权、同意权、查询权、更正权、删除权等一系列权利。自然人个人信息主体是指产生个人信息的自然人，是个人信息的原始来源。个人信息处理者是指决定处理目的和处理方式的组织或个人，包括但不限于网络运营者、应用开发者等。定义与范围个人信息处理者需遵循合法、正当、透明原则，处理个人信息前应向个人信息主体告知处理目的、方式、范围等，并征得明确同意。同时，应采取必要措施保障个人信息的安全。义务与责任个人信息处理者同意的撤回个人信息主体应有权随时撤回其同意，个人信息处理者应在收到撤回请求后停止处理相关个人信息。告知要素告知应包括处理个人信息的主体、目的、方式、范围、规则等关键要素，确保个人信息主体充分了解其个人信息被处理的情况。同意要求同意应当是个人信息主体在充分知情的前提下自愿、明确作出的意思表示。默示同意、捆绑同意等不被视为有效同意。告知和同意044缩略语PIA:个人信息安全影响评估（PersonalInformationSecurityImpactAssessment）的缩写，是一种评估个人信息处理活动对信息主体合法权益及国家安全可能产生的影响的机制和过程。ISMS:信息安全管理体系（InformationSecurityManagementSystem）的缩写，是组织在整体或特定范围内建立信息安全方针和目标，以及完成这些目标所用方法的体系。ISO:国际标准化组织（InternationalOrganizationforStandardization）的缩写，是一个全球性的非政府组织，致力于促进国际间标准化及相关活动的发展。PI:个人信息（PersonalInformation）的缩写，指以电子或其他方式记录的能够单独或与其他信息结合识别特定自然人身份或反映特定自然人活动情况的各种信息。常见缩略语解释缩略语在标准中的应用01在《信息安全技术个人信息处理中告知和同意的实施指南》中，使用缩略语可以大大提升文本的简洁性，避免重复性的长句表述，使标准更加易读、易懂。缩略语的应用也是专业性的体现，能够准确、简洁地表达专业术语，确保标准的专业性和严谨性。使用国际通用的缩略语，还有利于国内标准与国际接轨，便于国际间的交流与合作。0203提升文本简洁性专业性体现便于国际交流缩略语的学习与掌握对于从事信息安全领域的工作者来说，学习和掌握这些缩略语是必不可少的，这不仅有助于理解标准内容，还能提高工作效率和准确性。可以通过查阅相关专业书籍、参加培训课程等方式来学习和掌握这些缩略语的含义和应用。同时，随着技术的不断发展和标准的更新迭代，也需要不断关注和学习新的缩略语。055告知的适用情形告知收集目的在收集个人信息前，应向信息主体明确告知收集的目的，确保信息主体在充分了解的基础上作出同意。告知收集方式告知收集范围5.1个人信息收集阶段的告知说明收集个人信息所采用的方式，如线上填写、调查问卷、传感器收集等，以便信息主体了解个人信息的来源。明确告知将收集哪些个人信息，如姓名、联系方式、地理位置等，避免过度收集。告知使用目的在使用个人信息时，应向信息主体告知使用目的，确保信息的使用符合信息主体的预期。告知使用方式阐述个人信息将如何被使用，包括自动化决策、数据分析等，以便信息主体了解个人信息的具体应用场景。告知共享情况如需将个人信息共享给第三方，应向信息主体明确告知共享的对象、目的及安全措施。5.2个人信息使用阶段的告知5.3个人信息处理其他情形的告知告知变更情况当个人信息的处理目的、方式或范围发生变化时，应及时向信息主体告知变更情况，并重新取得同意。告知风险及措施告知权利及行使方式向信息主体说明处理个人信息可能存在的风险及相应的安全保护措施，以提高信息主体的安全意识。向信息主体明确告知其享有的权利，如查询、更正、删除等，并提供便利的行使权利的途径。065.1收集个人信息合法性原则收集个人信息必须具有明确、合理的目的，且该目的需与业务功能直接相关。正当性原则必要性原则收集的个人信息应限于实现目的所需的最小范围，避免过度收集。收集个人信息必须遵循相关法律法规，确保信息收集的合法性。个人信息收集原则在收集个人信息前，应向信息主体明确告知收集信息的目的、方式、范围及可能存在的风险。告知义务必须获得信息主体的明确同意，方可进行个人信息的收集。同意获取收集的个人信息应严格保密，防止信息泄露、滥用或非法获取。保密义务个人信息收集要求制定收集计划明确收集目的、范围、方式及时间节点等要素，制定详细的收集计划。履行告知义务按照相关法律法规要求，向信息主体充分告知并获取其同意。实施收集操作遵循收集计划，通过合法、正当手段进行个人信息的收集。信息安全保护加强收集过程中个人信息的保护，确保信息不被非法获取或泄露。个人信息收集流程规范075.2提供、公开个人信息个人信息提供必须遵循相关法律法规，确保信息来源的合法性。合法性仅提供实现目的所需的最少个人信息，避免过度提供。最小化原则所提供的个人信息必须真实、准确，不得提供虚假或误导性的信息。准确性个人信息提供的要求必须获得信息主体的明确同意，才能公开其个人信息。明确同意公开个人信息的条件公开个人信息必须具有明确、合理的目的，且该目的需符合法律法规的规定。合法目的在公开个人信息前，应采取必要的安全措施，确保信息在传输、存储等环节的安全性。安全保障个人信息提供与公开的注意事项010203隐私保护在提供或公开个人信息时，应充分考虑信息主体的隐私权益，避免泄露其敏感信息。告知义务在提供或公开个人信息前，应向信息主体充分告知相关信息，包括提供或公开的目的、范围、接收方等。记录留存应建立完善的记录留存机制，记录个人信息的提供、公开情况，以便后续追溯和审计。085.3处理活动等发生变更变更类型包括个人信息的处理目的、处理类型、处理方式以及个人信息种类、匿名化措施等发生变更。变更范围涉及个人信息处理活动的整体或部分环节，可能影响到个人信息的权益和使用。变更类型与范围01告知时间在变更实施前，应向个人信息主体进行告知。变更告知要求02告知内容包括变更的具体内容、目的、影响以及可能存在的风险。03告知方式应通过合理方式，如邮件、短信、应用内通知等，确保个人信息主体能够及时、准确地获取变更信息。变更同意要求在变更涉及个人敏感信息或重要业务时，应重新取得个人信息主体的明确同意。同意前提可通过书面、电子化等方式进行同意，应确保同意的真实性和有效性。同意方式如个人信息主体不同意变更，应提供拒绝或退出相关处理活动的选项，并保障其合法权益。不同意处理变更实施与监督监督与检查建立监督机制，对变更过程进行定期检查与评估，确保变更符合法律法规要求，并保障个人信息的安全与合法使用。实施流程制定详细的变更实施计划，包括时间节点、责任人等，确保变更的平稳过渡。095.4其他情形在特定情况下，法律法规可能允许未经个人同意处理其个人信息，如涉及国家安全、公共利益等情形。法律法规允许的例外对于无民事行为能力或限制民事行为能力的个人信息主体，其监护人或法定代理人需代为行使相关权利。个人信息主体无民事行为能力或限制民事行为能力个人信息处理中的特殊情形紧急情况下的处理在紧急情况下，如自然灾害、事故灾难等，为确保个人信息安全，可能无法事先获得个人同意，此时可在事后向个人信息主体告知并征得同意。履行法定义务的处理在履行法定义务时，如配合执法部门调查、取证等，可能需在不经过个人同意的情况下处理其个人信息。此时，应确保处理行为合法合规，并在可能的情况下及时告知个人信息主体。告知和同意的例外情况明确敏感个人信息的定义，如涉及个人隐私、种族、宗教信仰、政治立场等的信息，以及相关法律法规规定的敏感信息。敏感个人信息的定义与范围处理敏感个人信息时，应严格遵守相关法律法规，确保处理行为合法、正当、必要，并采取严格的安全保护措施，防止信息泄露、滥用等风险。同时，应尽可能获得个人信息主体的明确同意，并在处理过程中保持透明、可审计。敏感个人信息的处理要求敏感个人信息的特殊处理106同意的适用情形同意需明确表达意愿，不得含糊不清或产生歧义。明确性在作出同意前，个人信息主体应充分了解信息处理的目的、方式、范围及可能的风险。知情性个人信息主体应自主作出同意，不受欺诈、胁迫等不正当手段的干扰。自愿性同意的基本原则同意的适用场景信息收集在收集个人信息时，需获得信息主体的明确同意，确保其了解并接受信息收集的目的和方式。信息使用使用个人信息前，应获取信息主体的同意，包括信息使用的目的、范围和时限等。信息共享当需要将个人信息共享给第三方时，必须获得信息主体的明确同意，并告知共享的目的和接收方。法律法规另有规定如相关法律法规对个人信息处理有明确规定，可依法进行，无需另行获得同意。同意的例外情形保护公共利益为维护国家安全、公共安全等重大公共利益，可在未经同意的情况下处理个人信息。紧急情况下保护个人权益在紧急情况下，为保护个人信息主体的生命、财产安全等合法权益，可先行处理个人信息，事后及时向信息主体告知并补充获得同意。116.1需取得同意的情形变更处理目的或方式当处理个人信息的目的、方式或范围发生变化时，需重新向信息主体告知并取得同意。敏感信息处理对于涉及个人隐私、种族、民族、宗教信仰等敏感信息的处理，必须获得信息主体的明确同意。初次处理在首次进行个人信息处理活动前，应向信息主体明确告知处理目的、方式及范围，并取得其同意。个人信息处理前的同意跨境数据传输将个人信息传输至境外时，需向信息主体告知境外接收方的相关信息，并取得其同意。自动化决策利用个人信息进行自动化决策时，应告知信息主体决策的逻辑及可能产生的影响，并获取其同意。公开个人信息在公开个人信息前，必须获得信息主体的明确同意，并告知其公开的范围、目的及可能带来的风险。特定场景下的同意要求同意的例外情形法律法规另有规定当法律法规对个人信息处理有明确规定时，可依法进行处理，无需另行取得信息主体的同意。保护信息主体权益所必需在紧急情况下，为保护信息主体的生命、财产安全等重大权益，可未经同意进行必要的个人信息处理。履行法定职责或义务所必需相关机构在履行法定职责或义务时，可依法进行个人信息处理，无需取得信息主体的同意。但应确保处理活动的合法性与正当性。126.2免于取得同意的情形01涉及国家安全、公共安全等重大公共利益在这些情形下，个人信息的处理可能无需取得个人同意，以维护国家安全和公共安全的需要。紧急情况下保护个人生命健康当个人生命健康面临紧急危险时，处理个人信息以尽快联系到相关人员或提供救助，可免于取得同意。履行法定职责或法定义务所必需如税务部门依法进行税收征管，或法律要求企业向监管部门报告某些数据，这些情况下处理个人信息无需个人同意。法律法规规定情形0203个人信息主体已公开的情形合法公开渠道获取如通过政府公开数据、新闻报道等合法渠道获取的个人信息，处理这些信息时，若符合相关法律法规规定，可能也无需取得个人同意。个人信息主体自行公开当个人自行在公开渠道（如社交媒体）上公开其个人信息时，这些信息被视为已公开信息，处理这些信息可能无需再次取得个人同意。匿名化处理后的信息经过匿名化处理，无法识别到特定个人的信息，处理这些信息时可能无需取得个人同意。个人信息主体明确拒绝或无法取得联系当个人信息主体明确拒绝处理其信息，或因客观原因无法取得联系时，若符合相关法律法规规定，处理这些信息可能也无需取得个人同意。但需注意，这种情况下的处理应严格遵循法律法规的要求，确保个人信息安全。其他规定情形137告知和同意的基本原则合法性原则个人信息处理必须遵循相关法律法规的要求，确保告知和同意的合法性。处理者应明确告知个人信息的处理目的、方式、范围等，并获得个人的明确同意。正当性原则告知和同意必须基于正当、合理的目的进行，不得损害个人的合法权益。处理者应充分说明处理个人信息的必要性和合理性，以获得个人的理解和支持。透明性原则处理者应以清晰易懂的方式向个人告知个人信息的处理情况，确保告知的透明性。告知内容应包括个人信息的来源、处理流程、安全措施等，以便个人全面了解其信息处理情况。““个人应有权自主决定是否同意其个人信息的处理，以及同意的范围和方式。处理者应尊重个人的自主选择，不得通过欺诈、胁迫等手段获取个人的同意。自主性原则147.1告知的基本原则使用简明扼要的语言避免使用过于专业或复杂的词汇，确保信息以通俗易懂的方式传达。逻辑结构清晰按照重要性和关联性对信息进行排序，帮助个人更好地理解告知内容。突出关键信息对于重要的告知事项，采用加粗、放大字体等方式进行突出显示。清晰易懂确保信息来源可靠告知的信息应来源于权威、可信的渠道，避免传播虚假或误导性信息。及时更新信息随着情况的变化，及时更新告知内容，以保持其时效性。内容准确无误对告知的信息进行仔细校对，确保其真实性和准确性。真实准确涵盖所有必要信息告知应包含个人信息处理的目的、方式、范围、存储期限等关键要素，确保个人能够全面了解情况。详细说明处理流程对个人信息处理的具体流程进行详细说明，包括收集、使用、共享、删除等环节。提供相关法律依据在告知中引用相关的法律法规或政策文件，为个人信息处理提供合法依据。全面具体保护个人敏感信息在告知中明确说明对个人敏感信息的保护措施，确保个人隐私不受侵犯。提供隐私保护政策链接在告知中提供隐私保护政策的链接，方便个人随时查看和了解相关信息。合法合规使用信息严格遵守相关法律法规，确保个人信息的合法使用和处理。尊重个人隐私157.2同意的基本原则同意必须基于个人自主意愿作出，不受任何外部不当干预或影响。自愿性个人应充分了解并理解所同意处理个人信息的范围、目的和方式。同意的自愿性应得到充分保障，不得通过欺诈、胁迫等手段获取。明确性同意应清晰、明确，不含糊或产生歧义。01个人信息处理者应向个人明确说明处理信息的具体目的、方式及范围。02同意的明确性有助于确保个人信息被合法、正当、透明地处理。03个人有权知晓其个人信息被收集、使用、共享等处理情况。个人信息处理者应提供便捷的途径，使个人能够查询、更正、删除其个人信息。知情权是同意原则的基础，有助于增强个人对信息的掌控感和信任度。知情权010203可撤销性0302个人有权随时撤销先前作出的同意，且撤销途径应简便易行。01可撤销性保障了个人在信息处理过程中的自主权和选择权。个人信息处理者应在收到撤销请求后，及时停止处理相关信息并删除或匿名化。167.3告知和同意宜考虑的要素明确告知处理个人信息的目的、范围和方式，确保信息主体充分了解信息处理情况。告知的目的和范围告知的要素采用简洁明了的语言进行告知，避免使用过于专业或晦涩难懂的词汇，确保信息主体能够轻松理解。告知的清晰性和易理解性根据信息处理情况及时更新告知内容，确保信息主体始终了解最新的处理情况。告知的时效性和更新频率同意的要素同意的自愿性确保信息主体在充分了解告知内容的基础上，自主、自愿地作出同意决定，不受任何欺诈、胁迫或误导。同意的明确性和具体性要求信息主体以明确、具体的方式表达同意，如签署书面协议、勾选电子选项等，确保同意的真实性和可追溯性。同意的撤回权保障信息主体有权随时撤回其同意，并明确撤回同意的方式和后果，确保信息主体对个人信息的自主控制权。在确保信息主体权益得到充分保障的前提下，合理满足信息处理者的实际需求，实现双方利益的平衡。平衡信息主体权益和信息处理需求针对不同场景下的个人信息处理活动，制定差异化、精细化的告知和同意要求，提高实施指南的适用性和可操作性。协调不同场景下的告知和同意要求告知和同意的平衡与协调178告知定义告知是指个人信息处理者在处理个人信息前，向个人信息主体明确、清晰地传达处理其个人信息的目的、方式、范围等关键信息的行为。目的告知的定义和目的确保个人信息主体充分了解其个人信息被处理的情况，保障其知情权和自主选择权。0102告知个人信息主体享有的权益，如查询、更正、删除、撤回同意等，并提供行使这些权益的途径和方式。处理目的明确说明处理个人信息的目的，如提供服务、改进技术、进行统计分析等。处理方式详细描述处理个人信息的方式，包括收集、存储、使用、加工、传输、提供、公开等。处理范围准确界定处理的个人信息范围，如个人基本资料、行为数据等。权益保障告知的内容要求01030204VS告知应以清晰易懂的语言，通过书面形式（如隐私政策、用户协议等）或显著位置（如应用界面、网站首页等）进行展示。时机在处理个人信息前，尽早向个人信息主体进行告知，确保其有足够的时间和机会了解并作出同意或不同意的决定。形式告知的形式和时机准确性清晰性及时性确保告知内容的真实、准确、完整，不夸大其词或隐瞒重要信息。使用简洁明了的语言进行表述，避免使用过于专业或晦涩难懂的词汇。随着处理目的、方式、范围的变更，及时更新告知内容，确保个人信息主体的知情权得到有效保障。告知的注意事项010203188.1告知的方式明确的告知方式在应用程序、网站等线上平台中，通过弹窗、页面提示等方式，向用户展示个人信息处理的相关情况，以便用户随时查看并作出同意选择。线上告知通过正式的文档、隐私政策或用户协议，详细阐述个人信息处理的目的、范围、方式等，确保信息主体能够充分了解并作出明确同意。书面告知处理目的明确说明个人信息被处理的具体目的，如用于产品改进、数据分析等，确保信息主体了解信息被使用的真实意图。01.清晰的告知内容处理范围详细列举将处理的个人信息类型，如姓名、联系方式、地理位置等，以及这些信息将被用于何种场景，避免信息被滥用或超出预期范围使用。02.权益保障告知信息主体在个人信息处理过程中享有的权益，如查询、更正、删除等，以及如何行使这些权益的具体途径和方式，保障信息主体的合法权益得到有效维护。03.灵活的告知策略分层告知根据信息处理的复杂程度和风险等级，采取不同层次的告知策略。对于高风险或敏感信息的处理，应提供更为详尽的告知内容，以确保信息主体能够充分知情并作出明智选择。实时更新随着业务发展和法律法规的变化，及时更新告知内容，确保信息主体能够持续了解最新的个人信息处理情况。同时，应提供便捷的查看方式，方便信息主体随时了解相关信息。198.2告知的内容告知的信息必须真实、准确，不得有误导性陈述或遗漏关键信息。真实准确告知应以简明扼要、易于理解的方式表达，避免使用过于专业或晦涩难懂的术语。清晰易懂告知应涵盖所有关键信息，包括处理目的、数据类型、处理方式等，以便个人做出明智的决策。全面具体告知的基本原则在个人信息被收集、使用或共享之前，应向个人进行告知。事先告知告知应以显著方式呈现，如在网站首页、APP启动页等明显位置进行提示。显著位置根据业务场景和用户需求，可采取弹窗、邮件、短信等多种方式进行告知。多种告知方式告知的时机与方式010203告知的要素处理者信息包括处理者的名称、联系方式等，以便个人在必要时进行联系或投诉。处理目的与合法性基础明确说明处理个人信息的目的，以及处理行为所依据的合法性基础（如法律授权、个人同意等）。数据类型与来源详细列出将收集的个人信息类型，以及这些信息的来源（如用户输入、第三方提供等）。数据接收方与境外传输如存在数据共享或向境外传输的情况，应说明接收方的身份以及境外传输的目的、安全保障措施等。敏感个人信息的特别告知明确的同意要求在收集、使用或共享敏感个人信息前，必须获得个人的明确同意，并告知其相关风险和后果。特殊处理与保护说明对敏感个人信息将采取的特殊处理措施和安全保护手段，以确保其安全性和保密性。敏感信息定义与范围明确界定敏感个人信息的定义和范围，如生物识别信息、健康信息等。208.3告知的实施告知的原则010203合法性原则告知行为必须符合国家法律法规的要求，确保信息处理的合法性。透明性原则告知的内容应清晰明了，避免使用晦涩难懂的术语，确保用户能够充分理解。必要性原则仅告知用户必要的信息，避免过度告知导致用户困扰和混淆。告知的内容个人信息处理的目的明确告知用户个人信息被处理的具体目的，以便用户了解并作出判断。02040301个人信息接收方说明将接收个人信息的第三方或部门，以及接收的目的和方式，确保用户了解信息流向。处理的个人信息类型详细列出将处理的个人信息类型，如姓名、地址、电话号码等，让用户清楚哪些信息将被收集和处理。个人信息主体权利告知用户作为个人信息主体所享有的权利，如查询、更正、删除等，引导用户合理行使权利。线上告知通过网站、APP等线上渠道进行告知，便于用户随时查看和了解。线下告知通过纸质文件、公告等方式进行线下告知，确保不擅长使用线上渠道的用户也能及时获取告知信息。告知的方式在个人信息处理活动开始之前进行告知，确保用户在充分了解情况的基础上作出同意的决定。事先告知当个人信息处理的目的、方式等发生变更时，应及时进行告知，确保用户权益不受影响。变更告知告知的时机219同意数据主体在充分知情的前提下，明确、清晰地表示同意对其个人信息进行特定处理。明确同意在特定场景下，如数据主体使用服务时，通过行为表示同意对其个人信息进行必要处理。默示同意包括数据主体的自主意愿、充分告知以及处理个人信息的明确性。同意的要素同意的定义自由给出同意必须是在没有受到欺诈、胁迫或不正当影响的情况下自由给出的。明确具体同意必须是对特定个人信息处理活动的明确和具体的授权，不能是模糊或笼统的。可撤回性数据主体有权随时撤回其同意，且撤回同意后，个人信息处理者应停止相应处理活动。同意的有效性获取方式个人信息处理者应通过合法、正当的方式获取数据主体的同意，如通过用户界面交互、签署书面协议等。记录要求个人信息处理者应记录数据主体同意的时间、方式、内容等信息，以确保同意的可追溯性和证明力。同意的获取与记录法律法规另有规定如相关法律法规对个人信息的处理有特别规定，可不受同意的限制。同意的例外情况保护重大利益为保护国家安全、公共利益或数据主体或其他自然人的重大利益，可在未经同意的情况下处理个人信息。紧急情况下在紧急情况下，如为挽救数据主体或其他自然人的生命、健康等，可在未经同意的情况下处理个人信息。但事后应尽快告知数据主体并说明理由。229.1同意机制的选择通过书面声明、电子签名、勾选同意选项等方式明确表达意愿。明示同意默示同意推断同意基于行为分析推断出信息主体的意愿，如继续使用服务、不反对数据收集等。在特定场景下，结合信息主体的行为和环境因素，合理推断其同意意愿。明确同意的类型和方式确保告知内容明确、易懂，充分披露处理目的、方式、范围等关键信息。告知内容清晰设置清晰、明确的同意选项，便于信息主体作出选择。同意选项明确妥善保存同意的记录，以便后续追溯和证明。同意记录留存同意要素的完整性自愿性保障确保同意是在信息主体自由意志下作出的，不受欺诈、胁迫等不正当手段影响。明确性要求同意必须明确无误，不能含糊不清或存在歧义。同意的自愿性和明确性提供便捷的同意撤回途径，尊重信息主体随时改变意愿的权利。撤回机制当处理目的、方式等发生变化时，及时更新同意内容，并再次征得信息主体的同意。更新流程同意的撤回与更新239.2同意的实施同意能力确保个人信息主体具备对个人信息处理的充分理解能力和同意能力，对于不具备完全民事行为能力的个人，应由其监护人代为行使同意权。自由给予确保个人信息主体在充分知情的前提下，自愿、明确地作出同意表示，不受欺诈、胁迫等不正当手段的干扰。明确同意范围个人信息主体应明确知晓并同意个人信息被收集、使用的具体范围，包括信息类型、使用目的等。同意的要素线上获取通过网络平台或应用程序，以点击“同意”按钮、勾选同意选项等方式获取个人信息主体的明确同意。线下获取在纸质表单上签字、盖章或按手印等方式，表示对个人信息处理的同意。录音录像在必要情况下，可通过录音、录像等方式记录个人信息主体同意的过程，以确保同意的真实性和有效性。同意的获取方式同意的例外情形法律法规另有规定根据相关法律法规的明确规定，某些特定情形下无需获取个人信息主体的同意，如涉及国家安全、公共安全等重大利益的情况。个人信息主体已公开的信息对于个人信息主体已经自行公开或者其他已经合法公开的信息，可在不违背相关法律法规和双方约定的前提下进行收集和使用。紧急情况下为保护个人信息主体利益在紧急情况下，为保护个人信息主体或他人的生命、健康、财产安全等合法权益，可先行处理个人信息，但应在事后及时向个人信息主体告知并征得同意。249.3单独同意的实施单独同意的必要性保护个人隐私单独同意能够确保个人在明确知晓并理解信息处理目的、方式和范围的基础上，作出自主决定，从而有效保护个人隐私。遵守法律法规提升用户信任随着数据保护法规的不断完善，单独同意已成为个人信息处理的合法性基础之一，遵守单独同意要求有助于企业合规经营。通过单独同意的实施，企业能够向用户展示其尊重和保护个人信息的决心，进而提升用户对企业的信任度。明确告知义务在获取单独同意前，企业应向个人充分告知信息处理的目的、方式、范围以及可能存在的风险，确保个人在充分知情的情况下作出决定。简化操作流程保留同意记录单独同意的实施要点企业应设计简洁明了的单独同意操作流程，避免过于复杂或晦涩难懂的步骤，以便个人能够轻松理解和操作。企业应妥善保存个人单独同意的记录，包括同意的时间、方式、内容等，以便在必要时进行查证。避免捆绑同意随着企业业务或个人信息处理方式的变更，企业应及时更新单独同意的内容，并重新获取个人的同意，以确保同意的时效性和有效性。及时更新同意加强内部培训为确保单独同意的正确实施，企业应加强内部员工的培训和教育，提高员工对单独同意要求的理解和执行力。企业在获取单独同意时，应避免将多个不相关的信息处理目的捆绑在一起，要求个人一次性作出同意，以免损害个人的自主选择权。单独同意的注意事项259.4书面同意的实施书面同意的适用范围01当处理敏感个人信息时，如健康、生物识别等，应获取个人的书面同意。在将个人信息传输至境外或提供给境外接收方时，需获取书面同意以确保合规性。对于可能引发较高风险的处理活动，如自动化决策、大规模个人信息处理等，书面同意可提升处理活动的透明度和责任性。0203涉及敏感个人信息处理跨境数据传输高风险处理活动确保提供书面同意的个人具备相应的权利能力和行为能力。明确同意的主体书面同意的要素书面同意中应明确描述被授权的处理活动，包括处理目的、个人信息类型、处理方式等。清晰的授权内容书面同意必须基于个人的自愿和真实意愿，不得通过欺诈、胁迫等手段获取。自愿性和真实性书面同意的实施步骤制定书面同意模板根据具体业务场景和法规要求，制定合规的书面同意模板。向个人提供书面同意文件在处理个人信息前，向个人提供书面同意文件，并详细解释其内容。签署与存档个人在充分理解并同意后签署书面文件，企业需妥善存档以备查验。01持续更新与重新获取随着业务变化或法规更新，应及时更新书面同意内容，并重新获取个人的书面同意。书面同意的注意事项02保障个人权益在书面同意过程中，应充分保障个人的知情权、选择权和撤回权等权益。03合规审查与监督定期对书面同意的实施情况进行合规审查，确保符合相关法律法规要求。269.5拒绝同意的实施01信息主体明确表达不同意当信息主体明确表示不同意对其个人信息进行收集、使用、共享等处理活动时，相关组织或个人应尊重其意愿，停止相应的处理行为。超出告知范围的处理如果信息处理者实际处理个人信息的范围、目的或方式超出了原先告知信息主体的内容，且未重新获得信息主体的明确同意，信息主体有权拒绝此类超范围的处理行为。违反法律法规的强制性规定对于违反国家法律法规强制性规定的信息处理行为，即使信息主体之前已表示同意，也有权随时撤回并拒绝继续同意。拒绝同意的情形0203信息处理者应设立专门渠道，接收并确认信息主体提出的拒绝同意请求，确保请求的真实性和合法性。接收并确认拒绝同意请求拒绝同意的实施流程一旦收到有效的拒绝同意请求，信息处理者应立即停止对相关信息主体的个人信息进行处理，包括收集、使用、共享等。停止相应处理行为信息处理者应详细记录拒绝同意请求的处理情况，包括请求的时间、内容、处理结果等，并妥善保存相关证据以备查。记录并保存相关证据拒绝同意的保障措施定期自查和整改信息处理者应定期对自身的个人信息处理活动进行自查，发现问题及时整改，确保个人信息处理活动的合规性。接受外部监督和检查信息处理者应积极配合相关监管部门的监督和检查工作，如实提供相关资料和情况说明，确保拒绝同意制度的有效实施。加强内部管理和培训信息处理者应建立完善的内部管理制度，加强对员工的培训和教育，确保员工熟知拒绝同意的流程和操作规范。030201279.6同意的撤回同意撤回的定义同意撤回是指个人在先前已作出同意的情况下，有权随时撤回其同意，并停止相关个人信息处理活动的行为。同意撤回是个人对其个人信息处理权限的一种重要控制手段，体现了个人自主意愿的尊重和隐私权的保护。同意撤回的条件撤回同意应当是自愿的、无条件的，个人不应受到任何不合理限制或阻碍。个人信息处理者应当提供便捷的方式，使个人能够轻松地撤回其同意，如在线操作平台、客服电话等。一旦个人撤回其同意，个人信息处理者应立即停止处理相关的个人信息，除非有法律另有规定或双方另有约定。撤回同意后，个人信息处理者还应根据具体情况采取必要的措施，如删除、匿名化或封存相关的个人信息，以确保其不再被处理。同意撤回的效力同意撤回的注意事项个人在撤回同意前，应充分了解撤回同意可能带来的影响，如可能无法继续使用某些服务或产品等。个人信息处理者应向个人明确告知撤回同意的具体操作流程和可能产生的后果，以便个人做出明智的决策。““289.7同意的证据留存法律合规性证明在个人信息处理过程中，留存同意的证据是遵守相关法律法规的关键。它能够帮助组织在面对法律审查或争议时，证明其已经获得了信息主体的有效同意。01.证据留存的重要性风险管理依据同意证据的留存可作为组织进行信息安全风险管理的依据。通过分析这些证据，组织可以评估其处理个人信息的合法性、合规性以及潜在的风险点。02.保障信息主体权益在信息主体对其个人信息处理提出异议或投诉时，同意证据的留存可以支持组织快速响应并处理这些问题，从而保障信息主体的合法权益。03.可追溯性同意的证据应具备可追溯性，这意味着组织应能够追踪到每一个同意的来源和状态。这要求组织在收集和处理同意证据时，必须建立完善的记录和管理系统。完整性同意的证据必须完整，能够清晰地反映信息主体在何时、何地以及基于何种目的给予了同意。任何模糊、缺失或篡改的证据都可能影响其法律效力。安全性同意证据的留存必须满足严格的安全要求。组织应采取适当的技术和管理措施，确保这些证据不被未经授权的人员访问、篡改或删除。证据留存的具体要求证据留存的实施建议制定明确的政策与流程组织应制定关于同意证据留存的明确政策和流程，包括证据的收集、存储、使用和处置等方面。这有助于确保所有相关人员都了解并遵循相同的标准。采用合规的技术解决方案为了满足证据留存的要求，组织可以选择使用合规的技术解决方案，如电子签名、时间戳或区块链等。这些技术可以帮助组织确保同意证据的真实性、完整性和可追溯性。定期进行审查与更新由于法律法规和信息安全标准可能会不断变化，组织应定期审查并更新其同意证据的留存实践。这可以确保组织始终保持在合规状态，并能够及时应对任何新的法律或技术要求。29附录A(资料性)App基本业务功能与扩展业务功能的告知和同意App基本业务功能的告知告知用户基本业务功能所涉及的个人信息处理方式和相关风险，以便用户做出明智的决策。阐述基本业务功能收集的个人信息类型、目的、范围和频率，确保用户充分了解信息收集情况。明确告知用户App的基本业务功能，包括但不限于注册、登录、浏览、搜索、购买、支付等核心功能。010203在用户首次使用App时，通过弹窗、协议或隐私政策等形式，明确征求用户对基本业务功能个人信息处理的同意。App基本业务功能的同意提供用户自主选择同意或拒绝的选项，确保用户意愿得到充分尊重。在用户同意后，App应严格按照同意范围进行个人信息处理，不得超出用户授权范围。针对App提供的扩展业务功能，如个性化推荐、社交分享、位置服务等，进行单独的告知和同意。遵循用户同意原则，仅在用户明确同意的情况下进行扩展业务功能的个人信息处理。同时，应保障用户随时可撤销同意并停止相关个人信息处理活动。在用户选择使用扩展业务功能前，明确征求其对该功能个人信息处理的同意，并提供同意或拒绝的选项。告知用户扩展业务功能所需收集的个人信息类型、目的及处理方式，以便用户了解并评估相关风险。App扩展业务功能的告知和同意0102030430附录B(资料性)App嵌入第三方SDK场景下的告知和同意第三方SDK的定义和分类分类根据功能和服务类型的不同，第三方SDK可以分为支付类、统计类、社交分享类、广告推送类等多种类型。定义第三方SDK是指由第三方提供的软件开发工具包，用于在App中实现特定的功能或服务。App运营者需向用户明确告知嵌入的第三方SDK及其所收集的个人信息类型、目的、方式和范围。告知义务在收集、使用个人信息前，需确保用户已明确同意相关的隐私政策和服务协议。同意要求App嵌入第三方SDK的合规要求第三方SDK的隐私政策与App隐私政策的协调第三方SDK应提供独立的隐私政策，说明其收集、使用个人信息的情况。App运营者需将第三方SDK的隐私政策与自身隐私政策进行协调，确保用户能够全面了解个人信息的处理情况。安全风险第三方SDK可能存在恶意代码、数据泄露、权限滥用等安全风险。防范措施App运营者应对第三方SDK进行严格的安全检测，确保其来源可靠、代码安全，并定期对SDK进行更新和漏洞修复。同时，加强与第三方SDK提供者的沟通与协作，共同应对可能出现的安全问题。第三方SDK的安全风险与防范措施31附录C(资料性)处理不满14周岁的未成年人个人信息的告知和同意使用简明易懂的语言在告知未成年人或其监护人时，应使用简单易懂、不含专业术语的语言，确保信息能够准确传达。突出关键信息在告知内容中，应重点强调处理未成年人个人信息的目的、方式、范围以及可能存在的风险，以便相关方做出明智的决策。多样化的告知方式根据未成年人的年龄和认知水平，采取适当的告知方式，如图文结合、动画演示等，以提高告知的有效性。告知的注意事项010203同意的获取与处理敏感信息的特殊处理对于涉及未成年人敏感信息的处理，应采取更加严格的保护措施，并确保在获取同意时充分说明处理敏感信息的必要性和风险。明确同意的范围和时限在获取同意时，应明确告知同意的具体范围和时限，以便相关方在合理范围内行使权利并承担相应义务。确保同意的自愿性在获取未成年人或其监护人的同意时，应确保其充分了解并自愿做出决定，不存在任何欺诈、误导或强迫行为。VS为确保未成年人个人信息的安全与合法处理，应设立专门的监督机制，对处理活动进行定期检查和评估。严厉打击违法行为对于违反本指南规定的行为，应依法予以严厉打击，并追究相关责任人的法律责任，以确保未成年人个人信息的合法权益得到有效保障。设立专门的监督机制监督与追责32附录D(资料性)智慧生活场景下的告知和同意定义与特点智慧生活场景指的是利用信息技术和智能化设备，为人们提供便捷、高效、智能的生活服务环境。涵盖领域智慧生活场景概述智慧生活场景涉及智能家居、智慧出行、智慧医疗、智慧教育等多个领域。0102在智慧生活场景中，应明确告知个人信息被收集、使用的目的、方式和范围，以及可能存在的风险。告知内容告知应以清晰易懂、易于获取的方式呈现，如通过用户界面展示、隐私政策说明等。告知方式智慧生活场景下的告知要求同意的要素有效的同意应包含明确的意愿表达、对处理个人信息的充分知情以及可撤销性。01智慧生活场景下的同意要求同意的获取方式应通过主动勾选、点击确认等方式获取个人信息主体的明确同意，并确保同意的真实性和有效性。02智能家居场景在智能家居场景中，应告知用户智能设备收集的个人信息类型、目的和范围，并获取用户明确同意后，方可进行后续的个人信息处理操作。智慧出行场景在智慧出行场景中，如共享单车、网约车等，应告知用户行程信息、支付信息等个人敏感信息的处理情况，并在用户充分知情并同意的前提下提供服务。智慧医疗场景在智慧医疗场景中，应严格遵循相关法律法规，明确告知患者个人健康信息的收集、使用、共享等情况，并获取患者或法定监护人的明确同意。智慧生活场景下告知和同意的实践案例33附录E(资料性)公共场所场景下的告知和同意公共场所是指供公众从事社会活动的各种场所，如商场、公园、车站等。定义人流量大、信息交互频繁、涉及个人隐私与公共安全的平衡。特点公共场所的定义与特点公共场所场景下的告知要求清晰明了告知内容应简洁明了，易于被公众理解。明确告知收集、使用个人信息的目的，以及信息将用于何种服务或功能。目的明确根据场所特点选择合适的告知方式，如公告牌、电子显示屏等。方式合理提供多种同意方式供个人选择，如口头同意、书面同意、电子形式同意等。可选择性对获取的同意进行记录，以便后续追溯和证明。记录留存在收集、使用个人信息前，应确保个人以明确的行为表示同意。明确同意公共场所场景下的同意获取030201隐私保护在公共场所收集个人信息时，应采取必要措施保护个人隐私。合法合规确保告知和同意过程符合相关法律法规要求，避免违法行为。灵活应对针对不同公共场所的特点和需求，灵活调整告知和同意的策略。注意事项与常见问题34附录F(资料性)个性化推送场景下的告知和同意定义基于个人信息主体的偏好、兴趣、行为等数据，通过算法分析向其提供个性化内容或服务的行为。范围包括但不限于新闻资讯、商品推荐、广告推送等场景。个性化推送定义与范围推送目的明确告知个人信息主体进行个性化推送的目的，如提升用户体验、实现精准营销等。数据来源说明用于个性化推送的数据来源，包括直接采集的个人信息以及间接获取的数据。推送逻辑简要描述个性化推送的算法原理、主要考量因素及可能产生的结果。030201告知要求在获取个人信息主体明确同意后，方可进行个性化推送。明确同意同意方式不同意选项提供清晰、易懂的同意方式，如勾选框、按钮等，确保个人信息主体在充分知情的基础上作出决定。同时提供不同意的选项，并说明不同意的后果，如可能无法接收部分推送内容或服务。同意要求隐私保护在个性化推送过程中，应采取必要措施保护个人信息主体的隐私安全，如加密存储、匿名化处理等。合规性确保个性化推送行为符合相关法律法规的要求，如《个人信息保护法》、《数据安全法》等。透明度保持个性化推送的透明度，允许个人信息主体查看与管理自己的推送设置。注意事项35附录G(资料性)云计算服务场景下的告知和同意弹性扩展云计算服务可根据用户需求快速调整资源规模，实现弹性扩展。数据集中存储云计算服务将数据集中存储在数据中心，便于管理和维护。按需付费用户只需按实际使用量支付费用，降低了一次性投入成本。云计算服务的特点服务类型及功能向用户明确告知所提供的云计算服务类型及其具备的功能。数据使用目的和范围阐述收集、使用用户数据的具体目的和范围，确保用户了解个人信息的去向。数据存储位置及跨境传输说明用户数据存储的具体位置，以及是否涉及跨境数据传输。云计算服务场景下的告知要素云计算服务场景下的同意方式随时撤回同意用户应有权随时撤回其同意，云计算服务商应提供便捷的撤回同意方式。明确同意在获取用户个人信息前，需获得用户的明确同意，可通过勾选、点击等方式进行确认。数据加密采用加密技术对数据进行传输和存储，确保数据在传输和存储过程中的安全性。访问控制实施严格的访问控制策略，避免未经授权的访问和数据泄露。定期审计定期对云计算服务进行安全审计，确保服务符合相关法律法规要求。云计算服务中的隐私保护措施36附录H(资料性)车内场景下的告知和同意车内空间相对封闭，信息传递和交互主要依赖车载系统。封闭性车辆处于移动状态，网络环境不稳定，影响信息告知的实时性。移动性车内场景涉及乘客个人隐私，对信息安全和隐私保护要求较高。隐私性车内场景的特点明确告知内容应向车内人员清晰、准确地告知个人信息的收集、使用、共享等处理情况，包括处理目的、方式、范围等。获取有效同意在收集、使用车内人员的个人信息前，应获取其明确、具体的同意，确保其充分了解并同意相关处理行为。保障知情权车内人员有权随时查询其个人信息的处理情况，相关组织应提供便捷的查询渠道，并及时响应查询请求。020301告知和同意的实施要点面临的挑战与应对策略监管与合规问题相关组织应严格遵守国家法律法规和标准要求，定期接受监管部门的审查和评估，确保车内场景下的告知和同意行为合规有效。隐私保护问题加强车载系统的安全防护措施，采用加密、匿名化等技术手段保护车内人员的个人隐私安全。网络环境问题针对车内网络环境不稳定的问题，可采用离线告知、缓存机制等技术手段，确保告知内容的及时性和可达性。37附录I(资料性)互联网金融场景下的告知和同意互联网金融业务主要通过网络和移动设备进行，用户信息以数字化形式存在。数字化操作涉及的金融信息具有较高的敏感性，包括个人身份、财产状况、交易记录等。信息敏感性高互联网金融服务不受地域限制，用户可随时随地访问自己的金融账户。跨地域性互联网金融场景的特点010203保障用户权益金融机构应采取必要措施保障用户信息安全，同时为用户提供便捷的查询、更正、删除等个人信息管理功能。明确告知信息处理目的金融机构在收集、使用个人信息前，需明确告知用户信息处理的目的，如用于风险评估、交易监控等。获取明确同意在获取用户个人信息前，应确保用户充分了解并明确同意相关处理操作，可通过电子签名、勾选同意框等方式确认。告知和同意在互联网金融场景中的具体应用信息安全风险加强技术防护手段，如数据加密、访问控制等，确保用户信息安全不被泄露。用户隐私保护意识提升随着用户对隐私保护意识的提高，金融机构需不断完善告知和同意机制，以满足用户日益增长的隐私保护需求。法规政策遵循金融机构在互联网金融场景下开展业务时，需密切关注相关法规政策动态，确保合规经营。面临的挑战与应对策略38附录J(资料性)网上购物场景下的告知和同意告知的要素明确网上购物平台的法律实体，包括平台运营者、商家等，确保用户能够清晰识别信息来源。告知主体详细阐述平台在个人信息处理方面的政策，包括收集、使用、存储、共享、保护等环节，以及用户权益的保障措施。告知内容采用合理、醒目的方式向用户展示告知内容，如隐私政策弹窗、用户协议重点提示等，确保用户能够充分知悉并理解。告知方式明确用户同意的方式，包括书面同意、点击同意等，确保用户的意愿能够真实、准确地表达。同意的形式要求用户在充分了解告知内容的基础上作出明确同意，避免模糊、含糊的同意表述，确保用户权益得到有效保障。同意的明确性向用户说明同意的撤回方式及后果，保障用户在个人信息处理过程中拥有自主权，随时可根据自身需求调整同意范围。同意的撤回同意的要素用户注册：在注册过程中，向用户明确告知平台将收集哪些个人信息，如用户名、密码、联系方式等，并征得用户的明确同意。订单处理与物流跟踪：在用户下单后，平台需向用户告知将收集其订单信息、支付信息等，并征得同意，以便完成订单处理和物流跟踪。同时，应保障用户对这些信息的查询、更正、删除等权益。售后服务与投诉处理：在售后服务和投诉处理过程中，平台可能需收集用户的反馈意见、联系方式等个人信息。此时，应向用户明确告知收集信息的目的和使用范围，并征得用户的同意。商品浏览与推荐：根据用户的浏览记录，向用户推荐相关商品。在此过程中，需向用户告知平台将收集其浏览记录，并征得同意，以便进行个性化推荐。场景示例39附录K(资料性)快递物流场景下的告知和同意信息敏感性高快递物流场景涉及个人姓名、地址、电话等敏感信息的处理和交换。跨组织共享需求快