T-SHAA 0002.4-2024 数字广告 第4部分：用户信息保护

SHAAT/SHAA0002.4—2024数字广告第4部分：用户信息保护DigitalAdvertisingPart4:PersonalInformationProtection2024–08–28发布2024–09-01实施上海市广告协会发布I 4.2信息处理者要求 7.2告知 7.4信息保存 4 4 4 本文件代替T/SHAA000204—2022《数字广告第4部分：用户信息保护》，与T/SHAA000204—2数字广告是通过网络和流媒体内容等进行的在线营销传播活动形式。本文件旨在防止数字广告传字广告诚信经营、数字广告公平竞争、数字广告业务管理、数字广——第8部分：数字电视广告内容技术规范13.1数字广告用户digitaladvertisin3.23.33.44.1.1数字广告传播活动中收集和使用自然人个人信息，应遵循合法、正当、必要的原则。个人信息4.1.4数字广告用户个人请求将个人信息转移至其指定的处理者，符合国家网信部门规定条件的，个24.1.5数字广告用户个人发现其个人信息不准确或者不完整的，个人信息处理者应允许更正、补充。4.1.6在五种情形下，数字广告用户个人信息处理者应主动删除用户个人信息。未删除的，应同意用——个人信息处理者停止提供产品或者服务，或者保存期限已届满的，且用户个4.1.7在法律法规和政策规定保存期限未满，或存在删除个人信息技术难度的，个人信息处理者应停4.2信息处理者要求4.2.1.5对处理敏感个人信息、利用个人信息应进行自动化决策、对外提供或公开个人信息等高风险4.2.1.6应履行个人信息泄露通知和补救义务，在发生或者可能发生个人信息泄露、4.2.2互联网平台5.1应遵守正当、必要、诚信的原则处理用户个人信息，不应通过误导、欺诈、胁迫方式处理个人信5.3公开的个人用户信息，应明示处理目的、方式和范围。应避免信息不准确、不完整对个人权益造5.4个人信息处理者应对其个人信息处理活动负责，应采取必要措5.5个人信息的保存期限应为实现处理目的所必需的最短时间。5.6应防止发生app过度收集用户位置信息、通讯录信息、手机号码等个人信息；平台强制索要非必6.1数字广告传播活动中，个人信息处理者应根据用户个人信息的处理目的、处理方式、个人信息的36.2应制定内部管理制度和操作规程，形成制度性文件。6.3应对个人信息实行分类管理，形成分类管理工作条例。6.4应采取相应的加密、去标识化等安全技术措施，形成相应的技术标准并制定标准文本。6.5应合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训。6.6应制定并组织实施个人信息安全事件应急预案，形成预案标准文件。7.1.1.2数字广告传播活动中，不应违反用户“知情、7.2.1按照“告知—知情—同意”的原则，数字广告传播活动中的个人信息处理者应履行向7.2.2在处理个人信息之前，应以显著方式和清晰易懂的语言，真实、准确、完整地向个人——涉及到个人的劳动合同（包括按照依法制定的劳动规章制度和依法签订的集体合——在合理范围内处理个人自行公开或其他已经合法公开的个人信息，以及法律、行7.3.2.1数字广告传播活动中，个人信息处理者向其他个人信息处理者提供其处理的个人47.3.2.2个人信息处理者向中华人民共和国境外提供个人信息的，应向个人告知境外接收7.3.3.2个人信息处理者应通过显著方式、清晰易懂的语言真实、准确、完整地告知被采7.4信息保存7.5.1个人信息处理者利用个人信息进行自动化决策，应保证决策的透明度和结果公平、公7.5.3通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理8.2在公共场所安装图像采集、个人身份识别设备，应遵守国家有关规定，并设置显著的提示标识。8.3所收集的个人图像、身份识别信息仅用于维护公共安全的目的，不应用于其他目的，除非已取得8.4在数字广告传播活动中，人脸识别技术涉及个人图像、生物信息和身份识别等个人敏感信息，应8.5信息处理者应当向用户告知如下事项：58.6应告知收集人脸信息识别数据的必要性，8.7应满足个人用户撤回同意权利，个人信息处理者应通过显著方式、清晰易懂的语言真实、准确、9.1在数字广告传播活动中的跨平台使用，如涉及双方或多方平台之间的信息交换和数据合作，应获9.2信息处理者应当向用户告知如下事项：10.3个人信息处理者应向个人告知处理敏感个人信息处理的必要性以及对个人权益的1