作者：陳長松

北京網絡行業協會副秘書長、公安部第三研究所研究員

2019年4月10日，公安部網絡安全保衛局聯合北京網絡行業協會、公安部第三研究所正式發布了《互聯網個人信息安全保護指南》（以下簡稱“指南”），這份指南是在2018年11月30日公安部網絡安全保護局發布的《互聯網個人信息安全保護指引（征求意見稿）》基礎上，聽取和采納社會各方意見修改而成。本公眾號特邀指南主要起草人，就指引的若干內容進行解讀，供大家參考

一、編制背景

近年來，侵犯公民個人信息的現象日益增多，侵犯公民個人信息的違法犯罪行為也日益猖獗，更為嚴重的是，此類違法犯罪已經形成了完整的利益鏈，甚至是灰色產業鏈，給人們日常生活帶來很大的干擾，直至造成財產損失，甚至危及人身安全。隨著網絡技術的發展，互聯網行業持有個人信息的現象日益普遍，侵犯公民個人信息的違法犯罪也與計算機信息系統密切相關。鑒于此，公安機關結合偵辦侵犯公民個人信息網絡犯罪案件和安全監督管理工作中掌握的情況，會同北京網絡行業協會和公安部第三研究所等單位，研究制定了本指南。

二、適用范圍

指南的第1章 范圍明確了適用對象為“個人信息持有者”，即對個人信息進行控制和處理的組織或個人，指南正式版將征求意見稿的“互聯網企業”進一步明確為“通過互聯網提供服務的企業”，并且包含了其他“使用專網或非聯網環境控制和處理個人信息的組織或個人”，也就是說除了傳統意義的互聯網企業，也包含金融、電信、交通、教育、醫療等行業，甚至存有大量公民個人信息的房產中介等企業，都應參考指南保護個人信息安全。

三、指南與一些法律法規的相關性

《網絡安全法》特別加強和明確了個人信息保護方面的要求，指南的業務流程主要要求按照《網絡安全法》編制的，一些細化要求參考了推薦性國家標準GB/T 35273—2017《信息安全技術 個人信息安全規范》；另外，《網絡安全法》指出國家實行網絡安全等級保護制度，指南的管理要求、技術要求和應急處置，都與《網絡安全等級保護基本要求》（《信息系統安全等級保護基本要求》）相一致，履行保護義務，“保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改”為目標，這也是《網絡安全法》的明確要求。另一方面，是否存在“竊取或者以其他非法方式獲取、非法出售或者非法向他人提供個人信息”等行為，也是《公安機關互聯網安全監督檢查規定（公安部令第151號）》的檢查重點之一。

四、指南與等級保護定級的關系

指南對于網絡安全等級保護級別的要求并非明確為三級。指南指出“應滿足GB/T 22239相應等級的要求，按照網絡安全等級保護制度的要求，履行安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改”，這與征求意見稿的“應按照GB/T 22239—2008 7.1第三級的…”略有不同，就是說具體按照《網絡安全等級保護基本要求》的哪一級進行保護，則是需要經過等級保護定級備案的過程。這就意味著，根據影響國家安全、社會秩序、公共利益以及相關公民、法人和其他組織的合法權益的程度，涉及個人信息的數量和類別達到一定規模，仍需按照三級甚至更高級別進行防護。

五、指南中的個人信息是否分級

指南中“個人信息”完全引用了《網絡安全法》的定義，與國家標準《個人信息安全規范》在個人信息之外還界定一個個人敏感信息不同，指南并不涉及個人敏感信息這個概念。這說明，指南提出的要求，是個人信息保護的最低要求。

六、關于匿名化的操作

在《個人信息安全規范》中，匿名化是指“通過對個人信息的技術處理，使得個人信息主體無法被識別，且處理后的信息不能被復原的過程。”這個術語與歐盟GDPR的匿名化說法有所不同。指南則不使用匿名化這個說法，直接引用《網絡安全法》“經過處理無法識別特定個人且不能復原”的描述。

七、對于用戶畫像的要求

用戶畫像是互聯網企業最常用的營銷手段之一，涉及個人信息該如何合法合規使用是企業非常關心的問題。指南指出，“完全依靠自動化處理的用戶畫像技術應用于精準營銷、搜索結果排序、個性化推送新聞、定向投放廣告等增值應用，可事先不經用戶明確授權，但應確保用戶有反對或者拒絕的權利；如應用于征信服務、行政司法決策等可能對用戶帶來法律后果的增值應用，或跨網絡運營者使用，應經用戶明確授權方可使用其數據”。

八、指南與GB/T 22239和GB/T 35273的章節對比?

從具體內容看，指南的第4章 管理機制、第5章 技術措施、第6章 業務流程、第7章 應急處置，與《網絡安全等級保護基本要求》（《信息系統安全等級保護基本要求》）和《信息安全技術 個人信息安全規范》兩個國家標準從內容和要求上做了對接，具體如下：