信息安全技術個人信息保護指南

信息安全技術個人信息保護指南信息安全技術個人信息保護指南#/14個人信息管理者委托第三方對個人信息進行加工時，應確保第三方是達到本指南要求的、合格的第三方，并且應通過合同明確第三方的個人信息保護責任。個人信息管理者向接受委托的第三方轉移個人信息時，應保證轉移過程中的個人信息安全。接受委托的第三方應按照法律法規(guī)的規(guī)定、本指南的要求和委托者的合同，采取必要的措施和手段，保障個人信息在加工過程中的安全。接受委托的第三方完成個人信息加工任務并移交給委托者后，應刪除相關個人信息。個人信息轉移個人信息管理者一般情況下不應向其他機構轉移其收集的個人信息，如需轉移應當向個人信息主體說明轉移的目的、轉移的對象，并獲得個人信息主體的明示同意。個人信息管理者向其他機構轉移個人信息時，應確保個人信息的接收者是達到本指南要求的、合格的接收者，應保障個人信息在轉移過程中的安全。個人信息管理者與其他機構合并或被其他機構收購時，應在合同中明確處理個人信息的目的不改變，并采取措施確保其個人保護水平不下降。個人信息管理者破產時，應采取措施確保個人信息主體的各項權利不受損害。如法律法規(guī)沒有明確規(guī)定，或未經行業(yè)主管部門同意，個人信息管理者不應將個人信息轉移給境外注冊的個人信息管理者。個人信息使用、屏蔽和刪除個人信息管理者應將收集的個人信息限定在收集時告知個人信息主體的范圍之內，不應向其他機構披露相關個人信息。未經個人信息主體明示同意，個人信息管理者不應公開其處理的個人信息。個人信息使用應限于收集個人信息時告知的目的，除非法律法規(guī)有明確規(guī)定或個人信息主體明示同意，不應超出目的使用個人信息。個人信息主體有正當理由要求刪除其個人信息時，個人信息管理者應及時刪除個人信息。刪除個人信息可能會影響公安機關調查取證時，個人信息管理者應采取適當?shù)男畔⒈Ｈ胧?。個人信息使用完成后應刪除，需要繼續(xù)處理的，應采取匿名方式。保存期限有明確規(guī)定的，按相關規(guī)定執(zhí)行。個人信息主體發(fā)現(xiàn)其個人信息有誤并要求修改時，個人信息管理者應查驗相關信息，并在核對正確后修改或補充相關信息。對于未滿16周歲未成年人的個人信息，應強化保護措施和手段，不得超出收集時告知的使用目的之外使用其個人信息。個人信息管理個人信息管理者利用信息系統(tǒng)處理個人信息的，應制定個人信息保護政策，建立個人信息管理制度，落實個人信息管理責任，加強個人信息安全管理，規(guī)范個人信息處理活動。個人信息管理者應指定專門機構或人員負責內部的個人信息保護工作，接受個人信息主體的投訴與質詢。個人信息管理者應采取必要的措施和手段，保護個人信息安全，確保但不限于以下目標：a）防止對個人信息處理場所和個人信息存儲介質的未授權訪問、損壞和干擾；b）處理個人信息時，應保證信息系統(tǒng)持續(xù)穩(wěn)定運行；c）保證個人信息在信息系統(tǒng)中的保密性、真實性和完整性。個人信息管理者在個人信息主體提出查詢請求時，應如實并免費地告知請求人與其相關的個人信息，除非告知成本或者請求頻率超出合理的范圍。個人信息管理者應加強個人信息風險管理，識別、分析、評估潛在的風險因素，制定風險應對策略，采取風險控制措施，監(jiān)控風險變化。個人信息管理者應對個人信息處理過程中可能出現(xiàn)的泄露、丟失、損壞、篡改、不當使用等事件制定預案，采取相應的預防和應對措施。個人信息管理者應制定個人信息保護的教育培訓計劃并組織落實。個人信息管理者應