九游老哥云
解读|GB/T39335-2020《信息清静手艺 小我私家信息清静影响评估指南》
2020-12-02
2020年11月19日，国家市场监视治理总局、国家标准化治理委员会宣布的中华人民共和国国家标准通告（2020年第26号），GB/T39335-2020《信息清静手艺 小我私家信息清静影响评估指南》国家标准正式宣布，并将于2021年6月1日正式实验。本则指南历时3年终于宣布，为公民小我私家信息再添一张�；ど�。
1配景先容
1.1.宣布配景
随着大数据时代的到来，数据成为新的生产要素，是国家的基础性资源和战略性资源。美国，欧盟，日本等国家前后出台了有关数据�；び胄∥宜郊倚畔⒈；さ闹绰衫虮曜�，来�；け竟氖菁靶∥宜郊倚畔⑶寰�。
在2016年4月19日召开的网络清静和信息化事情座谈会上，习近平总书记提出了“以人民为中心”的网信生长头脑，并做出了“网络清静为人民、网络清静靠人民”的主要指示。2016年，《信息清静手艺 小我私家信息清静规范》标准制订项目在天下信息清静标准化手艺委员会立项，被列为重点标准项目，《小我私家信息清静规范》标准强调睁开小我私家信息清静影响影响评估事情，旨在发明、处置惩罚和一连监控小我私家信息处置惩罚历程中的清静危害。小我私家信息清静影响评估与古板信息清静危害评估差别，其评估的危害是指对小我私家权益造成的损害，评估工具、评估要领均有所差别，国际上针对小我私家信息清静危害评估有大宗专门的标准和指南，而我国尚无对小我私家信息主体权益影响举行评估的指导文件，制订该指南标准，将是推动小我私家信息�；な虑樯钊肼涞�，提升�；に降挠杏猛揪�。
1.2.标准定位
2018年6月13日，天下信息清静标准化手艺委员会宣布国家标准《信息清静手艺 小我私家信息清静影响评估指南》征求意见稿征求意见的通知。
2020年11月19日，国家市场监视治理总局、国家标准化治理委员会宣布的中华人民共和国国家标准通告（2020年第26号）上，GB/T39335-2020《信息清静手艺小我私家信息清静影响评估指南》国家标准正式宣布。
《小我私家信息清静影响评估指南》（以下简称“《指南》”）是《小我私家信息�；しǎú莅福泛汀缎∥宜郊倚畔⒈；す娣丁繁曜悸涞氐闹饕ナ�，是我国小我私家信息清静�；け曜枷低车囊方�。它划定了小我私家信息清静影响评估的基本看法、框架、要领和流程，并提出了特定场景下举行评估的详细要领。适用于种种组织自行开展小我私家信息清静影响评估事情。同时为国家主管部分、第三方测评机构等开展小我私家信息清静羁系、检查、评估等事情提供的指导和依据。
1.3.生长历程
小我私家信息清静政策及标准的生长历程如下所示：
1.4.标准参考
《指南》参考了古板信息清静危害评估的要领，从资产、威胁、懦弱性三个角度举行剖析，并团结小我私家信息处置惩罚行为对用户权益爆发的影响，判断其对小我私家信息主体正当权益造成损害的种种危害，评估用于�；ば∥宜郊倚畔⒅魈宓母飨畈椒ビ杏眯�。同时，该标准还参考《ISO/IEC29134:2017隐私影响评估准则》中的隐私影响评估（PIA）的流程，通过借鉴外洋立法和标准的研究，团结海内应用实践和标准体例组的科研效果，提出与国际标准接轨、适合我国国情，并具有一定立异性的“PIA”标准。为组织、羁系部分、第三方测评机构等开展评估事情提供的指导和依据。
因此，《指南》既能够有用支持我国《小我私家信息�；しǎú莅福分械牡谖迨奶跻�，同时也能支持实验《通用数据�；ぬ趵℅DPR）》下的数据�；び跋炱拦溃―PIA）要求。
2内容解读
2.1标准概述
《指南》由五个章节以及四份附录组成。其中第四章节“评估原理”和第五章“评估实验流程”作为主要章节，配合附录参考性子料，以“先原理后细节”的整体逻辑，明确指出了小我私家信息清静影响评估的基来源理、实验流程、评估细节，越发具象且专注于详细实操，对小我私家信息清静影响评估的事情落地起到了主要的指导意义。
2.2内容简介
2.2.1评估原理
《指南》中第四章节“评估原理”，先容了开展评估的价值、评估报告的用途、评估责任主体、评估基来源理和评估实验思量的要素。
开展评估的价值主要从组织和组织第三方相助同伴两个维度举行叙述。
- 针对组织，在小我私家信息处置惩罚前，协助组织识别危害，辅助其接纳对应的清静控制步伐，并基于评估事情，资助企业员工熟悉小我私家信息清静危害，增强处置惩罚危害的能力；在开展小我私家信息处置惩罚历程中，一连修正清静控制步伐有用性，确保危害可控，同时可作为证实组织小我私家信息�；び胧萸寰卜矫娴暮瞎嬷な�；当爆发小我私家清静事务时，可作为组织已自动评估危害和接纳�；げ椒サ挠杏弥な�，减轻或免去组织相关责任和信用损失。
- 针对组织第三方相助同伴，在证实组织小我私家信息清静�；つ芰Φ耐�，也可指导其接纳适当清静管控步伐。
在评估报告用途上，主要从小我私家信息主体、开展影响评估的组织、主管羁系部分和组织第三方相助同伴四个层面举行的叙述，详细如下图所示：
在评估责任主体上，由组织指定责任部分或责任职员（可选择自行开展或外聘自力第三方），但需要注重，该责任部分某职员需要具有自力性，不受被评估方影响。
在评估原理上，从两方面临小我私家信息处置惩罚运动举行评估，一是小我私家权益影响，另一个是清静�；げ椒ビ杏眯�，最终确定危害级别。
在评估实验思量要素上，主要包括三方面：评估规模，取决于受到影响的小我私家信息主体规模、数目和受影响的水平；评估要领，提供了访谈、检查、测试三中基本评估要领；评估事情形式，可分为自评估和检查评估两种。
2.2.2评估实验流程
《指南》中第五章节“评估实验流程”，详细提供了组织举行小我私家信息清静影响评估的流程指引。评估实验流程可分为九步，详细如下图所示：
其中，主要内容如下：
- 评估须要性剖析，可从合规差别剖析（整体合规剖析、局部合规剖析、评估性合规要求剖析）和尽责性危害评估两个维度开展。
- 开展评估准备事情，包括组建评估团队、制订评预妄想、确定评估工具和规模（系统基本信息、系统设计信息、处置惩罚流程和程序信息）、制订相关方咨询妄想。
- 数据映射剖析，需要团结小我私家信息处置惩罚的详细场景，开展方法可参考附录C中表C.1《基于处置惩罚运动/场景/特征或组件的小我私家信息映射表》和C.2《小我私家信息生命周期清静治理》
- 危害源识别，针对小我私家信息清静事务，对要素举行了简化，归纳为网络情形和手艺步伐、小我私家信息处置惩罚流程、加入职员与第三方、营业特点和规模及清静趋势四个方面。详细评估可参考附录D.1《评估清静事务爆发的可能性》
- 小我私家权益影响剖析，是剖析特定的小我私家信息处置惩罚运动是否会对小我私家信息主体正当权益爆发影响，以及可能爆发何种影响，主要包括四个维度：限制小我私家自主决议权、引发差别性待遇、小我私家信用受损或遭受精神压力、人身工业受损。详细评估可参考附录D.2《评估小我私家信息主体权益影响水平》
- 清静危害综合剖析，详细历程和危害品级的判断可参考附录D中D.3《小我私家信息清静危害综合评估》。
2.3关注重点
《指南》的宣布为小我私家信息控制者提供了行之有用的要领去判断其小我私家信息处置惩罚运动的正当合规性，以及是否会对小我私家信息主体正当权益造成倒运影响。关于一样平常企业来说，在小我私家信息清静�；な虑榈睦讨�，应当关注到以下内容：
2.3.1需开展小我私家信息清静影响评估的情形
《中华人民共和国小我私家信息�；しǎú莅福返谖迨奶踔兄赋觯盒∥宜郊倚畔⒋χ贸头Ｕ哂Φ倍韵铝行∥宜郊倚畔⒋χ贸头Ｔ硕谑虑熬傩形：ζ拦�，并对处置惩罚情形举行纪录：
- 处置惩罚敏感小我私家信息；
- 使用小我私家信息举行自动化决议；
- 委托处置惩罚小我私家信息、向第三方提供小我私家信息、果真小我私家信息；
- 向境外提供小我私家信息；
- 其他对小我私家有重大影响的小我私家信息处置惩罚运动；
《GB/T 35273-2020 信息清静手艺 小我私家信息清静规范》中对开展小我私家信息清静影响评估的场景举行了增补：
- 在产品或服务宣布前，或营业功效爆发重大转变时，应举行小我私家信息清静影响评估；
- 在执律例则有新的要求时，或在营业模式、信息系统、运行情形爆发重大变换时，或者爆发重大小我私家信息清静事务时，应举行小我私家信息清静影响评估。
2.3.2可能对小我私家信息爆发高危害的情形
为了让企业更好的发明小我私家信息清静危害，《指南》提供了常见的高危害小我私家信息处置惩罚运动与场景，企业保存下述小我私家信息处置惩罚运动时，应当对其特殊关注。
3九游老哥科技小我私家信息清静影响评估服务计划
作为将 “巨人背后的专家，包管客户营业顺畅运行”列为使命的公司，为了有用包管客户的营业运行以及用户的小我私家信息清静，九游老哥科技向全行业的客户提供专业高效的小我私家信息清静影响评估服务，全力包管企业小我私家信息处置惩罚营业的正当合规，规避对用户正当权益的损害，并包管用于小我私家信息�；さ母飨畈椒ビ杏寐涫�，资助企业规避因损害用户权益带来的合规危害、财务危害以及舆论危害。
3.1服务计划实验流程
3.2评估收益
小我私家信息清静影响评估可有用增强企业对小我私家信息主体权益的�；�，能够对外展示企业在小我私家信息�；ち煊虻钠鹁�，提升透明度，增进小我私家信息主体对企业的信托。
详细收益如下：
4小我私家信息清静影响评估实践案例
基于对《指南》以及国际标准和最佳实践的深入明确，团结恒久以来积累的危害评估履历，九游老哥科技已为多家企业提供了成熟完善的小我私家信息清静影响评估服务，为资助读者更好地明确小我私家信息清静影响评估的实验要领，下面是对某省烟草企业小我私家信息清静影响评估项目作为案例举行的剖析。
- 企业特征：营业设计明确、信息系统繁多、用户信息数目重大、用户信息种别明确、可能导致重大小我私家权益影响。
- 评估工具：出于对上述因素的思量和对重点营业的剖析，本次评估确定了多个信息系统作为评估工具，涉及小我私家信息的全生命周期行为，且笼罩了小我私家信息种类与数目最多的几个系统。
- 实践历程：本次评估基于《指南》中的评估要领，团结企业架构特征与项目团队履历，通过如下要领完成磷砌人信息清静影响评估事情，并出具了综合企业整体小我私家信息�；ぷ刺男∥宜郊倚畔⑶寰灿跋炱拦辣ǜ�。
- 评估效果：本次评估发明清静�；げ椒ヂ涫挡坏轿蝗菀自斐尚∥宜郊倚畔⒈恍孤�，以及引发零售户工业受损、歧视性待遇。下面选取两个典范的危害问题举行剖析：
