評估性合規的示例及評估要點

A.1 概述

常見的個人信息相關法律、法規、標準中評估性合規要求，包括處理個人敏感信息、使用自動化決策方式處理個人信息、委托處理個人信息、向第三方轉讓或共享個人信息、公開披露個人信息、向境外轉移個人信息、個人信息處理目的變更評估、個人信息匿名化和去標識化效果評估，以及確定個人信息安全事件處置方案的評估等，其中部分評估要點示例如下。

A.2 個人信息出境安全評估

個人信息出境場景的評估可參照有關國家標準執行。

A.3 個人信息處理目的變更前的影響評估

分析個人信息處理活動的影響時，需要考慮多種因素，以評估“與收集個人信息時所聲稱的目的具有直接或合理關聯的范圍”的影響為例，如果新設目的與原目的有直接或合理的關聯，且不會為個人權益帶來額外影響，無需再次告知個人信息主體并征得其明示同意。判斷時是否有直接或合理的關聯，至少需要考慮如下因素：

– 個人信息主體對原先目的、組織處理個人信息方式和方法的合理性的理解程度；

– 個人信息收集時的場景，包括個人信息主體和組織之間的關系、產品或服務的范圍及使用的商標和名稱、個人信息主體使用產品或服務的方式、產品或服務為個人信息主體提供的便利等；

– 特定場景中可合理預期的個人信息處理方式，如常規商業運營中，可預見到的將被使用的個人信息的類型，與個人信息主體之間直接互動的范圍、頻率、性質、歷史，以及為提供產品或服務，或改進或推廣產品或服務，可預見到的將被使用的個人信息的類型；

– 如將所收集的個人信息用于學術研究或得出對自然、科學、社會、經濟等現象總體狀態的描述，屬于與收集目的具有合理關聯的范圍之內。但對外提供學術研究或描述的結果時，需對結果中所包含的個人信息進行去標識化處理，否則在對目的變更后的影響評估中可能會得出存在高風險的判斷。

A.4 個人信息匿名化和去標識化效果評估

匿名化和去標識化對個人信息進行了技術處理，使其在不借助額外信息的情況下，無法識別個人信息主體。但數據接收方可能會借助于額外的信息以及技術手段，進行重標識攻擊，從而將去標識化的數據集歸因到原始個人信息主體或一組個人信息主體。

常見的用于重標識的方法如下：

– 篩選：基于是否能唯一確定一個個人信息主體，將屬于一個個人信息主體的記錄篩選出來；

– 關聯：將不同數據集中關于相同個人信息主體的信息關聯；

– 推斷：通過其他屬性的值以一定概率推斷出一個屬性的值。

評估個人信息匿名化和去標識化效果時，可充分考慮以下要素：

– 個人信息匿名化和去標識化過程的規范性，所采用技術的通用性；

– 匿名化后的個人信息是否為統計型結果；

– 去標識化后的個人信息是否能夠達到使用目的；

– 匿名化和去標識化后的個人信息使用場景；

– 如委托第三方進行去標識化或匿名化時，需評估其采用的方案及數據安全保障能力；

– 能否在公開渠道或數據交易組織獲得類似的個人信息；

– 未經去標識化或匿名化處理保留的個人信息類型和內容的特殊性。

A.5 個人信息委托處理、轉讓、共享或公開披露前的影響評估

在對個人信息進行委托處理、轉讓、共享和公開披露前，開展個人信息安全影響評估，評估的內容包括但不限于以下方面：

– 個人信息的類型、數量、敏感程度等；

– 是否向個人信息主體告知了轉讓、共享、公開披露的基本情況，并征得個人信息主體的明示授權同意；

– 數據發送方的安全管理保障和安全技術保障能力；

– 數據接收方的安全管理保障和安全技術保障能力(不包括公開披露)；

– 數據接收方可能會開展的個人信息處理活動，或公開披露的個人信息可能會被使用的個人信息處理場景；

– 個人信息是否進行過去標識化處理；

– 發生個人信息安全事件后的補救措施；

– 數據接收方所能響應個人信息主體的請求的范圍，如：訪問、更正、刪除等。

A.6 確定個人信息安全事件處置方案的評估

發生個人信息安全事件后，組織需及時評估事件可能造成的影響，并采取必要措施控制事態，消除隱患。評估影響時，可充分考慮以下因素：

– 個人信息的類型、數量、敏感程度、涉及的個人信息主體數量等；

– 發生事件的信息系統狀況，對其他互聯系統的影響；

– 已采取或將要采取的處置措施及措施的有效性；

– 對個人信息主體權益造成的直接影響和長期影響；

– 向個人信息主體告知事件的方式和內容；

– 是否達到《國家網絡安全事件應急預案》等有關規定的上報要求。

A.7 使用自動化決策方式處理個人信息的評估

組織在設計、采用自動化決策方式處理個人信息時，如自動決定個人征信及貸款額度，或用于面試人員的自動化篩選等，需充分考慮對個人權益產生的不利影響，并在規劃設計階段或首次使用前開展個人信息安全影響評估，評估考慮的要素包括：

– 是否向用戶說明了自動化決策的基本原理或運行機制；

– 是否定期對自動化決策的效果進行評價；

– 是否對自動化決策使用的數據源、算法等持續優化；

– 是否向用戶提供針對自動化決策結果的投訴渠道；

– 是否支持對自動化決策結果的人工復核。