个人信息原则上不得共享、转让。如存在个人信息共享和转让行为时,应满足以下要求:
a) 共享和转让行为应经过合法性、必要性评估;
b) 在对个人信息进行共享和转让时应进行个人信息安全影响评估,应对受让方的数据安全能力进行评估确保受让方具备足够的数据安全能力,并按照评估结果采取有效的保护个人信息主体的措施;
c) 在共享、转让前应向个人信息主体告知转让该信息的目的、规模、公开范围数据接收方的类型等信息;
d) 在共享、转让前应得到个人信息主体的授权同意,与国家安全、国防安全、公共安全、公共卫生、重大公共利益或与犯罪侦查、起诉、审判和判决执行等直接相关的情形除外;
e) 应记录共享、转让信息内容,将共享、转让情况中包括共享、转让的日期、数据量、目的和数据接收方的基本情况在内的信息进行登记;
f) 在共享、转让后应了解接收方对个人信息的保存、使用情况和个人信息主体的权利,例如访问、更正、删除、注销等;
g)当个人信息持有者发生收购、兼并、重组、破产等变更时,个人信息持有者应向个人信息主体告知有关情况,并继续履行原个人信息持有者的责任和义务,如变更个人信息使用目的时,应重新取得个人信息主体的明示同意。
根据《个人信息安全规范》对于授权同意的例外和收购、兼并、重组、破产等变更进行了增补规定。
6.7公开披露
个人信息原则上不得公开披露。如存在该行为,应满足以下要求:
a)公开披露行为应经过合法性、必要性评估;
b) 应对该行为进行安全影响评估,并按照评估结果采取有效的保护个人信息主体的措施;
c) 在披露前应向个人信息主体告知披露的目的、类型等;
d) 在公开披露前应得到个人信息主体的明示同意;
e) 应记录公开披露的信息内容,将公开披露情况中包括公开披露的日期、数据量、目的和数据接收方的基本情况在内的信息进行记录。
个人信息原则上不得公开披露。如经法律授权或具备合理事由确需公开披露时,应充分重视风险,遵守以下要求:
a) 事先开展个人信息安全影响评估,并依评估结果采取有效的保护个人信息主体的措施;
b) 向个人信息主体告知公开披露个人信息的目的、类型,并事先征得个人信息主体明示同意,与国家安全、国防安全、公共安全、公共卫生、重大公共利益或与犯罪侦查、起诉、审判和判决执行等直接相关的情形除外;
c) 公开披露个人敏感信息前,除6.7 b)中告知的内容外,还应向个人信息主体告知涉及的个人敏感信息的内容;
d) 准确记录和保存个人信息的公开披露的情况,包括公开披露的日期、规模、目的、公开范围等;
e)承担因公开披露个人信息对个人信息主体合法权益造成损害的相应责任;
f)不得公开披露个人生物识别信息和基因、疾病等个人生理信息;
g)不得公开披露我国公民的种族、民族、政治观点、宗教信仰等敏感数据分析结果。
1.补充了公开这一高危处理动作的例外情形;
2.补强了关于个人敏感信息告知的内容,要求对于生物识别信息等个人生理相关的个人敏感信息不得公开披露;
3.要求公开披露的持有者需要承担公开披露造成个人信息主体合法权益造成损害的责任;
4.不得公开我国公民的敏感数据分析结果与网安法项下的重要数据制度或可相关。

7.应急处置

保护指引
保护指南
评析
6.8 应急处置
a) 应建立健全网络安全风险评估和应急工作机制;
b) 应制定网络安全事件应急预案;
c) 应定期组织相关个人信息事件安全事件演练;
d) 应制定相关制度信息,在个人信息处理过程中发生应急事件时具有上报有关主管部门的机制;
e) 应对进行个人信息处理的相关内部人员进行应急响应培训和应急演练;
f) 应了解知晓应急处置策略和规程;
g) 应记录信息安全事件信息,在应急事件发生后对事件内容进行记录,包括发现事件的人员、事件、涉及的个人信息和人数、发生事件的系统名称等;
h) 应对事件造成的影响进行评估,并采取必要的措施对事态进行控制;
i) 应将事件的情况告知受影响的个人信息主体。
7.1应急机制和预案
a) 应建立健全网络安全风险评估和应急工作机制,在个人信息处理过程中发生应急事件时具有上报有关主管部门的机制;
b) 应制定个人信息安全事件应急预案,包括应急处理流程、事件上报流程等内容;
c) 应定期(至少每半年一次)组织内部相关人员进行应急响应培训和应急演练,使其掌握岗位职责和应急处置策略和规程,留存应急培训和应急演练记录;
d)应定期对原有的应急预案重新评估,修订完善。