e) 应对必须要通过界面(如显示屏幕、纸面)展示的个人信息进行去标识化的处理。
1.采取了网络安全法项下关于匿名化的表述;
2.增加了修改权删除权的行使效果描述;
3.关于自动化处理的用户画像进行了基本的规定,与《个人信息安全规范》7.10约束信息系统自动决策相比,对于可能对用户带来法律后果的应用提出了更进一步明确授权的要求(7.10仅要求提供申诉的权利),但在实践中可能需要具体分析(如司法决策可能无需用户明确授权);此外与《个人信息安全规范》2019修改草案7.4个性化展示及退出的规定也有所差异,仅确保其有反对或拒绝的权利(7.4还包括显著标识、提供不针对选项以及增强控制能力),这一点需要进一步关注《个人信息安全规范》的修订情况。
6.4删除
a) 个人信息相关存储设备,应在个人信息超过保存时限之后进行删除;
b) 个人信息相关存储设备,将存储的个人信息数据进行删除之后应采取措施防止通过技术手段恢复;
c) 对存储过个人信息的设备在进行新信息的存储时,应将之前的内容全部进行删除;
d) 废弃存储设备,应在进行删除后再进行处理。
a) 个人信息在超过保存时限之后应进行删除,经过处理无法识别特定个人且不能复原的除外;
b)个人信息持有者如有违反法律、行政法规的规定或者双方的约定收集、使用其个人信息时,个人信息主体要求删除其个人信息的,应采取措施予以删除;
c) 个人信息相关存储设备,将存储的个人信息数据进行删除之后应采取措施防止通过技术手段恢复;
d) 对存储过个人信息的设备在进行新信息的存储时,应将之前的内容全部进行删除;
e) 废弃存储设备,应在进行删除后再进行处理。
1.增加了匿名化的例外;
2.增加了个人信息主体有权要求非法收集使用个人信息的删除。
6.5 第三方委托处理
a) 在对个人信息委托处理时,不应超出该信息主体授权同意的范围;
b) 在对个人信息的相关处理进行委托时,应对受托方的数据安全能力进行评估;
c) 对个人信息进行委托处理时,应签订相关协议要求受托方符合本规范;
d) 应向受托方进行对个人信息数据的使用和访问的授权;
e) 受托方对个人信息的相关数据进行处理完成之后,应对存储的个人信息数据的内容进行删除。
a) 在对个人信息委托处理时,不应超出该信息主体授权同意的范围;
b) 在对个人信息的相关处理进行委托时,应对委托行为进行个人信息安全影响评估;
c) 对个人信息进行委托处理时,应签订相关协议要求受托方符合本文件;
d) 应向受托方进行对个人信息数据的使用和访问的授权;
e) 受托方对个人信息的相关数据进行处理完成之后,应对存储的个人信息数据的内容进行删除。
基本一致
6.6共享和转让
如存在个人信息共享和转让行为时,应满足以下要求:
a) 共享和转让行为应经过合法性、必要性评估;
b) 在对个人信息进行共享和转让时应进行安全影响评估,应对受让方的数据安全能力进行评估,并按照评估结果采取有效的保护个人信息主体的措施;
c) 在共享、转让前应向个人信息主体告知转让该信息的目的、数据接收方的类型等信息;
d) 在共享、转让前应得到个人信息主体的授权同意;
e) 应记录共享、转让信息内容,将共享、转让情况中包括共享、转让的日期、数据量、目的和数据接收方的基本情况在内的信息进行登记;
f) 在共享、转让后应了解接收方对个人信息的保存、使用情况和个人信息主体的权利,例如访问、更正、删除、注销等。