b) 个人信息主体应拥有控制本人信息的权限,包括:1) 允许对本人信息的访问; 2) 允许对本人信息的修改,包括纠正不准确和不完整的数据;
c) 应对个人信息的接触者设置相应的访问控制措施,包括: 1) 对被授权访问个人信息数据的工作人员按照最小授权的原则,只能访问最少够用的信息, 只具有完成职责所需的最少的数据操作权限; 2) 对个人信息的重要操作设置内部审批流程,如批量修改、拷贝、下载等; 3) 对特定人员超限制处理个人信息时配置相应的责任人或负责机构进行审批,并对这种行为 进行记录。
d) 应对必须要通过界面展示的个人信息进行去标识化的处理。
个人信息的应用应满足以下要求:
a) 对个人信息的应用,应符合与个人信息主体签署的相关协议和规定,不应超范围应用个人信息;注:经过处理无法识别特定个人且不能复原的个人信息数据,可以超出与信息主体签署的相关使用协议和约定,但应提供适当的保护措施进行保护。
b) 个人信息主体应拥有控制本人信息的权限,包括:1) 允许对本人信息的访问; 2) 允许通过适当方法对本人信息的修改或删除,包括纠正不准确和不完整的数据,并保证修改后的本人信息具备真实性和有效性;
c)完全依靠自动化处理的用户画像技术应用于精准营销、搜索结果排序、个性化推送新闻、定向投放广告等增值应用,可事先不经用户明确授权,但应确保用户有反对或者拒绝的权利;如应用于征信服务、行政司法决策等可能对用户带来法律后果的增值应用,或跨网络运营者使用,应经用户明确授权方可使用其数据;
d) 应对个人信息的接触者设置相应的访问控制措施,包括:
1) 对被授权访问个人信息数据的工作人员按照最小授权的原则,只能访问最少够用的信息,只具有完成职责所需的最少的数据操作权限; 2) 对个人信息的重要操作设置内部审批流程,如批量修改、拷贝、下载等;3) 对特定人员超限制处理个人信息时配置相应的责任人或负责机构进行审批,并对这种行为进行记录。