GB/T 35273-2020個(gè)人信息收集如何核查？|上海復(fù)興復(fù)華檢測-國產(chǎn)一區(qū)二區(qū)三區(qū)hd-粉嫩AV久久一區(qū)二區(qū)三區(qū)王玥
- 報(bào)價(jià)
- 請來電詢價(jià)
- 聯(lián)系手機(jī)
- 15000212020
- 微信號(hào)
- 15000212020
- 委托資料
- 型號(hào)及用途
- 檢測周期
- 按項(xiàng)目確認(rèn)
- 檢測依據(jù)
- 按適用標(biāo)準(zhǔn)確認(rèn)
個(gè)人信息收集問題不能只憑一份隱私政策判斷。首次打開、選擇功能、拒絕授權(quán)和退出功能之后，產(chǎn)品實(shí)際傳輸哪些信息，往往需要與告知文件逐一對照。上海復(fù)興復(fù)華檢測可圍繞GB/T35273-2020溝通個(gè)人信息安全的六項(xiàng)委托內(nèi)容，先確認(rèn)產(chǎn)品版本、業(yè)務(wù)功能和檢查環(huán)境。
本塊范圍是第5.1至5.6條，表中保留部分參數(shù)標(biāo)記及六個(gè)項(xiàng)目。該推薦性標(biāo)準(zhǔn)提供個(gè)人信息安全要求，以下為圍繞這些要求組織取證的核查方式，不把要求條款說成統(tǒng)一的儀器試驗(yàn)程序。標(biāo)準(zhǔn)核查與現(xiàn)行法律適用應(yīng)分別分析，本次六項(xiàng)結(jié)果不等于完成整個(gè)標(biāo)準(zhǔn)或取得認(rèn)證。
檢測對象序號(hào)名稱檢測標(biāo)準(zhǔn)（方法）| 個(gè)人信息安全 | 部分參數(shù) | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 | |
| 1 | 收集個(gè)人信息的合法性 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.1 | |
| 2 | 收集個(gè)人信息的小必要 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.2 | |
| 3 | 多項(xiàng)業(yè)務(wù)功能的自主選擇 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.3 | |
| 4 | 收集個(gè)人信息時(shí)的授權(quán)同意 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.4 | |
| 5 | 個(gè)人信息保護(hù)政策 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.5 | |
| 6 | 征得授權(quán)同意的例外 | 信息安全技術(shù) 個(gè)人信息安全規(guī)范 GB/T 35273-2020 5.6 |
建立產(chǎn)品功能清單、數(shù)據(jù)字段清單及來源說明，區(qū)分用戶主動(dòng)提交、終端自動(dòng)采集和向其他主體獲取的信息。為每類數(shù)據(jù)保留來源、用途、觸發(fā)功能和責(zé)任主體，避免只列一個(gè)總稱而無法追蹤具體收集活動(dòng)。
按照第5.1條檢查是否存在欺詐、誘騙、誤導(dǎo)、隱瞞收集功能或從非法渠道獲取信息的情況。授權(quán)環(huán)境中的界面操作記錄、接口說明及必要的網(wǎng)絡(luò)或系統(tǒng)日志可以相互印證，重點(diǎn)比較宣傳、提示文字與實(shí)際行為，而不把出現(xiàn)彈窗本身視為合規(guī)證明。
先觀察未操作時(shí)的初始狀態(tài)，再進(jìn)入會(huì)觸發(fā)收集的業(yè)務(wù)環(huán)節(jié)，記錄觸發(fā)時(shí)間、字段及接收方。測試賬號(hào)和演示數(shù)據(jù)應(yīng)足以辨認(rèn)信息流向，同時(shí)避免為了核查而無必要地?cái)U(kuò)大真實(shí)個(gè)人信息處理范圍。
對無法解釋的字段或來源，先要求補(bǔ)充數(shù)據(jù)流和供應(yīng)方證明，再判斷證據(jù)是否支持要求。報(bào)告區(qū)分已確認(rèn)事實(shí)、資料缺口和需要法律適用分析的問題；不能因?yàn)闀何从^察到異常，就宣稱所有渠道的收集均合法。
把每一業(yè)務(wù)功能拆到可驗(yàn)證的操作任務(wù)，列出實(shí)現(xiàn)該任務(wù)所需的數(shù)據(jù)字段。第5.2條的直接關(guān)聯(lián)關(guān)注缺少該信息時(shí)功能是否無法實(shí)現(xiàn)，不能僅以可能有用或后續(xù)分析方便來說明必要性。
在受控環(huán)境中對照正常提供信息、拒絕提供某字段或關(guān)閉相應(yīng)采集條件后的功能表現(xiàn)，結(jié)合業(yè)務(wù)邏輯和接口資料分析關(guān)聯(lián)關(guān)系。這類對照用于形成證據(jù)，不擅自替代業(yè)務(wù)目的合法性判斷，也不在生產(chǎn)系統(tǒng)中破壞業(yè)務(wù)數(shù)據(jù)。
對自動(dòng)采集另查觸發(fā)機(jī)制與實(shí)際時(shí)間記錄，區(qū)分一次性操作、周期采集和后臺(tái)持續(xù)行為；對間接取得的數(shù)據(jù)另查接口返回范圍和批量取得數(shù)量。字段較少并不意味著采集頻率或取得總量也符合小必要。
結(jié)果按功能記錄字段、必要性理由、實(shí)際頻率或數(shù)量及其證據(jù)位置。超出部分要具體定位，不能只寫籠統(tǒng)的過度收集結(jié)論；修正后用相同操作場景復(fù)核，防止只改告知文字而實(shí)際采集邏輯未變。
當(dāng)產(chǎn)品提供多個(gè)需要收集信息的功能時(shí)，先列清各功能的入口和信息需求，不能用一張總授權(quán)頁面替代所有選擇。核查重點(diǎn)是用戶是否能夠分別決定使用哪些功能，以及選擇是否真實(shí)影響后續(xù)收集。
記錄點(diǎn)擊、勾選或填寫等肯定性動(dòng)作發(fā)生前后的狀態(tài)，對照信息收集的開始時(shí)點(diǎn)。對于尚未開啟的功能，應(yīng)檢查是否已有相應(yīng)收集活動(dòng)；不能把默認(rèn)預(yù)選或用戶尚未作出的操作當(dāng)成已經(jīng)選擇。
沿界面實(shí)際完成拒絕、關(guān)閉和退出，比較退出途徑是否同樣方便，并觀察相關(guān)收集是否停止。隨后繼續(xù)使用用戶已選擇的其他功能，檢查是否被暫停或降低服務(wù)質(zhì)量，同時(shí)留意反復(fù)索取授權(quán)的提示。
報(bào)告分別保留各條操作路徑及結(jié)果，不把一次成功退出推定為全部功能都可退出。第5.3條還要求不能僅以改善服務(wù)、提升體驗(yàn)、研發(fā)產(chǎn)品或增強(qiáng)安全性等一般理由強(qiáng)制同意，相關(guān)說明應(yīng)落實(shí)到具體功能需求進(jìn)行分析。
核對開始收集之前是否告知目的、方式和范圍，再檢查授權(quán)動(dòng)作與相應(yīng)業(yè)務(wù)場景能否對應(yīng)。對多項(xiàng)功能，除了總體保護(hù)政策，還需關(guān)注實(shí)際開始收集特定信息時(shí)呈現(xiàn)的說明，避免用戶無法區(qū)分這次操作同意了什么。
涉及個(gè)人敏感信息、生物識(shí)別信息或未成年人時(shí)，按照第5.4條識(shí)別所需的明示同意及專門告知要求，并另行核對現(xiàn)行法律規(guī)定。生物識(shí)別信息的檢查應(yīng)包括用途、方式、范圍和存儲(chǔ)時(shí)間，不能只核對一個(gè)系統(tǒng)權(quán)限開關(guān)。
間接取得的信息應(yīng)核查提供方的來源說明和原授權(quán)范圍，具體到使用目的及共享等處理活動(dòng)。新用途超出原范圍時(shí)，要保留補(bǔ)充授權(quán)的安排和記錄，不能把對方提供了數(shù)據(jù)等同于已具備全部后續(xù)處理權(quán)限。
證據(jù)記錄應(yīng)串聯(lián)提示內(nèi)容、政策版本、用戶動(dòng)作和收集時(shí)點(diǎn)。判斷基于同意的處理活動(dòng)時(shí)，還應(yīng)注意《個(gè)人信息保護(hù)法》對知情、自愿、明確同意及有關(guān)單獨(dú)同意情形的規(guī)定；標(biāo)準(zhǔn)中的明示同意表述不自動(dòng)替代法定要求。
對照第5.5條逐項(xiàng)審閱控制者身份及聯(lián)系方式、業(yè)務(wù)功能與信息類型、收集方式和存儲(chǔ)期限、對外提供信息的規(guī)則，以及個(gè)人權(quán)利、投訴渠道和安全措施等內(nèi)容。涉及敏感信息時(shí)檢查是否有明確標(biāo)識(shí)，不能只以文檔篇幅判斷完整程度。
將政策描述與功能清單、數(shù)據(jù)流、第三方接收方及實(shí)際操作證據(jù)交叉核對。重點(diǎn)記錄遺漏、相互矛盾、含義不清和無法對應(yīng)實(shí)際產(chǎn)品的描述，避免復(fù)制其他產(chǎn)品的政策后仍保留不適用的功能說明。
在首次打開、注冊及通常使用的頁面檢查政策鏈接是否容易發(fā)現(xiàn)和訪問，核對是否存在打不開或進(jìn)入多層無關(guān)頁面的問題。政策送達(dá)、主要內(nèi)容展示和后續(xù)變更告知應(yīng)有可核對的記錄，單純保存一份本地文檔不足以證明用戶能夠接觸到它。
報(bào)告將內(nèi)容缺項(xiàng)、實(shí)際行為不一致及訪問路徑問題分開列出，并保留被評估版本。更新政策后既要復(fù)查文本，也要確認(rèn)產(chǎn)品端實(shí)際展示的內(nèi)容已同步；該項(xiàng)結(jié)果不替代對底層數(shù)據(jù)處理行為的核查。
先由委托方列明主張例外的具體收集或使用活動(dòng)，說明目的、數(shù)據(jù)類型、來源、必要范圍和事實(shí)依據(jù)。第5.6條涉及法定義務(wù)、緊急保護(hù)、公開信息、合同必要性及部分特定活動(dòng)，但不能把列有某一類別就當(dāng)成任意收集的通用許可。
核查時(shí)將每項(xiàng)主張與其證據(jù)對應(yīng)，例如任務(wù)或合同中的必要事項(xiàng)、公開來源及取得范圍、緊急情況的事實(shí)記錄等。保護(hù)政策的作用主要是公開處理規(guī)則，不應(yīng)僅因用戶閱讀政策就將其視為證明合同必要性的合同。
GB/T35273-2020發(fā)布早于《個(gè)人信息保護(hù)法》，實(shí)際業(yè)務(wù)還需按現(xiàn)行法律確認(rèn)處理依據(jù)。尤其不能僅憑標(biāo)準(zhǔn)中維護(hù)產(chǎn)品穩(wěn)定等表述，就自行擴(kuò)展法律規(guī)定的不需同意情形；公開信息也需結(jié)合合理范圍和個(gè)人明確拒絕等法律條件分析。
結(jié)論應(yīng)寫明核查場景、證據(jù)、適用條件及不能確認(rèn)的事項(xiàng)，不向未提供材料的活動(dòng)推定例外成立。存在適用沖突或證據(jù)不足時(shí)，單列問題并由相應(yīng)責(zé)任方完成法律判斷，不能用技術(shù)報(bào)告替代監(jiān)管或司法結(jié)論。
委托個(gè)人信息安全六項(xiàng)核查時(shí)，可向上海復(fù)興復(fù)華檢測提供功能清單、數(shù)據(jù)字段及來源、政策文本、授權(quán)流程和測試環(huán)境說明。依據(jù)GB/T35273-2020形成的記錄應(yīng)能夠回到具體功能和實(shí)際證據(jù)；產(chǎn)品版本、收集目的或數(shù)據(jù)路徑變化后，應(yīng)重新確認(rèn)原結(jié)果能否沿用。
GB/T , 35273-2020 , 個(gè)人信息安全規(guī)范 , 上海個(gè)人信息安全評估 , 信息安全檢測 , 個(gè)人信息收集合規(guī)核查
MTBF,IP防護(hù)等級(jí),ISO認(rèn)證, CE認(rèn)證,檢測報(bào)告,認(rèn)證證書,投標(biāo)報(bào)告,檢測,認(rèn)證,測試,試驗(yàn),檢驗(yàn),檢測機(jī)構(gòu),檢測公司,招標(biāo)報(bào)告,校準(zhǔn)證書,檢定證書,計(jì)量證書,CCC認(rèn)證,體系認(rèn)證 ,MTBF認(rèn)證,MTBF檢測,MTBF測試,歐盟認(rèn)證,EAC認(rèn)證,FCC認(rèn)證,FDA認(rèn)證,振動(dòng)測試,沖擊測試,鹽霧測試,高溫測試,
一般項(xiàng)目：技術(shù)服務(wù)、技術(shù)開發(fā)、技術(shù)咨詢、技術(shù)交流、技術(shù)轉(zhuǎn)讓、技術(shù)推廣；認(rèn)證咨詢；計(jì)量技術(shù)服務(wù)；標(biāo)準(zhǔn)化服務(wù)；企業(yè)管理咨詢；軟件開發(fā)；軟件銷售；信息技術(shù)咨詢服務(wù)；儀器儀表銷售；實(shí)驗(yàn)分析儀器銷售；機(jī)械電氣設(shè)備銷售；日用百貨銷售。（除依法須經(jīng)批準(zhǔn)的項(xiàng)目外，憑營業(yè)執(zhí)照依法自主開展經(jīng)營活動(dòng)）許可項(xiàng)目：檢驗(yàn)檢測服務(wù)；認(rèn)證服務(wù)；建設(shè)工程質(zhì)量檢測；安全生產(chǎn)檢驗(yàn)檢測；室內(nèi)環(huán)境檢
上海復(fù)興復(fù)華檢測技術(shù)有限公司，作為一家專注于產(chǎn)品質(zhì)量檢驗(yàn)檢測、計(jì)量校準(zhǔn)以及體系與產(chǎn)品認(rèn)證的綜合性檢測認(rèn)證機(jī)構(gòu)，憑借其卓越的能力與廣泛的服務(wù)領(lǐng)域，在行業(yè)內(nèi)脫穎而出。 公司業(yè)務(wù)范圍廣泛，檢測產(chǎn)品大類囊括了食品、食品相關(guān)產(chǎn)品、化妝品、玩具、文體用品、紡織服裝、家具、玻璃、消費(fèi)品、消防產(chǎn)品、技防產(chǎn)品、勞防用品、電子電器、家用電器、照明電器、低壓電器、建材與裝飾裝修材料、五金工具、化工產(chǎn)品、機(jī)電產(chǎn)品、電線電纜、光...