ICS35.030

CCSL09

DB23

黑龍江省地方標準

DB23/T3325—2022

平臺用戶信息保護指南

Guidelinesforplatformuserinformationprotection

2022-08-22發(fā)布2022-09-21實施

黑龍江省市場監(jiān)督管理局?發(fā)布

DB23/T3325—2022

目次

前言..................................................................................II

1范圍................................................................................1

2規(guī)范性引用文件......................................................................1

3術(shù)語和定義..........................................................................1

4基本原則............................................................................2

5管理能力............................................................................3

6信息處理過程........................................................................4

7相關(guān)利益方權(quán)益......................................................................9

8服務(wù)監(jiān)督、評價與改進...............................................................10

附錄A（資料性）安全環(huán)境相關(guān)標準.....................................................12

參考文獻...............................................................................13

I

DB23/T3325—2022

前言

本文件按照GB/T1.1—2020《標準化工作導(dǎo)則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)

定起草。

請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。

本文件由黑龍江省工業(yè)和信息化廳提出并歸口。

本文件起草單位：黑龍江省運通科技有限公司。

本文件主要起草人：呂翔宇、王業(yè)光、王國輝、許加利、田鑫、李颯。

II

DB23/T3325—2022

平臺用戶信息保護指南

1范圍

本文件給出了平臺用戶信息保護的術(shù)語和定義、基本原則、管理能力、信息處理過程、相關(guān)利益方

權(quán)益、服務(wù)監(jiān)督、評價與改進相關(guān)利益方權(quán)益。

本文件適用于指導(dǎo)平臺用戶信息的保護工作。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T2887計算機場地通用規(guī)范

GB/T9361計算機場地安全要求

GB/T20985.2信息技術(shù)安全技術(shù)信息安全事件管理第2部分：事件響應(yīng)規(guī)劃和準備指南

GB/T20985.1信息技術(shù)安全技術(shù)信息安全事件管理第1部分：事件管理原理

GB/T24363信息安全技術(shù)信息安全應(yīng)急響應(yīng)計劃規(guī)范

GB/T25069-2010信息安全技術(shù)術(shù)語

GB/T31167信息安全技術(shù)云計算服務(wù)安全指南

GB/T31168信息安全技術(shù)云計算服務(wù)安全能力要求

GB/T31722信息技術(shù)安全技術(shù)信息安全風(fēng)險管理

GB/T34942信息安全技術(shù)云計算服務(wù)安全能力評估方法

GB/T35273信息安全技術(shù)個人信息安全規(guī)范

GB/T40652信息安全技術(shù)惡意軟件事件預(yù)防和處理指南

3術(shù)語和定義

GB/T25069-2010界定的以及下列術(shù)語和定義適用于本文件。

3.1

平臺platform

充分運用互聯(lián)網(wǎng)和移動技術(shù)，構(gòu)建由數(shù)據(jù)驅(qū)動、平臺支撐、網(wǎng)絡(luò)協(xié)同的活動單元，在本質(zhì)上是市場

的具化，是一種虛擬或真實的交易場所。

3.2

用戶信息userinformation

基于平臺提供的服務(wù)，收集用戶喜好、用戶細分、用戶需求、用戶聯(lián)系方式等基本資料信息，主要

分為描述類信息、行為類信息和關(guān)聯(lián)類信息。

3.3

最小元素集合minimumcollection

以明確、合理的目的收集與用戶直接相關(guān)的信息，并確定對用戶權(quán)益影響最小的要素范圍。

1

DB23/T3325—2022

注：直接關(guān)聯(lián)是指沒有該信息的參與，無法實現(xiàn)功能。

3.4

用戶信息主體subjectofpersonalinformation

用戶信息所標識的自然人、法人和非法人組織。

3.5

用戶信息管理者administratorofpersonalinformation

決定用戶信息處理的目的和方式，實際控制用戶信息并利用信息系統(tǒng)處理用戶信息的組織和機構(gòu)。

3.6

用戶信息獲得者receiverofpersonalinformation

從信息系統(tǒng)獲取用戶信息的個人、組織和機構(gòu)，依據(jù)用戶信息主體的意愿對獲得的用戶信息進行處

理。

3.7

敏感信息sensitiveinformation

一旦泄露、非法提供或濫用可能危害人身和財產(chǎn)安全，極易導(dǎo)致個人或組織身心健康、名譽受損或

受到歧視性待遇等的信息。

注1：個人、法人和非法人組織身份證件號碼個人生物識別信息、銀行賬號、通信記錄和內(nèi)容、財產(chǎn)信息、征信信

息、行蹤軌跡、住宿信息、健康生理信息、交易信息、14周歲以下(含)兒童的個人信息等。

注2：法人和非法人組織的商業(yè)秘密等。

3.8

用戶一般信息usergeneralinformation

除用戶敏感信息以外的用戶信息。

3.9

用戶信息處理personalinformationhanding

處置用戶信息的行為，包括收集、存儲、使用、加工、傳輸、提供、公開、刪除等。

3.10

去標識化de-identification

通過對用戶信息的技術(shù)處理，使其在不借助額外信息的情況下，無法識別用戶信息主體的過程。

3.11

匿名化anonymization

通過對用戶信息的技術(shù)處理，使得用戶信息主體無法被識別，且處理后的信息不能被復(fù)原的過程。

4基本原則

4.1總體原則

遵循合法、正當(dāng)、必要和誠信原則，不得通過誤導(dǎo)、欺詐、脅迫等方式處理個人信息。

4.2目的原則

為實現(xiàn)關(guān)聯(lián)處理目的，以用戶信息處理為核心，采取最小元素集合限度的手段。

4.3公開透明原則

明示用戶信息的處理目的、方式和范圍，強化用戶的主體地位，保障用戶的知情權(quán)和決定權(quán)。

2

DB23/T3325—2022

4.4質(zhì)量原則

保證用戶信息質(zhì)量的準確性、完整性、時效性，避免因用戶信息不準確、不完整對用戶權(quán)益造成不

利影響。

4.5責(zé)任原則

處理者對用戶信息處理活動負責(zé)，將用戶信息安全作為工作重點，并采取必要的保障措施。

5管理能力

5.1組織的管理能力

5.1.1明確用戶信息保護管理目標，規(guī)劃內(nèi)容和范圍，制定信息處理過程管理制度，并對過程管理進

行記錄。

5.1.2建立組織結(jié)構(gòu)框架圖，規(guī)定用戶信息管理人員職務(wù)或職位，明確各崗位責(zé)任。

注1：公開用戶信息保護負責(zé)人，包括姓名、聯(lián)系方式等，并報送履行用戶信息保護職責(zé)的部門。

注2：規(guī)定的中華人民共和國境外的用戶信息處理者，需在中華人民共和國境內(nèi)設(shè)立專門機構(gòu)或者指定代表，負責(zé)

處理用戶信息保護相關(guān)事務(wù)，并將有關(guān)機構(gòu)的名稱或者代表的姓名、聯(lián)系方式等報送履行用戶信息保護職責(zé)

的部門。

5.1.3制定并組織實施用戶信息安全事件應(yīng)急預(yù)案。

5.1.4建立定期評估管理制度，對處理用戶信息遵守的法律、行政法規(guī)的情況，進行合規(guī)審計。

5.1.5制定崗位培訓(xùn)計劃，進行崗前、在崗和離崗管理，定期對從業(yè)人員進行安全教育和崗位培訓(xùn)。

注1：調(diào)查和了解從業(yè)人員背景，簽署保密協(xié)議或在勞動合同中設(shè)置相應(yīng)的條款。

注2：按照管理制度，及時終止離職人員對用戶信息的訪問權(quán)限。

5.1.6建立用戶投訴渠道，用戶行使權(quán)利方式宜便捷，拒絕用戶行使權(quán)利請求時，應(yīng)當(dāng)說明理由。

5.2人員的職業(yè)能力

5.2.1能夠掌握用戶信息安全相關(guān)法律、法規(guī)、標準、管理制度、崗位職責(zé)及保密條款。

5.2.2能夠落實和宣傳用戶信息保護策略，開展用戶信息保護日常管理。

5.2.3能夠執(zhí)行用戶信息保護制度，在授權(quán)范圍內(nèi)進行用戶信息的處理。

5.2.4能夠分析處理用戶信息保護存在的問題，提出風(fēng)險控制建議和技術(shù)改進指導(dǎo)方案。

5.2.5能夠按照國家網(wǎng)信部門要求，監(jiān)督檢查用戶信息處理活動全過程。

注：設(shè)置專職用戶信息保護負責(zé)人管理崗位。

5.3環(huán)境的保護條件

5.3.1建立安全環(huán)境保護制度，包括但不限于：物理環(huán)境、網(wǎng)絡(luò)環(huán)境、計管機環(huán)境和應(yīng)用環(huán)境，宜參

考附錄A的相關(guān)標準。

5.3.2建立用戶信息存儲相關(guān)設(shè)備和各類介質(zhì)安全管理制度，對設(shè)備移入或移出保護區(qū)域，進行嚴格

的申請和審批管理。

注：介質(zhì)包括但不限于：磁介質(zhì)、半導(dǎo)體介質(zhì)和光介質(zhì)。

5.3.3建立機房分區(qū)管理制度，設(shè)置不同區(qū)域，區(qū)域之間設(shè)置物理隔離裝置或隔離標識，在重要區(qū)域

前設(shè)置交付或安裝等過渡區(qū)。

3

DB23/T3325—2022

5.3.4機房環(huán)境安全宜分類保護、多級保護，包括但不限于：增加防盜技術(shù)、安裝報警設(shè)備、布設(shè)監(jiān)

控設(shè)施、安裝空調(diào)系統(tǒng)與報警系統(tǒng)聯(lián)動控制設(shè)施、防電磁泄露裝置，嚴格控制靜電源、安全可靠及時消

除機房的靜電、定期對防靜電設(shè)施進行檢測和維護。

5.3.5建立物理線路安全、物理訪問控制、電力供應(yīng)安全保障制度。

5.3.6計算機場地基礎(chǔ)建設(shè)符合GB/T2887，計算機場地安全保障符合GB/T9361的相關(guān)規(guī)定。

5.3.7制定應(yīng)用環(huán)境運行管理制度，包括但不限于：測評機構(gòu)、設(shè)備供應(yīng)商、電信運營商、外來參觀

人員。

6信息處理過程

6.1收集

6.1.1概述

履行用戶信息收集管理制度，明確用戶信息收集目的、范圍、方法手段、處理方式等內(nèi)容，保障用

戶信息的質(zhì)量和準確性。宜采取顯著標注的方式、清晰易懂的語言，真實、準確、完整地告知用戶，并

在充分知情的前提下使用戶自愿、明確地作出單獨同意。

6.1.2收集目的

基于為用戶提供服務(wù)、與用戶建立聯(lián)系、改善服務(wù)質(zhì)量等目的收集和使用用戶信息。

注：提示用戶提供用戶信息后可能存在的風(fēng)險，以及不提供用戶信息可能出現(xiàn)的后果。

6.1.3收集范圍

收集范圍包括用戶信息和用戶敏感信息，用戶信息包括以電子或者其他方式記錄的已識別或者可識

別的個人、法人和非法人組織有關(guān)的各種信息，不包括匿名化處理的信息。用戶敏感信息包括生物識別、

宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息。

注1：用戶敏感信息一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害。

注2：收集未成年人用戶信息前，需征得未成年人或其監(jiān)護人的明示同意，未滿14周歲的，需征得其監(jiān)護人的明示

同意。

6.1.4方法手段

信息收集前，確認數(shù)據(jù)來源的合法性，保存期限以實現(xiàn)處理目的所必要的最短時間。采取最小元素

集合確定收集內(nèi)容，僅采用已告知的技術(shù)手段收集用戶信息，不采取隱藏的技術(shù)手段收集用戶信息。在

公共環(huán)境下，收集用戶信息的客戶端采用隱蔽去標識化處理的輸入方式。

注：如果是通過交易得來的數(shù)據(jù)，明確交易對象和過程的合法性。

6.1.5處理方式

宜按照收集目的，立即對收集的用戶信息進行去標識化處理，不對用戶信息進行其他不相關(guān)的處理。

未經(jīng)用戶信息處理者同意，受托人不得轉(zhuǎn)委托他人處理用戶信息。對用戶信息的處理采取相應(yīng)技術(shù)管理

措施，保障用戶信息的安全。

6.2存儲

4

DB23/T3325—2022

6.2.1概述

履行用戶信息存儲管理制度，對信息系統(tǒng)用戶進行分類管理，建立用戶分類清單，明確用戶信息存

儲的信息存儲時限、原始信息存儲、敏感信息存儲、境內(nèi)存儲、停止運營存儲、存儲安全等內(nèi)容，保障

用戶信息的存儲安全。

6.2.2信息存儲時限

基于實現(xiàn)用戶信息授權(quán)使用的目的，明確用戶信息存儲期限所必需的最短時間，超出約定存儲期限

后,采取刪除或匿名化處理。

注：法律法規(guī)另有規(guī)定或者用戶另行授權(quán)同意的除外。

6.2.3原始信息存儲

單獨存儲用戶的原始信息，加強訪問和使用的權(quán)限管理，保證收集的用戶信息不被其他設(shè)備或程序

非授權(quán)獲取或篡改。

注：個人生物識別信息要與個人身份信息分開存儲，宜通過存儲個人性別信息的摘要信息，在采集終端中直接使用

個人生物識別信息實現(xiàn)身份識別、認證等功能；在使用面部識別特征、指紋、掌紋、虹膜等實現(xiàn)識別身份、

認證等功能后，刪除可提取個人生物識別信息的原始圖像。

6.2.4敏感信息存儲

明確訪問權(quán)限，對非存儲區(qū)域暫存的敏感信息，進行加密處理，使用后立即清除。信息系統(tǒng)或云計

算系統(tǒng)中存儲敏感信息，必要時采用加密的方式存儲，并通過有效的技術(shù)措施保證存儲過程中敏感信息

不被非授權(quán)獲取。

6.2.5境內(nèi)存儲

關(guān)鍵信息基礎(chǔ)設(shè)施運營者和處理用戶信息達到國家網(wǎng)信部門規(guī)定數(shù)量的用戶信息處理者，需將在中

華人民共和國境內(nèi)收集和產(chǎn)生的用戶信息存儲在境內(nèi)。

6.2.6停止運營存儲

當(dāng)用戶信息處理者停止運營其產(chǎn)品或服務(wù)時,停止收集用戶更新的信息，對其所持有的用戶信息進

行刪除或匿名化處理，并將停止運營的通知進行公告或逐一送達用戶。

6.2.7存儲安全

將用戶信息保護管理納入安全風(fēng)險管理制度，定期對采集、處理、存儲用戶信息的主機和終端進行

安全防護系統(tǒng)更新升級、安全漏洞掃描和安全配置檢查，并建立用戶信息保護檢查評估機制和工作流程，

及時發(fā)現(xiàn)、修補和評估用戶信息保護工作中存在的問題、漏洞及風(fēng)險。

6.3使用

6.3.1概述

履行用戶信息使用管理制度，明確用戶信息使用的密碼管理、訪問設(shè)置、賬號管理、登錄控制、主

動推送等內(nèi)容，保障用戶登錄安全。宜采取的驗證手段，包括但不限于密碼、令牌（如證書等）、生物

特征。

5

DB23/T3325—2022

6.3.2密碼管理

建立符合國家密碼管理規(guī)定的密碼技術(shù)使用制度，對密碼進行加密保護，密碼明文不得以任何形式

出現(xiàn)，用戶密碼宜由數(shù)字或字符共同組成，長度不少于6位。重置用戶密碼前必須對用戶身份進行核實。

宜引導(dǎo)用戶定期更改登錄密碼。

6.3.3訪問設(shè)置

建立用戶口令保護制度，對主機、計算機終端、網(wǎng)絡(luò)安全設(shè)備和應(yīng)用系統(tǒng)用戶口令的長度、復(fù)雜度、

修改周期進行規(guī)定，不易采取空口令、弱口令登錄。

6.3.4賬號管理

對用戶賬戶添加、修改或刪除賬號信息設(shè)置管理權(quán)限和操作提示。對長期未使用的賬號，宜通過告

知、凍結(jié)等方式予以提示。

6.3.5登錄控制

設(shè)定用戶登錄服務(wù)器連續(xù)失敗次數(shù)（宜為3次-5次），在用戶賬號凍結(jié)后，宜經(jīng)系統(tǒng)管理員對用

戶身份進行驗證，通過后予以恢復(fù)。宜設(shè)置無操作登錄時間上限，超時后需重新登錄并驗證其身份。

6.3.6主動推介

通過自動化決策方式向用戶進行信息推送、商業(yè)營銷，不宜針對其用戶特征設(shè)置選項，同時提供便

捷的拒絕方式。

6.4加工

6.4.1概述

履行用戶信息加工管理制度，明確加工用戶信息的自動化決策分析、敏感信息處理、監(jiān)督加工記錄

等內(nèi)容，保障用戶信息處理預(yù)期目標的完成。

6.4.2自動化決策分析

用戶信息處理者利用用戶信息進行自動化決策分析，保證決策的透明度和結(jié)果的公平、公正性。

6.4.3敏感信息處理

處理敏感用戶信息前需告知處理敏感用戶信息的必要性，并取得用戶的單獨授權(quán)，在符合有關(guān)法律

法規(guī)的要求、相關(guān)政府主管部門的要求、滿足社會公眾利益的需求、維護用戶合法權(quán)益的前提下，采取

嚴格的保護措施，處理用戶的敏感信息。

注：在法律、行政法規(guī)規(guī)定處理敏感用戶信息時，無需取得書面同意的除外。

6.4.4監(jiān)督加工記錄

采取有效監(jiān)督措施，進行監(jiān)控、跟蹤和審計，建立相關(guān)的日志、記錄檔案，及時發(fā)現(xiàn)問題并進行處

理。

6.4.5委托加工處理

6

DB23/T3325—2022

參考GB/T35273的要求。

6.4.6安全事件處理

參考GB/T35273的要求。

6.5傳輸

6.5.1概述

履行用戶信息傳輸管理制度，明確傳輸用戶信息前征得用戶同意、請求轉(zhuǎn)移用戶信息、評估安全風(fēng)

險、信息傳輸完整、平臺主體變更等內(nèi)容，保障用戶信息的質(zhì)量和準確性。宜采取顯著標注的方式、清

晰易懂的語言，真實、準確、完整地告知用戶，并在充分知情的前提下使用戶自愿、明確地作出單獨同

意。

6.5.2征得用戶同意

采用明確、合法的手段，告知并征得用戶同意，在用戶信息收集目的范圍內(nèi)傳輸用戶信息，保證用

戶信息的安全。

6.5.3請求轉(zhuǎn)移用戶信息

用戶請求將用戶信息轉(zhuǎn)移至其指定的用戶信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，用戶信息處

理者應(yīng)當(dāng)提供轉(zhuǎn)移的途徑。

6.5.4評估安全與風(fēng)險

制定安全風(fēng)險評估制度，明確傳輸過程中可能存在的風(fēng)險及相關(guān)責(zé)任，保證用戶信息在轉(zhuǎn)移過程中

的保密性、完整性和準確性，采取加密算法，實現(xiàn)數(shù)據(jù)加密或協(xié)議加密，防止用戶信息在傳輸過程中被

非授權(quán)獲取。

注：用戶敏感信息中的個人身份信息在發(fā)送至客戶端之前，采用匿名處理的方式，可采用屏蔽個人身份信息中不可

猜測的部分，并使用統(tǒng)一的符號替代。

6.5.5信息傳輸?shù)耐暾?/p>

對傳輸中的用戶信息數(shù)據(jù)進行完整性保護，包括但不限于，完整性檢測、必要的完整性恢復(fù)等。

6.5.6平臺主體變更

用戶信息處理者因合并、分立、解散、被宣告破產(chǎn)等原因需要轉(zhuǎn)移用戶信息的，需向用戶告知接收

方的名稱或者姓名和聯(lián)系方式。接收方應(yīng)當(dāng)繼續(xù)履行用戶信息處理者的義務(wù)。接收方變更原有的處理目

的、處理方式時，需重新取得用戶同意。

6.6提供

6.6.1概述

建立用戶信息提供管理制度，明確自動化決策推送、向境內(nèi)外用戶提供信息等內(nèi)容，確保用戶的權(quán)

益。

6.6.2自動化決策推送

7

DB23/T3325—2022

通過平臺內(nèi)自動化決策方式向用戶進行信息推送、商業(yè)營銷時，宜在用戶協(xié)議條款中明確訪問權(quán)限，

支持用戶對權(quán)限進行變更。

6.6.3向境外提供信息

用戶信息處理者向中華人民共和國境外提供用戶信息的，需通過國家網(wǎng)信部門組織的安全評估。告

知境外接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式、用戶信息的種類以及用戶向境外接收

方行使權(quán)利的方式和程序等事項，并取得用戶的單獨同意。

6.7公開

6.7.1概述

履行用戶信息公開管理制度，明確安全評估、記錄與存儲、法律風(fēng)險、禁止公開等內(nèi)容，確保告知

用戶公開目的、公開類型、是否涉及敏感信息，并事先征得用戶明示同意。

6.7.2安全評估

開展用戶信息安全影響評估是公開用戶信息的前提，依據(jù)安全影響評估結(jié)果采取有效的保護措施。

6.7.3記錄與存儲

準確記錄用戶信息的公開披露情況，包括但不限于：公開披露的日期、規(guī)模、目的、公開范圍等。

6.7.4法律風(fēng)險

承擔(dān)因公開披露用戶信息對用戶合法權(quán)益造成損害的相應(yīng)責(zé)任。

6.7.5禁止公開

禁止公開披露個人生物識別信息，禁止公開披露公民的種族、民族、政治觀點、宗教信仰等用戶敏

感數(shù)據(jù)的分析結(jié)果。

6.8刪除

6.8.1概述

履行用戶信息刪除或銷毀管理制度，明確監(jiān)督銷毀記錄、用戶信息返還、部分信息保留、違法違約

轉(zhuǎn)讓、代位權(quán)行使等內(nèi)容，確保使用完畢或保存到期的用戶信息得到及時、有效、完全的清除或刪除，

保證用戶信息不可恢復(fù)。

注：信息載體包括但不限于：報廢設(shè)備、紙介質(zhì)、磁介質(zhì)、半導(dǎo)體介質(zhì)和光介質(zhì)。

6.8.2監(jiān)督銷毀記錄

采取有效監(jiān)督措施，宜分類銷毀用戶信息，銷毀前確保獲得相應(yīng)的授權(quán)，建立銷毀登記記錄，記錄

內(nèi)容包括但不限于：使用人、用途、銷毀方式與時間、銷毀人簽字、監(jiān)督人簽字。

6.8.3用戶信息返還

8

DB23/T3325—2022

基于用戶同意處理的用戶信息，用戶有權(quán)撤回其同意。用戶信息處理者需提供便捷的撤回同意方式。

當(dāng)委托合同不生效、無效、被撤銷或者終止的，受托人應(yīng)當(dāng)將用戶信息返還用戶信息處理者或者予以刪

除，不得保留。

6.8.4部分信息保留

用戶信息使用目的后完成后或留存期限到期時，宜立即刪除或銷毀相關(guān)信息，如留存使用，需去標

識化，涉及用戶敏感信息留存的用戶信息處理者，需獲得用戶信息主體的明示同意。

6.8.5違法違約轉(zhuǎn)讓

用戶信息主體對違反法律法規(guī)規(guī)定或違反與用戶信息主體的約定向第三方共享、轉(zhuǎn)讓其用戶信息的，

可要求用戶信息控制者停止共享、轉(zhuǎn)讓、刪除用戶信息。

6.8.6代位權(quán)行使

自然人死亡的，其近親屬為了自身的合法、正當(dāng)利益，可以對死者的相關(guān)用戶信息行使本章規(guī)定的

查閱、復(fù)制、更正、刪除等權(quán)利；死者生前另有安排的除外。

7相關(guān)利益方權(quán)益

7.1注冊用戶

保障用戶對其用戶信息的處理享有知情權(quán)、決定權(quán)，包括但不限于：

——用戶有權(quán)要求用戶信息處理者對其用戶信息處理規(guī)則進行解釋說明；

——用戶有權(quán)向用戶信息處理者訪問、查閱、復(fù)制其用戶信息；

——用戶發(fā)現(xiàn)其用戶信息不準確或者不完整的，有權(quán)請求用戶信息處理者更正、補充；

——用戶有權(quán)限制或者拒絕平臺對其用戶信息進行處理；

——用戶有權(quán)請求將用戶信息轉(zhuǎn)移至其指定的用戶信息處理者；

——用戶在用戶信息處理者向第三方傳遞或變更其用戶信息時，有表決權(quán)、撤銷權(quán)；

——用戶有權(quán)請求刪除用戶信息，享有撤回同意權(quán)；

——用戶信息主體權(quán)益受到侵害時，具有追究其法律責(zé)任的權(quán)力。

7.2用戶合同委托

通過合同等方式規(guī)定受委托者的責(zé)任和義務(wù)，包括但不限于：

——對受委托者進行審計；

——準確記錄和存儲委托處理用戶信息的情況；

——發(fā)現(xiàn)受委托者未按照委托要求處理個人信息,或末能有效履行，宜立即要求受托者停止相關(guān)行

為，且采取或要求受委托者采取有效補救措施控制或消除用戶信息面臨的安全風(fēng)險，必要時

可終止與受委托者的業(yè)務(wù)關(guān)系,并要求受委托者及時刪除從用戶信息控制者獲得的用戶信息。

7.3用戶信息處理者

用戶信息處理者公布的事項，包括但不限于：

——用戶信息處理者的名稱或者姓名和聯(lián)系方式；

——用戶信息的處理目的、處理方式，公開，并且便于查閱和保存；

9

DB23/T3325—2022

——處理的用戶信息種類、保存期限；

——用戶行使法律法規(guī)規(guī)定權(quán)利的方式和程序；

——用戶信息主體的投訴渠道和應(yīng)急機制；

——用戶信息侵害可能導(dǎo)致的實質(zhì)損害及解決辦法。

7.4第三方用戶信息處理者

由兩個以上的用戶信息處理者共同處理用戶信息，應(yīng)明確用戶信息處理的目的和處理的方式，約定

各自的權(quán)利和義務(wù)，包括但不限于：

——建立第三方產(chǎn)品或服務(wù)管理機制和工作流程；

——與第三方產(chǎn)品或服務(wù)提供者通過合同等形式明確雙方的安全責(zé)任；

——收集、改變用戶信息前，征得用戶的授權(quán)同意，做好管理記錄，確保可供相關(guān)方查閱；

——其他事項按照用戶信息處理者的要求履行。

7.5采用云計算部署處理信息者

采用云計算部署信息系統(tǒng)的，包括但不限于：

——宜采用GB／T31168和GB／T31167的內(nèi)容，保證不對信息系統(tǒng)的用戶信息進行轉(zhuǎn)存、讀取、

分析和外泄；

——定期對信息系統(tǒng)進行安全檢查和風(fēng)險評估，宜采用GB/T34942提供的方法；

——建立用戶信息保護安全事件報告和通報機制，宜采用GB/T24363、GB/T31722的內(nèi)容；

——提高組織用戶信息保護的安全預(yù)防和預(yù)警能力，宜采用GB/T20985.1、GB/T20985.2、GB/T

40652的內(nèi)容。

8服務(wù)監(jiān)督、評價與改進

8.1服務(wù)監(jiān)督

建立用戶信息處理者信息公開制定，做到公示信息及時更新,維護服務(wù)用戶的知情權(quán)和監(jiān)督權(quán),依法

保護服務(wù)對象的隱私權(quán)，向用戶公示的事項，包括但不限于：

——用戶信息處理者的名稱或者姓名和聯(lián)系方式；

——用戶信息的處理目的、處理方式；

——處理的用戶信息種類、保存期限；

——用戶行使自身權(quán)利的方式和程序；

——用戶信息主體的投訴渠道和應(yīng)急機制；

——用戶信息侵害可能導(dǎo)致的實質(zhì)損害及解決辦法。

8.2服務(wù)評價

采取內(nèi)部評價和外部評價相結(jié)合,開展?jié)M意度測評，包括但不限于：

——基于用戶體驗，評價用戶信息的處理目的、處理方式等是否合法、正當(dāng)、必要；

——基于管理能力，評價管理組織、人員、環(huán)境是否存在制定缺失、管理不到位、合規(guī)風(fēng)險的問

題；

——基于流程管理，評價各流程中可能對用戶權(quán)益的影響及安全風(fēng)險；

——基于技術(shù)保障，評價現(xiàn)有技術(shù)是否滿足用戶保護需求。

10

DB23/T3325—2022

8.3服務(wù)改進

注重服務(wù)質(zhì)量的持續(xù)改進，包括但不限于：

——建立平臺用戶信息管理制度，明確用戶信息收集、存儲、使用、加工、傳輸、提供、公開、

刪除的管理流程；

——建立審計制定，定期開展內(nèi)部或外部審計，并根據(jù)審計結(jié)果持續(xù)改善流程，完善相關(guān)制度；

——建立應(yīng)急響應(yīng)機制，提前編制應(yīng)急預(yù)案，并定期演練，以有效應(yīng)對用戶信息保護安全事件。

11

DB23/T3325—2022

A

A

附錄A

（資料性）

安全環(huán)境相關(guān)標準

A.1安全環(huán)境相關(guān)標準

表1給出了安全環(huán)境的相關(guān)標準，在使用的過程中，宜考慮標準的修訂和廢止，及在體系中的增

加。

標準號標準名稱ICSCCS

GB4943.23-2012信息技術(shù)設(shè)備安全第23部分：大型數(shù)據(jù)存儲設(shè)備35.020L09

GB/T17903.2-2021信息技術(shù)安全技術(shù)抗抵賴第2部分：采用對稱技術(shù)的機制35.040L80

GB/T17903.3-2008信息技術(shù)安全技術(shù)抗抵賴第3部分:采用非對稱技術(shù)的機制35.040L80

GB/T20009-2019信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全評估準則35.020L09

GB/T20261-2020信息安全技術(shù)系統(tǒng)安全工程能力成熟度模型35.040L80

GB/T20273-2019信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求35.040L80

GB/T20275-2021信息安全技術(shù)網(wǎng)絡(luò)入侵檢測系統(tǒng)技術(shù)要求和測試評價方法35.030L80

GB/T20277-2015信息安全技術(shù)網(wǎng)絡(luò)和終端隔離產(chǎn)品測試評價方法35.040L80

GB/T20278-2022信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求和測試評價方法35.040L80

GB/T20281-2020信息安全技術(shù)防火墻安全技術(shù)要求和測試評價方法35.030L80

GB/T21050-2019信息安全技術(shù)網(wǎng)絡(luò)交換機安全技術(shù)要求35.040L80

GB/T21052-2007信息安全技術(shù)信息系統(tǒng)物理安全技術(shù)要求35.040L80

GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求35.040L80

GB/T28450-2020信息技術(shù)安全技術(shù)信息安全管理體系審核指南35.040L80

GB/T28454-2020信息技術(shù)安全技術(shù)信息安全管理體系審核指南35.040L80

GB/T28458-2020信息技術(shù)安全技術(shù)入侵檢測和防御系統(tǒng)（IDPS）的選擇、部署和操35.040L80

作

GB/T30276-2020信息安全技術(shù)網(wǎng)絡(luò)安全漏洞標識與描述規(guī)范35.040L80

GB/Z32906-2016信息安全技術(shù)網(wǎng)絡(luò)安全漏洞管理規(guī)范35.040L80

GB/T34978-2017信息安全技術(shù)中小電子商務(wù)企業(yè)信息安全建設(shè)指南35.040L80

GB/T34990-2017信息安全技術(shù)移動智能終端個人信息保護技術(shù)要求35.040L80

GB/T36618-2018信息安全技術(shù)信息系統(tǒng)安全管理平臺技術(shù)要求和測試評價方法35.040L80

GB/T37939-2019信息安全技術(shù)網(wǎng)絡(luò)存儲安全技術(shù)要求35.040L80

GB/T37988-2019信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型35.040L80

GB/T37964-2019信息安全技術(shù)個人信息去標識化指南35.040L80

GB/T40653-2021信息安全技術(shù)安全處理器技術(shù)要求35.030L80

GB/T40660-2021信息安全技術(shù)生物特征識別信息保護基本要求35.030L80

12

DB23/T3325—2022

參考文獻

［1］GB4943.23-2012信息技術(shù)設(shè)備安全第23部分：大型數(shù)據(jù)存儲設(shè)備

［2］GB