GB-T《電子商務(wù)數(shù)據(jù)交易 隱私保護(hù)規(guī)范》（征求意見稿）

ICS35.240.60

A10

中華人民共和國國家標(biāo)準(zhǔn)

GB/TXXXXX—XXXX

電子商務(wù)數(shù)據(jù)交易隱私保護(hù)規(guī)范

E-commercedatatransaction——

Specificationforprivacyprotection

點(diǎn)擊此處添加與國際標(biāo)準(zhǔn)一致性程度的標(biāo)識

（征求意見稿）

XXXX-XX-XX發(fā)布XXXX-XX-XX實施

GB/TXXXXX—XXXX

目??次

前言.................................................................................II

1范圍...............................................................................1

2規(guī)范性引用文件.....................................................................1

3術(shù)語和定義.........................................................................1

4總則...............................................................................3

5數(shù)據(jù)提供方職責(zé)義務(wù).................................................................3

6數(shù)據(jù)需求方職責(zé)義務(wù).................................................................4

7交易平臺職責(zé)義務(wù)...................................................................4

8信息主體權(quán)利.......................................................................4

參考文獻(xiàn)..............................................................................5

I

GB/TXXXXX—XXXX

電子商務(wù)數(shù)據(jù)交易隱私保護(hù)規(guī)范

1范圍

本標(biāo)準(zhǔn)規(guī)定了電子商務(wù)數(shù)據(jù)交易中隱私保護(hù)總則，數(shù)據(jù)提供方職責(zé)義務(wù)、數(shù)據(jù)需求方職責(zé)義務(wù)、交

易平臺職責(zé)義務(wù)和信息主體權(quán)利。

本標(biāo)準(zhǔn)適用于電子商務(wù)數(shù)據(jù)交易中的隱私保護(hù)。

2規(guī)范性引用文件

下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

GB/T5271.1信息技術(shù)詞匯第1部分：基本術(shù)語

GB/Z28828信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護(hù)指南

GB/T35273信息安全技術(shù)個人信息安全規(guī)范

GB/T35408電子商務(wù)質(zhì)量管理術(shù)語

GB/TXXX電子商務(wù)數(shù)據(jù)交易準(zhǔn)則

3術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1

電子商務(wù)E-commerce

通過信息網(wǎng)絡(luò)進(jìn)行產(chǎn)品和服務(wù)交易的經(jīng)營活動。

[GB/T35408，定義2.1.1]

3.2

數(shù)據(jù)data

信息的可再解釋的信息化表示，以適用于通信、解釋和處理。

注：一個概念模型表示人們對一個體系的理解。

[GB/T5271.1，定義01.01.02]

3.3

電子商務(wù)數(shù)據(jù)交易平臺E-commercedatatransactionplatform

在電子商務(wù)模式下為交易雙方或多方提供數(shù)據(jù)交易撮合及相關(guān)服務(wù)的信息網(wǎng)絡(luò)系統(tǒng)。

3.4

交易主體transactionsubject

1

GB/TXXXXX—XXXX

經(jīng)由電子商務(wù)數(shù)據(jù)交易平臺根據(jù)有關(guān)法律法規(guī)及電子商務(wù)數(shù)據(jù)交易平臺的有關(guān)規(guī)定審核批準(zhǔn)，在電

子商務(wù)數(shù)據(jù)交易平臺進(jìn)行數(shù)據(jù)交易的組織或個人。分為：

a)數(shù)據(jù)提供方：即賣方，利用電子商務(wù)數(shù)據(jù)交易平臺出售數(shù)據(jù)或提供服務(wù)；

b)數(shù)據(jù)需求方：即買方，利用電子商務(wù)數(shù)據(jù)交易平臺購買數(shù)據(jù)或獲取服務(wù)。

注：本標(biāo)準(zhǔn)只涉及數(shù)據(jù)交易，不包括服務(wù)交易。

3.5

數(shù)據(jù)提供方datasupplier

在電子商務(wù)數(shù)據(jù)交易中，擁有數(shù)據(jù)所有權(quán)或受數(shù)據(jù)所有者合法授權(quán)而獲得部分或全部權(quán)益的向平臺

提供交易數(shù)據(jù)的組織或個人。

3.6

數(shù)據(jù)需求方datademander

在電子商務(wù)數(shù)據(jù)交易中發(fā)布數(shù)據(jù)需求或搜索、購買數(shù)據(jù)的組織或個人。

3.7

個人信息personalinformation

以電子方式記錄的能夠單獨(dú)或者與其他信息結(jié)合識別自然人個人身份的各種信息，包括但不限于自

然人的姓名、出生日期、身份證件號碼、個人生物識別信息、住址、電話號碼等。

3.8

個人敏感信息personalsensitiveinformation

一旦泄露、非法提供或濫用，會危害所標(biāo)識的個人信息主體的人身和財產(chǎn)安全，對其造成不良影響

的個人信息。

3.9

個人一般信息personalgeneralinformation

除個人敏感信息以外的個人信息。

[GB/Z28828，定義3.8]

3.10

個人信息主體personalinformationsubject

個人信息所標(biāo)識的自然人。

注：改寫GB/T35273，定義3.3

3.11

匿名化anonymization

通過對個人信息的技術(shù)處理，使得個人信息主體無法被識別，且處理后的信息不能被復(fù)原的過程。

注：個人信息經(jīng)匿名化處理后所得的信息不屬于個人信息。

[GB/T35273，定義3.13]

3.12

去標(biāo)識化de-identificaiton

2

GB/TXXXXX—XXXX

通過對個人信息的技術(shù)處理，使其在不借助額外信息的情況下，無法識別個人信息主體的過程。

注：去標(biāo)識化建立在個體基礎(chǔ)之上，保留了個體顆粒度，采用假名、加密、哈希函數(shù)等技術(shù)手段替代對個人信息的

標(biāo)識。

[GB/T35273，定義3.14]

4總則

4.1隱私

隱私的范疇包括但不限于以下內(nèi)容：

a)隱私的主體是自然人，在本標(biāo)準(zhǔn)中指代的是個人信息主體；

b)隱私是個人信息主體不愿公開或不愿被他人知曉的與公共利益、群眾利益無關(guān)的個人信息；

c)個人信息按照是否涉及隱私可劃分為個人敏感信息和個人一般信息；本標(biāo)準(zhǔn)中定義的個人敏感

信息是指涉及個人隱私的個人信息；

d)合法的個人隱私受國家法律、行政法規(guī)的保護(hù)，主要包括：

——能夠識別個人身份的信息；

——未成年人信息；

——消費(fèi)者個人信息；

——財產(chǎn)信息；

——通信信息和通訊信息；

——網(wǎng)絡(luò)用戶身份信息和日志信息；

——艾滋病、傳染病等疾病患者信息；

——法律、行政法規(guī)規(guī)定的其他個人信息。

e)經(jīng)過匿名化、去標(biāo)識化等技術(shù)處理后且無法復(fù)原的信息不屬于個人信息或個人敏感信息的范

疇。

4.2交易數(shù)據(jù)

交易數(shù)據(jù)的要求應(yīng)符合GB/TXXX《電子商務(wù)數(shù)據(jù)交易準(zhǔn)則》中5的規(guī)定。

4.3交易主體

交易主體的要求應(yīng)符合GB/TXXX《電子商務(wù)數(shù)據(jù)交易準(zhǔn)則》中4.3的規(guī)定。

4.4交易平臺

交易平臺的要求應(yīng)符合GB/TXXX《電子商務(wù)數(shù)據(jù)交易準(zhǔn)則》中4.2的規(guī)定。

5數(shù)據(jù)提供方職責(zé)義務(wù)

數(shù)據(jù)提供方對數(shù)據(jù)交易中的隱私保護(hù)承擔(dān)的職責(zé)義務(wù)包括但不限于：

a)應(yīng)貫徹個人信息保護(hù)相關(guān)法律、行政法規(guī)及行為規(guī)范，自覺維護(hù)個人信息主體合法權(quán)益；

b)應(yīng)對其提供的所有數(shù)據(jù)的流通和使用行為的合規(guī)性負(fù)責(zé)；

c)應(yīng)確保提供的所有數(shù)據(jù)不涉及法律、行政法規(guī)禁止發(fā)布或傳輸?shù)男畔ⅲ?/p>

d)應(yīng)確保提供的所有數(shù)據(jù)不涉及能夠識別個人身份的信息和個人敏感信息；

3

GB/TXXXXX—XXXX

e)當(dāng)提供的數(shù)據(jù)涉及能夠識別特定個人的信息或個人敏感信息時，應(yīng)先對其進(jìn)行匿名化、去標(biāo)識

化等技術(shù)處理，確保數(shù)據(jù)無法識別特定個人且無法復(fù)原后，方可進(jìn)入流通環(huán)節(jié)；

f)應(yīng)明確數(shù)據(jù)的適用范圍、使用期限和權(quán)利限制等；

g)應(yīng)確保數(shù)據(jù)的存儲、發(fā)布和傳輸過程中的安全性，防止數(shù)據(jù)泄露、篡改和刪除等；

h)應(yīng)對因個人信息泄露而對個人信息主體造成傷害的行為承擔(dān)主要責(zé)任。

6數(shù)據(jù)需求方職責(zé)義務(wù)

數(shù)據(jù)需求方對數(shù)據(jù)交易中的隱私保護(hù)承擔(dān)的職責(zé)義務(wù)包括但不限于：

a)應(yīng)貫徹個人信息保護(hù)相關(guān)法律、行政法規(guī)及行為規(guī)范，自覺維護(hù)數(shù)據(jù)主體合法權(quán)益；

b)購買需求應(yīng)符合法律、行政法規(guī)的相關(guān)規(guī)定；

c)應(yīng)按數(shù)據(jù)提供方界定的數(shù)據(jù)適用范圍、使用期限和權(quán)利限制等合法、合規(guī)使用數(shù)據(jù)；

d)當(dāng)在數(shù)據(jù)使用過程中發(fā)現(xiàn)能夠識別特定個人的信息或個人敏感信息時，應(yīng)立即向有關(guān)主管部門

報告或向平臺舉報；待數(shù)據(jù)提交后刪除且不可被恢復(fù)；

e)應(yīng)確保數(shù)據(jù)存儲、使用過程中的安全性，防止數(shù)據(jù)泄露、篡改和刪除等；

f)應(yīng)對因使用數(shù)據(jù)而導(dǎo)致個人信息泄露所產(chǎn)生的后果承擔(dān)主要責(zé)任；

g)按照約定方式使用完成或規(guī)定期限結(jié)束后，應(yīng)銷毀購買數(shù)據(jù)且不可被恢復(fù)。

7交易平臺職責(zé)義務(wù)

平臺對數(shù)據(jù)交易中的隱私保護(hù)承擔(dān)的職責(zé)義務(wù)包括但不限于：

a)應(yīng)貫徹個人信息保護(hù)相關(guān)法律、行政法規(guī)及行為規(guī)范，自覺維護(hù)個人信息主體合法權(quán)益；

b)應(yīng)根據(jù)法律、行政法規(guī)規(guī)定，制定平臺隱私政策，確保交易主體的合法權(quán)益；

c)應(yīng)設(shè)立隱私保護(hù)管理部門，負(fù)責(zé)平臺隱私保護(hù)工作的日常管理和實施；

d)應(yīng)制定隱私保護(hù)管理制度，明確平臺、交易主體的職責(zé)義務(wù)及懲罰措施；

e)應(yīng)建立隱私保護(hù)管理機(jī)制，包括但不限于：

——數(shù)據(jù)銷售許可機(jī)制：交易主體應(yīng)獲得平臺或第三方機(jī)構(gòu)許可后，方可參與交易；

——數(shù)據(jù)流轉(zhuǎn)登記機(jī)制：應(yīng)做好數(shù)據(jù)交易信息記錄備案，確保每次數(shù)據(jù)流轉(zhuǎn)都有記錄可追溯；

——隱私泄露投訴舉報機(jī)制：應(yīng)積極響應(yīng)和解決投訴舉報，明確投訴解決途徑和舉報獎勵制度。

f)應(yīng)組織開展隱私保護(hù)宣傳培訓(xùn)活動；

g)應(yīng)加強(qiáng)數(shù)據(jù)審核管理，發(fā)現(xiàn)法律、行政法規(guī)禁止發(fā)布或傳輸?shù)男畔r，應(yīng)依法采取必要處置措

施，并向有關(guān)主管部門報告；

h)應(yīng)積極配合有關(guān)主管部門依法履行職責(zé)時開展的各項工作。

8信息主體權(quán)利

本標(biāo)準(zhǔn)中的信息主體特指個人信息主體，不包含除個人信息主體之外的其他信息主體。個人信息主

體對數(shù)據(jù)交易中的隱私保護(hù)享有的權(quán)利包括但不限于：

a)應(yīng)有權(quán)提出撤銷、刪除和銷毀交易中涉及的能夠識別個人身份的信息或個人敏感信息；

b)個人信息主體認(rèn)為交易活動違反相關(guān)法律、行政法規(guī)規(guī)定，侵犯其合法權(quán)益的，應(yīng)有權(quán)依法提

起訴訟；

c)因個人信息泄露而對個人信息主體造成傷害的，應(yīng)有權(quán)提出賠償請求；

d)經(jīng)過處理無法識別特定個人且不能復(fù)原的除外。

4

GB/TXXXXX—XXXX

參?考?文?獻(xiàn)

[1]GBT36310-2018電子商務(wù)模式規(guī)范

[2]GB/T34987-2017信息安全技術(shù)移動智能終端個人信息保護(hù)技術(shù)要求

[3]GB/T35273-2017信息安全技術(shù)個人信息安全規(guī)范

[