【国家标准】 信息安全技术 个人信息处理中告知和同意的实施指南

ICS 35.030 CCS L80 GB 中华人民共和国国家标准 GB/T 42574—2023 信息安全技术 个人信息处理中告知和同意的实施指南 Information security technology—Implementation guidelines for notices and consent in personal information processing 2023-05-23 发布 2023-12-01 实施 发布单位：国家市场监督管理总局、国家标准化管理委员会 目次 前言 1 范围 2 规范性引用文件 3 术语和定义 4 缩略语 5 告知的适用情形 5.1 收集个人信息 5.2 提供、公开个人信息 5.3 处理活动等发生变更 5.4 其他情形 6 同意的适用情形 6.1 需取得同意的情形 6.2 免于取得同意的情形 7 告知和同意的基本原则 7.1 告知的基本原则 7.2 同意的基本原则 7.3 告知和同意宜考虑的要素 8 告知 8.1 告知的方式 8.2 告知的内容 8.3 告知的实施 9 同意 9.1 同意机制的选择 9.2 同意的实施 9.3 单独同意的实施 9.4 书面同意的实施 9.5 拒绝同意的实施 9.6 同意的撤回 9.7 同意的证据留存 附录A（资料性）App基本业务功能与扩展业务功能的告知和同意 附录B（资料性）App嵌入第三方SDK场景下的告知和同意 附录C（资料性）处理不满14周岁的未成年人个人信息的告知和同意 附录D（资料性）智慧生活场景下的告知和同意 附录E（资料性）公共场所场景下的告知和同意 附录F（资料性）个性化推送场景下的告知和同意 附录G（资料性）云计算服务场景下的告知和同意 附录H（资料性）车内场景下的告知和同意 附录I（资料性）互联网金融场景下的告知和同意 附录J（资料性）网上购物场景下的告知和同意 附录K（资料性）快递物流场景下的告知和同意 附录L（资料性）互联网房产经纪服务场景下的告知和同意 附录M（资料性）个人身份认证场景下的告知和同意 附录N（资料性）可推定为同意的情形示例 参考文献 前言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本文件起草单位：中国电子技术标准化研究院、深圳市腾讯计算机系统有限公司、中国信息通信研究院、北京理工大学、同盾科技有限公司、北京字节跳动科技有限公司、完美世界控股集团有限公司、北京百度网讯科技有限公司、北京小米移动软件有限公司、华为技术有限公司、全知科技（杭州）有限责任公司、贝壳找房（北京）科技有限公司、阿里巴巴（北京）软件服务有限公司、北京邮电大学、北京奇虎科技有限公司、荣耀终端有限公司、北京京东尚科信息技术有限公司、OPPO广东移动通信有限公司、重庆邮电大学、北京小桔科技有限公司、公安部相关研究机构、上海腾桥信息技术有限公司、国家信息技术安全研究中心、用友网络科技股份有限公司、泰康保险集团股份有限公司、湖南财信数字科技有限公司、深圳法大大网络科技有限公司、中国人民银行数字货币研究所、飞利浦（中国）投资有限公司、蚂蚁科技集团股份有限公司、中电长城网际系统应用有限公司、京东科技控股股份有限公司、中国网络安全审查技术与认证中心、中国石油兰州石化自动化研究院、财付通支付科技有限公司、中国石油大庆油田信息技术公司、中信银行股份有限公司。 本文件主要起草人：何延哲、赵再再、葛鑫、洪延青、薛颖、胡影、陈洁、周晨炜等。 1 范围 本文件规定了个人信息处理中告知和同意的适用情形、基本原则、实施方式以及典型应用场景下的实施指南。 本文件适用于各类个人信息处理者在开展个人信息收集、存储、使用、加工、传输、提供、公开等活动时，实施告知和同意机制，也可为监管、评估和合规建设提供参考。 2 规范性引用文件 本文件涉及的规范性引用文件按照相关国家标准执行。 3 术语和定义 下列术语和定义适用于本文件。 3.1 告知 个人信息处理者在处理个人信息前，以适当方式向个人说明处理规则、目的、范围、方式以及相关权利义务的行为。 3.2 同意 个人在充分知情前提下，对个人信息处理活动作出的自愿、明确意思表示。 3.3 单独同意 针对特定个人信息处理事项，由个人单独作出的明确授权同意。 3.4 书面同意 通过纸质、电子文档等书面形式取得的同意。 3.5 可推定为同意 在特定场景下，依据用户主动行为、业务关系或法律规定，可合理推定个人已同意相关处理活动的情形。