标准编号:	GB/T 35273-2017
中文名称:	信息安全技术 个人信息安全规范
英文名称:	Information security technology—Personal information security specification
中标分类:	L80    数据加密
行业分类:	GB    国家标准
ICS分类:	35.040 35.040    字符集和信息编码 35.040
发布机构:	中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会
发布日期:	2017-12-29
实施日期:	2018-5-1
标准状态:	被替代
被新标准替代:	GB/T 35273-2020 信息安全技术 个人信息安全规范
被替代日期:	2020-10-1
翻译语言:	英文
文件格式:	PDF
中文字符数:	32000 字
翻译价格(元):	540.00 元
交付时间:	付款后 1 个工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative.



This standard is developed in accordance with the rules given in GB/T 1.1-2009 Directives for standardization - Part 1: Structure and drafting of standards.



Attention is drawn to the possibility that some of the elements of this standard may be the subject of patent rights. The issuing body of this document shall not be held responsible for identifying any or all such patent rights.



This standard was proposed by and is under the jurisdiction of the National Technical Committee on Information Security of Standardization Administration of China (SAC/TC 260).



 

Introduction



In recent years, with the rapid development of information technology and the popularity of Internet applications, more and more organizations collect and use personal information in large quantities, which has brought convenience to people's lives while, at the same time, has also resulted in illegal collection, abuse and disclosure of personal information. Personal information security is facing a serious threat.



This standard addresses the security issues faced by personal information and regulates the relevant behaviors of personal data controllers in the information processing links such as collection, preservation, use, sharing, transfer of control and public disclosure, aiming at restraining the illegal collection, abuse, disclosure, etc. of personal information so as to guarantee individual legitimate rights and interests of individuals and the public interest to the maximum extent.



The specific issues in this standard, if specified in laws and regulations otherwise, shall comply with such laws and regulations.





Information security technology - Personal information security specification



1 Scope



This standard regulates the principles and relevant security requirements which shall be followed by personal information processing activities like collection, preservation, use, sharing, transfer of control, public disclosure, etc.



This standard is applicable to the regulation of personal information processing activities of various organizations and also applicable to the supervision, management and evaluation of personal information processing activities by organizations such as competent supervision departments and third-party evaluation agencies.



2 Normative references



The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies.



GB/T 25069-2010 Information security technology - Glossary



3 Terms and definitions



For the purposes of this document, the terms and definitions given in GB/T 25069-2010 and the following apply.



3.1

personal information

various information recorded electronically or otherwise that can, either alone or in combination with other information, identify a particular natural person or reflect the activity of such a person



Note 1: Personal information includes name, date of birth, ID number, personal biometric identifying information, address, communication and contact information, communication record and content, account and password, property information, credit information, whereabouts, accommodation information, health and physiology information, transaction information.



Note 2: See Annex A for the scope and type of personal information.



3.2

personal sensitive information

personal information which, once disclosed, illegally provided or abused, will possibly endanger the personal and property safety and easily result in damages to personal reputation and physical and mental health or result in discriminatory treatment



Note 1: Personal sensitive information includes ID number, personal biometric identifying information, bank account, communication record and content, property information, credit information, whereabouts, accommodation information, health and physiology information, transaction information and personal information of children less than or equal to14 years old.



Note 2: See Annex B for the scope and type of personal sensitive information.



3.3

personal data subject

the natural person identified by personal information



3.4

personal data controller

organization or individual that has the right to determine the purpose, manner, etc. of the processing of the personal information



3.5

collect

behavior of obtaining the right of control over personal information, which includes positive collection through initiative provision by personal data subject, interaction with personal data subject or recording of personal information subject behavior as well as indirect acquisition through sharing, transfer of control and collection of public information



Note: If the product or service provider, who provides tools for use by the personal data subject, does not access personal information, it is not a collection behavior specified in this standard. For example, the offline navigation software, after obtaining the user location information from the terminal, does not return such information to the software provider, it is not a personal information collection behavior.



3.6

explicit consent

behavior, of a personal data subject, of explicit authorization in terms of the specific processing of his or her personal information through a written statement or making affirmative actions in an initiative manner



Note: Affirmative actions include statement, in either electronic or paper form, as well as selection of or click on "agree", "register", "send", "dial", etc. made by personal data subject in an initiative manner.



3.7

user profiling

process of personal characteristic model formation through analyzing or predicting the personal characteristics of a particular natural person, such as occupation, economy, health, education, personal preference, credit and behavior, on the basis of collecting, gathering, and analyzing personal information



Note: The characteristic model of certain natural person which is formed by directly using the personal information of such natural person is called direct user profiling. The characteristic model of certain natural person which is formed by using the personal information from other than such natural person, such as the data of the group in which such natural person is, is called indirect user profiling.



3.8

personal information security impact assessment

process of inspecting the extent to which the personal information processing activities are lawful and compliant, of determining the various risks of such activities that cause damage to legitimate rights and interests of personal data subject and of assessing the effectiveness of various measures used to protect personal data subject



3.9

delete

behavior of removing personal information in a system which is involved in realization of daily business functions so that such personal information is kept in a status making it cannot be retrieved or accessed



3.10

public disclosure

behavior of publishing information to society or an unspecified group of people



3.11

transfer of control

process of transferring the control right over personal information from one controller to another



3.12

sharing

process of providing personal information by a personal data controller to other controller, with the parties having independent control right over the personal information



3.13

anonymization

process of processing personal information in technical terms so that the personal data subject cannot be identified, with the processed information unable to be restored



Note: The information obtained from anonymization processing of personal information is not categorized as personal information.



3.14

de-identification

process of processing personal information in technical terms so that the personal data subject cannot be identified without additional information



Note: De-identification is based on the individual, retaining the individual granularity, and replacing the identification of personal information by adopting technical means like pseudonym, encryption, hash function, etc.



4 Basic principles of personal information security



The personal data controller, when conducting personal information processing activities, shall follow the following basic principles:



a) The principle of right and responsibility consistence——undertaking the responsibilities for the damage caused to the legitimate rights and interests of personal data subject by the personal information processing activities.



b) The principle of explicit purpose—— having lawful, legitimate, necessary and explicit personal information processing purpose.



c) The principle of consent based on selection——expressing the purpose, means, scope, rules, etc. of personal information processing to the personal data subject to ask for authorization and consent.



d) The principle of minimum and sufficiency——unless otherwise agreed with the personal data subject, only processing the minimum types and amount of personal information necessary for satisfying the purpose authorized and agreed by the personal data subject. After the purpose is achieved, the personal information shall be deleted in time according to the agreement.



e) The principle of openness and transparency——publicizing the scope, purpose, rules, etc. of personal information openly in a clear, understandable and reasonable manner, and accepting external supervision.



f) The principle of security ensurance——possessing the security capabilities that match the security risks confronted with, and taking adequate management measures and technical means to protect the confidentiality, integrity, and availability of the personal information.



g) The principle of subject participation——providing personal data subject with methods whereby he or she can access to, correct or delete his/her personal information, as well as withdraw the consent or close the account.

Foreword III
Introduction IV
1 Scope
2 Normative references
3 Terms and definitions
4 Basic principles of personal information security
5 Personal information collection
5.1 Legality requirements for collecting personal information
5.2 Minimization requirements for collecting personal information
5.3 Authorization and consent for personal information collection
5.4 Exceptions for authorization and consent obtaining
5.5 Explicit consent for personal sensitive information collection
5.6 Content and release of the privacy policy
6 Personal information preservation
6.1 Minimizing the retention time of personal information
6.2 De-identification processing
6.3 Transmission and storage of personal sensitive information
6.4 Stopping of product/service operation by personal data controller
7 Use of personal information
7.1 Personal information access control measures
7.2 Restrictions on display of personal information
7.3 Restrictions on use of personal information
7.4 Access to personal information
7.5 Correction of personal information
7.6 Deletion of personal information
7.7 Consent withdrawal of personal data subject
7.8 Account closure of personal data subject
7.9 The right of personal data subject to obtain a copy of their personal information
7.10 Constraints on the automatic decisions of information system
7.11 Responding the requests of personal data subject
7.12 Complaint management
8 Entrusted processing, sharing, transfer of control, and public disclosure of personal information
8.1 Entrusted processing
8.2 Sharing and transfer of control of personal information
8.3 Personal information transfer of control during acquisition, merger and restructuring
8.4 Public disclosure of personal information
8.5 Situations exempted from the acquisition of prior consent for the sharing, transfer of control, and public disclosure of personal information
8.6 Joint personal data controller
8.7 Requirements for the cross-border transfer of personal information
9 Handling of personal information security incident
9.1 Emergency responses and report for information security incident
9.2 Notification on safety incidents
10 Management requirements of the organization
10.1 Specifying responsible departments and personnel
10.2 Conducting personal information security impact assessment
10.3 Data security capabilities
10.4 Personnel management and training
10.5 Security audit
Annex A (Informative) Example of personal information
Annex B (informative) Determination of personal sensitive information
Annex C (Informative) Method for guaranteeing individual data subjects’ right to select to consent
Annex D (Informative) Privacy policy template
Bibliography

信息安全技术 个人信息安全规范
1 范围
本标准规范了开展收集、保存、使用、共享、转让、公开披露等个人信息处理活动应遵循的原则和安全要求。
本标准适用于规范各类组织个人信息处理活动，也适用于主管监管部门、第三方评估机构等组织对个人信息处理活动进行监督、管理和评估。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 25069—2010 信息安全技术 术语
3 术语和定义
GB/T 25069—2010中界定的以及下列术语和定义适用于本文件。
3.1
个人信息 personal information
以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
注1：个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、住址、通信通讯联系方式、通信记录和内容、账号密码、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息等。
注2：关于个人信息的范围和类型可参见附录A。
3.2
个人敏感信息 personal sensitive information
一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息。
注1：个人敏感信息包括身份证件号码、个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14岁以下（含）儿童的个人信息等。
注2：关于个人敏感信息的范围和类型可参见附录B。
3.3
个人信息主体 personal data subject
个人信息所标识的自然人。
3.4
个人信息控制者 personal data controller
有权决定个人信息处理目的、方式等的组织或个人。
3.5
收集 collect
获得对个人信息的控制权的行为，包括由个人信息主体主动提供、通过与个人信息主体交互或记录个人信息主体行为等自动采集，以及通过共享、转让、搜集公开信息间接获取等方式。
注：如果产品或服务的提供者提供工具供个人信息主体使用，提供者不对个人信息进行访问的，则不属于本标准所称的收集行为。例如，离线导航软件在终端获取用户位置信息后，如不回传至软件提供者，则不属于个人信息收集行为。
3.6
明示同意 explicit consent
个人信息主体通过书面声明或主动做出肯定性动作，对其个人信息进行特定处理做出明确授权的行为。
注：肯定性动作包括个人信息主体主动作出声明（电子或纸质形式）、主动勾选、主动点击“同意”、“注册”、“发送”、“拨打”等。
3.7
用户画像 user profiling
通过收集、汇聚、分析个人信息，对某特定自然人个人特征，如其职业、经济、健康、教育、个人喜好、信用、行为等方面做出分析或预测，形成其个人特征模型的过程。
注：直接使用特定自然人的个人信息，形成该自然人的特征模型，称为直接用户画像。使用来源于特定自然人以外的个人信息，如其所在群体的数据，形成该自然人的特征模型，称为间接用户画像。
3.8
个人信息安全影响评估 personal information security impact assessment
针对个人信息处理活动，检验其合法合规程度，判断其对个人信息主体合法权益造成损害的各种风险，以及评估用于保护个人信息主体的各项措施有效性的过程。
3.9
删除 delete
在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态。
3.10
公开披露 public disclosure
向社会或不特定人群发布信息的行为。
3.11
转让 transfer of control
将个人信息控制权由一个控制者向另一个控制者转移的过程。
3.12
共享 sharing
个人信息控制者向其他控制者提供个人信息，且双方分别对个人信息拥有独立控制权的过程。
3.13
匿名化 anonymization
通过对个人信息的技术处理，使得个人信息主体无法被识别，且处理后的信息不能被复原的过程。
注：个人信息经匿名化处理后所得的信息不属于个人信息。
3.14
去标识化 de-identification
通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别个人信息主体的过程。
注：去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手段替代对个人信息的标识。
4 个人信息安全基本原则
个人信息控制者开展个人信息处理活动，应遵循以下基本原则：
a） 权责一致原则——对其个人信息处理活动对个人信息主体合法权益造成的损害承担责任。
b） 目的明确原则——具有合法、正当、必要、明确的个人信息处理目的。
c） 选择同意原则——向个人信息主体明示个人信息处理目的、方式、范围、规则等，征求其授权同意。
d） 最少够用原则——除与个人信息主体另有约定外，只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。目的达成后，应及时根据约定删除个人信息。
e） 公开透明原则——以明确、易懂和合理的方式公开处理个人信息的范围、目的、规则等，并接受外部监督。
f） 确保安全原则——具备与所面临的安全风险相匹配的安全能力，并采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性。
g） 主体参与原则——向个人信息主体提供能够访问、更正、删除其个人信息，以及撤回同意、注销账户等方法。
5 个人信息的收集
5.1 收集个人信息的合法性要求
对个人信息控制者的要求包括：
a） 不得欺诈、诱骗、强迫个人信息主体提供其个人信息；
b） 不得隐瞒产品或服务所具有的收集个人信息的功能；
c） 不得从非法渠道获取个人信息；
d） 不得收集法律法规明令禁止收集的个人信息。
5.2 收集个人信息的最小化要求
对个人信息控制者的要求包括：
a） 收集的个人信息的类型应与实现产品或服务的业务功能有直接关联。直接关联是指没有该信息的参与，产品或服务的功能无法实现；
b） 自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率；
c） 间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量。
5.3 收集个人信息时的授权同意
对个人信息控制者的要求包括：
a） 收集个人信息前，应向个人信息主体明确告知所提供产品或服务的不同业务功能分别收集的个人信息类型，以及收集、使用个人信息的规则（例如收集和使用个人信息的目的、收集方式和频率、存放地域、存储期限、自身的数据安全能力、对外共享、转让、公开披露的有关情况等），并获得个人信息主体的授权同意；
b） 间接获取个人信息时：
1） 应要求个人信息提供方说明个人信息来源，并对其个人信息来源的合法性进行确认；
2） 应了解个人信息提供方已获得的个人信息处理的授权同意范围，包括使用目的，个人信息主体是否授权同意转让、共享、公开披露等。如本组织开展业务需进行的个人信息处理活动超出该授权同意范围，应在获取个人信息后的合理期限内或处理个人信息前，征得个人信息主体的明示同意。
5.4 征得授权同意的例外
以下情形中，个人信息控制者收集、使用个人信息无需征得个人信息主体的授权同意：
a） 与国家安全、国防安全直接相关的；
b） 与公共安全、公共卫生、重大公共利益直接相关的；
c） 与犯罪侦查、起诉、审判和判决执行等直接相关的；
d） 出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人同意的；
e） 所收集的个人信息是个人信息主体自行向社会公众公开的；
f） 从合法公开披露的信息中收集个人信息的，如合法的新闻报道、政府信息公开等渠道；
g） 根据个人信息主体要求签订和履行合同所必需的；
h） 用于维护所提供的产品或服务的安全稳定运行所必需的，例如发现、处置产品或服务的故障；
i） 个人信息控制者为新闻单位且其在开展合法的新闻报道所必需的；
j） 个人信息控制者为学术研究机构，出于公共利益开展统计或学术研究所必要，且其对外提供学术研究或描述的结果时，对结果中所包含的个人信息进行去标识化处理的；
k） 法律法规规定的其他情形。
5.5 收集个人敏感信息时的明示同意
对个人信息控制者的要求包括：
a） 收集个人敏感信息时，应取得个人信息主体的明示同意。应确保个人信息主体的明示同意是其在完全知情的基础上自愿给出的、具体的、清晰明确的愿望表示；
b） 通过主动提供或自动采集方式收集个人敏感信息前，应：
1） 向个人信息主体告知所提供产品或服务的核心业务功能及所必需收集的个人敏感信息，并明确告知拒绝提供或拒绝同意将带来的影响。应允许个人信息主体选择是否提供或同意自动采集；
2） 产品或服务如提供其他附加功能，需要收集个人敏感信息时，收集前应向个人信息主体逐一说明个人敏感信息为完成何种附加功能所必需，并允许个人信息主体逐项选择是否提供或同意自动采集个人敏感信息。当个人信息主体拒绝时，可不提供相应的附加功能，但不应以此为理由停止提供核心业务功能，并应保障相应的服务质量。
注：上述要求的实现方法可参考附录C。
c） 收集年满14的未成年人的个人信息前，应征得未成年人或其监护人的明示同意；不满14周岁的，应征得其监护人的明示同意。
5.6 隐私政策的内容和发布
对个人信息控制者的要求包括：
a） 个人信息控制者应制定隐私政策，内容应包括但不限于：
1） 个人信息控制者的基本情况，包括注册名称、注册地址、常用办公地点和相关负责人的联系方式等；
2） 收集、使用个人信息的目的，以及目的所涵盖的各个业务功能，例如将个人信息用于推送商业广告，将个人信息用于形成直接用户画像及其用途等；
3） 各业务功能分别收集的个人信息，以及收集方式和频率、存放地域、存储期限等个人信息处理规则和实际收集的个人信息范围；
4） 对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型，以及所承担的相应法律责任；
5） 遵循的个人信息安全基本原则，具备的数据安全能力，以及采取的个人信息安全保护措施；
6） 个人信息主体的权利和实现机制，如访问方法、更正方法、删除方法、注销账户的方法、撤回同意的方法、获取个人信息副本的方法、约束信息系统自动决策的方法等；
7） 提供个人信息后可能存在的安全风险，及不提供个人信息可能产生的影响；
8） 处理个人信息主体询问、投诉的渠道和机制，以及外部纠纷解决机构及联络方式。
b） 隐私政策所告知的信息应真实、准确、完整；
c） 隐私政策的内容应清晰易懂，符合通用的语言习惯，使用标准化的数字、图示等，避免使用有歧义的语言，并在起始部分提供摘要，简述告知内容的重点；
d） 隐私政策应公开发布且易于访问，例如，在网站主页、移动应用程序安装页、社交媒体首页等显著位置设置链接；
e） 隐私政策应逐一送达个人信息主体。当成本过高或有显著困难时，可以公告的形式发布；
f） 在本条a）所载事项发生变化时，应及时更新隐私政策并重新告知个人信息主体。
注：隐私政策的内容可参考附录D。
6 个人信息的保存
6.1 个人信息保存时间最小化
对个人信息控制者的要求包括：
a） 个人信息保存期限应为实现目的所必需的最短时间；
b） 超出上述个人信息保存期限后，应对个人信息进行删除或匿名化处理。
6.2 去标识化处理
收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将去标识化后的数据与可用于恢复识别个人的信息分开存储，并确保在后续的个人信息处理中不重新识别个人。
6.3 个人敏感信息的传输和存储
对个人信息控制者的要求包括：
a） 传输和存储个人敏感信息时，应采用加密等安全措施；
b） 存储个人生物识别信息时，应采用技术措施处理后再进行存储，例如仅存储个人生物识别信息的摘要。
6.4 个人信息控制者停止运营
当个人信息控制者停止运营其产品或服务时，应：
a） 及时停止继续收集个人信息的活动；
b） 将停止运营的通知以逐一送达或公告的形式通知个人信息主体；
c） 对其所持有的个人信息进行删除或匿名化处理。
7 个人信息的使用
7.1 个人信息访问控制措施
对个人信息控制者的要求包括：
a） 对被授权访问个人信息的内部数据操作人员，应按照最小授权的原则，使其只能访问职责所需的最少够用的个人信息，且仅具备完成职责所需的最少的数据操作权限；
b） 宜对个人信息的重要操作应设置内部审批流程，如批量修改、拷贝、下载等；
c） 应对安全管理人员、数据操作人员、审计人员的角色进行分离设置；
d） 如确因工作需要，需授权特定人员超权限处理个人信息的，应由个人信息保护责任人或个人信息保护工作机构进行审批，并记录在册；
注：个人信息保护责任人或个人信息保护工作机构的确定见本标准10.1。
e） 对个人敏感信息的访问、修改等行为，宜在对角色的权限控制的基础上，根据业务流程的需求触发操作授权。例如，因收到客户投诉，投诉处理人员才可访问该用户的相关信息。
7.2 个人信息的展示限制
涉及通过界面展示个人信息的（如显示屏幕、纸面），个人信息控制者宜对需展示的个人信息采取去标识化处理等措施，降低个人信息在展示环节的泄露风险。例如，在个人信息展示时，防止内部非授权人员及个人信息主体之外的其他人员未经授权获取个人信息。
7.3 个人信息的使用限制
对个人信息控制者的要求包括；
a） 除目的所必需外，使用个人信息时应消除明确身份指向性，避免精确定位到特定个人。例如，为准确评价个人信用状况，可使用直接用户画像，而用于推送商业广告目的时，则宜使用间接用户画像；
b） 对所收集的个人信息进行加工处理而产生的信息，能够单独或与其他信息结合识别自然人个人身份，或者反映自然人个人活动情况的，应将其认定为个人信息。对其处理应遵循收集个人信息时获得的授权同意范围；
注：加工处理而产生的个人信息属于个人敏感信息的，对其处理应符合本标准对个人敏感信息的要求。
c） 使用个人信息时，不得超出与收集个人信息时所声称的目的具有直接或合理关联的范围。因业务需要，确需超出上述范围使用个人信息的，应再次征得个人信息主体明示同意。
注：将所收集的个人信息用于学术研究或得出对自然、科学、社会、经济等现象总体状态的描述，属于与收集目的具有合理关联的范围之内。但对外提供学术研究或描述的结果时，应对结果中所包含的个人信息进行去标识化处理。
7.4 个人信息访问
个人信息控制者应向个人信息主体提供访问下列信息的方法：
a） 其所持有的关于该主体的个人信息或类型；
b） 上述个人信息的来源、所用于的目的；
c） 已经获得上述个人信息的第三方身份或类型。
注：个人信息主体提出访问非其主动提供的个人信息时，个人信息控制者可在综合考虑不响应请求可能对个人信息主体合法权益带来的风险和损害，以及技术可行性、实现请求的成本等因素后，做出是否响应的决定，并给出解释说明。
7.5 个人信息更正
个人信息主体发现个人信息控制者所持有的该主体的个人信息有错误或不完整的，个人信息控制者应为其提供请求更正或补充信息的方法。
7.6 个人信息删除
对个人信息控制者的要求包括：
a） 符合以下情形的，个人信息主体要求删除的，应及时删除个人信息：
1） 个人信息控制者违反法律法规规定，收集、使用个人信息的；
2） 个人信息控制者违反了与个人信息主体的约定，收集、使用个人信息的。
b） 个人信息控制者违反法律法规规定或违反与个人信息主体的约定向第三方共享、转让个人信息，且个人信息主体要求删除的，个人信息控制者应立即停止共享、转让的行为，并通知第三方及时删除；
c） 个人信息控制者违反法律法规规定或与个人信息主体的约定，公开披露个人信息，且个人信息主体要求删除的，个人信息控制者应立即停止公开披露的行为，并发布通知要求相关接收方删除相应的信息。
7.7 个人信息主体撤回同意
对个人信息控制者的要求包括：
a） 应向个人信息主体提供方法撤回收集、使用其个人信息的同意授权。撤回同意后，个人信息控制者后续不得再处理相应的个人信息；
b） 应保障个人信息主体拒绝接收基于其个人信息推送的商业广告的权利。对外共享、转让、公开披露个人信息，应向个人信息主体提供撤回同意的方法。
注：撤回同意不影响撤回前基于同意的个人信息处理。
7.8 个人信息主体注销账户
对个人信息控制者的要求包括：
a） 通过注册账户提供服务的个人信息控制者，应向个人信息主体提供注销账户的方法，且该方法应简便易操作；
b） 个人信息主体注销账户后，应删除其个人信息或做匿名化处理。
7.9 个人信息主体获取个人信息副本
根据个人信息主体的请求，个人信息控制者应为个人信息主体提供获取以下类型个人信息副本的方法，或在技术可行的前提下直接将以下个人信息的副本传输给第三方：
a） 个人基本资料、个人身份信息；
b） 个人健康生理信息、个人教育工作信息。
7.10 约束信息系统自动决策
当仅依据信息系统的自动决策而做出显著影响个人信息主体权益的决定时（例如基于用户画像决定个人信用及贷款额度，或将用户画像用于面试筛选），个人信息控制者应向个人信息主体提供申诉方法。
7.11 响应个人信息主体的请求
对个人信息控制者的要求包括：
a） 在验证个人信息主体身份后，应及时响应个人信息主体基于本标准第7.4至7.10提出的请求，应在三十天内或法律法规规定的期限内做出答复及合理解释，并告知个人信息主体向外部提出纠纷解决的途径；
b） 对合理的请求原则上不收取费用，但对一定时期内多次重复的请求，可视情收取一定成本费用；
c） 如直接实现个人信息主体的请求需要付出高额的成本或存在其他显著的困难，个人信息控制者应向个人信息主体提供其他替代性方法，以保护个人信息主体的合法权益；
d） 以下情况可不响应个人信息主体基于本标准7.4至7.10提出的请求，包括但不限于：
1） 与国家安全、国防安全直接相关的；
2） 与公共安全、公共卫生、重大公共利益直接相关的；
3） 与犯罪侦查、起诉、审判和执行判决等直接相关的；
4） 个人信息控制者有充分证据表明个人信息主体存在主观恶意或滥用权利的；
5） 响应个人信息主体的请求将导致个人信息主体或其他个人、组织的合法权益受到严重损害的；
6） 涉及商业秘密的。
7.12 申诉管理
个人信息控制者应建立申诉管理机制，包括跟踪流程，并在合理的时间内，对申诉进行响应。