律师视点 | 黄斌：元宇宙法律篇（二十七）——元宇宙个人信息存储操作指引

黄  斌

北京德和衡（深圳）律师事务所

高级联席合伙人

元宇宙时代的来临，在线社交、游戏、媒体、学习、医疗、教育、工作、生活等诸多元宇宙场景需要大量收集、存储、分析个人数据（信息），并将上述个人数据（信息）加工、生成数据产品或服务。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等，个人信息的存储主要涉及保存期限、存储地点和存储方式等。

一、保存期限

一般情况下，个人信息的保存期限应当为实现处理目的所必要的最短时间，也就是个人信息存储时间最小化。法律、行政法规另有规定的最短时间，也就是个人信息为实现处理目的所必要的最短时间。超出个人信息存储期限后，应对个人信息进行删除或匿名化处理。

1、个人信息存储时间最小化

《个人信息保护法》第十九条，除法律、行政法规另有规定外，个人信息的保存期限应当为实现处理目的所必要的最短时间。

《信息安全技术个人信息安全规范》

6 个人信息的存储

6.1 个人信息存储时间最小化

对个人信息控制者的要求包括：

a) 个人信息存储期限应为实现个人信息主体授权使用的目的所必需的最短时间，法律法规另有规定或者个人信息主体另行授权同意的除外；

b) 超出上述个人信息存储期限后，应对个人信息进行删除或匿名化处理。

2、对个人信息保存期限另有规定的

法律、行政法规

《网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

（四）采取数据分类、重要数据备份和加密等措施；

《电子商务法》第三十一条 电子商务平台经营者应当记录、保存平台上发布的商品和服务信息、交易信息，并确保信息的完整性、保密性、可用性。商品和服务信息、交易信息保存时间自交易完成之日起不少于三年；法律、行政法规另有规定的，依照其规定。

《电子签名法》第二十四条 电子认证服务提供者应当妥善保存与认证相关的信息，信息保存期限至少为电子签名认证证书失效后五年。

《劳动合同法》第五十条 用人单位对已经解除或者终止的劳动合同的文本，至少保存二年备查。

《反洗钱法》第三十一条 客户身份资料在业务关系结束后、客户交易信息在交易结束后，应当至少保存五年。

《证券法》第一百六十二条 证券服务机构应当妥善保存客户委托文件、核查和验证资料、工作底稿以及与质量控制、内部管理、业务经营有关的信息和资料，任何人不得泄露、隐匿、伪造、篡改或者毁损。上述信息和资料的保存期限不得少于十年，自业务委托结束之日起算。

《证券投资基金法》第一百零二条 基金份额登记机构应当妥善保存登记数据，并将基金份额持有人名称、身份信息及基金份额明细等数据备份至国务院证券监督管理机构认定的机构。其保存期限自基金账户销户之日起不得少于二十年。

《精神卫生法》第四十七条 医疗机构及其医务人员应当在病历资料中如实记录精神障碍患者的病情、治疗措施、用药情况、实施约束、隔离措施等内容，并如实告知患者或者其监护人。患者及其监护人可以查阅、复制病历资料；但是，患者查阅、复制病历资料可能对其治疗产生不利影响的除外。病历资料保存期限不得少于三十年。

《反恐怖主义法》第三十二条 重点目标的管理单位应当建立公共安全视频图像信息系统值班监看、信息保存使用、运行维护等管理制度，保障相关系统正常运行。采集的视频图像信息保存期限不得少于九十日。

《互联网信息服务管理办法》第十四条 互联网信息服务提供者和互联网接入服务提供者的记录备份应当保存60日，并在国家有关机关依法查询时，予以提供。

《网络交易监督管理办法》第二十条 网络直播服务提供者对网络交易活动的直播视频保存时间自直播结束之日起不少于三年。

第三十一条 网络交易平台经营者对平台内经营者身份信息的保存时间自其退出平台之日起不少于三年；对商品或者服务信息，支付记录、物流快递、退换货以及售后等交易信息的保存时间自交易完成之日起不少于三年。法律、行政法规另有规定的，依照其规定。

《互联网信息服务管理办法（修订草案征求意见稿）》第十六条 互联网信息服务提供者应当记录所发布的信息和服务对象所发布的信息，并保存6个月。

互联网信息服务提供者、互联网接入服务提供者应当记录日志信息，保存12个月，并为公安机关、国家安全机关依法查询提供技术支持。

《互联网上网服务营业场所管理条例》第二十三条 互联网上网服务营业场所经营单位应当对上网消费者的身份证等有效证件进行核对、登记，并记录有关上网信息。登记内容和记录备份保存时间不得少于60日，并在文化行政部门、公安机关依法查询时予以提供。登记内容和记录备份在保存期内不得修改或者删除。

《互联网直播服务管理规定》第十六条 互联网直播服务提供者应当记录互联网直播服务使用者发布内容和日志信息，保存六十日。

《互联网销售彩票管理暂行办法》第二十一条 彩票发行机构、经授权的彩票销售机构应当保存彩票销售原始数据，保存期限不得少于60个月。

《移动智能终端应用软件预置和分发管理暂行规定》第五条 生产企业和互联网信息服务提供者应依法依规提供移动智能终端应用软件，采取有效措施，维护网络安全，切实保护用户合法权益。

（三）为移动智能终端应用软件提供代收费的企业，应当采取必要措施，加强对计费、收费行为的管理，杜绝不明扣费；收费企业应对用户确认信息和计费原始数据至少保存5个月，并为用户查询提供方便。

《中国人民银行金融消费者权益保护实施办法》第十八条 银行、支付机构向金融消费者说明重要内容和披露风险时，应当依照法律法规和监管规定留存相关资料，自业务关系终止之日起留存时间不得少于3年。法律、行政法规另有规定的，从其规定。

《金融机构客户身份识别和客户身份资料及交易资料保存管理办法》第二十九条 金融机构应当按照下列期限保存客户身份资料和交易记录：

（一）客户身份资料，自业务关系结束当年或者一次性交易记账当年计起至少保存5 年。

（二）交易记录，自交易记账当年计起至少保存5 年。

《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》第四十六条 金融机构应当按照下列期限保存客户身份资料及交易记录：

（一）客户身份资料自业务关系结束后或者一次性交易结束后至少保存5年；

（二）交易记录自交易结束后至少保存5年。

《非银行支付机构网络支付业务管理办法》第十六条 对于客户的网络支付业务操作行为，支付机构应当在确认客户身份及真实意愿后及时办理，并在操作生效之日起至少五年内，真实、完整保存操作记录。客户操作行为包括但不限于登录和注销登录、身份识别和交易验证、变更身份信息和联系方式、调整业务功能、调整交易限额、变更资金收付方式，以及变更或挂失密码、数字证书、电子签名等。

《商业银行信息科技风险管理指引》第二十七条 商业银行应制定相关策略和流程，管理所有生产系统的活动日志，以支持有效的审核、安全取证分析和预防欺诈。日志可以在软件的不同层次、不同的计算机和网络设备上完成，日志划分为两大类：

交易日志。交易日志由应用软件和数据库管理系统产生，内容包括用户登录尝试、数据修改、错误信息等。交易日志应按照国家会计准则要求予以保存。

系统日志。系统日志由操作系统、数据库管理系统、防火墙、入侵检测系统和路由器等生成，内容包括管理登录尝试、系统事件、网络事件、错误信息等。系统日志保存期限按系统的风险等级确定，但不能少于一年。

《网络借贷信息中介机构业务活动管理暂行办法》第二十三条 网络借贷信息中介机构应当采取适当的方法和技术，记录并妥善保存网络借贷业务活动数据和资料，做好数据备份。保存期限应当符合法律法规及网络借贷有关监管规定的要求。借贷合同到期后应当至少保存5年。

《单用途商业预付卡管理办法(试行)》第十六条 发卡企业和售卡企业应保存购卡人的登记信息5年以上。

《保障农民工工资支付条例》第十五条 用人单位应当按照工资支付周期编制书面工资支付台账，并至少保存3年。书面工资支付台账应当包括用人单位名称，支付周期，支付日期，支付对象姓名、身份证号码、联系方式，工作时间，应发工资项目及数额，代扣、代缴、扣除项目和数额，实发工资数额，银行代发工资凭证或者农民工签字等内容。

《人力资源市场暂行条例》第三十三条 人力资源服务机构应当加强内部制度建设，健全财务管理制度，建立服务台账，如实记录服务对象、服务过程、服务结果等信息。服务台账应当保存2年以上。

《麻醉药品和精神药品管理条例》第四十八条 麻醉药品药用原植物种植企业、定点生产企业、全国性批发企业和区域性批发企业、国家设立的麻醉药品储存单位以及麻醉药品和第一类精神药品的使用单位，应当配备专人负责管理工作，并建立储存麻醉药品和第一类精神药品的专用账册。药品入库双人验收，出库双人复核，做到账物相符。专用账册的保存期限应当自药品有效期期满之日起不少于5年。

第四十九条 第二类精神药品经营企业应当在药品库房中设立独立的专库或者专柜储存第二类精神药品，并建立专用账册，实行专人管理。专用账册的保存期限应当自药品有效期期满之日起不少于5年。

《医疗机构管理条例实施细则》第五十三条 医疗机构的门诊病历的保存期不得少于十五年；住院病历的保存期不得少于三十年。

《医疗器械网络销售监督管理办法》第二十二条 医疗器械网络交易服务第三方平台提供者应当记录在其平台上开展的医疗器械交易信息，记录应当保存至医疗器械有效期后2年；无有效期的，保存时间不得少于5年；植入类医疗器械交易信息应当永久保存。相关记录应当真实、完整、可追溯。

《房地产经纪管理办法》第二十六条 第二十六条 房地产经纪机构应当建立业务记录制度，如实记录业务情况。房地产经纪机构应当保存房地产经纪服务合同，保存期不少于5年。

《旅行社条例实施细则》第五十条 旅行社应当妥善保存《条例》规定的招徕、组织、接待旅游者的各类合同及相关文件、资料，以备县级以上旅游行政管理部门核查。

前款所称的合同及文件、资料的保存期，应当不少于两年。

《道路旅客运输及客运站管理规定》第五十二条 班车客运经营者及客运站经营者对实行实名制管理所登记采集的旅客身份信息及乘车信息，除应当依公安机关的要求向其如实提供外，应当予以保密。对旅客身份信息及乘车信息自采集之日起保存期限不得少于1年，涉及视频图像信息的，自采集之日起保存期限不得少于90日。

《道路危险货物运输管理规定》第二十五条 道路危险货物运输企业或者单位对重复使用的危险货物包装物、容器，在重复使用前应当进行检查；发现存在安全隐患的，应当维修或者更换。道路危险货物运输企业或者单位应当对检查情况作出记录，记录的保存期限不得少于2年。

《网络预约出租汽车经营服务管理暂行办法》第二十七条 网约车平台公司应当遵守国家网络和信息安全有关规定，所采集的个人信息和生成的业务数据，应当在中国内地存储和使用，保存期限不少于2年，除法律法规另有规定外，上述信息和数据不得外流。

《缺陷汽车产品召回管理条例》第九条 生产者应当建立并保存汽车产品设计、制造、标识、检验等方面的信息记录以及汽车产品初次销售的车主信息记录，保存期不得少于10年。

《智能网联汽车道路测试管理规范（试行）》第七条 测试车辆是指申请用于道路测试的智能网联汽车，包括乘用车、商用车辆，不包括低速汽车、摩托车，应符合以下条件：(四)具备车辆状态记录、存储及在线监控功能，能实时回传下列第1、2、3项信息，并自动记录和存储下列各项信息在车辆事故或失效状况发生前至少90秒的数据，数据存储时间不少于3年：

1.车辆控制模式；

2.车辆位置；

3.车辆速度、加速度等运动状态；

4.环境感知与响应状态；

5.车辆灯光、信号实时状态；

6.车辆外部360度视频监控情况；

7.反映测试驾驶人和人机交互状态的车内视频及语音监控 情况；

8.车辆接收的远程控制指令（如有）；

9.车辆故障情况（如有）。

《快递市场管理办法》第十九条 快递企业收寄已出具安全证明的物品时，应当如实记录收寄物品的名称、规格、数量、重量、收寄时间、寄件人收件人名址等内容，记录保存期限应当不少于1年。

《网络餐饮服务食品安全监督管理办法》第十五条 网络餐饮服务第三方平台提供者和自建网站餐饮服务提供者应当履行记录义务，如实记录网络订餐的订单信息，包括食品的名称、下单时间、送餐人员、送达时间以及收货地址，信息保存时间不得少于6个月。

《网络游戏管理暂行办法》第十九条 网络游戏运营企业发行网络游戏虚拟货币的，应当遵守以下规定：

（三）保存网络游戏用户的购买记录。保存期限自用户最后一次接受服务之日起，不得少于180日；

第二十条 网络游戏虚拟货币交易服务企业应当遵守以下规定：

（五）保存用户间的交易记录和账务记录等信息不得少于180日。

《信息安全技术 汽车采集数据的安全要求》征求意见稿

6.1车外数据、位置轨道数据在远程信息服务平台等车外位置中保存时间均不应超过14天。

二、存储地点

我国并没有强行规定“个人信息存储一定要在境内存储”。根据《网络安全法》和《个人信息保护法》，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储，国家机关处理的个人信息应当在中华人民共和国境内存储。关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行。有从事网络出版服务所需的必要的技术设备，相关服务器和存储设备必须存放在中华人民共和国境内。《个人信息保护法》第四十条规定，“处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。”，但国家网信部门暂时还没有规定具体数量。

《网络安全法》第三十七条 关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

《个人信息保护法》第三十六条 国家机关处理的个人信息应当在中华人民共和国境内存储；确需向境外提供的，应当进行安全评估。安全评估可以要求有关部门提供支持与协助。

第四十条 关键信息基础设施运营者和处理个人信息达到国家网信部门规定数量的个人信息处理者，应当将在中华人民共和国境内收集和产生的个人信息存储在境内。确需向境外提供的，应当通过国家网信部门组织的安全评估；法律、行政法规和国家网信部门规定可以不进行安全评估的，从其规定。

《数据出境安全评估办法》第四条 数据处理者向境外提供数据，有下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：

（一）数据处理者向境外提供重要数据；

（二）关键信息基础设施运营者和处理100万人以上个人信息的数据处理者向境外提供个人信息；

（三）自上年1月1日起累计向境外提供10万人个人信息或者1万人敏感个人信息的数据处理者向境外提供个人信息；

（四）国家网信部门规定的其他需要申报数据出境安全评估的情形。

《关键信息基础设施安全保护条例》第二条 本条例所称关键信息基础设施，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。

第九条 保护工作部门结合本行业、本领域实际，制定关键信息基础设施认定规则，并报国务院公安部门备案。

制定认定规则应当主要考虑下列因素：

（一）网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度；

（二）网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；

（三）对其他行业和领域的关联性影响。

《关键信息基础设施确定指南(试行)》

（三）认定关键信息基础设施。

对候选关键信息基础设施清单中的信息系统或工业控制系统，根据本地区、本部门、本行业实际，参照以下标准认定关键信息基础设施。

A.网站类

符合以下条件之一的，可认定为关键信息基础设施：

1. 县级（含）以上党政机关门户网站。

2. 日均访问量超过100万人次的网站。

3. 一旦发生网络安全事故，可能造成以下影响之一的：

（1）影响超过100万人工作、生活；

（2）影响单个地市级行政区30%以上人口的工作、生活；

（3）造成超过100万人个人信息泄露；

（4）造成大量机构、企业敏感信息泄露；

（5）造成大量地理、人口、资源等国家基础数据泄露；

（6）严重损害政府形象、社会秩序，或危害国家安全。

4. 其他应该认定为关键信息基础设施。

B.平台类

符合以下条件之一的，可认定为关键信息基础设施：

1.注册用户数超过1000万，或活跃用户（每日至少登陆一次）数超过100万。

2.日均成交订单额或交易额超过1000万元。

3.一旦发生网络安全事故，可能造成以下影响之一的：

（1）造成1000万元以上的直接经济损失；

（2）直接影响超过1000万人工作、生活；

（3）造成超过100万人个人信息泄露；

（4）造成大量机构、企业敏感信息泄露；

（5）造成大量地理、人口、资源等国家基础数据泄露；

（6） 严重损害社会和经济秩序，或危害国家安全。

4.其他应该认定为关键信息基础设施。

C.生产业务类

符合以下条件之一的，可认定为关键信息基础设施：

1.地市级以上政府机关面向公众服务的业务系统，或与医疗、安防、消防、应急指挥、生产调度、交通指挥等相关的城市管理系统。

2.规模超过3000个标准机架的数据中心。

3.一旦发生安全事故，可能造成以下影响之一的：

（1）影响单个地市级行政区30%以上人口的工作、生活；

（2）影响10万人用水、用电、用气、用油、取暖或交通出行等；

（3）导致5人以上死亡或50人以上重伤；

（4）直接造成5000万元以上经济损失；

（5）造成超过100万人个人信息泄露；

（6）造成大量机构、企业敏感信息泄露。

（7）造成大量地理、人口、资源等国家基础数据泄露。

（8）严重损害社会和经济秩序，或危害国家安全。

4.其他应该认定为关键信息基础设施。

《征信业管理条例》第二十四条 征信机构在中国境内采集的信息的整理、保存和加工，应当在中国境内进行。征信机构向境外组织或者个人提供信息，应当遵守法律、行政法规和国务院征信业监督管理部门的有关规定。

《网络出版服务管理规定》第八条 图书、音像、电子、报纸、期刊出版单位从事网络出版服务，应当具备以下条件： 

(三)有从事网络出版服务所需的必要的技术设备，相关服务器和存储设备必须存放在中华人民共和国境内。

《互联网个人信息安全保护指南》

6.2 保存

个人信息的保存行为应满足以下要求：

a)在境内运营中收集和产生的个人信息应在境内存储，如需出境应遵循国家相关规定；

《个人信息和重要数据出境安全评估办法（征求意见稿）》

第二条 网络运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据，应当在境内存储。因业务需要，确需向境外提供的，应当按照本办法进行安全评估。

第十七条 本办法下列用语的含义：

网络运营者，是指网络的所有者、管理者和网络服务提供者。

三、存储方式

存储方式主要包括分类存储、加密存储和备份存储。个人信息控制者收集个人信息后，应立即进行去标识化处理，并采取技术和管理方面的措施，将可用于恢复识别个人的信息与去标识化后的信息分开存储并加强访问和使用的权限管理。应将去标识化、匿名化后的数据与可用于恢复识别个人的信息采取逻辑隔离的方式进行存储，确保去标识化、匿名化后的信息与个人信息不被混用。存储重要数据和个人信息和儿童个人信息等敏感网络数据,应采用数据分类、重要数据备份、加密,安全存储,访问控制、安全审计等安全措施;传输和存储个人敏感信息时，应采用加密等安全措施；个人生物识别信息应与个人身份信息分开存储；原则上仅存储个人生物识别信息的摘要信息；数据接收方存储数据时,应按要求采取安全措施并以合同进行约定。重要数据，是指一旦泄露可能直接影响国家安全、经济安全、社会稳定、公共健康和安全的数据，如未公开的政府信息，大面积人口、基因健康、地理、矿产资源等。重要数据一般不包括企业生产经营和内部管理信息、个人信息等。妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体，并采取相应的安全储存措施；保存信息的主要设备，应对个人信息数据提供备份和恢复功能，确保数据备份的频率和时间间隔，并使用具有本地数据备份功能、将备份介质进行场外存放或具有异地数据备份功能其中至少一种备份手段。

《网络安全法》

第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

（四）采取数据分类、重要数据备份和加密等措施；

《数据安全法》

第四十条 国家机关委托他人建设、维护电子政务系统，存储、加工政务数据，应当经过严格的批准程序，并应当监督受托方履行相应的数据安全保护义务。受托方应当依照法律、法规的规定和合同约定履行数据安全保护义务，不得擅自留存、使用、泄露或者向他人提供政务数据。

《个人信息保护法》

第十三条 网络运营者应当采取加密等措施存储儿童个人信息，确保信息安全。

《电信和互联网用户个人信息保护规定》

第十三条 电信业务经营者、互联网信息服务提供者应当采取以下措施防止用户个人信息泄露、毁损、篡改或者丢失：

（四）妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体，并采取相应的安全储存措施；

（五）对储存用户个人信息的信息系统实行接入审查，并采取防入侵、防病毒等措施；

《个人金融信息保护技术规范》

6.1.3 存储

个人金融信息存储的具体技术要求如下：

a) 不应留存非本机构的银行卡磁道数据（或芯片等效信息）、银行卡有效期、卡片验证码（CVN和 CVN2）、银行卡密码、网络支付密码等 C3 类别信息。若确有必要留存的，应取得个人金融信息主体及账户管理机构的授权。

b) 应根据个人金融信息的不同类别，采用技术手段保证个人金融信息的存储安全；低敏感程度类别的个人金融信息因参与身份鉴别等关键活动导致敏感程度上升的（如，经组合后构成交易授权完整要素的情况），应提升相应的安全存储保障手段。

c) C3 类别个人金融信息应采用加密措施确保数据存储的保密性。

d) 受理终端、个人终端及客户端应用软件均不应存储银行卡磁道数据（或芯片等效信息）、银行卡有效期、卡片验证码（CVN 和 CVN2）、银行卡密码、网络支付密码等支付敏感信息及个人生物识别信息的样本数据、模板，仅可保存完成当前交易所必需的基本信息要素，并在完成交易后及时予以清除。

e) 采取必要的技术和管控措施保证个人金融信息存储转移过程中的安全性。

f) 应将去标识化、匿名化后的数据与可用于恢复识别个人的信息采取逻辑隔离的方式进行存储，确保去标识化、匿名化后的信息与个人金融信息不被混用。

g) 在停止运营时，应依据国家法律法规与行业主管部门有关规定要求，对所存储的个人金融信息进行妥善处置，或移交国家与行业主管部门指定的机构继续保存。

《互联网个人信息安全保护指南》

6.2 保存

个人信息的保存行为应满足以下要求：

b)收集到的个人信息应采取相应的安全加密存储等安全措施进行处理；

d)应对保存的个人信息在超出设置的时限后予以删除；

e)保存信息的主要设备，应对个人信息数据提供备份和恢复功能，确保数据备份的频率和时间间隔，并使用不少于以下一种备份手段：

1)具有本地数据备份功能；

2)将备份介质进行场外存放；

3)具有异地数据备份功能。

《信息安全技术个人信息安全规范》

6 个人信息的存储

6.2 去标识化处理

收集个人信息后，个人信息控制者宜立即进行去标识化处理，并采取技术和管理方面的措施，将可用于恢复识别个人的信息与去标识化后的信息分开存储并加强访问和使用的权限管理。

6.3 个人敏感信息的传输和存储

对个人信息控制者的要求包括：

a) 传输和存储个人敏感信息时，应采用加密等安全措施；

注：采用密码技术时宜遵循密码管理相关国家标准。

b) 个人生物识别信息应与个人身份信息分开存储；

c) 原则上不应存储原始个人生物识别信息（如样本、图像等），可采取的措施包括但不限于：

1) 仅存储个人生物识别信息的摘要信息；

2) 在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能；

3) 在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。

注1：摘要信息通常具有不可逆特点，无法回溯到原始信息。

注2：个人信息控制者履行法律法规规定的义务相关的情形除外。

6.4 个人信息控制者停止运营

当个人信息控制者停止运营其产品或服务时，应：

a) 及时停止继续收集个人信息；

b) 将停止运营的通知以逐一送达或公告的形式通知个人信息主体；

c) 对其所持有的个人信息进行删除或匿名化处理。

《信息安全技术—网络数据处理安全要求》

5.3存储

网络运营者应对数据存储活动采取安全措施,包括:

a)存储重要数据和个人信息等敏感网络数据,应采用加密,安全存储,访问控制、安全审计等安全措施;

b)存储重要数据和个人信息,不应超过与重要数据和个人信息主体约定的存储期限或个人信息主体授权同意有效期;

c)存储个人生物特征识别信息的,应遵守GB/T 35273—2020中 6.3 b)和c)的要求及生物特征识别信l保护相关国家标准要求。

数据接收方存储数据时,应按要求采取安全措施并以合同进行约定。

《数据安全管理办法（征求意见稿）》

第三十八条 本办法下列用语的含义：

（五）重要数据，是指一旦泄露可能直接影响国家安全、经济安全、社会稳定、公共健康和安全的数据，如未公开的政府信息，大面积人口、基因健康、地理、矿产资源等。重要数据一般不包括企业生产经营和内部管理信息、个人信息等。

《网络数据安全管理条例（征求意见稿）》

第二十七条 各地区、各部门按照国家有关要求和标准，组织本地区、本部门以及相关行业、领域的数据处理者识别重要数据和核心数据，组织制定本地区、本部门以及相关行业、领域重要数据和核心数据目录，并报国家网信部门。

《移动互联网应用程序(App)系统权限申请使用指南》

5.10 存储权限（STORAGE）

a) 如App不存在下载、读取外部存储文件的实际业务功能，可直接在App自有的目录下进行保存，不建议申请外部存储权限。

b)建议优先使用MediaStore或SAF框架实现业务功能，而非申请外部存储权限直接进行读取。

《深圳经济特区数据条例》第七十六条 数据处理者应当依照法律、法规规定以及国家标准的要求，对所收集的个人数据进行去标识化或者匿名化处理，并与可用于恢复识别特定自然人的数据分开存储。

数据处理者应当针对敏感个人数据、国家规定的重要数据制定并实施去标识化或者匿名化处理等安全措施。

第七十七条 数据处理者应当对数据存储进行分域分级管理，选择安全性能、防护级别与安全等级相匹配的存储载体；对敏感个人数据和国家规定的重要数据还应当采取加密存储、授权访问或者其他更加严格的安全保护措施。

四、风险评估

个人信息处理者处理敏感个人信息应当事前进行个人信息保护影响评估，个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。重要数据，是指一旦泄露可能直接影响国家安全、经济安全、社会稳定、公共健康和安全的数据，如未公开的政府信息，大面积人口、基因健康、地理、矿产资源等。重要数据一般不包括企业生产经营和内部管理信息、个人信息等。

《数据安全法》第三十条规定，重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告。

风险评估报告应当包括处理的重要数据的种类、数量，开展数据处理活动的情况，面临的数据安全风险及其应对措施等。

《个人信息保护法》第五十五条 有下列情形之一的，个人信息处理者应当事前进行个人信息保护影响评估，并对处理情况进行记录：

（一）处理敏感个人信息；

（二）利用个人信息进行自动化决策；

（三）委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息；

（四）向境外提供个人信息；

（五）其他对个人权益有重大影响的个人信息处理活动。

第五十六条 个人信息保护影响评估应当包括下列内容：

（一）个人信息的处理目的、处理方式等是否合法、正当、必要；

（二）对个人权益的影响及安全风险；

（三）所采取的保护措施是否合法、有效并与风险程度相适应。

个人信息保护影响评估报告和处理情况记录应当至少保存三年。

《数据安全管理办法（征求意见稿）》第三十八条 本办法下列用语的含义：

（五）重要数据，是指一旦泄露可能直接影响国家安全、经济安全、社会稳定、公共健康和安全的数据，如未公开的政府信息，大面积人口、基因健康、地理、矿产资源等。重要数据一般不包括企业生产经营和内部管理信息、个人信息等。

《网络数据安全管理条例（征求意见稿）》第二十七条 各地区、各部门按照国家有关要求和标准，组织本地区、本部门以及相关行业、领域的数据处理者识别重要数据和核心数据，组织制定本地区、本部门以及相关行业、领域重要数据和核心数据目录，并报国家网信部门。

《信息安全技术个人信息安全规范》

4 个人信息安全基本原则

个人信息控制者开展个人信息处理活动应遵循合法、正当、必要的原则，具体包括：

f) 确保安全——具备与所面临的安全风险相匹配的安全能力，并采取足够的管理措施和技术手段，保护个人信息的保密性、完整性、可用性；

五、存储告知

个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间、地点和超期处理方式等规则，并征得个人的明示同意。收集个人生物识别信息前，单独向用户告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得用户的明示同意。

《个人信息保护法》第十七条 个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：

（一）个人信息处理者的名称或者姓名和联系方式；

（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；

（三）个人行使本法规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

前款规定事项发生变更的，应当将变更部分告知个人。

个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。

《儿童个人信息网络保护规定》第十条 网络运营者征得同意时，应当同时提供拒绝选项，并明确告知以下事项：

（一）收集、存储、使用、转移、披露儿童个人信息的目的、方式和范围；

（二）儿童个人信息存储的地点、期限和到期后的处理方式；

《信息安全技术个人信息安全规范》

5.4 收集个人信息时的授权同意

对个人信息控制者的要求包括：

c) 收集个人生物识别信息前，应单独向个人信息主体告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得个人信息主体的明示同意；

注：个人生物识别信息包括个人基因、指纹、声纹、掌纹、耳廓、虹膜、面部识别特征等。

《移动互联网应用程序（App）个人信息保护常见问题及处置指南》

2.5 未经用户同意收集个人信息

2.5.2 处置指南

该问题的处置建议，包括但不限于：

a) 用户点击同意隐私政策前，不产生任何个人信息收集行为。

b)将权限申请的触发时间点置于用户点击同意隐私政策后。

c) 如App不存在下载、读取外部存储文件的实际业务功能，可直接在App自有的目录下进行保存，不建议申请外部存储权限。

2.6 申请权限或收集个人敏感信息未同步告知目的

2.6.2 处置指南

该问题的处置建议，包括但不限于：

a) 收集个人生物识别信息前，单独向用户告知收集、使用个人生物识别信息的目的、方式和范围，以及存储时间等规则，并征得用户的明示同意。

或许您还想看

上下滑动查阅

作者简介

黄  斌

北京德和衡（深圳）律师事务所高级联席合伙人

黄斌律师，北京德和衡律师事务所数字经济与人工智能业务中心副总监，元宇宙科技与法律研究中心主任，深圳律协数字经济专委会副主任，北京德和衡（深圳）律师事务所高级联席合伙人，公司业务部副主任，北大法律信息网签约作者，《互联网法律评论》特约专家，无讼公开课讲师，无讼专栏作者，百度百家号VIP作者，华中科技大学法律硕士，专利代理人。

擅长专业领域为：数字经济、元宇宙、NFT、虚拟人、区块链、虚拟货币、公司法、建设工程、知识产权。

黄斌律师专注于中小股东保护，深度研究数万个判例进行解码，从董事推荐、公司决议、股东退出等多维度完成了公司中小股东保护法律服务产品；在大学从事近十年建设法规教学，从建工合同的签订、入场、施工、变更、退场等多维度保护建工企业及实际施工人的权益；曾从事三年专利代理工作，参与了武烟集团公司知识产权战略规划。2017年完成江西省工商联课题“民企知识产权保护”，现为中国最大法律人社区无讼阅读“商标有道”专栏作者，在北大法律信息网和无讼阅读平台上发表过《中国好声音：到底是谁的好声音》等100多篇知识产权法文章，《麦当劳中国更名为“金拱门”相关法律问题评析》荣获“无讼”阅读2017年度专业文章第一名，《短视频版权保护的江湖风云》收录在《大数据—北大法律信息网文粹（2018-2019）》一书。代理案件中江西网络电视台诉暴风科技信息网络传播权侵权案入选江西省高院2017年十大知识产权经典案例、田某某侵犯商业秘密罪案（判三缓五）入选2021年江西省检查机关保护知识产权典型案例。

手机：[phone]

邮箱：[e-mail]

质控人简介

辛小天

合伙人

数字经济与人工智能业务中心总监

[e-mail]

END