1、DB 辽宁省地方标准 DB21/T 1628-2008 2008-06-16 发布 2008-07-16 实施 辽宁省质量技术监督局发布个人信息保护规范 Personal Information Protection Specification DB21/T 1628-2008 目录 前言 .1 1 范围 .2 2 术语和定义 .2 2.1 个人信息.2 2.2 个人信息数据库.2 2.3 个人信息主体.2 2.4 个人信息管理者.2 2.5 收集.2 2.6 处理.3 2.7 使用.3 2.8 利用.3 2.9 保护.3 2.10 个人信息主体同意.3 3 原则 .3 3.1 目的明确.3
2、3.2 主体权利.4 3.3 信息质量.4 3.4 使用限制.4 3.5 安全保障.4 4 个人信息主体权利 .4 4.1 知情权.4 4.2 支配权.4 4.3 疑义和反对.4 5 个人信息管理者义务 .5 5.1 权利保障.5 5.2 目的明确.5 5.3 告知.5 5.4 质量保证.5 5.5 保密性.5 6 个人信息保护体系 .5 7 个人信息保护方针 .6 8 个人信息保护相关机构及职责 .6 8.1 最高管理者.6 8.2 个人信息保护管理机构.6 8.2.1 宣传教育 .6 8.2.2 服务支持 .7 8.3 个人信息保护监察机构.7 9 个人信息保护管理机制 .7 9.1 管理
3、制度.7 9.1.1 基本规章 .7 9.1.2 管理细则 .8 9.1.3 其它管理规定 .8 I DB21/T 1628-2008 9.2 宣传.8 9.2.1 基本宣传 .8 9.2.2 业务宣传 .8 9.2.3 社会宣传 .8 9.3 培训教育.8 9.3.1 计划 .8 9.3.2 对象 .8 9.3.3 内容 .9 9.4 公示.9 9.5 个人信息数据库管理.9 9.5.1 保存 .9 9.5.2 时限 .9 9.5.3 管理 .9 9.5.4 备案 .9 9.5.5 安全性 .10 9.6 保护体系文档.10 9.6.1 记录 .10 9.6.2 管理 .10 10 保护实施
4、 .10 10.1 收集.10 10.1.1 目的 .10 10.1.2 方法和手段 .10 10.1.2.1 方式.10 10.1.2.2 限制.11 10.1.3 类别 .11 10.1.3.1 直接收集.11 10.1.3.2 间接收集.11 10.2 处理.11 10.2.1 同意 .11 10.2.2 目的 .11 10.2.3 质量保证 .12 10.3 利用.12 10.3.1 提供 .12 10.3.1.1 合法性.12 10.3.1.2 权益保障.12 10.3.1.3 授权许可.12 10.3.1.4 质量保证.12 10.3.1.5 安全承诺.12 10.3.2 委托 .
5、12 10.3.2.1 范围限定.12 10.3.2.2 委托信用.13 10.3.3 其它 .13 10.3.3.1 二次开发.13 10.3.3.2 交易.13 II DB21/T 1628-2008 III 10.4 使用.13 10.5目的外处理.14 11 安全机制 .14 11.1 风险管理.14 11.2 物理环境管理.14 11.3 工作环境管理.14 11.4 网络行为管理.14 11.5 信息安全管理.14 11.6 存储管理.15 11.7 使用管理.15 11.8 备份和恢复.15 11.9 人员管理.15 11.10备案管理.15 12 监察 .15 12.1 计划.
6、15 12.2 实施.15 13 意见和反馈 .16 14 应急管理 .16 15 例外 .16 15.1 收集例外.16 15.2 法律例外.16 16 持续改进 .17 17 评价 .17 DB21/T 1628-2008 前言 本标准依据国际、国内相关法律、法规及信息安全相关标准，遵循OECD（世界经济合作发展组织 Organization for Economic Co-operation and Development）关于保护隐私和个人数据跨国流通的指导原则，参考国际通行的个人信息保护相关法规和行业自律模式制订。 本标准由大连市信息产业局提出。 本标准由辽宁省信息产业厅归口。 本标准主要起草单位：大连软件行业协会、辽宁省信息安全与软件测评认证中心。 本标准主要起草人：郎庆斌、孙鹏、王开红、郭玉梅、曹剑、李倩、李舒明、王占昌、张弩、潘玉景、邢轶男。 本标准发布日期：属首次发布。 1 DB21/T 1628-2008 个人信息保护规范 1 范围 本标准规定了个人信息保护相关术语和定义、个人信息保护原则、个人信息主体权利、个人信息管理者的义务、个人信息保护体系的建立、个人信息保护实施、个人信息保护的安全机制、持续改进、个人信息保护评价等基本规则和要求。 本标准适用于自动或非自动处理全部或部分个人信息的机关、企业、事业、社会团体等组织及个人。 2 术语
