Tag: <span>个人资料</span>

电信和互联网用户个人信息保护规定

 

 
 

中华人民共和国工业和信息化部令



第24号

  

《电信和互联网用户个人信息保护规定》已经2013年6月28日中华人民共和国工业和信息化部第2次部务会议审议通过,现予公布,自2013年9月1日起施行。

部长  苗圩

2013年7月16日

电信和互联网用户个人信息保护规定

第一章 总则

  第一条 为了保护电信和互联网用户的合法权益,维护网络信息安全,根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《中华人民共和国电信条例》和《互联网信息服务管理办法》等法律、行政法规,制定本规定。



第二条 在中华人民共和国境内提供电信服务和互联网信息服务过程中收集、使用用户个人信息的活动,适用本规定。



第三条 工业和信息化部和各省、自治区、直辖市通信管理局(以下统称电信管理机构)依法对电信和互联网用户个人信息保护工作实施监督管理。



第四条 本规定所称用户个人信息,是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。



第五条 电信业务经营者、互联网信息服务提供者在提供服务的过程中收集、使用用户个人信息,应当遵循合法、正当、必要的原则。



第六条 电信业务经营者、互联网信息服务提供者对其在提供服务过程中收集、使用的用户个人信息的安全负责。



第七条 国家鼓励电信和互联网行业开展用户个人信息保护自律工作。

第二章 信息收集和使用规范

  第八条 电信业务经营者、互联网信息服务提供者应当制定用户个人信息收集、使用规则,并在其经营或者服务场所、网站等予以公布。



第九条 未经用户同意,电信业务经营者、互联网信息服务提供者不得收集、使用用户个人信息。



电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的,应当明确告知用户收集、使用信息的目的、方式和范围,查询、更正信息的渠道以及拒绝提供信息的后果等事项。



电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息用于提供服务之外的目的,不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及双方的约定收集、使用信息。



电信业务经营者、互联网信息服务提供者在用户终止使用电信服务或者互联网信息服务后,应当停止对用户个人信息的收集和使用,并为用户提供注销号码或者账号的服务。



法律、行政法规对本条第一款至第四款规定的情形另有规定的,从其规定。



第十条 电信业务经营者、互联网信息服务提供者及其工作人员对在提供服务过程中收集、使用的用户个人信息应当严格保密,不得泄露、篡改或者毁损,不得出售或者非法向他人提供。



第十一条 电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作,涉及收集、使用用户个人信息的,应当对代理人的用户个人信息保护工作进行监督和管理,不得委托不符合本规定有关用户个人信息保护要求的代理人代办相关服务。



 第十二条 电信业务经营者、互联网信息服务提供者应当建立用户投诉处理机制,公布有效的联系方式,接受与用户个人信息保护有关的投诉,并自接到投诉之日起十五日内答复投诉人。  

第三章 安全保障措施

  第十三条 电信业务经营者、互联网信息服务提供者应当采取以下措施防止用户个人信息泄露、毁损、篡改或者丢失:



(一)确定各部门、岗位和分支机构的用户个人信息安全管理责任;



(二)建立用户个人信息收集、使用及其相关活动的工作流程和安全管理制度;



(三)对工作人员及代理人实行权限管理,对批量导出、复制、销毁信息实行审查,并采取防泄密措施; 



(四)妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体,并采取相应的安全储存措施;



(五)对储存用户个人信息的信息系统实行接入审查,并采取防入侵、防病毒等措施;



(六)记录对用户个人信息进行操作的人员、时间、地点、事项等信息;



(七)按照电信管理机构的规定开展通信网络安全防护工作;



(八)电信管理机构规定的其他必要措施。



第十四条 电信业务经营者、互联网信息服务提供者保管的用户个人信息发生或者可能发生泄露、毁损、丢失的,应当立即采取补救措施;造成或者可能造成严重后果的,应当立即向准予其许可或者备案的电信管理机构报告,配合相关部门进行的调查处理。



电信管理机构应当对报告或者发现的可能违反本规定的行为的影响进行评估;影响特别重大的,相关省、自治区、直辖市通信管理局应当向工业和信息化部报告。电信管理机构在依据本规定作出处理决定前,可以要求电信业务经营者和互联网信息服务提供者暂停有关行为,电信业务经营者和互联网信息服务提供者应当执行。



第十五条 电信业务经营者、互联网信息服务提供者应当对其工作人员进行用户个人信息保护相关知识、技能和安全责任培训。



第十六条 电信业务经营者、互联网信息服务提供者应当对用户个人信息保护情况每年至少进行一次自查,记录自查情况,及时消除自查中发现的安全隐患。

第四章 监督检查

  第十七条 电信管理机构应当对电信业务经营者、互联网信息服务提供者保护用户个人信息的情况实施监督检查。



电信管理机构实施监督检查时,可以要求电信业务经营者、互联网信息服务提供者提供相关材料,进入其生产经营场所调查情况,电信业务经营者、互联网信息服务提供者应当予以配合。



电信管理机构实施监督检查,应当记录监督检查的情况,不得妨碍电信业务经营者、互联网信息服务提供者正常的经营或者服务活动,不得收取任何费用。



第十八条 电信管理机构及其工作人员对在履行职责中知悉的用户个人信息应当予以保密,不得泄露、篡改或者毁损,不得出售或者非法向他人提供。



第十九条 电信管理机构实施电信业务经营许可及经营许可证年检时,应当对用户个人信息保护情况进行审查。



第二十条 电信管理机构应当将电信业务经营者、互联网信息服务提供者违反本规定的行为记入其社会信用档案并予以公布。



第二十一条 鼓励电信和互联网行业协会依法制定有关用户个人信息保护的自律性管理制度,引导会员加强自律管理,提高用户个人信息保护水平。

第五章 法律责任

  第二十二条 电信业务经营者、互联网信息服务提供者违反本规定第八条、第十二条规定的,由电信管理机构依据职权责令限期改正,予以警告,可以并处一万元以下的罚款。



第二十三条 电信业务经营者、互联网信息服务提供者违反本规定第九条至第十一条、第十三条至第十六条、第十七条第二款规定的,由电信管理机构依据职权责令限期改正,予以警告,可以并处一万元以上三万元以下的罚款,向社会公告;构成犯罪的,依法追究刑事责任。



第二十四条 电信管理机构工作人员在对用户个人信息保护工作实施监督管理的过程中玩忽职守、滥用职权、徇私舞弊的,依法给予处理;构成犯罪的,依法追究刑事责任。

第六章 附则

  第二十五条 本规定自2013年9月1日起施行。

交友网站的个人资料保护问题

  前两天接到Feedsky的邀请,对一个名叫“百合网”的网上婚恋交友网站作评论,觉得和我的BLOG主题没什么关系,所以本来不准备接受邀请。今天打开看这个网站看了一下。这个网站找了个“心灵匹配”的概念做卖点,也就是给用户做一些性格分析的测试,然后通过性格分析的结果来找相应的交友对象。做了之后发现属于MBTI(点这里看Wiki上的介绍,看不见的点这里看百度百科)性格测试的变种,只是以前做的是职业倾向的,这里的是有关婚恋内容的,也许是出于职业习惯,看到这些内容立刻就想:如果这么全面的个人资料加上性格测试结果,一旦被不当利用可就麻烦了。

  在网络法领域,个人资料保护是个老生常谈的话题了,齐爱民博士2003年就有过专著,张楚老师主持,我也参加了的信息网络安全法课题里,也有涉及这一主题的内容。但遗憾的是,在实践领域,由于立法的缺憾,社会上的争论还停留在非常原始的阶段——行政机关的思路不能与网络的迅速发展相匹配,导致该管的没人管(例如某个臭名昭著的“搜人网”)、不该管的却总想管(如所谓如所谓“博客实名制”的争论)的尴尬局面。

  其实,网络社区环境是相当多元的,在一些以发表言论为基本要素的网络社区(如BBS、图片分享、Blog)中,个人资料保护的问题并不是很大——这些社区的目的是交流思想,不需要暴露自己过多的个人信息,所以人们会自动地采用昵称、“马甲”等东西来保护自己。但在一些以缔结实质性的法律关系为目的的网络社区(如网络银行、电子商务、网络交友等),由于用户必须将自己的资料提交到网站上才能达成目的,所以个人信息的保护问题就变得十分重要了。

   不当利用包括两个方面,一是交友网站的不当利用,各种交友网站上都有隐私保护政策,但这些政策都相当粗线条,并且往往不针对自己的业务进行设计,省了律师费可以,将来出了事就麻烦了……具体怎么做这里就不说了,再写下去就该让这些网站付钱给我了。

什么是隐私权?——由“公布”公务员考试成绩而引发的议论

我国立法对隐私权的保护一直欠缺……反倒是层级并不高的行政法规、规章……下列政府信息,免予公开……本文的目的,是通过分析上述规定的合理性,进而讨论“隐私权是什么?”以及“隐私权该怎么规定?”等等“法律学”的问题……“隐私”是什么,和“个人信息”或者“个人资料”有什么区别?