人信息安全规范：数据使用

该图整理了 个人信息安全规范中数据使用要求相关内容，个人信息安全规范，集成了众多大咖智慧，着重解决司法实践、企业合规审查、个人信息保护意识等诸方面棘手问题。

数据使用

• 个人信息访问控制措施
  • 最小授权
    • 访问控制策略
    • 职责所需的最小必要的个人信息
    • 完成职责所需的最少的数据操作权限
  • 重要操作设置内部审批流程
  • 岗位角色分离设置
    • 如安全管理、操作、审计等
  • 授权特定人员超权限处理个人信息的
    • 责任人或保护工作机构进行审批，并记录在册
  • 敏感信息的访问、修改等操作
    • 在对角色权限控制
      • 按照业务流程的需求触发操作授权
        • 例如，当收到客户投诉，投诉处理人员才可访问用户的相关个人信息。
• 个人信息的展示限制
  • 去标识化处理等措施
    • 降低个人信息在展示环节的泄露风险
• 个人信息使用的目的限制
  • 不应超出目声明的目的具有直接或合理关 联的范围
  • 加工处理而产生的信息，能够单独或与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的
    • 认定为个人信息
    • 获得的授权同意
• 用户画像的使用限制
  • 个人信息主体特征描述
    • 不应包含淫秽、色情、赌博、迷信、恐怖、暴力的内容
    • 不应表达对民族、种族、宗教、残疾、疾病歧视的内容
  • 在业务运营或对外业务合作中使用用户画像
    • 不应侵害公民、法人和其他组织的合法权益
    • 不应危害国家安全、荣誉和利益，煽动颠覆国家政权、推翻社会主义制度
  • 消除明确身份指向性，避免精确定位到特定个人
• 个性化展示的使用
  • 分个性化展示的内容
  • 非个性化展示的内容
  • 显著区分
    • 标明“定推”等字样，或通过不同的栏目、版块、页面分别展示 等
  • 提供电子商务服务的过程中
    • 提供不针对其个人特征的选项
      • 惯等特征向其提供商品或者服务搜索结果的个性化展示的，应当同时向该消 费者提供不针对其个人特征的选项；
  • 推送新闻信息服务的过程中
    • 提供简单直观的退出或关闭选项
    • 提供删除或匿名化定向推送活动所基于的个人信息的选项
  • 提供业务功能的过程中
    • 建立个人主体对个性化展示所依赖的个人信息的自主控制机制
    • 保障个人信息主体调控个性化展示相关性程度的能力
• 基于不同业务目的所收集个人信息的汇聚融合
  • 根据汇聚融合目的开展个人信息安全影响评估
  • 采取有效的个人信息保护措施
• 信息系统自动决策机制的使用
  • 系统在规划设计阶段
  • 系统首次使用
  • 使用过程中定期（至少每年一次）
  • 开展个人信息安全影响评估，并依评估结果采取有效的或改进保护个人信息主体的措施；
  • 体提供针对自动决策结果的投诉渠道