YD/T3411—2018

b）对个人数据的过度采集和使用目的不明确。例如，一个只与位置有关的手机APP在没有业务 需求的情况下却要求用户提供手机号、IMSI及IMEI等信息。 c）个人数据在网络传输过程中被非法窃取或算改。

移动互联网环境下，个人数据的存储阶段面临着多种风险，主要包括： a）个人数据在存储过程中被非法获取。这主要由于个人数据存储系统安全机制不健全，存在漏洞。 例如，对于个人密码数据未采取加密措施，甚至采用明文存储，这将使用户个人数据面临巨大 的泄露风险。 b）个人数据存储过程中被非法篡改。 c）个人数据存储过程中因没有建立灾备机制而造成数据丢失，这通常是由于一些意外情况的发 生水利标准，如断电、火灾等事件。

6.3个人数据的共享和转移

移动互联网环境下，个人数据的共享和转移阶段面临着多种风险，主要包括： a）个人数据在未得到用户授权的情况下被非法交易和转移。 b）个人数据未按照约定目的、用途和范围共享和转移。 c）个人数据被假冒的请求方获取和转移。移动互联网拥有大量用户，个人数据管理者很难分辨哪 些请求方是合法用户，哪些是非法用户，存在身份假冒等威胁。一旦请求方的身份被假冒，将 严重影响到个人数据的安全性和隐私性。 d）个人数据在共享传输过程中被非法窃取或算改

6.4个人数据的处理和加工

移动互联网环境下，个人数据在处理和加工阶段面临着多种风险，主要包括： a）个人数据在未得到用户授权的情况下被二次开发和深度挖掘，用户的隐私权被忽视。 b）个人数据未按照约定目的、用途和范围处理和加工。 c 用户个人数据的完整性及关联性在加工过程中未得到有效保护。 d）个人数据在处理和加工过程中被非法获取和转移。 e）个人数据在处理和加工过程中被算改

移动互联网环境下，个人数据在应用阶段面临着多种风险，主要包括。 a）个人数据在未得到用户授权的情况下被披露和发布。 b）个人数据未按照约定目的、用途使用，或超越约定范围、约定时限公开或使用。 C）个人数据发布后，用户的隐私被直接或间接泄露。

YD/T 34112018

7个人数据处理和共享要求

根据个人数据的共享框架和共享流程，共享过程主要涉及个人数据采集、个人数据存储、个人数据 共享和转移、个人数据加工和处理以及个人数据的应用等5个环节。对个人数据处理和共享过程中的安 全要求贯穿于上述5个环节当中。

7.2个人数据采集要求

7.3个人数据存储要求

7.3.1存储总体要求

个人数据采集后，应依据4.2的要求进行分级处理，并在存储过程中实现个人数据的机密性、 和可用性保护。

对于A级和B级个人数据，应通过设置完整性标签等手段进行完整性检测，防止数据在存储 被损坏和丢失。

个人数据应通过建立备份机制来保证数据的可用性，宜采用一个异地备份，在数据丢失或完整 破坏的情况下，应能通过备份实现数据的可靠恢复

7.4个人数据共享转移要求

7.4.1个人数据共享和转移方式

YD/T3411—2018

个人数据管理者向其他组织或机构转移和共享个人数据时，主要采取两种方式： a） 数据脱敏后共享方式：将需要共享和转移的个人数据采取抑制、隐藏、泛化、随机化等技术手 段进行脱敏处理，消除能够识别特定个体的所有数据字段后进行共享和转移，具体的脱敏处理 示例参见附录A。 b 数据直接共享方式：若采取脱敏处理后的个人数据不能满足共享要求，将个人数据的部分或全 部字段，未加处理地直接共享和转移的方式。

7.4.2数据脱敏后共享要求

采用数据脱敏后共享方式的具体要求如下： a）在个人数据共享和转移前，应明确双方的法律责任，防范共享和转移个人数据过程中出现的风 险。 b）个人数据管理者应对脱敏的效果进行评估，确保脱敏处理后的个人数据无法重新定位和识别到 特定个体，防范共享和转移数据后隐私泄露的风险。 c）个人数据在传输之前，应对双方进行身份认证和授权，确保共享过程的安全性和隐私性，具体 要求见7.4.4。 d）个人数据共享和转移的流程应有操作记录，并进行审计。

1.4.3数据直接共享要求

采用数据直接共享方式的具体要求如下： a）A～C级个人数据应尽量避免采取此种方式进行共享，以防范共享和转移个人数据过程中出现 的风险。如公检法、监督机构等执法机关有调查取证的要求，则遵循相关的法律法规和规章制 度。 b）若采取脱敏处理后的个人数据不能满足共享要求，个人数据管理者需要转移包含个人可识别信 息的数据时，应获得个人数据主体的授权（明示同意），具体授权流程可参考附录B实现。 当不具备获得个人数据主体授权（明示同意）的条件时，个人数据的转出方与接收方应通过订 立合同等方式明确双方的责任传递，并保证个人数据的接收方与转出方相比，在个人数据安全 的保护责任、管理水平以及技术条件等方面无任何降低。接收方与转出方相同，也是个人数据 管理者。 c）个人数据的共享应按照约定目的或用途进行，不得将个人数据向外界披露或非法转卖。 d）个人数据共享过程中对数据的使用授权应有时效性。 e）个人数据在传输之前，应对双方进行身份认证和授权，确保共享过程的安全性和隐私性，具体 要求见7.4.4。 f A级个人数据在传输过程中，应采用数字签名等技术手段保证数据的完整性和抗抵赖性，同时 应采用加密方式对传输的数据进行保护

g）B级个人数据在传输过程中，宜采用数字签名等技术手段保证数据的完整性和抗抵赖性，同时 宜采用加密方式对传输的数据进行保护。 h）个人数据在传输过程中，应能限制请求方对资源的占用，并在会话处于非活跃一定时间或会话 结束后终止连接； i）个人数据共享和转移的流程应有操作记录，并进行审计。

7.4.4个人数据共享过程中的认证和授权要求

7.4.4.1认证要求

个人数据共享过程中参与各方均应支持身份认证功能，具有要求如下： a）参与各方如实现数字身份的定义和标识，可使用对应标识进行认证。如数字身份认证无法满足 业务场景需要，充许参与各方采用线下身份鉴别等其他方式，但应确保认证的可靠性。 b）参与各方均应具有唯一的身份标识和身份认证信息，并确保该认证信息不可伪造。

7.4.4.2授权要求

个人数据共享过程中参与各方均应支持实体授权功能，具体要求如下： a）应将业务权限和管理权限严格分开： b）应支持对用户、角色、资源和权限的标准化管理，实施权限管理和权限的分配； 应能创建、修改数据访问规则，实现根据业务规则对用户自动临时授权的功能（如限定访问时 间或访问资料范围等）； d）应对所有的授权行为进行审计和跟踪，

7.5个人数据的处理和加工要求

个人数据的处理和加工要求如下： a）在个人数据处理和加工之前，应明确个人数据管理者与个人数据处理者的法律责任，防范共享 和转移个人数据过程中出现的风险。 b）个人数据的处理和加工过程应严格按照约定目的或用途使用数据，不允许超越约定范围进行加 工和处理，更不得将数据披露或转卖。 c 对于A级和B级个人数据，应在加工过程中对其采取适当的脱敏措施，使得脱敏后的标识信 息适用于个人数据处理者的内部识别和区分用户。 d）个人数据处理和加工过程中，对内部数据的使用授权应基于认证进行，同时授权应有时效性。 e）个人数据处理和加工过程中，应支持对数据的访问控制功能，能够基于授权策略建立访问控制 列表，并对数据设置适当的操作权限，防止未经授权的访问和操作。 f）个人数据处理和加工过程中，所有的操作应有记录，并进行审计和跟踪。

7.6个人数据的应用要求

个人数据的应用要求如下： a）在个人数据应用之前，应明确个人数据管理者与个人数据应用者的法律责任，防范个人数 用过程中出现的风险。

YD/T3411—2018

6）人数据应 不充许超越约定范围公开或使用。 c）个人数据的应用授权应基于认证进行，同时授权应有时效性 d）个人数据应用过程中，所有的操作应有记录，并进行审计和跟踪，

特种设备标准YD/T34112018

附录A （资料性附录） 个人数据脱敏处理示例

个人数据脱敏处理示例

YD/T 34112018

学校标准YD/T 34112018

f）个人数据使用者使用令牌，向个人数据存储控制层申请获取个人数据资源。 g）个人数据存储控制层结合个人数据使用者的识别码等信息对令牌进行校验和确认，如果有效， 则向个人数据使用者提供个人数据资源，其开放范围与时限等内容应与个人数据主体的授权相 一致。

个人数据使用者使用令牌，向个人数据存储控制层申请获取个人数据资源。 个人数据存储控制层结合个人数据使用者的识别码等信息对令牌进行校验和确认，如果有效， 则向个人数据使用者提供个人数据资源，其开放范围与时限等内容应与个人数据主体的授权相 一致。