移动互联网环境下促进个人数据有序流动、合规共享自律公约

第一章 总则

第一条 在防止用户隐私泄露，保护个人数据^[1]安全的基础上，为促进数据的有序流动以及合规共享^[2]利用，引导企业严格遵守国家有关法律、法规以及政策和标准，促进行业持续健康有序发展，依照《中华人民共和国个人信息保护法》、《中华人民共和国数据安全法》、《GB/T 35273-2020 信息安全技术 个人信息安全规范》、《YD/T 3411-2018 移动互联网环境下个人数据共享导则》以及《YD/T 3596-2019 移动网络环境下个人数据共享评估和测试方法》等法律及标准制定本公约。

第二条 电信和互联网从业单位自愿加入本公约，充分尊重并自觉履行本公约的各项规定。

第二章 自律内容

第三条 个人信息处理者^[3]在收集用户个人数据时，如果当前或未来可能涉及个人数据共享^[4]时，应在数据共享前取得用户的单独同意或者在其他合法性基础的前提下分享。取得用户单独同意之前，应以显著方式、清晰易懂的语言真实、准确、完整地向个人信息主体告知下列事项：

（一）其他个人信息处理者的名称和联系方式；

（二）其他个人信息处理者的处理目的、处理方式、处理的个人数据种类等；

（三）个人行使法律规定权利的方式和程序；

（四）法律、行政法规规定应当告知的其他事项。

当个人拒绝共享其个人数据时，个人信息处理者提供的服务水平和质量保障不降低。

第四条 个人数据存储应实现存储时间最小化^[5]。个人信息处理者在采集个人数据后应采取必要的安全技术措施，如去标识化^[6]，将可用于恢复识别个人的数据与去标识化后的数据分开存储，并在存储过程中实现个人数据的机密性、完整性和可用性保护。

第五条 个人信息处理者应建立最小授权的访问控制策略^[7]，使被授权访问个人数据的人员仅能访问完成职责所需的最少个人数据，且仅具备完成职责所需的最少数据处理权限。

第六条 个人信息处理者应建立个人数据分类分级保护制度，处理敏感个人数据的，应当按照有关规定明确数据安全管理责任人，并采用加密等安全措施。

第七条 个人信息处理者与其他组织或机构共享个人数据时，可以采取数据匿名化^[8]后共享以及数据直接共享^[9]两种方式。个人数据直接共享方式必须获得个人数据主体的授权同意或者满足《个人信息保护法》第十三条（二）至（七）中所述情形之一。

第八条 当个人信息处理者采取数据匿名化后共享方式时，在共享前必须对个人数据实施匿名化处理，并对匿名化的效果进行评估，确保匿名化处理后的个人数据无法通过当前已知的技术手段重新定位和识别到特定个体。

第九条 个人数据共享前，应由第三方评估机构进行个人数据安全影响评估。个人信息处理者应通过订立合同等方式明确双方的责任传递，保证个人数据的接收方与转出方相比，在个人数据安全的保护责任、管理水平以及技术条件等方面无任何降低。

第十条 个人数据共享前，共享参与方应进行身份认证和授权，确保共享过程的安全性和隐私性。个人数据的转移应采取加密传输方式，在传输过程中应防范超范围和超期限获取数据的风险。

第十一条 个人数据共享过程中所有的操作应有记录，并进行审计和跟踪。

第十二条 个人信息处理者共享、开放数据的，应当建立数据共享、开放安全管理制度，建立和完善对外数据接口的安全管理机制。

第十三条 两个以上的个人信息处理者共同决定个人数据的处理目的和处理方式的，应当约定各自的权利和义务。

第十四条 个人数据的共享如果涉及在中华人民共和国境内运营中收集和产生的个人数据向境外提供的，个人信息处理者应遵循国家相关规定和相关标准的要求。

第十五条 个人信息处理者应当制定网络安全事件应急预案并加强风险监测^[10]，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

第三章 公约执行

第十六条 本公约由中国互联网协会个人信息保护工作委员会和行业自律工作委员会联合发布，个人信息保护工作委员会是本公约的执行机构，负责组织本公约签署和实施，定期公布签署单位名单，向签署单位宣传国家相关法律、法规和政策。

第十七条 公约执行机构组织签署单位对公约履行情况定期开展自查和互查，任何单位和个人均有权向公约执行机构举报。

第十八条 结合自查、互查和公众监督举报情况，执行机构在查证核实后，对违反本公约的签署单位进行指导和督促整改，必要时予以警告、通报或公开谴责，发现违法违规线索，移交相关部门处理。

第十九条 本公约签署单位之间发生争议时，争议各方应本着互谅互让的原则争取以协商的方式解决争议，也可以请求公约执行机构进行调解，尽量减少采取公开批评或媒体造势、行政投诉、诉讼等方式解决争议，自觉维护行业团结，维护行业整体利益。

第二十条 本公约经签署单位法定代表人或者其委托的代表签字并加盖单位公章后生效。遵循“动态修订、逐步完善”的原则，由公约执行机构或者三分之一以上签署单位提议、三分之二以上签署单位同意，可对本公约进行修改。

第二十一条 本公约由中国互联网协会个人信息保护工作委员会和行业自律工作委员会负责解释。

参考文献及术语：

[1] 个人数据：指可为信息系统所处理、与特定自然人相关、能够单独或者与其他数据结合识别该特定自然人的数据。个人数据不包括匿名化处理后的信息和数据。

[2] YD/T 3411-2018 移动互联网环境下个人数据共享导则，5.1.1。

[3]个人信息处理者：指在个人信息处理活动中自主决定处理目的、处理方式的组织、个人。

[4] 个人数据共享：将个人数据或个人数据经加工处理产生的衍生数据，应用于其他用途的过程。这一过程涉及个人数据的采集、存储、转移、处理加工和应用等。

[5]中华人民共和国个人信息保护法，第20条。

[6] 去标识化：指通过对个人数据的技术处理，使其在不借助额外信息的情况下，无法识别或者关联个人数据主体的过程。

[7] GB/T 35273-2020 信息安全技术 个人信息安全规范，7.1。

[8] 匿名化：指个人数据经过处理无法识别特定自然人且不能复原的过程。

[9] YD/T 3411-2018 移动互联网环境下个人数据共享导则，7.4。

[10] 中华人民共和国数据安全法，第29条。