广州市国资委监管企业数据安全合规管理指南 (试行 2021 年版)

第六章 个人信息保护

第四十条 监管企业应进一步规范及完善个人信息保护机制，加强企业员工、访客个人 信息的保护。

监管企业应梳理集团本部及下属各级全资、控股或实际控制子企业涉及大规模处理个人 信息的业务，加强及完善相关部门及企业个人信息保护的管理，针对个人信息分类、个人信 息获取、个人信息储存、个人信息使用及处理等管理过程中，按法律法规建立相关标准及规 范，并满足下述相关管理要求。

第四十一条 建立企业内部个人信息分类标准，明确个人敏感信息定义范围及处理规

则，明确处理不满十四周岁未成年人个人信息处理规则。个人敏感信息及未成年人个人信息 处理规则应遵循法律法规的相关规定。

第四十二条 个人信息的收集应满足法定的相关原则，不得过度收集个人信息，确保个 人信息采集及处理前取得个人同意。优化取得个人同意的方式，确保由个人在充分知情的前 提下自愿、明确作出同意。针对法定要求需取得个人单独同意的情形，确保取得个人的单独 同意。并且当个人信息的处理目的、处理方式和处理的个人信息种类发生变更时，可以及时 有效重新取得个人同意，同时能够为个人提供便捷的撤回同意的方式。

第四十三条 建立个人信息储存的相关规范，明确个人信息的保存期限，结合个人信息 删除的相关机制，确保信息保存期限为实现处理目的所必要的最短时间。同时完善相关技术 应用，采取使用加密及去标识化等安全技术措施，确保个人信息的储存安全。

第四十四条 梳理内部进行个人信息处理的各类场景，对于向他人提供企业处理的个人 信息，利用个人信息进行自动化决策，在公共场所安装图像采集、个人身份识别设备、针对 法定要求需取得个人单独同意的情形，等情形，应依据相关法律法规的要求，明确处理流程 并制定规范要求。

第四十五条 建立完善的个人信息处理规则，确保在处理个人信息前，按照相关法律法 规的要求，向个人告知个人信息处理者的名称或者姓名和联系方式，个人信息的处理目的、 处理方式，处理的个人信息种类、保存期限，个人行使法定权利的方式和程序等内容，并建 立便捷的个人行使权利的申请受理和处理机制。并且当上述内容有变更的，能够及时将变更 部分告知个人。

广州市国资委监管企业数据安全合规管理指南 (试行 2021 年版)

建立个人信息处理事前影响评估机制，监管企业应结合实际情况根据法律法规要求梳理 须进行事前个人信息保护影响评估的具体场景，制定评估的标准及规范，明确个人信息保护 影响评估报告及处理情况记录保存的相关要求。

建立个人信息主动删除的相关机制，明确个人信息删除的流程及规范，确保当个人信息 处理目的已实现、无法实现或者为实现处理目的不再必要，企业停止提供产品或者服务，或 者保存期限已届满，以及个人撤回同意时，相关个人信息得到及时删除。