个人信息安全规范----4、实现个人信息主体自主意愿的方法

本文主要是介绍个人信息安全规范----4、实现个人信息主体自主意愿的方法，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

文章目录

一、概述
二、区分基本业务功能和扩展业务功能
三、基本业务功能的告知和明示同意
四、扩展业务功能的告知和明示同意
五、交互式功能界面设计
六、交互式功能界面模板

一、概述

保障个人信息主体自主意愿包括两个方面：一是不强迫个人信息主体接受多项业务功能；二是保障个人信息主体对个人信息收集、使用的知情权和授权同意的权利。个人信息控制者，尤其是移动互联网应用程序运营者，可通过以下方式实现。

二、区分基本业务功能和扩展业务功能

保障个人信息主体选择同意的权利，首先需划分产品或服务的基本业务功能和扩展
业务功能，划分的方法如下：
2.1、应根据个人信息主体选择、使用所提供产品或服务的根本期待和最主要的需求，划定产品或服务的基本业务功能；
①个人信息主体之所以识别或挑选某项产品或服务，主要依据个人信息控制者对所提供产品或服务开展的市场推广和商业定位、产品或服务本身的名称、在应用商店中的描述、所属的应用类型等因素。因此，个人信息控制者应根据一般个人信息主体对上述因素的最可能的认识和理解，而非自身想法来确定个人信息主体的主要需求和期待来划定基本业务功能。一般来说，如果产品或服务不提供基本业务功能，个人信息主体将不会选择使用该产品或服务。
②随着产品或服务的迭代、拓展、升级等，基本业务功能可能需要随之重新划分。个人信息控制者仍可根据一般个人信息主体最可能的认识和理解，来重新划定基本业务功能。但个人信息控制者不宜短时间内大范围改变基本业务功能和扩展业务功能的划分。在重新划分后，个人信息控制者宜再次告知并征得个人信息主体对基本业务功能收集、使用其个人信息的明示同意。
2.2、不应将改善服务质量、提升个人信息主体体验、研发新产品单独作为基本业务功能；
2.3、将产品或服务所提供的基本业务功能之外的其他功能，划定为扩展业务功能。

三、基本业务功能的告知和明示同意

基本业务功能的告知和明示同意的实现方法如下：
3.1、在基本业务功能开启前（如个人信息主体初始安装、首次使用、注册账号等），应通过交互界面或设计（如弹窗、文字说明、填写框、提示条、提示音等形式），向个人信息主体告知基本业务功能所必要收集的个人信息类型，以及个人信息主体拒绝提供或拒绝同意收集将造成的影响，并通过个人信息主体对信息收集主动作出肯定性动作（如勾选、点击“同意”或“下一步”等）征得其明示同意；
注：当产品或服务所提供的基本业务功能无需一次性全部开启时，宜根据个人信息主体的具体使用行为逐步开启基本业务功能，并即时完成3.1的告知要求。
3.2、个人信息主体不同意收集基本业务功能所必要收集的个人信息的，个人信息控制者可拒绝向个人信息主体提供该业务功能；
3.3、3.1所要求的交互界面或设计应方便个人信息主体再次访问及更改其同意的范围。
注：上述要求的实现方式可参考五。

四、扩展业务功能的告知和明示同意

扩展业务功能的告知和明示同意的实现方法如下：
4.1、在扩展业务功能首次使用前，应通过交互界面或设计（如弹窗、文字说明、填写框、提示条、提示音等形式），向个人信息主体逐一告知所提供扩展业务功能及所必要收集的个人信息，并允许个人信息主体对扩展业务功能逐项选择同意；
4.2、个人信息主体不同意收集扩展业务功能所必要收集的个人信息的，个人信息控制者不应反复征求个人信息主体的同意。除非个人信息主体主动选择开启扩展功能，在48h内向个人信息主体征求同意的次数不应超过一次；
4.3、个人信息主体不同意收集扩展业务功能所必要收集的个人信息的，不应拒绝提供基本业务功能或降低基本业务功能的服务质量；
4.4、4.1所要求的交互界面或设计应方便个人信息主体再次访问及更改其同意的范围。
注：上述要求的实现方式可参考五。

五、交互式功能界面设计

个人信息控制者可参考六所示模板设计交互式功能界面，保障个人信息主体能充分行使其选择同意的权利。
该功能界面应在个人信息控制者开始收集个人信息前，如产品安装过程中，或个人信息主体首次使用产品或服务时，或个人信息主体注册账号时，由个人信息控制者主动向个人信息主体提供。如以填写纸质材料收集个人信息的，个人信息控制者可以参考以下模板内容设计表格，以保障个人信息主体能行使选择同意的权利。

六、交互式功能界面模板

在这里插入图片描述
1、为向个人信息主体清晰展示收集个人信息的目的、种类等，并分情形征得个人信息主体同意。建议个人信息控制者采用分阶段、分窗口、分屏幕等方式向个人信息主体展示左侧模板中的功能界面。
2、个人信息控制者需明确定义其产品或服务的基本业务功能，识别其所需收集的个人信息。
3、左侧模板中的赋值需要个人信息控制者根据实际情形给出，且内容应清楚明白易懂，不应使用概括性、模糊性语句描述所收集的个人信息。
4、个人信息控制者可结合实际的产品或服务形态，考虑适宜、便捷等因素实现左侧模板中的功能。
5、个人信息控制者在实现左侧功能界面时，“勾选处”不应采用预填写的方式。

在这里插入图片描述
6、扩展业务功能是基本
业务功能之外的其他功能，常见的扩展业务功能如：基本业务功能基础上的一些衍生服务或新型业务、提高产品或服务的使用体验的附加功能（如语音识别、图片识别、地理定位等）、提升产品或服务的安全机制的扩展功能等（如收集密保邮箱、指纹等）。
7、扩展业务功能一般具有可选择、可退订、不影响基本业务等特点，个人信息控制者在识别扩展业务功能时需要充分分析其是否具备这些特点，不应将扩展业务功能等同于基本业务功能，强制收集个人信息。
8、在此页面中，综合个人信息主体主动填写的个人信息项和同意自动采集的个人信息项，个人信息控制者可即时展示个人信息主体可使用的扩展功能。
9、个人信息控制者应告知个人信息主体再次访问该功能界面的方法，保障个人信息主体撤回授权同意的权利。
在这里插入图片描述
10、与第三方共享、转让和公开披露的情形可能因业务功能复杂的原因变得多样化。个人信息控制者可酌情在此页面增加共享、转让、公开披露的场景，或在个人信息主体使用过程中以弹窗等形式单独告知，并征得同意。
11、数据安全能力指个人信息控制者保护个人信息保密性、完整性和可用性的能力，个人信息控制者可以通过开展相关的国家标准合规工作证明其数据安全能力，并将相关证明以链接形式向个人信息主体展示。
12、个人信息控制者应向个人信息主体提供针对处理规则的答疑渠道，如果个人信息主体不认可其处理规则，可以选择不继续使用该产品或服务。
13、应向个人信息主体告知与个人信息控制者联系的方式。
14、应明示个人信息保护政策的链接，以便个人信息主体查阅。