ICS 35. 020 L70 YD 中华人民共和国通信行业标准 YD/T3746—2020 车联网信息服务用户个人信息保护要求 Specification of Internet of vehicle information service - User personal information protection （报批璃） 中华人民共和国工业和信息化部 发布 YD/T 3746—2020 目次 前言 II 1范围 2规范性引用文件， 3术语和定义， 4用户个人信息保护基本原则 5用户个人信息安全保护概述 2 5.1用户个人信息保护对象 2 5.2用户个人信息处理环节， 2 5.3用户个人信息保护基本思路 2 6用户个人信息分类要求 2 6.1用户个人信息分类方法 6.2用户个人信息分类示例 3 7用户个人信息敏感性分级要求 7.1用户个人信息敏感性分级方法 5 7.2用户个人信息敏感性分级示例 5 8用户个人信息安全保护要求 8.1个人一般信息安全保护要求 6 8.2个人重要信息安全保护要求 8.3个人敏感信息安全保护要求 b 参考文献 YD/T3746—2020 前言 本标准是“车联网网络与数据安全”系列标准之一，该系列标准的结构及名称预计如下： 《车联网无线通信安全技术指南》 &车联网信息服务数据安全技术要求》 车联网信息服务用户个人信息保护要求》 一《车联网信息服务平台安全防护技术要求》 本标准按照GB/T1.1—2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由中国通信标准化协会提出并归口。 本标准起草单位：中国信息通信研究院、中兴通讯股份有限公司、北京百度网讯科技有限公司 本标准主要起草人：孙娅苹、田慧蓉、柯皓仁、魏亮、于广、董悦、秦国英、马娟、张瑜、袁琦、 林兆骥、李显杰。 II YD/T 3746—2020 车联网信息服务用户个人信息保护要求 1范围 本标准规定了车联网信息服务用户个人信息保护的信息内容分类、敏感性分级和分级保护要求。 本标准适用于车联网相关的汽车厂商、零部件和元器件供应商、软件提供商、数据内容提供商和服 务提供商等在提供服务过程中的用户个人信息保护。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T35273-2020信息安全技术个人信息安全规范 3术语和定义 下列术语和定义适用于本文件。 3. 1 车联网信息服务用户个人信息subscriberpersonalinformationofInternetofvehicle information service 车联网产业相关的汽车厂商、零部件和元器件提供商、软件提供商、数据和内容提供商和服务提供 商在提供服务过程中收集的能够单独或与其他信息结合识别用户和涉及用户个人隐私的信息。 注：用户个人信息经处理去除用户身份和个人隐私属性后，不纳入本标准规定的车联网信息服务用户个人信息保护 范围。例如，车联网信息服务订阅业务的规模统计信息等。 4用户个人信息保护基本原则 车联网信息服务用户个人信息保护，一般应按GB/T35273-2020中的要求，遵循其权责一致、目的 明确、选择同意、最少够用、公开透明、确保安全、主体参与这八大原则，合理的利用个人信息。 一权责一致原则：采取技术和其他必要的措施保障个人信息的安全，对其个人信息处理活动对个 人信息主体合法权益造成的损害承担责任。 目的明确原则具有合法、正当、必要、明确的个人信息处理目的。 一选择同意原则：向个人信息主体明示个人信息处理目的、方式、范围、规则等，征求其授权同 意。 一最少够用原则：只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量。目 的达成后，应及时删除个人信息。 公开透明原则：以明确、易懂和合理的方式公开处理个人信息的范围、目的、规则等，并接受 外部监督。 1 YD/T3746-2020 确保安全原则：具备与所面临的安全风险相匹配的安全能力，并采取足够的管理措施和技术手 段，保护个人信息的保密性、完整性、可用性 一一主体参与原则：向个人信息主体提供能够查询、更正、删除其个人信息，以及撤回统一、注销 账户、投诉等方法力文栏 maxb09k118.com 5.1用户个人信息保护对象 用户个人信息分级保护对象为特定的车联网信息服务，该服务包含用于车联网信息服务的智能网联 汽车、车联网信息服务平台、车联网移动智能终端、路侧基础设施等相应设备、系统和平台的应用逻辑 和业务流程。 5.2用户个人信息处理环节 共享、转让和公开披露等环节。对车联网信息服务用户个人信息的保护贯穿于以下四个环节中： 一收集环节：是指在车联网信息服务活动过程中获得对用方个人信息的控制权的行为，包括由个 人信息主体生动提供、通过与个人信息主体交互或记录原大信息主体行为等自动采集，以及通过共享、 转让、搜集公开信息间接获取等方式。其中，车联网相关产品或服务的提供者提供工具供个人信息主体 使用，提供者不对个人信息进行访问的，则不属于本标准所称的收集行为。例如，车载离线导航软件在 车载终端获取用户位置信息后，如不回传至软件提供者，则不属于个人信息收集行为， 一保存环节：是指对车联网信息服务活动中相关的用户个人信息进行传输、存储和去标识化处理 等操作。 使用环节：是指将收集和存储的用户个人信息用于车联网信息服务活动，包括但不限于对个人 信息的访问、展示、使用、基于不同业务所收集个人信息的汇聚融合、查询、更正、删除等操作， 委托处理、共享、转计和公开披露环节：委托处理是指在将车联网用户个人信息控制者委托第 三方处理用户个人信息。共享是指用户个人信息控制者向其他控制者提供个人信息，且双方分别对个人 信息拥有独立控制权的过程。转让是将个人信息控制权由一个控制者向另一个控制者转移的过程，公开 披露是指将用户个人信息向社会或不特赛人群发布息的行为。 5.3用户个人信息保护基本思路 本标准重点针对用户个人信息保护对象，开展用户个人信息的分类和分级，并围绕用户个人信息保 护的全生命周期各处理环节，提出相应的安全要求，以降低车联网信息服务中用户个人信息的全生命周 期相关安全风险，保障车联网信息服务提供方应按照相应级别的管理要求及技术要求对其提供服务过程 中涉及的用户个人信息的收集、保存、使用、委托处理、共享、转让和公开纸漏等工作流程进行规范化 管理 原创力文档 5用户个人信息分类要求 max.book118.com 6.1用户个人信息分类方法 预览与源文档一致下载高清无水印 用户个人信息是指车联网信息服务如数据采集传输和使用销毁等过程中与用户密切相关的数据信 息，这些数据信息能够一定程度上识别车联网用户个人身份或反映处用户个人活动情况，车联网信息服 2 YD/T3746-2020 务用户个人信息细分为用户身份证明类信息、车联网信息服务用户数据和服务内容信息、用户服务相关 信息三大类。 用户身份证明类信息：是指车联网信息服务活动过程中与用户自然人身份和标识信息、用户虚拟身 份和鉴权信息密切相关的用户个人信息。 车联网信息服务用户数据和服务内容信息：主要指车联网信息服务过程中用户服务内容信息和用户 资料信息。其中，用户服务内容信息包括驾驶及行车安全服务信息、生活服务信息、交通出行管理服务 信息、交通出行管理服务信息、涉车服务信息、行业营运服务信息：用户资料信息涉及联系人信息、用 户私有资料数据和信息服务内容衔生信息等。 用户服务相关信息：指车联网信息服务过程中用户服务使用信息、用户车辆基本标识信息和用户设 备、系统和平台信息。 6.2用户个人信息分类示例 为便于车联网信息服务用户个人信息保护等级划分，将上述用户个人信息分类进一步细化，表1给 出了用户个人信息分类的具体描述和示例。 表1用户个人信息分类示例 用户个人信息类别 用户个人信息范围 用户个人信息示例 姓名、证件类型及号码、年龄、性别、职 A1-1:用户基本资料 业、工作单位、地址、宗教信仰、民族、 A1:用户自然人 国籍、电话号码等 身份和标识信息 身份证、军官证、护照、机动车驾驶证、 A1-2：用户身份证明 社保卡等证件影印件 A1-3:用户生理标识 指纹、声纹、虹膜、脸谱等 A：用户身份证 A2-1:普通车联网信 电话号码、账号、邮箱地址、用户个人数 明类信息 息服务身份标识和鉴 字证书以及服务涉及的密码、口令、密码 权信息 保护答案、解锁图案等 A2：用户虚拟身 各类交易账号和相应的密码、密码保护答 份和鉴权信息 A2-2：车联网交易类 案、解锁图案、系统或平台中登录的个人 信息服务身份标识和 银行账号、交易验证码、动态口令、交易 鉴权信息 信息等 智能辅助驾驶相关服务场景下的车辆驾驶 行为、行经路线等信息：车联网在车辆防 B1-1:驾驶及行车安 碰撞（如碰撞预警、紧急刹车预警、变道 全服务类信息 预警、车辆失控预警、异常车辆预警等）、 B：车联网信息 车车编队辅助和防撞人或物等服务中相关 B1：用户服务内 服务内容类用 的用户个人信息 容信息 户数据信息 车联网生活服务相关的内容信息，如个人 数据文件、邮件服务、广播服务、网页浏 B1-2：生活服 览、购物、在线音乐和视频服务、天气预 务信息 报及推送、社交服务、移动办公服务等用 户个人信息 3 YD/T3746-2020 车联网在交通动态信息通知服务（如信号 灯信息推送、红绿灯车速引导、闯红灯预 警等信息）中相关的个人信息； B1-3：交