数据安全国家标准体系（2025版）及个人信息保护国家标准（2025版）编制说明
一、编制背景与原则
根据《关于加强国家网络安全标准化工作的若干意见》及中央网络安全和信息化工作会议要求，在信安标委基础上组建网安标委，加强网络安全国家标准化工作统筹协调。为适应《网络安全法》《数据安全法》《个人信息保护法》等法律法规要求，网安标委编制了《数据安全国家标准体系（2025版）》《个人信息保护国家标准（2025版）》。编制原则包括：统筹规划全面布局、基础先立急用先行、注重实效开放合作。
二、标准体系框架
个人信息保护国家标准体系以个人信息权益保护为核心，涵盖组织、产品、服务、系统、活动、技术、管理等标准化对象，覆盖个人信息全生命周期处理活动。体系分为六大类标准：
- 基础共性标准：包括术语、个人信息处理安全、敏感个人信息保护，为其他标准提供支撑。
- 个人信息保护技术标准：包括去标识化和匿名化、个人信息保护设计（隐私设计）。
- 个人信息保护管理与权益保障标准：包括个人信息保护管理、个人信息权益保障。
- 个人信息保护测评和认证标准：包括影响评估、合规审计、应用检测、出境认证。
- 产品和服务个人信息保护标准：包括移动应用、云计算服务、网络平台服务、智能终端、线下消费场景、其他产品和服务。
- 行业与应用个人信息保护标准：包括行业领域个人信息保护、新技术应用个人信息保护。
三、标准体系主要内容
（一）基础共性标准
- 术语：规范个人信息保护相关概念和术语定义。
- 个人信息处理安全：规定个人信息处理基本原则和保护要求。
- 敏感个人信息保护：明确敏感个人信息识别和界定，规定处理要求。
（二）个人信息保护技术标准
- 去标识化和匿名化：明确去标识化、匿名化的技术指南、效果评估、实施规范。
- 个人信息保护设计：明确产品服务在需求、设计、开发、测试、发布阶段的个人信息安全工程化指南和评价方法。
（三）个人信息保护管理与权益保障标准
- 个人信息保护管理：规定个人信息保护管理要求和指南，包括大型互联网企业、小型处理者等不同类型。
- 个人信息权益保障：明确保障个人信息主体各项权益的要求，包括隐私政策、告知同意、自动化决策、个人信息主体权利、未成年人保护。
（四）个人信息保护测评和认证标准
- 影响评估：明确影响评估的基本原理、实施流程、评估方法。
- 合规审计：明确个人信息保护合规审计的基本原则、总体要求、实施流程、内容和方法。
- 应用检测：制定应用程序个人信息安全检测标准。
- 出境认证：明确个人信息出境认证、粤港澳大湾区个人信息跨境安全互认的依据标准和评价指标。
（五）产品和服务个人信息保护标准
- 移动应用：明确App、SDK、应用商店、移动智能终端操作系统、预置应用等个人信息保护要求。
- 云计算服务：给出公有云个人信息保护指南。
- 网络平台服务：针对即时通信、快递物流、网上购物、网络支付等典型平台服务，明确个人信息保护要求。
- 智能终端：针对智能穿戴、智能家居、学习终端、儿童手表等设备，明确个人信息处理规则、保护要求、测评方法和实践指南。
- 线下消费场景：针对自动售卖、扫码点餐、出行乘车等场景，明确个人信息处理规则、保护要求、测评方法和实践指南。
- 其他产品和服务：明确上述类别之外的其他产品和服务的个人信息处理规则、保护要求和实践指南。
（六）行业与应用个人信息保护标准
- 行业领域个人信息保护：针对教育、卫健、文旅、住建等重点行业领域，明确相关业务场景中个人信息的特殊保护要求。
- 新技术应用个人信息保护：聚焦生物识别信息保护、人工智能等新技术新应用的个人信息保护问题。
四、下一步标准化工作建议
- 持续完善个人信息保护国家标准体系，逐步健全以国家标准为核心的多层体系。
- 加快研制出台儿童手表安全技术要求等强制性国家标准，及个人信息保护合规审计、个人信息匿名化、未成年人个人信息保护、个人信息安全规范（修订）等标准。
- 加大标准供给，开展小型个人信息处理者、人工智能个人信息保护、个人信息保护公益诉讼、人脸识别数据安全等标准或实践指南制修订。
- 提升标准应用效果，持续开展网络安全标准贯标应用深度行、数安标准强“基”助“力”计划等活动，加强对已发布标准的推广，建立配套技术文件、实践指南和应用工具，构建个人信息保护国家标准应用实践案例库。
