网络安全标准实践指南——互联网平台停服数据处理安全要求

——互联网平台停服数据处理安全要求 （V1.0-202509） 全国网络安全标准化技术委员会秘书处 2025 年 9 月 本文档可从以下网址获得：www.tc260.org.cn/ 前言 《网络安全标准实践指南》（以下简称《实践指南》）是全国网络安全标准化技术委员会（以下简称“网安标委”）秘书处组织制定和发布的标准相关技术文件，旨在围绕网络安全法律法规政策、标准、网络安全热点和事件等主题，宣传网络安全相关标准及知识，提供标准化实践指引。 本文件起草单位：中国电子技术标准化研究院、国家工业信息安全发展研究中心、网易（杭州）网络有限公司、荣耀终端股份有限公司等。 本文件主要起草人：姚相振、郝春亮、陈舒、朱雪峰、杨晓伟、胡影、王丹丹、李文婷、沈梦雅、阙嫣茹、闫霄、赵晓娜 声明 本《实践指南》版权属于网安标委秘书处，未经秘书处书面授权，不得以任何方式抄袭、翻译《实践指南》的任何部分。凡转载或引用本《实践指南》的观点、数据，请注明“来源：全国网络安全标准化技术委员会秘书处”。 摘要 为指导互联网平台运营者因合并、分立、解散、被宣告破产等原因不再提供产品或者服务的场景下如何处理个人信息和重要数据，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》等法律法规的要求，本文件提出了互联网平台停服网络数据处理通用安全要求，个人信息处理安全要求和重要数据处理安全要求，用于指导互联网平台数据处理者开展数据安全保护工作，也可为主管部门和第三方评估机构提供参考。 目录 1 范围 ....................................................................... 12 术语定义 ................................................................... 13 网络数据处理通用安全要求 ................................................... 24 个人信息处理安全要求 ....................................................... 34.1 个人信息处理基本要求 ................................................. 34.2 个人信息处置公告 ..................................................... 34.3 个人信息继续保存 ..................................................... 44.4 个人信息委托处理 ..................................................... 54.5 个人信息删除 ......................................................... 65 重要数据处理安全要求 ....................................................... 65.1 重要数据处理基本要求 ................................................. 65.2 重要数据处置方案报告 ................................................. 65.3 重要数据删除 ......................................................... 7 1 范围 本文件规定了互联网平台停服网络数据处理通用安全要求，个人信息处理安全要求和重要数据处理安全要求。 本文件适用于指导互联网平台数据处理者开展数据安全保护工作，也可为主管部门和第三方评估机构提供参考。 2 术语定义 GB/T 25069中界定的以及下列术语和定义适用于本文件。 2.1 互联网平台internet platform 通过网络信息技术以提供产品或者服务为目的、具有交互规则的载体，包括但不限于网站、移动互联网应用程序（App）、小程序等。 2.2 停服shut down 互联网平台运营者因合并、分立、解散、被宣告破产等原因不再提供产品或者服务。 注：如果仅是部分业务下架，原有的法人主体不变，不适用于本文件停服的相关要求；因违法等原因被有关部门责令终止提供服务的，不受本文件停服前相关要求的时间限制。 2.3重要数据key data 特定领域、特定群体、特定区域或达到一定精度和规模的，一旦被泄露或篡改、损毁，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。 注1：仅影响组织自身或公民个体的数据一般不作为重要数据。 注2：网络数据处理者处理1000万人以上个人信息的，应遵守本文件对处理重要数据的网络数据处理者作出的规定。 3 网络数据处理通用安全要求 互联网平台运营者停服网络数据处理的通用要求包括： a)应按照GB/T 43697-2024区分核心数据、重要数据和一般数据；b)应按照《数据安全技术 敏感个人信息处理安全要求》国家标准，区分敏感个人信息和个人信息；c)应采取必要措施保障数据安全，切实履行数据安全和个人信息保护职责；d)应自停服之日起停止新增收集个人信息和重要数据；e)涉及未成年人个人信息的，应保障未成年人及其监护人对不满十四周岁未成年人个人信息的查阅、复制、更正、补充、删除的权利；f) 因停服需要转移数据的，应明确数据转移方案，并通过电话、短信、邮件、公告等方式通知受影响用户以及相关合作方； g) 互联网平台运营者停服需要将网络数据转移给网络数据接收方的，接收方应满足的要求包括但不限于： 1)提供与互联网平台运营者业务相关的产品或服务；2)明确承诺继续接受互联网平台隐私政策约束；3)应当继续履行网络数据安全保护义务，变更原先的处理目的、处理方式和处理的个人信息种类的，应当重新取得个人同意。 4 个人信息处理安全要求 4.1 个人信息处理基本要求 互联网平台运营者停服应发布个人信息处置公告并主动删除或匿名化处理个人信息，如采取继续保存方式处理个人信息的，应符合4.3要求。互联网平台运营者委托处理个人信息的，应符合4.4要求。 4.2 个人信息处置公告 互联网平台运营者停服发布个人信息处置公告，要求包括但不限于： a)应当于平台停服之日前至少20个工作日发布个人信息处置公告，以显著方式、清晰易懂的语言真实、准确、完整地向个人告知但不限于以下事项： 1)平台停服的具体时间以及关闭平台具体服务或功能的情况； 2)个人查阅、复制、下载、转移、删除个人信息的处置时限与途径；3)拟转移个人信息的范围、种类，以及接收方的基本信息、安全管理措施等；4)拟继续保存个人信息的原因及采取的保护措施；5)平台隐私政策已转移或删除个人信息的情况，以及拟转移或删除个人信息对个人权益的影响。 b)个人信息处置公告时长不得少于20个工作日。c)公告期间，涉及金融账户信息的，互联网平台应当以电话、短信、即时通信工具、电子邮件等方式通知个人。d)应当及时处置个人对其个人信息进行查阅、复制、更正、补充、删除的合理请求。 4.3 个人信息继续保存 互联网平台运营者停服需要继续保存个人信息的，要求包括但不限于： a)互联网平台运营者具有以下情形之一的，可以继续保存个人信息，但应采取必要的措施： 1)涉及互联网保险销售、网络支付、信托登记等业务，或者履行配合反洗钱等法定职责、义务，确需继续保存用户身份信息、交易记录； 2)以预收款方式提供产品、服务，或者提供代收费的互联网平台，在退回相关款项前保存用户身份信息、缴费记录、计费记录等；3)为配合公安机关侦查打击违法犯罪，确需继续保存相关数据的。b)应将继续保存的个人信息单独存储，明确个人信息保护负责人。c)应规范内部访问权限、流程，采取加密等技术措施和其他必要措施对数据进行保护。d)法律、行政法规以及有关部门规定的保存期限届满的，应当采取删除或匿名化等有效安全措施处理个人信息。 4.4 个人信息委托处理 互联网平台运营者停服前存在委托处理个人信息情形的，要求包括但不限于： a)应当于平台停服之日前至少15个工作日通知受托人限期返还或删除委托处理的个人信息；b)受托人应当在接到通知后，按照互联网平台运营者要求，及时处置委托处理的个人信息，不得保留；c)受托处理个人信息的，应当于收到委托人通知返还或删除委托处理个人信息之日起至少15个工作日履行个人信息返还或者删除义务。 4.5 个人信息删除 互联网平台运营者停服需要删除个人信息的，要求包括但不限于： a)掌握1000万人以下个人信息的，应当于个人信息处置公告时限届满后，主动删除或匿名化处理个人信息，符合转移和继续保存要求的除外；b)互联网平台运营者停服宜自行或者委托第三方机构对掌握的1000万人以下个人信息的删除效果进行评估，并将评估结果向社会公开。 5 重要数据处理安全要求 5.1 重要数据处理基本要求 掌握重要数据的互联网平台运营者停服数据处理应当在遵守第4章要求的基础上，遵守重要数据处理的其他安全要求。 5.2 重要数据处置方案报告 互联网平台运营者掌握重要数据，要求包括但不限于： a)应当于平台停服之日前至少45个工作日，按照国家有关规定报告重要数据处置方案；b)重要数据处置方案应报告，但不限于以下内容： 1)互联网平台基本情况，包括平台的名称、类型，数据安全负责人名称或者姓名、联系方式等； 2)重要数据或个人信息情况，包括重要数据或个人信息的规模、范围、种类、敏感程度，重要数据或个人信息拟删除、转移、保存可能对国家安全、公共利益、个人或组织合法权益带来的风险，采取的安全措施以及措施的有效性等； 3)接收方基本情况，包括但不限于接收方的名称或者姓名、联系方式，接收方处理重要数据或个人信息的目的、范围、方式，接收方能承诺承担的义务，以及履行数据安全保护义务的管理和技术措施、能力等； 4)重要数据或个人信息转移至接收方后遭到篡改、破坏、泄露、丢失、非法利用的风险。 5.3 重要数据删除 互联网平台运营者应当开展自评估或委托第三方机构对掌握的重要数据的删除效果进行评估，确保重要数据和个人信息不可被识别、恢复，评估报告应当至少保存三年。