信息安全技術(shù)個人信息保護(hù)指南信息安全技術(shù)個人信息保護(hù)指南#/14個人信息管理者委托第三方對個人信息進(jìn)行加工時，應(yīng)確保第三方是達(dá)到本指南要求的、合格的第三方，并且應(yīng)通過合同明確第三方的個人信息保護(hù)責(zé)任。個人信息管理者向接受委托的第三方轉(zhuǎn)移個人信息時，應(yīng)保證轉(zhuǎn)移過程中的個人信息安全。接受委托的第三方應(yīng)按照法律法規(guī)的規(guī)定、本指南的要求和委托者的合同，采取必要的措施和手段，保障個人信息在加工過程中的安全。接受委托的第三方完成個人信息加工任務(wù)并移交給委托者后，應(yīng)刪除相關(guān)個人信息。個人信息轉(zhuǎn)移個人信息管理者一般情況下不應(yīng)向其他機(jī)構(gòu)轉(zhuǎn)移其收集的個人信息，如需轉(zhuǎn)移應(yīng)當(dāng)向個人信息主體說明轉(zhuǎn)移的目的、轉(zhuǎn)移的對象，并獲得個人信息主體的明示同意。個人信息管理者向其他機(jī)構(gòu)轉(zhuǎn)移個人信息時，應(yīng)確保個人信息的接收者是達(dá)到本指南要求的、合格的接收者，應(yīng)保障個人信息在轉(zhuǎn)移過程中的安全。個人信息管理者與其他機(jī)構(gòu)合并或被其他機(jī)構(gòu)收購時，應(yīng)在合同中明確處理個人信息的目的不改變，并采取措施確保其個人保護(hù)水平不下降。個人信息管理者破產(chǎn)時，應(yīng)采取措施確保個人信息主體的各項權(quán)利不受損害。如法律法規(guī)沒有明確規(guī)定，或未經(jīng)行業(yè)主管部門同意，個人信息管理者不應(yīng)將個人信息轉(zhuǎn)移給境外注冊的個人信息管理者。個人信息使用、屏蔽和刪除個人信息管理者應(yīng)將收集的個人信息限定在收集時告知個人信息主體的范圍之內(nèi)，不應(yīng)向其他機(jī)構(gòu)披露相關(guān)個人信息。未經(jīng)個人信息主體明示同意，個人信息管理者不應(yīng)公開其處理的個人信息。個人信息使用應(yīng)限于收集個人信息時告知的目的，除非法律法規(guī)有明確規(guī)定或個人信息主體明示同意，不應(yīng)超出目的使用個人信息。個人信息主體有正當(dāng)理由要求刪除其個人信息時，個人信息管理者應(yīng)及時刪除個人信息。刪除個人信息可能會影響公安機(jī)關(guān)調(diào)查取證時，個人信息管理者應(yīng)采取適當(dāng)?shù)男畔⒈Ｈ胧?。個人信息使用完成后應(yīng)刪除，需要繼續(xù)處理的，應(yīng)采取匿名方式。保存期限有明確規(guī)定的，按相關(guān)規(guī)定執(zhí)行。個人信息主體發(fā)現(xiàn)其個人信息有誤并要求修改時，個人信息管理者應(yīng)查驗相關(guān)信息，并在核對正確后修改或補(bǔ)充相關(guān)信息。對于未滿16周歲未成年人的個人信息，應(yīng)強(qiáng)化保護(hù)措施和手段，不得超出收集時告知的使用目的之外使用其個人信息。個人信息管理個人信息管理者利用信息系統(tǒng)處理個人信息的，應(yīng)制定個人信息保護(hù)政策，建立個人信息管理制度，落實個人信息管理責(zé)任，加強(qiáng)個人信息安全管理，規(guī)范個人信息處理活動。個人信息管理者應(yīng)指定專門機(jī)構(gòu)或人員負(fù)責(zé)內(nèi)部的個人信息保護(hù)工作，接受個人信息主體的投訴與質(zhì)詢。個人信息管理者應(yīng)采取必要的措施和手段，保護(hù)個人信息安全，確保但不限于以下目標(biāo)：a）防止對個人信息處理場所和個人信息存儲介質(zhì)的未授權(quán)訪問、損壞和干擾；b）處理個人信息時，應(yīng)保證信息系統(tǒng)持續(xù)穩(wěn)定運(yùn)行；c）保證個人信息在信息系統(tǒng)中的保密性、真實性和完整性。個人信息管理者在個人信息主體提出查詢請求時，應(yīng)如實并免費地告知請求人與其相關(guān)的個人信息，除非告知成本或者請求頻率超出合理的范圍。個人信息管理者應(yīng)加強(qiáng)個人信息風(fēng)險管理，識別、分析、評估潛在的風(fēng)險因素，制定風(fēng)險應(yīng)對策略，采取風(fēng)險控制措施，監(jiān)控風(fēng)險變化。個人信息管理者應(yīng)對個人信息處理過程中可能出現(xiàn)的泄露、丟失、損壞、篡改、不當(dāng)使用等事件制定預(yù)案，采取相應(yīng)的預(yù)防和應(yīng)對措施。個人信息管理者應(yīng)制定個人信息保護(hù)的教育培訓(xùn)計劃并組織落實。個人信息管理者應(yīng)