个人信息保护
法律
民法典
新中国成立以来第一部以"法典"命名的法律，共7编1260条，包括总则、物权、合同、人格权、婚姻家庭、继承、侵权责任及附则。其中人格权编设专章规定隐私权和个人信息保护（第1032-1039条），明确自然人享有隐私权，任何组织或个人不得以刺探、侵扰、泄露、公开等方式侵害他人隐私权；自然人的个人信息受法律保护，收集处理个人信息应遵循合法正当必要原则并征得同意，规定了信息处理者的信息安全保障义务。是个人信息民事保护的基本法源。
个人信息保护法
我国个人信息保护领域的基础性法律，确立了个人信息处理的基本原则（合法、正当、必要、诚信、目的限制、最小必要、公开透明、质量、安全），明确"告知-同意"为核心的个人信息处理规则，引入敏感个人信息处理规则、自动化决策规则、个人信息跨境提供规则。赋予个人知情权、决定权、查阅复制权、更正权、删除权、可携带权等权利。规定个人信息处理者须指定保护负责人、开展影响评估、履行安全保护义务。适用于境内处理自然人个人信息的所有活动及境外处理境内自然人个人信息的特定情形。
网络安全法
由第十二届全国人大常委会第二十四次会议2016年11月7日通过、主席令第53号公布，2017年6月1日起施行，是我国网络安全领域的基础性法律。确立网络安全等级保护制度，规定网络运营者安全保护义务、个人信息收集使用规则、关基安全保护与数据境内存储要求。2025年10月28日经十四届全国人大常委会第十八次会议修正，主席令第61号公布，自2026年1月1日起施行，新增人工智能治理条款并大幅提高法律责任。
全国人民代表大会常务委员会关于修改《中华人民共和国网络安全法》的决定
由第十四届全国人大常委会第十八次会议2025年10月28日通过、主席令第61号公布，自2026年1月1日起施行，是网络安全法2016年施行以来首次修改。新增网络安全工作坚持党的领导条款，增加支持人工智能基础理论与算法研发、推进训练数据资源和算力基础设施建设的规定；重点强化法律责任，未履行安全保护义务罚款上限提至五十万元，造成特别严重后果最高罚一千万元，并明确从轻、减轻、不予处罚情形。
刑法
我国刑法的基本法典。2020年通过的《刑法修正案（十一）》进一步完善了数据和个人信息保护相关罪名：第253条之一（侵犯公民个人信息罪，最高七年有期徒刑）、第285条（非法侵入计算机信息系统罪）、第286条（破坏计算机信息系统罪）、第286条之一（拒不履行信息网络安全管理义务罪）、第287条之二（帮助信息网络犯罪活动罪）。刑法是数据合规领域刑事法律风险的根源，违反数据安全和个人信息保护义务情节严重的可能构成刑事犯罪。
电子商务法
我国电子商务领域的基本法律，规范电子商务经营行为，维护市场秩序。设专章规定电子商务中的个人信息保护，要求电子商务经营者收集使用个人信息应遵守法律、行政法规有关个人信息保护的规定；明确电子商务平台经营者应当建立健全信用评价制度和知识产权保护规则。涉及电子合同的订立与履行、电子支付安全、平台经营者的数据管理和个人信息保护义务等数据合规核心事项。
未成年人保护法
本法保护未成年人身心健康与合法权益，构建家庭、学校、社会、网络、政府、司法六大保护体系，规定网络产品和服务提供者不得向未成年人提供危害其身心健康的内容，实施网络沉迷防治、个人信息保护、欺凌防控与性教育，要求密切接触未成年人单位实行从业查询与强制报告，对侵害未成年人行为设定民事、行政与刑事责任。
中华人民共和国治安管理处罚法（2024年修订）
2024年修订版新增对非法获取、使用、提供、出售个人信息的治安管理处罚条款。对侵犯公民个人信息尚不构成犯罪的行为予以行政处罚，与刑法、个人信息保护法形成完整的法律责任体系，是数据合规执法的重要法律工具。
中华人民共和国行政许可法
规范行政许可的设定和实施，保障公民、法人和其他组织的合法权益。数据合规领域涉及行政审批事项（如数据出境安全评估、个人信息保护认证等）的设定和实施，均应遵循本法规定。
全国人民代表大会常务委员会关于加强网络信息保护的决定
本决定强化网络信息保护，明确国家保护能够识别公民个人身份与涉及公民个人隐私的电子信息的立法原则，要求网络服务提供者依法收集使用信息、履行安全管理义务，禁止泄露、篡改、毁损、出售或非法向他人提供个人信息，赋予公民要求删除、更正个人信息的权利，规定有关部门监管职责与对侵权行为的处罚措施。
中华人民共和国反网络暴力法（征求意见稿）
国家网信办会同有关部门起草的反网络暴力专门立法草案，共七章六十条。明确网络暴力定义，规定网络服务提供者应建立监测识别机制和防护功能，对可能用于实施网络暴力的社交、医疗、地理位置等个人信息实施重点保护，明确大型网络平台特殊义务，确立国家网信部门统筹协调机制。被侵权人有权请求精神损害赔偿，对组织煽动教唆实施网络暴力依法从重处罚。意见反馈截止2026年8月28日。
行政法规
中华人民共和国消费者权益保护法实施条例
国务院2024年3月15日以第778号令公布，2024年7月1日起施行，共七章五十三条，是消费者权益保护法施行三十年来首部配套行政法规。第二十三条明确经营者应当依法保护消费者个人信息，不得过度收集，不得采用一次概括授权、默认授权等方式强制消费者同意收集与经营活动无直接关系的个人信息；处理生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息及不满十四周岁未成年人个人信息须符合法律行政法规规定。
中华人民共和国政府信息公开条例
由国务院令第711号于2019年4月3日公布修订、2019年5月15日起施行的行政法规，共五章五十六条。坚持以公开为常态、不公开为例外，明确主动公开范围及二十个工作日内公开时限；完善依申请公开程序，规定二十个工作日答复期限、补正告知、第三方意见征求及七类答复情形。明确涉及商业秘密、个人隐私等公开会损害第三方权益的政府信息不得公开，但第三方同意或不公开可能损害重大公共利益的可以公开。
政务数据共享条例
由国务院令第809号于2025年5月28日公布、8月1日起施行，是第一部促进政务数据共享流通的行政法规，共八章四十四条。规定政务数据实行统一目录管理，划分共享属性分类，禁止擅自增设条件阻碍、影响共享；明确通过共享可满足履职需要的部门不得重复收集，细化共享申请、答复流程及时限和争议解决机制；要求整合构建全国一体化政务大数据体系，按谁管理谁负责、谁使用谁负责明确安全责任主体。
未成年人网络保护条例
我国首部专门针对未成年人网络保护的行政法规。规定移动智能终端、应用程序、应用程序分发平台应当提供未成年人模式或专区；网络产品和服务提供者应建立未成年人保护制度，健全防沉迷机制；要求个人信息处理者对不满十四周岁未成年人个人信息制定专门规则。明确网络游戏、网络直播、网络社交、网络音视频等服务的未成年人保护义务，是未成年人个人信息保护和网络安全合规的重要法规。
中华人民共和国电信条例（2016年修订）
规范电信市场秩序，保障电信网络和信息安全。明确电信业务经营者的网络安全与信息安全义务，规定电信用户个人信息保护要求，禁止利用电信网络从事危害国家安全、社会公共利益及他人合法权益的活动。
征信业管理条例
规范征信业务及相关活动，对征信机构采集、整理、保存、加工个人信息提出严格要求。明确采集个人信息须经本人同意，禁止采集宗教信仰、基因、指纹、血型、疾病和病史信息等敏感信息。规定不良信息保存期限为5年，是个人信息保护在征信领域的专门行政法规。
互联网上网服务营业场所管理条例（2011年修订）
规范互联网上网服务营业场所的经营秩序和信息安全。要求经营单位建立场内巡查制度，对上网消费者的个人信息负有保密义务。2011年修订延长了未成年人禁入时间并强化了安全管理义务。
网络数据安全管理条例
本条例细化网络数据处理活动的安全管理要求，明确网络数据处理者主体责任，规范个人信息保护、重要数据安全、网络数据跨境传输与网络平台服务提供者义务，要求建立安全管理制度、事件应急预案、风险评估与合规审计机制，强化大型平台特殊义务、算法公平与网络身份认证，对违法行为设定警告、罚款、停业整顿、吊销许可等处罚。
关键信息基础设施安全保护条例
明确关键信息基础设施范围涵盖公共通信、能源、交通、金融、电子政务等重要行业和领域，规定保护工作部门负责认定，运营者承担主体责任，须同步规划、建设、使用安全保护措施，设置专门安全管理机构，每年检测评估，优先采购安全可信产品，采购影响国家安全的须安全审查，个人信息和重要数据境内存储，违法可处警告、罚款、停业整顿、吊销许可等处罚，构成犯罪的追究刑事责任。
政策文件
人力资源社会保障部 国家发展改革委 工业和信息化部 国家数据局关于加快推进“人工智能＋人社”应用发展的实施意见
人力资源社会保障部、国家发展改革委、工业和信息化部、国家数据局2026年6月22日成文、7月8日发布人社部发〔2026〕40号文，落实“人工智能＋”行动。意见提出到2026年打造20个左右基于人社行业大模型的应用场景及高质量数据集，2027年探索50个高价值场景，2030年实现行业普遍应用。文件要求建设行业高质量数据集和语料库，保证数据不出域、调用可追溯；明确落实数据分类分级保护，应用零信任、隐私计算技术，依法保护个人信息和政务信息，健全技术监测、风险预警与科技伦理治理机制。
数据出境安全管理政策法规问答（2026年9月）
国家互联网信息办公室2026年9月11日发布，答复个人信息出境认证代表性咨询。明确非关键信息基础设施运营者当年累计出境10万人以上不满100万人个人信息或不满1万人敏感个人信息且不含重要数据的，可通过个人信息出境认证履行合规义务；达100万人以上或敏感个人信息1万人以上的应申报安全评估，评估可参考认证结果，并强调不得拆分数量规避评估。
数据出境安全管理政策法规问答（2026年7月）
国家互联网信息办公室 2026年7月24日发布，针对数据出境安全管理中的代表性咨询问题作出官方答复。问答明确个人信息出境应履行告知义务并取得个人单独同意，单独同意须具体明确、不得捆绑或一揽子授权；规定数据出境安全评估结果有效期 3 年，到期前 60 个工作日可申请延续，但须满足目的范围、当事方、法律文件未变更，以及未来三年出境规模增幅不超过原批准量 20% 等条件；同时对招聘场景下求职者简历出境的必要性审查作出细化指引。
个人信息保护政策法规问答（2026年8月）
国家互联网信息办公室2026年8月12日发布的个人信息保护政策法规问答，针对代表性咨询问题作出官方答复。问答一明确处理已公开个人信息的五类违法违规情形，包括向已公开邮箱手机号发送无关商业信息、利用公开信息从事网络暴力或谣言传播、处理个人明确拒绝处理的公开信息、对个人权益有重大影响未取得同意、收集留存规模时间或使用目的超出合理范围。问答二归纳个人信息泄露四类常见原因：明文存储传输未加密去标识化、信息系统使用弱口令或无验证、互联网数据接口缺乏有效身份验证、网页暴露系统登录账号口令，并重申个人信息保护法第五十一条六项安全措施要求。
上海市“数字上海”建设“十五五”规划
上海市政府办公厅2026年7月28日印发，明确“十五五”数字上海建设总体目标与五大任务，提出2030年建成数字标杆城市。合规要点：健全以《上海市数据条例》为基础的1+X立法体系，强化数据要素全生命周期管理，深化公共数据授权运营与数据产权登记；推动数据出境“负面清单+操作指引”覆盖更多行业，建设规则互认的“总对总”跨境流动设施；加强关键数字基础设施防护、重要数据保护与个人信息保护治理。
部门规章
人脸识别技术应用安全管理办法
国家互联网信息办公室、公安部以两部门令第19号公布《人脸识别技术应用安全管理办法》，2025年3月21日发布，2025年6月1日起施行。办法明确处理人脸信息应具有特定目的与充分必要性，须取得个人单独同意，处理不满十四周岁未成年人人脸信息须取得监护人同意；人脸信息原则上存储于设备内、不得联网传输，保存期限不得超过处理目的所必需的最短时间，事前须开展个人信息保护影响评估。
网络暴力信息治理规定
国家互联网信息办公室、公安部、文化和旅游部、国家广播电视总局2024年6月12日以第17号令联合公布，2024年8月1日起施行，是我国首部反网络暴力专门部门规章。规定要求网络信息服务提供者健全用户注册、账号管理、个人信息保护、监测预警与识别处置制度；采用人工智能、大数据结合人工审核方式识别监测，建立预警模型与账号信用管理体系；明确向用户提供防护选项、快捷取证与维权便利，优先处理涉未成年人投诉举报。
网络交易监督管理办法
国家市场监督管理总局2021年3月15日以第37号令公布，2021年5月1日起施行，2025年3月18日经总局令第101号修正。办法规范通过互联网销售商品或提供服务的经营活动，明确网络社交、网络直播中提供网络经营场所、订单生成、在线支付等平台服务的应当履行平台经营者义务；规定收集使用消费者个人信息应当遵循合法正当必要原则，明示目的方式范围并经同意，不得变相强迫授权。
互联网广告管理办法
国家市场监督管理总局2023年2月25日以第72号令公布，2023年5月1日起施行，同时废止2016年《互联网广告管理暂行办法》。办法针对精准投放、程序化购买等新形态，明确利用算法推荐等方式发布互联网广告应当记录保存算法机制机理；未经用户同意、请求或用户明确拒绝，不得向其交通工具、导航设备、智能家电等发送互联网广告，不得在电子邮件或即时通讯信息中附加广告链接。
国家网络身份认证公共服务管理办法
由公安部、国家网信办等六部门令第173号于2025年5月19日公布、7月15日起施行，共十六条，旨在实施可信数字身份战略。明确网号、网证由自然人自愿申领，不满十四周岁须监护人同意并代为申领；互联网平台接入公共服务后不得要求用户另行提供明文身份信息，且须保障未使用者享有同等服务；平台仅限收集必要信息，处理敏感个人信息须单独同意，重要数据和个人信息境内存储，向境外提供须安全评估。
互联网安全保护技术措施规定
由公安部令第82号于2005年12月13日发布、2006年3月1日起施行。要求互联网服务提供者、联网使用单位落实防范病毒与网络入侵攻击的技术措施，对重要数据库和主要设备冗灾备份，记录并留存用户登录退出时间、主叫号码、账号、互联网地址或域名及维护日志，备份至少保存六十天；接入服务单位须记录留存用户注册信息并具备安全审计功能。未经用户同意不得公开、泄露用户注册信息，不得侵犯用户通信自由和通信秘密。
促进和规范数据跨境流动规定
落实《个人信息保护法》和《数据安全法》关于数据出境管理制度的规定，对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等制度的适用条件进行优化调整。明确了免予申报数据出境安全评估、订立个人信息出境标准合同及通过个人信息保护认证的若干情形（如国际贸易、跨境学术合作、跨境营销中不涉及个人信息或重要数据的数据出境），以及过境数据、境外数据入境再出境等场景，大幅减轻企业数据出境合规负担。（国家互联网信息办公室令第16号，2024年3月22日发布施行）
个人信息出境标准合同办法
落实《个人信息保护法》第38条的规定，制定个人信息出境标准合同模板及备案管理办法。规定个人信息处理者通过订立标准合同向境外提供个人信息的条件和程序，要求在标准合同生效之日起10个工作日内向省级网信部门备案。明确标准合同应包括个人信息处理者和境外接收方的数据保护义务、个人信息主体权利保障、救济措施等内容，是企业数据出境的低成本合规路径之一。（国家互联网信息办公室令第13号，2023年2月22日发布，2023年6月1日施行）
数据出境安全评估办法
落实《数据安全法》和《个人信息保护法》的数据出境安全管理制度，建立数据出境安全评估制度。规定数据处理者向境外提供重要数据或特定情形下的个人信息应当通过国家网信部门组织的安全评估。明确安全评估的适用条件、申报材料、评估程序和评估重点，评估重点包括数据出境的目的范围和方式合法性、数据安全保护措施有效性、境外接收方数据保护能力等。（国家互联网信息办公室令第11号，2022年7月7日发布，2022年9月1日施行）
个人信息保护合规审计管理办法
依据《个人信息保护法》第54条和第64条，确立个人信息保护合规审计制度。规定个人信息处理者应定期开展合规审计，自行审计或委托专业机构审计；处理超过1000万人个人信息的处理者应每两年至少开展一次审计；明确合规审计的重点内容、审计程序、审计报告要求。国家网信部门可要求存在较大风险或发生安全事件的个人信息处理者委托专业机构开展审计，是个人信息保护合规管理的核心配套规章。
汽车数据安全管理若干规定（试行）
该规定规范中华人民共和国境内汽车数据处理活动及其安全监管，适用于汽车制造商、零部件和软件供应商、经销商、维修机构、出行服务企业等处理者。文件明确汽车数据、个人信息、敏感个人信息和重要数据的范围，要求处理活动合法正当，落实网络安全等级保护，倡导车内处理、默认不收集、精度范围适用和脱敏处理原则，并规定重要数据风险评估、境内存储、出境安全评估和年度安全管理情况报告制度。
生成式人工智能服务管理暂行办法
自2023年8月15日起施行，适用于向境内公众提供生成文本、图片、音频、视频等服务的生成式人工智能服务，坚持发展和安全并重、包容审慎与分类分级监管原则，要求提供者承担网络信息内容生产者和个人信息处理者责任，使用合法来源数据和基础模型，规范数据标注、服务协议、内容标识、用户信息保护和投诉举报机制，对违法内容及时处置，违规可处警告、暂停服务等处罚。
App违法违规收集使用个人信息行为认定方法
明确认定六类App违法违规收集使用个人信息行为的具体标准：未公开收集使用规则、未明示目的方式和范围、未经用户同意收集、违反必要原则、未经同意向他人提供、未提供删除更正及注销功能。是App个人信息保护执法的重要操作指南。
儿童个人信息网络保护规定
专门针对不满十四周岁未成年人个人信息的网络保护，要求网络运营者制定专门的儿童个人信息保护规则和用户协议，设立儿童个人信息保护负责人，收集使用儿童个人信息须征得其监护人明示同意。是国内首部专门针对儿童个人信息保护的部门规章。
网络安全审查办法
确立关键信息基础设施运营者采购网络产品和服务、网络平台运营者赴国外上市等情形的网络安全审查制度。要求掌握超过100万用户个人信息的网络平台运营者赴国外上市必须申报网络安全审查，重点评估产品和服务投入使用后可能带来的国家安全风险。
电信和互联网用户个人信息保护规定
规范电信业务经营者和互联网信息服务提供者收集、使用用户个人信息的行为。明确用户个人信息范围，规定了收集使用规则、安全保障措施、用户权利及监督检查等要求。是工信部监管电信和互联网行业个人信息保护的基础性部门规章。
个人信息出境认证办法
该办法规范个人信息出境认证活动，适用于通过个人信息保护认证方式向境外提供个人信息的处理者。文件明确认证机构资质、认证申请条件、认证程序、证书有效期、认证信息共享、认证证书暂停与撤销、专业认证机构备案及监督管理要求，并规定个人信息处理者申请认证前应履行告知、取得单独同意和开展个人信息保护影响评估等义务。
促进和规范电子单证应用规定
国家网信办会同工信部、公安部、交通运输部等十部门联合公布的部门规章（令第22号），2026年4月17日公布、9月1日施行。适用于电子提单、电子仓单等电子运输记录及相关信息系统，要求可靠的电子单证系统实现信息全程可追溯、不可篡改、可识别签发人，运营者须落实网络安全等级保护与数据分类分级；明确向境外提供电子单证数据，在不含个人信息或重要数据、或为签发转让质押所必需时免予申报数据出境安全评估。
小型个人信息处理者个人信息保护简化措施规定
国家网信办、公安部联合公布，自2026年9月1日起施行。规定所指小型个人信息处理者为处理不满10万人个人信息的处理者，针对其个人信息处理规则、告知同意义务、行使权利申请、跨境提供申报、合规审计及影响评估等环节设定与中小微企业能力相称的简化措施，并对不予处罚或从轻减轻处罚情形作出规定，以降低中小微企业合规成本。
互联网信息内容多渠道分发服务管理规定
国家网信办、公安部、文化和旅游部、市场监管总局、广电总局五部门令第23号，2026年5月29日公布、9月1日施行，是我国首部专门规范MCN互联网信息内容多渠道分发服务的部门规章。要求机构依法登记并取得相应许可，平台须与入驻机构签订入驻协议、向省级网信部门备案，以显著方式展示签约账号所属机构名称；划定十一项禁止行为，建立分级分类管理制度，明确不得为未满十六周岁的未成年人提供网络直播发布服务。
人工智能拟人化互动服务管理暂行办法
国家网信办、国家发展改革委、工业和信息化部、公安部、市场监管总局五部门令第21号，2026年4月10日公布、7月15日施行，是全球首部人工智能情感陪伴专门立法。办法规范利用人工智能提供模拟自然人人格特征与沟通风格的持续性情感互动服务，智能客服等非情感类服务不适用；严禁向未成年人提供虚拟亲密关系服务，为未满十四周岁者服务须监护人同意；要求显著标识非真人互动，不得以情感操控、心理诱导骗取个人信息。
标准
GB/T 47690-2026 网络安全技术 国家网络身份认证公共服务 应用接入要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47690-2026《网络安全技术 国家网络身份认证公共服务 应用接入要求》，自2026-12-01起实施。该标准规定了应用接入国家网络身份认证公共服务的功能、接口、安全与个人信息保护要求，明确网号网证替代明文身份信息的实施规范，减少身份信息过度采集。
GB/T 47702-2026 区块链和分布式记账技术 通用服务 分布式身份系统技术要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47702-2026《区块链和分布式记账技术 通用服务 分布式身份系统技术要求》，自2026-09-01起实施。该标准规定了分布式身份系统的总体架构、标识符与文档格式、密钥管理、凭证签发验证及隐私保护要求，支撑用户自主可控的身份管理与最小化信息披露。
GB/T 47469-2026 数据安全技术 移动智能终端的移动互联网应用程序（App）个人信息处理活动管理指南
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准面向移动智能终端上App的个人信息处理活动，给出权限申请、最小必要收集、敏感个人信息告知同意、第三方SDK共享与用户权利响应的管理指南，明确终端操作系统对App行为的记录与展示要求，是落实个人信息保护法与App违法违规收集使用个人信息治理的重要技术支撑。
GB/T 46901-2025 数据安全技术 基于个人请求的个人信息转移要求
国家市场监督管理总局、国家标准化管理委员会2025年12月31日经国家标准公告2025年第38号发布，2026年7月1日实施。该标准落实个人信息可携带权，规定个人请求转移其个人信息时处理者的受理、身份核验、导出与接收方接入要求，明确可转移数据范围、格式互操作与传输安全保障措施，为跨平台、跨应用的数据迁移提供统一合规依据。
GB/T 45703-2025 产品和服务设计中的消费者隐私保护 高阶要求
国家市场监督管理总局、国家标准化管理委员会2025年8月1日经国家标准公告2025年第19号发布，同日实施。该标准借鉴隐私保护设计理念，规定产品与服务在需求分析、设计、开发、测试、运维与下线各阶段嵌入隐私保护的高阶要求，包括数据最小化、默认隐私保护、用户控制与全生命周期管控，适用于智能终端、车联网、智能家居等产品的隐私保护设计与评估。
GB/Z 105-2025 产品和服务设计中的消费者隐私保护 应用案例
国家市场监督管理总局、国家标准化管理委员会2025年12月3日经国家标准公告2025年第35号发布，同日实施。该指导性技术文件配套消费者隐私保护高阶要求，通过智能终端、车联网、智能家居、移动应用等典型场景案例，示范如何在产品设计阶段落实数据最小化、目的限定、透明告知与用户控制等措施，供企业产品团队、合规部门与第三方评估机构参照使用。
GB/T 44252.1-2024 物联网 运动健康监测设备 第1部分：数据分类和描述
国家市场监督管理总局、国家标准化管理委员会2024年7月24日经国家标准公告2024年第15号发布，2025年2月1日实施。该标准规定运动健康监测设备所采集数据的分类方法与描述规则，统一数据元标识、语义定义与格式表达，覆盖生理指标、运动行为与环境数据，为可穿戴设备数据的跨厂商互通、合规采集与健康信息保护奠定数据字典基础。
GB/Z 103-2026 健康信息学 互联网健康服务网络架构
国家市场监督管理总局、国家标准化管理委员会2026年1月4日经国家标准公告2026年第1号发布并同步实施。该指导性技术文件规定互联网健康服务的网络架构，明确健康数据采集终端、传输通道、服务平台与监管接口的功能分层与安全要求，为互联网医疗场景下健康医疗数据的合规流转、分级授权共享与安全防护提供架构参照。
GB/Z 108-2026 健康信息学 互联网健康服务模式
国家市场监督管理总局、国家标准化管理委员会2026年1月4日经国家标准公告2026年第1号发布并同步实施。该指导性技术文件给出互联网健康服务的典型模式，明确在线问诊、慢病管理、远程监测与药品配送等服务形态的组织方式与数据交互要求，规范健康医疗个人信息在服务全生命周期中的分级授权、使用边界与留痕机制。
GB/T 38961-2020 个人健康信息码 参考模型
国家市场监督管理总局、国家标准化管理委员会2020年4月29日经国家标准公告2020年第9号发布，2020年4月29日实施。该标准给出个人健康信息码的参考模型，明确码的组成要素、角色关系与数据流转机制，规范健康码在疫情防控中的生成、使用与核验流程，为个人信息处理活动提供标准化框架。，为个人信息处理者的合规实践提供标准依据。
GB/T 38962-2020 个人健康信息码 数据格式
国家市场监督管理总局、国家标准化管理委员会2020年4月29日经国家标准公告2020年第9号发布，2020年4月29日实施。该标准规定个人健康信息码的数据格式，明确数据项构成、编码规则与取值范围，规范健康状态、身份标识与时效信息的表达方式，支撑跨地区健康码互认与个人信息规范处理。，为个人信息处理者的合规实践提供标准依据。
GB/T 38963-2020 个人健康信息码 应用接口
国家市场监督管理总局、国家标准化管理委员会2020年4月29日经国家标准公告2020年第9号发布，2020年4月29日实施。该标准规定个人健康信息码应用接口的技术要求，明确接口类型、调用流程与安全访问控制，规范健康码申领、核验与状态更新服务，为跨区域互认与个人信息保护提供接口依据。，为个人信息处理者的合规实践提供标准依据。
GB/T 21715.5-2021 健康信息学 患者健康卡数据 第5部分：标识数据
国家市场监督管理总局、国家标准化管理委员会2021年3月9日经国家标准公告2021年第3号发布，2021年10月1日实施。该标准规定患者健康卡中的标识数据对象与属性，明确个人标识、机构标识与卡标识的编码规则，为医疗健康信息的准确关联与跨机构共享提供数据基础，降低身份错配风险。，为个人信息处理者的合规实践提供标准依据。
GB/T 21715.6-2020 健康信息学 患者健康卡数据 第6部分：管理数据
国家市场监督管理总局、国家标准化管理委员会2020年6月2日经国家标准公告2020年第14号发布，2020年12月1日实施。该标准规定患者健康卡中的管理数据对象，明确卡片发放、有效期、使用权限与审计信息的结构，为健康卡全生命周期管理与医疗数据合规使用提供数据规范，支撑医疗机构数据治理。，为个人信息处理者的合规实践提供标准依据。
GB/T 21715.8-2020 健康信息学 患者健康卡数据 第8部分：链接
国家市场监督管理总局、国家标准化管理委员会2020年6月2日经国家标准公告2020年第14号发布，2020年12月1日实施。该标准规定患者健康卡数据的链接机制，明确跨卡、跨系统与跨机构数据引用的标识方法，为健康医疗信息的关联检索与互操作提供规范化链接规则，保障数据一致性与处理可追溯。，为个人信息处理者的合规实践提供标准依据。
GB/T 44603-2024 健康信息学 心脏骤停调查基本内容与数据规范
国家市场监督管理总局、国家标准化管理委员会2024年9月29日经国家标准公告2024年第22号发布，2024年9月29日实施。该标准规定心脏骤停调查的基本内容与数据规范，明确数据采集项、编码规则与报告格式，为院前急救数据的统一记录与跨机构共享提供标准化依据，支撑急救数据质量提升与科研再利用。，为个人信息处理者的合规实践提供标准依据。
GB/T 44229-2024 基于云计算的重大突发公众卫生事件中社区服务系统基本要求
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准规定重大突发公共卫生事件中社区服务系统的基本要求，明确数据采集、居民信息管理与服务协同功能，规范个人信息在应急场景下的收集范围与使用边界，兼顾应急效率与信息保护。，为个人信息处理者的合规实践提供标准依据。
GB/T 21715.1-2008 健康信息学 患者健康卡数据 第1部分：总体结构
国家质量监督检验检疫总局、国家标准化管理委员会2008年5月27日发布国家标准公告，2008年9月1日实施。该标准为健康信息学患者健康卡数据第一部分，规定总体结构与数据对象组织方式，为健康卡数据格式统一与跨机构交换提供基础。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。，对提升整体安全防护水平与风险防控能力具有积极作用
GB/T 24466-2009 健康信息学 电子健康记录体系架构需求
国家质量监督检验检疫总局、国家标准化管理委员会2009年11月2日发布国家标准公告，2009年12月1日实施。该标准规定电子健康记录的体系架构需求，明确健康记录的数据组织、服务接口与隐私安全要求，为医疗健康信息系统建设与个人健康信息保护提供依据。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。，可与相关管理制度与技术措施配套使用
GB/T 25512-2010 健康信息学 推动个人健康信息跨国流动的数据保护指南
国家质量监督检验检疫总局、国家标准化管理委员会2010年12月8日经国家标准公告2010年第9号发布，2011年5月1日实施。该标准给出推动个人健康信息跨国流动的数据保护指南，明确个人健康信息跨境传输的合法性基础、安全保护措施与主体责任，是国内较早涉及数据跨境的标准化文件。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
GB/T 21715.4-2011 健康信息学 患者健康卡数据 第4部分：扩展临床数据
国家质量监督检验检疫总局、国家标准化管理委员会2011年7月29日经国家标准公告2011年第12号发布，2011年12月1日实施。该标准为健康信息学患者健康卡数据第四部分，规定扩展临床数据的内容与结构，支撑临床诊疗信息在健康卡中的规范化记录与交换。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。，可与相关管理制度与技术措施配套使用
GB/Z 28828-2012 信息安全技术 公共及商用服务信息系统个人信息保护指南
国家质量监督检验检疫总局、国家标准化管理委员会2012年11月9日经国家标准公告2012年第27号发布，2013年2月1日实施。该指导性技术文件是国内首项专门规范个人信息保护的国家标准，规定公共及商用服务信息系统处理个人信息的告知同意、收集使用、传输共享与删除等要求，为个人信息保护法出台前的企业合规实践提供了早期依据。
GB/T 29841.3-2013 卫星定位个人位置信息服务系统 第3部分：信息安全规范
国家质量监督检验检疫总局、国家标准化管理委员会2013年11月19日经国家标准公告2013年第22号发布，2014年5月1日实施。该标准为卫星定位个人位置信息服务系统第三部分，规定信息安全规范，明确位置信息采集、传输存储与访问控制的安全要求，是位置服务中个人信息与敏感轨迹保护的重要依据。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
GB/T 31504-2015 信息安全技术 鉴别与授权 数字身份信息服务框架规范
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2016年1月1日实施。该标准规定数字身份信息服务框架规范，明确数字身份的注册、认证、属性管理与服务接口要求，为网络身份认证体系建设与个人身份信息保护提供依据。该标准为各类组织处理个人信息提供合规参照，有助于落实告知同意与最小必要原则。
GB/T 35273-2017 信息安全技术 个人信息安全规范
国家质量监督检验检疫总局、国家标准化管理委员会2017年12月29日经国家标准公告2017年第32号发布，2018年5月1日实施。该标准规定个人信息处理活动各环节应遵循的安全原则与技术要求，覆盖收集、存储、使用、共享、转让、公开披露与删除等全生命周期环节，明确个人敏感信息界定、同意机制与主体权利响应，是国内个人信息保护领域最具影响力的基础性标准。
GB/T 37380-2019 面向个人移动便携终端智能交通运输信息服务应用数据交换协议
国家市场监督管理总局、国家标准化管理委员会2019年5月10日经国家标准公告2019年第6号发布，2019年12月1日实施。该标准规定面向个人移动便携终端的智能交通运输信息服务应用数据交换协议，明确个人位置与出行信息的交换格式与安全要求。涉及个人行踪轨迹等敏感个人信息的处理与交换。为出行类App落实个人信息保护要求提供协议层规范。
GB/T 44792-2024 健康管理 远程医疗平台信息接入与数据交换
本标准于2024年10月26日发布、2025年5月1日实施，规定健康管理远程医疗平台在信息接入与数据交换过程中的数据格式、接口规范、传输安全与一致性要求，覆盖可穿戴设备、家庭监测终端与医疗机构信息系统之间的健康数据互通。标准涉及健康生理数据这一敏感个人信息的采集与流转，为远程医疗场景落地个人信息保护法关于单独同意、最小必要与安全传输要求提供技术支撑。
GB/T 44662-2024 健康管理 终端设备数据采集与传输协议
本标准于2024年10月26日发布、2025年4月1日实施，规定健康管理终端设备在生理指标、行为数据采集与传输环节的协议框架、数据元定义、编码规则与安全传输要求，适用于血压计、血糖仪、心电监测等家用与医用健康终端。标准明确了终端侧数据采集的边界与传输加密要求，为落实个人健康信息最小必要采集与端到端安全保护提供统一技术依据。
GB/T 28455-2026 网络安全技术 引入可信第三方的实体鉴别及接入架构规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 28455-2026《网络安全技术 引入可信第三方的实体鉴别及接入架构规范》，自2026-12-01起实施，代替GB/T 28455-2012。该标准规定了引入可信第三方进行实体鉴别的技术框架、接入架构与协议流程，明确其安全职责，适用于网络身份鉴别与跨域互认场景。
GB/T 47697-2026 网络安全技术 鉴别与授权 基于属性的访问控制模型与管理规范
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47697-2026《网络安全技术 鉴别与授权 基于属性的访问控制模型与管理规范》，自2026-12-01起实施。该标准规定了基于属性的访问控制模型、策略描述、决策与执行架构及管理规范，支持细粒度动态授权，适用于大数据、云计算等复杂环境下的访问控制系统设计。
GB/T 37002-2026 网络安全技术 电子邮件系统安全技术规范
2026年第30号国家标准公告（2026-07-02）批准发布GB/T 37002-2026《网络安全技术 电子邮件系统安全技术规范》，自2027-02-01起实施，代替GB/T 37002-2018。该标准规定了电子邮件系统在身份鉴别、传输加密、反垃圾邮件、反钓鱼、内容安全与审计日志方面的技术要求及测评方法。
GB/T 47475-2026 网络安全技术 开放的第三方资源授权协议
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，同年11月1日实施。该标准规定开放平台向第三方应用授权访问用户资源时的协议流程、令牌管理与最小授权范围要求，明确用户授权同意、授权撤销与访问日志留存机制，防范越权获取与过度共享用户数据，是互联网平台开放接口场景落实个人信息保护要求的技术规范。
GB/Z 191-2026 智能计算 隐私保护计算技术框架
国家市场监督管理总局、国家标准化管理委员会2026年7月2日经国家标准公告2026年第31号发布并实施。该指导性技术文件给出隐私保护计算的技术参考框架，涵盖多方安全计算、联邦学习、可信执行环境与差分隐私等路线，明确各技术在数据不出域、可用不可见场景下的能力边界与安全假设，为数据要素流通中原始数据不落地、个人信息最小化处理提供标准化技术路径。
GB/T 45910-2025 信息技术 生物特征识别模板保护方案的性能测试
国家市场监督管理总局、国家标准化管理委员会2025年6月30日经国家标准公告2025年第14号发布，2026年1月1日实施。该标准规定生物特征模板保护方案的测试指标与方法，从不可逆性、可撤销性、不可链接性和识别性能四个维度开展评估，并给出测试流程与判定准则，支撑人脸、指纹等敏感生物特征信息安全存储与合规使用。
GB 46864-2025 数据安全技术 电子产品信息清除技术要求
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第32号发布，2027年1月1日实施。该标准为强制性国家标准，规定手机、计算机等电子产品在维修、回收、翻新和报废环节清除用户个人信息与数据的技术要求、清除效果验证方法及出厂预置清除功能要求，防范二手流通中的数据泄露。
GB/T 43779-2024 网络安全技术 基于密码令牌的主叫用户可信身份鉴别技术规范
国家市场监督管理总局、国家标准化管理委员会2024年4月25日经国家标准公告2024年第6号发布，2024年11月1日实施。该标准规定基于密码令牌实现通信主叫用户可信身份鉴别的技术机制，明确令牌签发、传递、校验与结果呈现流程，可在不泄露用户号码等个人信息的前提下完成身份确认，为治理骚扰电话、电信网络诈骗与号码仿冒提供技术支撑。
GB/T 44248-2024 信息技术 生物特征识别 人脸识别系统应用要求
国家市场监督管理总局、国家标准化管理委员会2024年7月24日经国家标准公告2024年第15号发布，2025年2月1日实施。该标准规定人脸识别系统在功能、性能与安全方面的应用要求，明确活体检测、呈现攻击防护、识别准确率与误识率指标，要求处理人脸等生物识别信息前履行告知与单独同意、优先采用非生物特征替代方案，是落实个人信息保护要求的关键标准。
GB/T 44261.1-2024 信息技术 生物特征识别技术在视频监控系统中的应用 第1部分：系统设计和规范
国家市场监督管理总局、国家标准化管理委员会2024年7月24日经国家标准公告2024年第15号发布，2025年2月1日实施。该标准规定视频监控系统中应用生物特征识别技术的系统设计要求，明确前端采集、特征提取、比对识别与结果输出的功能与接口规范，要求设置显著提示标识、限制识别用途与数据留存期限，是公共场所图像采集与人脸识别合规的重要技术依据。
GB/T 44261.4-2024 信息技术 生物特征识别技术在视频监控系统中的应用 第4部分：真值与视频标注程序
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布，2025年5月1日实施。该标准规定视频监控场景下生物特征识别算法测试用真值获取与视频标注程序要求，明确标注人员管理、标注质量控制与数据脱敏规则，在保障算法评测有效性的同时防范训练数据违规采集与滥用风险。
GB/T 44864-2024 信息技术 生物特征识别 手部血管识别终端通用规范
国家市场监督管理总局、国家标准化管理委员会2024年10月26日经国家标准公告2024年第24号发布并同步实施。该标准规定手部血管识别终端的功能、性能与安全通用要求，明确识别准确率、活体检测与模板保护指标，要求生物特征模板在终端内加密存储、不得回传原始图像，为生物识别信息保护与非接触式身份核验应用提供规范。
GB/T 42573-2023 信息安全技术 网络身份服务安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年5月23日经国家标准公告2023年第2号发布，2023年12月1日实施。该标准规定网络身份服务的安全技术要求，覆盖身份注册、身份鉴别、凭证签发与吊销、服务审计等环节，明确个人信息最小化收集、存储加密与共享限制要求，为网络可信身份体系与实名制落实提供支撑。
GB/T 42971-2023 第三方电子合同服务平台信息安全技术要求
国家市场监督管理总局、国家标准化管理委员会2023年9月7日经国家标准公告2023年第9号发布，2024年4月1日实施。该标准规定第三方电子合同服务平台的信息安全技术要求，覆盖实名认证、意愿认证、合同签署、存证保全与调取出证等环节，明确个人信息保护、证据链完整性与服务连续性要求，为电子合同服务合规运营提供技术基准。
GB/T 42925-2023 互联网金融 个人网络消费信贷 信息披露
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2023年12月1日实施。该标准规定互联网金融个人网络消费信贷信息披露的要求，明确综合融资成本、费用构成、还款期限、逾期后果与风险提示等披露要素与呈现方式，强化对借款人个人信息收集使用的告知同意与最小必要义务。
GB/T 42930-2023 互联网金融 个人身份识别技术要求
国家市场监督管理总局、国家标准化管理委员会2023年8月6日经国家标准公告2023年第7号发布，2023年12月1日实施。该标准规定互联网金融场景个人身份识别的技术要求，覆盖证件真伪核验、人像比对、生物特征识别与活体检测，明确识别准确率、防伪攻击能力与个人信息在存储、传输环节及留存期限方面的保护要求。
GB/T 47473-2026 互联网域名服务身份信息核验技术要求
国家市场监督管理总局、国家标准化管理委员会2026年4月30日经国家标准公告2026年第21号发布，2026年11月1日实施。该标准规定互联网域名服务中域名持有者身份信息核验的技术要求，明确核验渠道、核验要素、结果判定与记录留存要求，强化域名实名制落实，并规范核验过程中个人信息的收集、存储与使用边界。
GB/T 44404.1-2024 信息技术 生物特征身份保证服务 第1部分：BIAS服务
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2024年8月23日实施。该标准规定生物特征身份保证服务的总体框架与服务要求，明确服务接口、证据生成与可信性保障机制，为生物特征核验服务的规范部署与跨系统互认提供技术依据。，为人脸识别等应用的合规评估提供技术依据。
GB/T 44285.1-2024 卡及身份识别安全设备 通过移动设备进行身份管理的构件 第1部分：移动电子身份系统的通用系统架构
国家市场监督管理总局、国家标准化管理委员会2024年8月23日经国家标准公告2024年第17号发布，2025年3月1日实施。该标准给出移动电子身份系统的通用系统架构，明确构件组成、接口关系与安全要求，规范移动端身份凭证的签发、存储与使用，为移动身份管理应用提供架构参照。，为人脸识别等应用的合规评估提供技术依据。
GB/T 39083-2020 快递服务支付信息交换规范
国家市场监督管理总局、国家标准化管理委员会2020年6月21日经国家标准公告2020年第15号发布，2020年10月1日实施。该标准规定快递服务场景支付信息交换的数据项、接口与流程要求，明确寄递与支付环节信息传递的安全控制，为快递业支付数据的规范交换与保护提供依据，防范寄递信息泄露风险。，为金融机构数据治理与监管报送提供标准支撑。
GB/T 22118-2008 企业信用信息采集、处理和提供规范
国家质量监督检验检疫总局、国家标准化管理委员会2008年8月18日发布国家标准公告，2008年11月1日实施。该标准规定企业信用信息采集、处理和提供规范，明确信用信息采集范围、处理规则与提供方式，是企业征信与信用信息共享活动规范化的重要依据。该标准为单位推进数据资源规范化管理、提升数据质量与促进有序共享提供标准化支撑。，可与相关管理制度与技术措施配套使用
GB/T 31488-2015 安全防范视频监控人脸识别系统技术要求
国家质量监督检验检疫总局、国家标准化管理委员会2015年5月15日经国家标准公告2015年第15号发布，2015年12月1日实施。该标准规定安全防范视频监控人脸识别系统的技术要求，明确人脸采集、比对识别、预警联动与系统性能指标，是公共安全领域人脸识别应用规范化的重要依据。该标准为生物特征识别应用的数据格式统一、系统互操作与生物信息安全保护提供基础。
GB/T 34953.1-2017 信息技术 安全技术 匿名实体鉴别 第1部分：总则
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准为信息技术安全技术匿名实体鉴别的第一部分，给出匿名实体鉴别的总则与框架，规定在不泄露实体真实身份前提下完成身份确认的机制与安全要求。为隐私保护导向的身份认证系统设计提供标准化方法。对匿名凭证、隐私计算等场景具有基础性参考价值。
GB/T 36633-2018 信息安全技术 网络用户身份鉴别技术指南
国家市场监督管理总局、国家标准化管理委员会2018年9月17日经国家标准公告2018年第11号发布，2019年4月1日实施。该标准给出网络用户身份鉴别技术指南，明确网络环境下用户身份鉴别的方式选择、强度分级与实现要求，覆盖口令、生物特征、多因素鉴别等方式。是网络实名制与身份鉴别合规的重要技术指引。为账号实名认证与防冒用设计提供分级实施方法。
GB/T 36629.1-2018 信息安全技术 公民网络电子身份标识安全技术要求 第1部分：读写机具安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识读写机具的安全技术要求，明确机具的身份鉴别、密钥管理、数据保护与接口安全要求，保障网络身份标识读写的可靠性。是网络身份认证与网号网证体系建设的重要配套标准。对减少明文身份信息采集具有积极合规价值。
GB/T 36629.2-2018 信息安全技术 公民网络电子身份标识安全技术要求 第2部分：载体安全技术要求
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识载体的安全技术要求，明确载体的物理安全、逻辑安全、密钥存储与生命周期管理要求，防止身份标识被复制或冒用。是网络身份标识载体选型与检测认证的技术依据。与读写机具、格式规范标准共同构成网络身份标准体系。
GB/T 36632-2018 信息安全技术 公民网络电子身份标识格式规范
国家市场监督管理总局、国家标准化管理委员会2018年10月10日经国家标准公告2018年第13号发布，2019年5月1日实施。该标准规定公民网络电子身份标识的格式规范，统一身份标识的数据结构、编码规则与字段定义，实现跨系统、跨行业的网络身份互认互通。是网络可信身份体系建设的基础性格式标准。为替代明文身份信息认证、减少过度采集提供支撑。
GB/T 16649.11-2019 识别卡 集成电路卡 第11部分：通过生物特征识别方法的身份验证
国家市场监督管理总局、国家标准化管理委员会2019年8月30日经国家标准公告2019年第10号发布，2020年3月1日实施。该标准为识别卡集成电路卡系列标准的第十一部分，规定通过生物特征识别方法进行身份验证的机制与数据要求，支持卡上生物特征比对。涉及生物特征信息在卡内的存储与验证，隐私保护要求突出。为社会保障卡、金融IC卡的生物特征应用提供标准支撑。
GB/T 38671-2020 信息安全技术 远程人脸识别系统技术要求
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定远程人脸识别系统的技术要求，明确远程场景下活体检测、人脸比对、风险提示与数据保护要求，防范远程身份冒用风险。是远程开户、远程认证等场景人脸识别合规的核心标准。对落实人脸识别技术应用安全管理要求具有直接价值。
GB/T 40651-2021 信息安全技术 实体鉴别保障框架
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准给出实体鉴别保障框架，明确实体鉴别过程中的保障目标、保障等级与实现要求，支持鉴别强度的分级设计与评估。是网络身份鉴别体系设计与合规评估的框架标准。为实名认证与高安全业务鉴别强度选择提供参考。
GB/T 41196-2021 公共信用信息公示通则
国家市场监督管理总局、国家标准化管理委员会2021年12月31日经国家标准公告2021年第17号发布，2022年7月1日实施。该标准给出公共信用信息公示通则，明确公示的原则、内容、方式与期限要求，以及涉及个人信息的保护要求。是信用信息公开与个人信息保护平衡的重要规范。对信用中国等公示平台的合规运营具有直接价值。
GB/T 41387-2022 信息安全技术 智能家居通用安全规范
国家市场监督管理总局、国家标准化管理委员会2022年4月15日经国家标准公告2022年第6号发布，2022年11月1日实施。该标准规定智能家居的通用安全规范，明确智能家居设备、网关与云平台在身份鉴别、通信安全、数据保护与更新维护方面的要求。直指智能家居设备偷拍、窃听与数据泄露等突出风险。对家庭场景下个人信息与隐私保护具有直接价值。
GB/T 41772-2022 信息技术 生物特征识别 人脸识别系统技术要求
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准给出信息技术生物特征识别人脸识别系统的技术要求，明确系统的功能、性能、安全要求与测试评价方法。是人脸识别系统建设、检测与合规评估的核心标准。对落实人脸识别技术应用安全管理要求具有关键价值。
GB/T 41815.1-2022 信息技术 生物特征识别呈现攻击检测 第1部分：框架
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为生物特征识别呈现攻击检测的第一部分，给出框架，明确呈现攻击的概念、攻击类型与检测体系的总体架构。呈现攻击检测即活体检测，是防范照片与面具攻击的关键。对人脸识别支付与远程认证的合规具有基础作用。
GB/T 41815.2-2022 信息技术 生物特征识别呈现攻击检测 第2部分：数据格式
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准为生物特征识别呈现攻击检测的第二部分，规定数据格式，明确检测所用数据的数据结构、标注方式与交换格式。为呈现攻击检测算法的训练与评测提供统一数据规范。与框架部分配套支撑活体检测能力的标准化评价。
GB/T 41987-2022 公共安全 人脸识别应用 防假体呈现攻击测试方法
国家市场监督管理总局、国家标准化管理委员会2022年10月12日经国家标准公告2022年第13号发布，2023年5月1日实施。该标准规定公共安全人脸识别应用的防假体呈现攻击测试方法，明确测试样本、攻击类型、测试流程与结果判定规则。是人脸识别系统在公共安全领域抗攻击能力的评价依据。对降低身份冒用风险与人脸识别合规具有重要意义。
GB/T 37036.6-2022 信息技术 移动设备生物特征识别 第6部分：指静脉
国家市场监督管理总局、国家标准化管理委员会2022年12月30日经国家标准公告2022年第21号发布，2023年7月1日实施。该标准为移动设备生物特征识别的第六部分，规定指静脉识别在移动设备上的实现要求与安全要求，支持指静脉特征在终端侧比对。强调生物特征数据本地处理，隐私保护设计突出。是移动支付与终端身份鉴别的重要技术依据。
GB/T 37036.8-2022 信息技术 移动设备生物特征识别 第8部分：呈现攻击检测
国家市场监督管理总局、国家标准化管理委员会2022年12月30日经国家标准公告2022年第21号发布，2023年7月1日实施。该标准为移动设备生物特征识别的第八部分，规定呈现攻击检测的要求与测试方法，防范移动设备上的假体攻击。是移动设备生物识别安全能力的强制性评价内容。对指纹解锁与人脸解锁等功能的合规具有直接意义。
GB/T 41575-2022 未成年人互联网不健康内容分类与代码
国家市场监督管理总局、国家标准化管理委员会2022年7月11日经国家标准公告2022年第8号发布，2023年2月1日实施。该标准给出未成年人互联网不健康内容的分类与代码，明确面向未成年人保护的互联网不良信息的分类体系与标识方法。是未成年人网络保护与内容治理的基础分类标准。为青少年模式与内容过滤系统建设提供统一编码。
GA/T 2380-2026 信息安全技术 网络安全等级保护数据安全基本要求
公安部2026年第1号公共安全行业标准公告发布，2026年6月1日实施。该标准以GB/T 22239-2019为基础，首次在等级保护框架下设立独立的数据安全专项要求，将数据分为一般数据、重要数据、核心数据三级，按等保一至四级差异化规定采集、传输、存储、处理、交换、销毁全生命周期要求，新增"安全数据处理"大类，与GB/T 35273、GB/T 45574衔接，是企业数据安全合规的刚性依据。
GA 1277.14-2026 互联网交互式服务安全管理要求 第14部分：寄送类互联网服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于寄递物流类互联网服务。标准要求平台落实真实身份信息认证、用户账号信息管理，对寄件人与收件人姓名、电话、地址等个人信息采取加密存储、去标识化展示与最小范围使用措施，建立订单信息留存期限与销毁机制，并配合监管部门开展数据调取与违法信息处置，压实寄递场景个人信息保护义务。
GA 1277.15-2026 互联网交互式服务安全管理要求 第15部分：电子邮件服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于电子邮件服务。标准要求服务提供者落实用户真实身份信息认证与账号信用管理，对邮件内容与通信录等数据采取加密传输与存储措施，建立垃圾邮件与违法信息识别处置机制，规范日志留存期限与对外提供规则，并为用户行使查阅、复制、删除个人信息权利提供便捷渠道。
GA 1277.16-2026 互联网交互式服务安全管理要求 第16部分：短视频服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于短视频服务。标准要求平台落实真实身份信息认证，建立健全内容审核与推荐算法安全机制，明确个性化推荐关闭选项，对未成年人使用实行时段时长管理与内容池限制，规范用户地理位置、设备标识等个人信息采集，并建立信息发布审核、监测预警与违法账号处置制度。
GA 1277.17-2026 互联网交互式服务安全管理要求 第17部分：网络游戏服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于网络游戏服务。标准要求网络游戏服务提供者落实用户真实身份信息认证与未成年人防沉迷管理，对游戏账号、支付信息、通信信息等数据采取分类分级保护与加密措施，建立游戏内信息发布审核、违规账号处置与个人信息查询删除机制，并规范对外提供个人信息与数据出境的安全评估要求。
GA 1277.18-2026 互联网交互式服务安全管理要求 第18部分：知识分享/网络文学服务
公安部2026年第2号公共安全行业标准公告发布的强制性行业标准，2026年7月1日实施，适用于知识分享与网络文学服务。标准要求平台落实真实身份信息认证与账号信息管理，建立内容审核、特征库比对与违法信息处置机制，规范用户阅读偏好、浏览记录等个人信息的收集使用边界与个性化推荐关闭选项，明确数据留存期限、权限控制与对外提供规则，压实内容生态治理义务。
GA/T 2390-2026 信息安全技术 数据脱敏产品安全技术要求和测试评价方法
公安部2026年第2号公共安全行业标准公告发布，2026年7月1日实施。该标准规定了数据脱敏产品的安全功能要求、自身安全要求和测试评价方法，覆盖静态与动态脱敏、脱敏算法可配置性、脱敏结果不可逆与一致性验证、敏感数据自动发现、脱敏效果检测评价等能力项，适用于数据脱敏产品的设计、开发、检测与选型，为企业落实个人信息去标识化与敏感数据保护提供可量化依据。
网络安全标准实践指南——座舱数据处理安全要求
全国网络安全标准化技术委员会秘书处2026年9月15日以网安秘字〔2026〕112号发布，编号TC260-PG-202615A。随着座舱语音交互与车内图像视频识别成为主流配置，车内摄像头、传声器收集大量含敏感个人信息的数据。指南依据个人信息保护法、数据安全法、网络数据安全管理条例及汽车数据安全管理若干规定，给出安全基本要求、安全技术要求和安全管理要求，细化收集、存储、传输、使用各环节规则。
网络安全标准实践指南——人工智能应用安全指引 卫生健康
全国网络安全标准化技术委员会秘书处2026年9月15日以网安秘字〔2026〕118号发布，属人工智能应用安全指引系列中的行业领域文件。指南面向卫生健康领域人工智能应用，针对辅助诊断、医学影像分析、健康管理、临床科研等场景，明确医疗健康数据与生物特征信息的脱敏处理、授权访问、模型训练合规与结果可解释要求，强化诊疗决策中人工复核机制，为医疗机构合规应用人工智能提供安全实践指引。
网络安全标准实践指南——半导体存储介质块擦除技术指引
全国网络安全标准化技术委员会秘书处2026年9月15日以网安秘字〔2026〕116号发布，为配套GB 46864-2025《数据安全技术 电子产品信息清除技术要求》强制性国家标准落地实施而编制。指南针对固态硬盘、U盘、存储卡等半导体存储介质的物理特性，给出块级擦除的技术方法、擦除效果验证与不可恢复性判定规则，解决传统覆写方式在闪存介质上失效的问题，指导相关单位规范开展信息清除活动。
网络安全标准实践指南——电子产品回收过程中的信息清除管理指引
全国网络安全标准化技术委员会秘书处2026年9月15日以网安秘字〔2026〕116号发布，配套GB 46864-2025强制性国家标准实施。指南面向电子产品回收经营主体，从管理制度层面规定回收环节信息清除的组织责任、岗位设置、作业流程、清除记录留存与可追溯要求，明确二手电子产品流入市场前必须完成信息清除并出具证明，防止因回收流转导致用户个人信息泄露。
网络安全标准实践指南——移动智能终端信息清除技术指引
全国网络安全标准化技术委员会秘书处2026年9月15日以网安秘字〔2026〕116号发布，配套GB 46864-2025强制性国家标准实施。指南针对智能手机、平板等移动智能终端，给出恢复出厂设置、加密密钥销毁、用户分区与系统分区清除的技术要求与验证方法，明确终端厂商应提供可靠清除功能并向用户说明效果，规范终端淘汰、维修与二手流转场景下的个人信息清除实践。
医疗人工智能应用 数据安全与隐私保护规范、呼叫中心运营能力评价规范（团体标准征求意见稿）
中国电子商会2026年9月1日就《医疗人工智能应用 数据安全与隐私保护规范》等两项团体标准征求意见，公示期至9月30日。该标准为全国首部医疗人工智能数据安全团体标准，由中国电子商会归口、国家药品监督管理局信息中心与中国质量认证中心等联合起草，构建覆盖数据分类分级、全生命周期安全管理、隐私保护技术应用及多方协作责任界定的标准化框架。
数据安全技术 图形图像数据二次利用隐私保护与合规评估要求等4项团体标准（征求意见稿）
中国图像图形学会2026年9月24日就4项团体标准公开征求意见，反馈截止10月22日，其中《数据安全技术 图形图像数据二次利用隐私保护与合规评估要求》由中国电信人工智能研究院牵头编制。该标准面向图形图像数据二次利用场景，规定隐私保护要求与合规评估方法；同批还包括农业物联网视觉与环境传感数据接口、智能蒸烤场景食材识别与真值数据标注等标准。
T/BFIA 070-2026 智能体技术金融应用安全要求
北京金融科技产业联盟2026年8月27日发布（T/BFIA 070-2026），系国内首个聚焦金融领域智能体应用安全的团体标准。由北京国家金融科技认证中心牵头，邮储银行、工商银行、中国银联及蚂蚁、华为、腾讯云等共同制定。标准就初始化与输入、模型推理与决策、身份鉴别与操作、数据安全与隐私保护、风险防控与合规五方面提出要求，明确第三方智能体未经授权不得利用系统权限自动化操作金融应用软件界面。
GB/T 47694-2026 网络安全技术 移动互联网未成年人模式技术要求
2026年第23号国家标准公告（2026-05-25）批准发布GB/T 47694-2026《网络安全技术 移动互联网未成年人模式技术要求》，自2026-12-01起实施。该标准规定了移动互联网未成年人模式的功能、内容管理、时长管理、身份识别与个人信息保护技术要求，细化防沉迷与适龄内容供给机制，适用于终端、应用与分发平台。
GB/T 34977-2017 信息安全技术 移动智能终端数据存储安全技术要求与测试评价方法
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年5月1日实施。该标准规定移动智能终端数据存储安全技术要求与测试评价方法，明确终端本地数据的加密存储、访问控制、安全擦除与备份恢复要求，防范终端丢失导致的数据泄露。与终端应用软件、操作系统安全标准共同构成移动智能终端安全标准体系。
GB/T 34830.1-2017 信用信息征集规范 第1部分：总则
国家质量监督检验检疫总局、国家标准化管理委员会2017年11月1日经国家标准公告2017年第29号发布，2018年2月1日实施。该标准规定信用信息征集规范的总则，明确信用信息征集的基本原则、征集范围、征集方式与质量要求，规范征信与信用服务机构的数据采集行为。是社会信用体系建设与征信业务合规的重要基础标准。对涉及个人信用信息的采集边界与合规要求具有规范作用。
GB/T 38632-2020 信息安全技术 智能音视频采集设备应用安全要求
国家市场监督管理总局、国家标准化管理委员会2020年4月28日经国家标准公告2020年第8号发布，2020年11月1日实施。该标准规定智能音视频采集设备的应用安全要求，明确设备的身份鉴别、访问控制、数据传输加密、数据存储与用户告知要求。直指智能摄像头等设备的偷拍与数据泄露风险。与公共场所图像采集与个人信息保护要求直接相关。
GB/T 38542-2020 信息安全技术 基于生物特征识别的移动智能终端身份鉴别技术框架
国家市场监督管理总局、国家标准化管理委员会2020年3月6日经国家标准公告2020年第1号发布，2020年10月1日实施。该标准给出基于生物特征识别的移动智能终端身份鉴别技术框架，明确在终端侧完成生物特征采集、比对与结果输出的安全要求。强调生物特征数据本地处理与不出终端，隐私保护价值突出。是移动支付与终端解锁等场景合规设计的重要依据。
GB/T 40645-2021 信息安全技术 互联网信息服务安全通用要求
国家市场监督管理总局、国家标准化管理委员会2021年10月11日经国家标准公告2021年第12号发布，2022年5月1日实施。该标准规定互联网信息服务的安全通用要求，明确服务提供者在身份核验、内容安全、数据保护、日志留存与应急处置方面的要求。是互联网信息服务合规与App治理的重要通用标准。与个人信息保护、算法推荐等监管要求形成配套。
GB/T 34994.1-2026 可信教育数字身份 第1部分：教育卡技术要求
国家标准化管理委员会 2026 年第 43 号公告发布的推荐性国家标准，2026 年 9 月 28 日发布，2027 年 4 月 1 日实施，代替 GB/T 34994.1-2017。该标准规定可信教育数字身份体系第 1 部分教育卡的技术要求，明确教育卡的身份标识、数据模型、安全芯片、读写接口与生命周期管理规则，规范持卡人个人信息的最小化采集与授权使用，支撑教育数据跨系统可信共享。
GB/T 48666-2026 电子病历版式文档技术要求
GB/T 48666—2026《电子病历版式文档技术要求》由国家密码管理局归口，国家卫生健康委统计信息中心、中国电子技术标准化研究院等单位起草，2026年9月28日经国家市场监督管理总局、国家标准化管理委员会批准发布，2027年4月1日起实施。标准基于我国自主版式文档标准OFD建立电子病历统一格式，基于国产商用密码升级病历安全防护，支持人读与机读，为病历跨机构调阅及人工智能应用提供多模态数据基础。
GB/Z 297-2026 人工智能 隐私计算通用框架
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件提出人工智能隐私计算通用框架，梳理多方安全计算、联邦学习、可信执行环境、差分隐私与同态加密等技术路线的适用场景，明确参与方角色、安全假设、数据最小化与合规验证要求，为人工智能训练与推理中实现数据可用不可见提供框架性依据。
GB/Z 300-2026 人工智能操作系统权限管理要求
国家标准化管理委员会 2026 年第 40 号公告发布的国家标准化指导性技术文件，2026 年 9 月 24 日发布并实施。该文件规定人工智能操作系统的权限管理要求，明确模型、智能体、应用与用户之间的权限模型，规范敏感数据访问、系统能力调用、跨应用协同的授权与审计机制，为防范智能体越权操作与数据滥用提供技术约束。
数据安全技术 数据提供、委托处理、共同处理实施指南（征求意见稿）
全国网络安全标准化技术委员会2026年7月15日发布征求意见的国家标准，意见反馈截止2026年9月13日。文件针对数据安全法、个人信息保护法规定的数据提供、委托处理、共同处理三类典型场景，细化各方安全责任划分、合同约定事项、安全能力评估、过程记录与留痕、审计监督等实施要求，填补多主体协同处理数据场景下的操作指引空白，与数据安全能力成熟度模型新增的委托处理、共同处理过程域相互衔接。
信息安全技术 个人信息安全规范
本标准系统规范了个人信息处理全过程中的安全要求，界定个人信息与敏感个人信息的范围，确立合法正当必要诚信等基本原则，对收集、存储、使用、共享、转让、公开披露、删除等生命周期环节提出管理规范和安全技术措施，强调告知同意、最小必要、质量保障和个人权利保护，为各类组织建立健全个人信息安全保护体系提供依据。
数据安全技术 敏感个人信息处理安全要求
本标准确立了敏感个人信息的识别和界定规则，规定其处理通用安全要求与特殊安全要求。通用要求涵盖收集合法性、收集要求、告知同意及安全保护等方面；特殊要求针对生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人个人信息等类别分别提出差异化保护措施，适用于个人信息处理者及相关监管评估活动。
网络安全标准实践指南-敏感个人信息识别指南
本实践指南依据个人信息保护法、网络安全法、数据安全法等法律法规制定，给出敏感个人信息识别规则，明确一旦泄露或非法使用容易导致人格尊严、人身安全或财产安全受到侵害的个人信息应识别为敏感个人信息，列举生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹及未成年人个人信息等常见类别和示例，为组织开展敏感个人信息识别与保护工作提供指引。
信息安全技术 个人信息去标识化指南
本标准提供了个人信息去标识化的技术指导，界定去标识化、直接标识符、准标识符、重标识等核心概念，明确去标识化目标、原则和流程，介绍抑制、泛化、置换、扰动、分解、截断等常用技术方法，提出重标识风险分析、效果评估和分级保护要求，适用于组织降低个人信息可识别性、在保障数据可用性和业务价值的同时保护个人信息安全。
信息安全技术 个人信息去标识化效果评估指南
本标准给出了个人信息去标识化效果评估的技术指南，明确评估原则、流程和方法，提出重标识风险分析、数据集效用评价及评估结果判定等技术要求，帮助组织科学衡量去标识化措施的有效性，合理控制个人信息重标识风险，为数据共享流通与开发利用提供安全保障，在促进数据价值释放的同时保护个人信息权益。
数据安全技术 个人信息匿名化处理指南及评价方法
规定个人信息匿名化处理的指南和评价方法，明确匿名化的定义、技术要求（k-匿名、l-多样性、差分隐私等）、处理流程和效果评估准则。为组织判断是否已对个人信息实现了"经过处理无法识别特定自然人且不能复原"的匿名化状态提供技术参考，是推动数据要素流通利用的基础标准。
信息安全技术 个人信息安全工程指南
本标准提供了个人信息安全工程的技术指南，指导组织将个人信息保护要求系统融入信息系统全生命周期，明确需求分析、设计开发、测试验证、发布运行、维护退役等各阶段的安全工程活动，强调风险识别、个人信息保护影响评估、安全技术措施和管理制度相结合，适用于组织提升系统个人信息保护能力、合规水平和工程化实践水平。
数据安全技术 大型互联网企业内设个人信息保护监督机构要求
本标准规定了大型互联网企业建立和运行个人信息保护监督机构的要求，明确机构由七至十五名内外部成员组成且外部成员不低于三分之二，规定成员任职资格、提名任免、履职保障及工作机制，对个人信息保护制度、影响评估、合规审计、社会责任报告、安全事件应急和泄露事件等实施监督，适用于企业建立监督机构及监管评估活动。
数据安全技术 数据安全和个人信息保护社会责任指南
本标准旨在为各类组织提供数据安全和个人信息保护社会责任履行指南，内容涵盖组织治理、合规性与创新性、公平运行及竞争合作、用户权益保护、公益参与和社会发展、社会责任披露等主题，帮助组织识别适用议题、配置资源、开展绩效评价并定期披露履责情况，适用于组织开展相关活动以及第三方机构评价组织履行数据安全和个人信息保护社会责任的情况。
数据安全技术 小型个人信息处理者个人信息保护指南
针对小型个人信息处理者（员工少于250人或年营业额低于5000万欧元等规模标准），制定简化的个人信息保护指南。在确保个人信息安全的基础上，适当简化合规义务要求，减轻中小企业合规负担，同时保障基本的个人信息保护水平。
数据安全技术 互联网平台及产品服务个人信息处理规则
本标准针对互联网平台及产品服务，系统规定个人信息处理规则的基本要求、编制程序、内容构成和发布修订机制，要求规则清晰完整、便于理解，须包含处理主体、适用范围、摘要、收集使用、安全保护、跨境流动、主体权利、更新规则及争议解决等内容，并强调在收集前提示阅读、设置一键访问、按业务功能分别获取授权，保障个人信息主体知情权与选择权。
信息安全技术 个人信息处理中告知和同意的实施指南
本标准围绕个人信息处理中的告知与同意义务，明确告知的内容要素、形式方式、时机场景以及告知豁免情形，规范同意的自愿性、明确性和具体性要求，确立撤回同意、拒绝处理、重新征求同意和特殊群体告知等机制，帮助个人信息处理者落实公开透明和主体参与原则，保障个人信息主体对其信息处理的自主决定权和合法权益。
数据安全技术 基于个人信息的自动化决策安全要求
本标准针对基于个人信息的自动化决策，提出合法正当、公开透明、公平公正、主体参与和数据质量原则，规定通用安全要求、算法安全要求、特征生成安全要求、决策安全要求以及教育就业、信用贷款、公共治理、劳动关系、特殊群体、信息推送、商业交易等典型场景的特别要求，适用于规范自动化决策算法开发、特征生成和决策活动以及监管评估。
数据安全技术 基于个人请求的个人信息转移要求
依据《个人信息保护法》第45条个人信息可携带权的要求，规定基于个人请求实现个人信息跨平台转移的技术规范。包括数据导出格式标准、身份验证、数据打包传输、完整性校验等要求，保障个人数据可携带权的技术可操作性。
数据安全技术 未成年人产品和服务个人信息保护要求
针对面向未成年人的产品和服务，提出专门的个人信息保护要求。包括未成年人年龄识别和验证、分级保护机制、监护人同意获取、合理限制信息收集范围和保存期限、禁止基于未成年人个人信息的自动化决策等，落实最有利于未成年人原则。
信息安全技术 个人信息安全影响评估指南
本标准提供个人信息安全影响评估的系统方法，明确评估的适用情形、目标、流程、参与人员及评估报告内容，要求识别个人信息处理活动的类型、规模、目的、方式、处理者和接收方，分析对个人信息主体权益的影响及风险等级，提出安全保护措施有效性和残余风险评估方法，适用于个人信息处理者开展自评估和主管监管部门、第三方机构实施监督评价。
数据安全技术 个人信息保护合规审计要求
本标准提出个人信息保护合规审计原则与总体要求，规定审计准备、实施、报告、问题整改和归档管理等实施流程，明确处理活动合法性、处理规则规范性、告知义务、共同与委托处理、自动化决策、敏感信息、未成年人信息、跨境提供、删除权保障、权利响应、内部制度、安全技术措施、教育培训、保护负责人、影响评估、安全事件应急、大型平台规则、社会责任报告等审计内容和方法。
数据安全技术 个人信息保护合规审计专业机构服务能力要求
规定个人信息保护合规审计专业机构的服务能力要求，包括机构资质条件、审计人员专业能力、审计工具和方法、独立性和保密性要求、质量管理体系等，为审计机构的市场准入和质量管控提供标准依据。
网络安全标准实践指南-个人信息保护合规审计 专业机构服务能力要求
本实践指南规范承担个人信息保护合规审计服务的专业机构能力要求，从基本条件、管理能力、专业能力、人员能力和场所设备资源能力五个方面提出要求，涵盖机构资质、管理制度、风险控制、业务持续、人员分级与数量、培训学时、审计工具、环境安全等内容，为专业机构建设服务能力和个人信息处理者选择合适机构提供参考依据。
网络安全标准实践指南-个人信息保护合规审计要求
本实践指南依据个人信息保护法及相关法规标准制定，提出个人信息保护合规审计原则与总体要求，规定审计准备、实施、报告、问题整改和归档流程，详细规定处理合法性、规则规范、告知义务、共同与委托处理、自动化决策、敏感信息、未成年人信息、跨境提供、删除权、主体权利响应、内部制度、安全技术措施、影响评估、应急预案、事件处置、大型平台规则和社会责任报告等审计内容与方法。
信息安全技术 移动互联网应用程序(APP)个人信息安全测评规范
本规范明确移动互联网应用程序个人信息安全测评的对象、方法、流程与判定准则，围绕个人信息收集、使用、存储、传输、共享、删除及用户权利保障等环节建立测评指标，系统评估App个人信息保护水平与合规程度，适用于第三方测评机构开展App个人信息安全测评，也可为运营者自查整改和主管部门监督管理提供技术依据与操作指引。
网络安全标准实践指南-移动互联网应用程序(App)收集使用个人信息自评估指南
本指南依据网络安全法等法律法规及相关标准，针对移动互联网应用程序收集使用个人信息行为提出六项自评估要点，包括公开收集使用规则、明示目的方式范围、征得用户同意、遵循必要原则、经同意向他人提供信息、提供删除更正及投诉举报渠道，为App运营者和小程序快应用等开展个人信息保护自评估提供实践指引。
数据安全技术 个人信息跨境处理活动安全认证要求
本文件规定个人信息跨境处理活动应遵循合法正当必要诚信、公开透明、同等保护、责任明确等基本原则，以及具有法律约束力文件、组织管理、跨境处理规则、个人信息保护影响评估等基本要求，明确个人信息主体知情权、决定权、删除权等权利与境内外处理者的告知、同意、安全保护、事件应急等义务责任，适用于规范个人信息跨境处理活动及开展监督管理和安全认证。
网络安全标准实践指南-个人信息跨境处理活动安全认证规范(V2.0)
本规范作为个人信息跨境处理活动个人信息保护认证的依据，明确合法正当必要诚信、公开透明、信息质量保障、同等保护、责任明确、自愿认证等基本原则，规定法律约束力文件、组织管理、跨境处理规则、个人信息保护影响评估等要求，保障个人信息主体知情权、决定权、删除权、投诉举报及司法救济等权益，适用于认证机构开展认证和运营者规范跨境处理活动。
网络安全标准实践指南-粤港澳大湾区(内地、香港)个人信息跨境处理保护要求 (V1.0)
本文件为促进粤港澳大湾区内地与香港个人信息跨境安全有序流动提供指引，规定合法正当诚信、最小必要、公开透明、权益保障、确保安全、责任明确等基本原则，明确个人信息收集、存储、使用、加工、委托处理、提供、公开及跨境传输等处理要求，以及个人信息主体权利保障、安全管理措施和跨境安全互认认证认可安排，适用于大湾区内地与香港间的个人信息跨境处理活动。
信息安全技术 移动互联网应用程序(App)收集个人信息基本要求
本标准规定移动互联网应用程序收集个人信息的基本要求，明确App运营者责任、个人信息分类及必要信息界定，规范收集目的、方式、范围、用户告知、同意机制、系统权限申请、第三方代码插件管理、定向推送及用户画像等活动，要求仅收集与业务功能直接相关的必要个人信息，适用于App个人信息收集活动的设计、开发、运行和监督管理。
网络安全实践指南-移动互联网应用基本业务功能必要信息规范
本指南依据网络安全法等法律法规及相关国家标准，围绕移动互联网应用程序收集使用个人信息行为，从公开收集使用规则、明示目的方式范围、征得用户同意、遵循必要原则、经同意向他人提供信息、提供删除更正及投诉举报渠道六个方面提出自评估要求，为App运营者及小程序快应用等规范个人信息处理活动提供实践指引。
网络安全标准实践指南-移动互联网应用程序(App)个人信息保护常见问题及处置指南
本指南针对移动互联网应用程序个人信息保护中存在的未说明收集目的类型方式、隐私政策未明示同意、超范围收集、强制捆绑授权、未经同意收集、申请权限未同步告知目的、实际行为与声明不一致、未经同意向第三方提供、未提供删除更正投诉渠道、未提供有效注销途径等十大常见问题，逐一描述典型情形并提出具体处置建议，供App提供者开发者和分发平台等防范处置参考。
网络安全标准实践指南-移动互联网应用程序(App)系统权限申请使用指南
本实践指南针对移动互联网应用程序申请使用系统权限中存在的强制、频繁、过度索权及捆绑授权等问题，提出了最小必要、用户可知、不强制不捆绑、动态申请等基本原则和通用要求，并针对安卓系统日历、通话记录、相机、通讯录、位置、麦克风、电话、传感器、短信、存储等十类典型权限的申请使用场景、目的及限制条件作出具体规定，旨在规范App系统权限申请使用行为，防范个人信息安全风险。
网络安全标准实践指南-摇一摇广告触发行为安全要求
本实践指南针对App开屏摇一摇广告触发阈值过低、将用户走路乘车或拿起放下手机等日常动作误识别为广告点击而乱跳转的问题，提出了合法性、透明性、适度性和个人信息保护原则，要求广告标识显著、操作结果明确、跳转灵敏度阈值设置合理以避免非自愿触发，并在App设置中提供便捷的关闭渠道，以保障用户对摇一摇广告的知情权和选择权。
信息安全技术 移动互联网应用程序(App)软件开发工具包 (SDK)安全要求
本标准规定了移动互联网应用程序软件开发工具包在设计、开发、发布、运营、终止运营等全生命周期的安全要求，以及个人信息收集、存储、使用、加工、传输、提供、公开、删除等处理活动的安全要求，明确了SDK运营者应仅包含声明功能、进行安全自评估、提供数字签名、建立投诉响应机制等义务，适用于SDK开发运营及安全检测评估。
网络安全标准实践指南-移动互联网应用程序(App)使用软件开发工具包(SDK)安全指引
本实践指南分析了App使用SDK过程中面临的安全漏洞、恶意行为及违法违规收集使用个人信息等常见安全问题，明确了App用户、App提供者和SDK提供者等相关方责任，提出了权责一致、目的明确、选择同意、最小必要、公开透明、确保安全等基本原则，并从安全选型、嵌入审查、运行监测、信息披露、用户同意等方面给出了具体安全措施，旨在减少因SDK造成的App安全与个人信息保护风险。
数据安全技术 应用商店的移动互联网应用程序(App)个人信息处理规范性审核与管理指南
本标准给出了应用商店运营者对移动互联网应用程序个人信息处理规范性进行审核与管理的指南，涵盖App上架前的运营者信息、隐私政策、个人信息范围、系统敏感权限、第三方SDK等审核验证要求，以及上架后个人信息处理情况展示、安全标识、运营者管理、日常监督与问题处置等管理措施，适用于应用商店运营者及第三方评估机构参考。
数据安全技术 移动智能终端的移动互联网应用程序(App)个人信息处理活动管理指南
本指南针对移动智能终端上App在安装、启动、运行、更新、退出、卸载等生命周期阶段的个人信息安全风险，提出了公开透明、方便管理、确保安全、细致管控、合理适度的管理原则，要求终端提供敏感权限使用提示、调用行为记录、个人信息集中展示、唯一设备识别码访问控制、细粒度权限管理、自启动与关联启动管理等机制，以增强用户对个人信息处理的感知和控制能力。
信息安全技术 移动智能终端预置应用软件基本安全要求
本标准规定了移动智能终端预置应用软件的基本安全要求，明确除基本功能软件外其他预置应用软件均应可卸载，基本功能软件限于系统设置、文件管理、多媒体摄录、接打电话、收发短信、通讯录、浏览器、应用商店等范围，并对卸载安全、安全技术要求、个人信息安全、预置环节安全管理、安全信息明示及安全问题响应等作出规范。
信息技术 安全技术 公有云中个人信息保护实践指南
对应ISO/IEC 27018:2019，规定公有云中处理个人信息的保护实践指南。明确云服务提供者作为个人信息处理者/受托处理者的角色和相应义务，涵盖透明度、使用限制、数据安全、跨境传输等保护措施，适用于云计算环境中的个人信息合规管理。
信息安全技术 即时通信服务数据安全要求
本标准规范即时通信服务数据安全要求，适用于提供即时通信服务的组织与个人用户场景，明确服务提供者、平台运营者等主体安全责任，界定账号信息、联系人信息、消息内容等数据类型，提出数据收集、存储、使用、传输、共享、删除等全生命周期安全要求，要求建立安全管理制度、采取加密、访问控制、安全审计等技术措施，防范数据泄露与滥用，保障用户个人信息和通信数据安全。
信息安全技术 快递物流服务数据安全要求
本标准规定快递物流服务数据安全要求，适用于快递物流服务提供者处理寄件人、收件人、运单信息、物流轨迹、支付信息等数据活动，明确数据分类分级、全生命周期安全、移动应用安全管理、第三方管理和个人信息保护要求，要求采取加密、脱敏、访问控制、日志审计等技术措施和管理制度，防范数据泄露、篡改、滥用与非法使用，保障用户合法权益和物流数据安全。
信息安全技术 网上购物服务数据安全要求
本标准规定网上购物服务的数据安全要求，明确网上购物平台经营者、卖家及其他相关主体在数据收集、存储、使用、共享、转让、公开披露及删除等全生命周期环节的安全义务，要求建立数据安全管理制度，采取加密、访问控制等技术措施保障用户个人信息与交易数据安全，规范第三方接入与跨境传输行为，适用于通过互联网销售商品或提供服务的网络购物活动。
信息安全技术 网络音视频服务数据安全要求
本标准规定网络音视频服务的数据安全要求，适用于网络音视频平台、内容生产者、第三方服务提供者及用户等主体，明确个人信息与内容数据在收集、存储、使用、共享、公开披露、删除等处理活动中的安全规范，要求建立分类分级保护、访问控制、内容审核、日志留存与应急处置机制，细化日志审计与数据主体权利响应要求，防范数据泄露与滥用风险。
GB 46859-2025 儿童手表安全技术要求
国家市场监督管理总局、国家标准化管理委员会2025年12月2日经国家标准公告2025年第32号发布，2027年1月1日实施。该标准为强制性国家标准，规定儿童手表的定位、通信、内容过滤与网络行为管理要求，明确个人信息收集最小化、监护人同意、默认关闭非必要权限及儿童个人信息保护义务，是未成年人网络保护的重要技术门槛。
网络安全标准实践指南-扫码点餐个人信息保护要求
针对餐饮行业扫码点餐场景中的个人信息保护提出技术要求和最佳实践。明确商家不得强制用户授权范围外的个人信息（如位置、相册等）、不得以扫码点餐为由过度收集个人信息、须提供不授权个人信息也能点餐的替代方式等合规要求。
信息安全技术 步态识别数据安全要求
本标准规定步态识别数据的安全要求，明确步态数据在采集、传输、存储、使用、共享、转让、删除等全生命周期处理规范，要求运营者采取去标识化、加密、访问控制、安全审计等技术措施，防范重识别、滥用与泄露风险，规范第三方提供、跨境传输及安全事件应急处置，细化个人信息影响评估与权益保护要求，建立持续改进机制。
网络安全标准实践指南-人脸识别支付场景个人信息安全保护要求
本指南针对人脸识别支付场景提出个人信息安全保护要求，明确支付服务提供者、收单机构、终端设备厂商等主体责任，规范人脸信息采集、存储、比对、传输与删除等环节，要求取得用户单独同意、采取加密与不可逆处理、建立安全审计与事件应急机制，防范人脸信息泄露、冒用与欺诈风险，保障支付安全与用户合法权益。
信息安全技术 - 移动互联网应用 (App) 收集个人信息基本要求
本标准规范移动应用软件收集个人信息活动，明确App运营者收集个人信息的基本原则与最小必要要求，规定告知同意、权限申请、收集范围、敏感信息处理、第三方软件开发工具包管理及拒绝提供服务的限制，要求建立个人信息保护机制、开展安全评估并持续改进，保障用户合法权益，适用于App收集、使用个人信息的设计、开发与运营。
移动互联网应用程序 (App) 个人信息安全防范常见问题及处置指南
本指南梳理移动互联网应用程序个人信息安全防范常见问题，覆盖隐私政策、权限申请、收集使用、账号注销、第三方共享、跨境传输、安全事件等场景，提出针对性处置建议、最佳实践与合规培训要求，帮助App运营者识别合规风险、落实告知同意与最小必要原则，提升个人信息保护水平，适用于移动互联网应用安全自查与整改。
网络安全标准实践指南 - 移动互联网应用程序 (App) 收集使用个人信息自评估指南
本指南为App运营者提供个人信息收集使用自评估方法，明确评估目的、原则与流程，围绕隐私政策、告知同意、收集范围、使用目的、用户权利保障、第三方共享、安全措施等维度设计评估要点，帮助组织识别合规差距、制定整改措施、开展合规培训并持续改进，提升个人信息保护能力，推动行业合规发展，适用于App自评估与第三方评估参考。
信息安全技术 - 网络数据处理安全要求
本标准规定网络数据处理安全要求，明确网络运营者开展数据收集、存储、使用、加工、传输、提供、公开、删除等活动的安全义务，要求建立数据分类分级保护、风险评估、安全审计与事件应急机制，规范个人信息、重要数据与第三方应用管理，细化数据主体权利响应与持续改进要求，适用于网络数据处理活动的安全建设与合规管理。
网络安全标准实践指南 - 移动互联网应用程序 (App) 中的第三方软件开发工具包 (SDK) 安全指引
本实践指南针对移动互联网应用程序使用软件开发工具包过程中面临的安全风险，明确App用户、App提供者和SDK提供者三方角色与责任，梳理SDK自身安全漏洞、恶意行为以及违法违规收集使用个人信息等常见问题，提出最小必要、公开透明、权责一致等安全原则，分别给出App提供者选型评估、嵌入集成、安全检测和SDK提供者设计开发、发布运维、更新升级等安全措施。
网络安全标准实践指南 - 移动互联网应用程序 (App) 系统权限申请使用指引
本实践指南依据网络安全法律法规和政策标准要求，归纳总结App个人信息保护十大常见问题，包括未说明收集使用目的、超范围收集、强制捆绑授权、未经同意收集、申请权限未同步告知目的、实际行为与声明不一致、未提供有效账号注销途径等，针对每类问题给出典型情形识别方法和具体处置建议，帮助App提供者防范、发现和整改个人信息保护合规风险。
信息安全技术 - 移动智能终端个人信息保护技术要求
本标准提出移动智能终端及应用程序个人信息保护技术要求，明确智能终端、终端应用、终端个人信息、个人信息主体和明示同意等术语定义，规定个人信息收集、使用、存储、传输、删除等处理活动的安全原则和具体技术要求，要求终端制造商、操作系统提供者和应用开发者采取技术与管理措施，防止信息泄露、滥用和非法访问，保障用户个人信息安全。
个人信息处理法律合规性评估指引
本文件为个人信息处理法律合规性评估建立统一术语和概念体系，明确评估目的、评估主体、评估对象、评估准则与评估方法，支持组织开展第一方、第二方和第三方法律合规性评估与咨询认证服务，帮助组织证明和声明个人信息处理的合规状态与合规能力，适用于各类组织的自我评估、监管检查、独立机构评估及监督管理工作。
信息安全技术 移动互联网应用程序 (App) 个人信息安全测评规范
本标准规定移动互联网应用程序个人信息安全测评的总体要求、测评内容和测评方法，明确测评对象、测评流程、判定准则及分级评估方法，围绕个人信息收集、使用、存储、共享、转让、公开披露、用户权利保障等环节提出具体测评指标和技术要求，规范App个人信息安全的第三方测评、自查整改和合规性评估活动，适用于各类移动互联网应用程序的个人信息安全测评工作。
信息安全技术 汽车数据处理安全要求
本标准规定汽车数据处理活动的通用安全要求，明确汽车数据、个人信息、敏感个人信息、重要数据、座舱数据等术语定义，提出数据收集、存储、使用、传输、删除、跨境提供等环节的安全处理要求，规范车外数据、座舱数据、个人信息和重要数据的处理原则与具体措施，强调默认不收集、告知同意、匿名化、访问控制等要求，适用于汽车数据处理者的安全管理和合规评估。
信息安全技术 个人信息安全工程
本标准提出个人信息安全工程的实施指南，适用于ICT产品和服务全生命周期，要求开展个人信息保护影响评估，明确采集、传输、存储、使用、删除等处理活动的安全设计原则，覆盖需求分析、设计开发、测试验证、上线运行、运维处置等阶段，强调最小必要、公开透明、用户自主控制，指导组织将个人信息保护要求融入系统工程过程，防范第三方组件和自动化决策带来的安全风险。
信息安全技术 移动智能终端的移动互联网应用程序 (App) 个人信息处理管理指南
本指南面向移动智能终端，提出App个人信息处理活动的管理措施，围绕安装、启动、运行、更新、退出、卸载等生命周期阶段，规范风险识别与控制要求，明确终端应提供权限调用指示、行为记录、敏感数据访问提示、唯一设备识别码控制、自启动关联启动管理等功能，强化用户对个人信息的可见性与可控性，适用于智能手机等终端的系统设计和开发，旨在促进App合理收集使用个人信息。
汽车整车信息安全技术要求
本标准规定了汽车整车信息安全管理体系、基本要求和技术要求及试验方法，适用于M类、N类及装有电子控制单元的O类车辆，明确车辆制造商应建立覆盖全生命周期的信息安全管理体系，开展风险评估与处置，规范外部连接安全、通信安全、软件升级安全和数据安全等技术措施，要求验证远程控制指令、V2X通信、密钥保护、敏感个人信息处理、入侵检测等能力，并规定了相应的检查与试验方法及同一型式判定规则。
信息安全技术 区块链信息服务安全规范
本标准规定区块链信息服务安全规范，明确服务提供者的安全责任与技术要求。规范涵盖区块链服务基础设施安全、智能合约安全、节点安全管理、数据安全与隐私保护、密码应用安全、身份认证与访问控制、安全审计与监测处置等内容，要求服务提供者建立健全安全管理制度，防范篡改攻击、私钥泄露、节点失效等风险，保障区块链信息服务可信运行，维护用户合法权益与网络数据安全。
信息安全技术 移动互联网应用程序 (App) 个人信息安全测评规范
本标准规范移动互联网应用程序个人信息安全测评要求，明确测评对象、测评内容与测评方法。测评覆盖个人信息收集、存储、使用、共享、转让、公开披露、删除等处理活动，重点评估告知同意、最小必要、权限申请、数据脱敏、安全保护措施、用户权利保障等内容。通过技术检测与管理审查相结合的方式，评估App个人信息处理活动的合规性与安全性，防范个人信息泄露滥用风险，保护用户合法权益。
信息安全技术 人工智能计算平台安全框架
本标准确立人工智能计算平台安全框架，规定安全功能、安全管理和角色安全职责。安全功能包括资源层计算存储网络虚拟资源安全、调度层资源与任务调度安全、应用支撑层数据处理与模型训练推理安全。安全管理涵盖身份管理、密码管理、日志管理、安全监测审计、风险管理及个人信息保护。角色职责明确平台提供方、数据提供方、模型提供方和应用提供方在保护模型与数据安全中的分工协作要求。
网络安全标准实践指南 - 网络数据安全风险评估实施指引
本指南依据网络安全法、数据安全法、个人信息保护法及相关国家标准，提出网络数据安全风险评估的思路、流程与内容，围绕数据安全管理、数据处理活动、数据安全技术和个人信息保护等方面识别风险隐患，适用于数据处理者自评估、第三方机构评估及监管部门检查评估，旨在发现数据安全问题、防范安全风险、提升整体数据安全保护水平。
汽车企业数据安全管理体系要求（没有下载）
针对汽车企业建立数据安全管理体系的指导性要求，涵盖汽车数据处理者应建立的数据安全管理制度、组织架构、人员管理、技术措施等要求。涉及汽车数据分类分级、用户个人信息保护、重要数据安全管理、数据安全风险评估和应急响应等内容，是汽车行业数据合规管理体系建设的重要参考文件。
信息安全技术 移动互联网应用程序 (APP) 个人信息安全测评规范
该标准规定移动互联网应用程序个人信息安全测评的技术要求、测评指标和方法流程，适用于移动智能终端上的APP、小程序等个人信息安全的测评、检测和评估。文件围绕个人信息收集、使用、存储、传输、披露、删除、用户权利保障等处理活动，提出安全测评指标、测试方法和结果判定规则，旨在规范APP个人信息处理行为，保护用户个人信息权益。
网络安全技术 终端计算机通用安全技术规范
该标准规定终端计算机通用安全技术要求和测试评价方法，适用于终端计算机安全功能的设计、开发、测试和评价。文件将终端计算机分为基本级和增强级，安全功能包括硬件接口安全、BIOS固件安全、个人信息安全、身份标识与鉴别、访问控制、运行时防护、安全审计、安全性分析、备份恢复、可信度量、无线安全和配置基线检查等。
数据安全技术 敏感个人信息处理安全要求
该标准确立敏感个人信息的识别和界定规则，规定敏感个人信息处理的通用安全要求和特殊安全要求。通用要求涵盖收集合法性、收集要求、告知同意、安全保护、访问控制、加密传输存储、安全审计等方面；特殊要求针对生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹以及不满十四周岁未成年人个人信息等类别提出差异化保护要求。
数据安全技术 数据安全风险评估方法
该标准描述数据安全风险评估的基本概念、要素关系、分析原理和实施流程，适用于数据处理者、第三方评估机构及主管部门开展数据安全风险评估。评估围绕数据和数据处理活动，通过信息调研、风险识别、风险分析与评价等阶段，从管理、处理活动、技术、个人信息保护等方面识别风险，形成风险清单、评估报告和整改建议。
网络安全技术 生成式人工智能预训练和优化训练数据安全规范
该标准规定生成式人工智能预训练和优化训练数据及其处理活动的安全要求，适用于服务提供者开展相关数据处理活动和安全自评估。文件提出通用安全要求，并从数据收集、预处理、使用等环节分别规定预训练数据和优化训练数据的安全要求，涵盖数据来源管理、违法不良信息过滤、个人信息保护、知识产权管理、投毒数据检测和真实性评估等内容。
电信和互联网服务 用户个人信息保护技术要求
该标准界定电信和互联网服务用户个人信息和权益保护的术语、保护范围、信息分类、分级对象和方法，适用于电信业务经营者和互联网信息服务提供者。文件将用户个人信息分为身份和鉴权信息、数据和服务内容信息、服务相关信息三类，依据敏感性将服务划分为一至五级，并针对不同级别提出基本保护和增强保护的技术与管理要求。
数据流通服务机构（数据商）服务能力评价指南
国家数据发展研究院2026年8月28日在数博会发布，联合深圳、北京、贵阳、广州等主要数据交易所及头部数据商、大模型企业共同编制，是我国数据流通服务领域首个全国性评价标准。指南征求全国超130家数据流通服务机构意见，构建基础支撑、合规管理、创新发展、生态协同四大能力评价体系，合规维度覆盖数据分类分级、个人信息保护影响评估、数据来源合法性审查、数据权属合规与流通溯源，并同步启动数据商能力基准标定计划。
数据出境安全评估申报指南（第二版）
该指南指导和帮助数据处理者规范、有序申报数据出境安全评估，适用于向境外提供重要数据或达到规定规模个人信息的数据处理者。文件明确申报适用范围、数据出境行为认定、申报方式与流程、材料完备性查验、评估结果及复评机制、所需材料清单及数据出境风险自评估报告模板，要求通过所在地省级网信办向国家网信办提交书面材料及电子版。
个人信息出境标准合同备案指南（第二版）
该指南指导和帮助个人信息处理者规范备案个人信息出境标准合同，适用于非关键信息基础设施运营者且出境个人信息规模符合规定条件的数据处理者。文件明确适用范围、备案方式与流程、所需材料、标准合同范本及个人信息保护影响评估报告模板，要求自合同生效之日起十个工作日内通过数据出境申报系统向省级网信部门备案。
粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引
该指引为促进粤港澳大湾区内地与香港之间个人信息跨境安全有序流动而制定，适用于注册于或位于粤港澳大湾区内地部分及香港特别行政区的个人信息处理者和接收方。文件明确通过订立标准合同跨境提供个人信息应坚持自主缔约与备案管理、保护权益与防范风险相结合，规定个人信息保护影响评估、标准合同备案、接收方义务、个人信息主体权利、监管及投诉举报等要求。
粤港澳大湾区（内地、澳门） 个人信息跨境流动标准合同
该合同为促进粤港澳大湾区内地与澳门之间个人信息跨境安全有序流动而制定，适用于注册于或位于大湾区内地部分及澳门特别行政区的个人信息处理者和接收方。合同明确双方权利义务，要求处理者履行告知、取得同意、开展个人信息保护影响评估等义务，接收方采取技术和管理措施保障信息安全、不得向大湾区以外提供个人信息，并约定个人信息主体权利、救济、违约责任、合同解除及争议解决等条款。
车联网信息服务用户个人信息保护要求
规定车联网信息服务中用户个人信息的保护要求，涵盖车联网信息服务场景下用户个人信息的收集、存储、使用、加工、传输、提供、公开等环节的安全保护要求。明确车联网信息服务提供者应遵守个人信息保护法，告知用户信息处理规则，征得用户同意，并为用户提供行使个人信息权利的便捷途径。
信息安全技术 机器学习算法安全评估规范
规定机器学习算法安全评估的基本原则、评估框架、评估指标和评估方法。覆盖算法公平性、可解释性、鲁棒性、隐私保护、安全可控等维度的安全评估要求，适用于机器学习算法在设计开发、测试验证、部署运行等阶段的安全评估工作，是人工智能安全治理的重要技术标准。
数据出境安全评估申报指南（第三版）
根据数据出境安全评估办法和促进规范数据跨境流动规定制定，明确关键信息基础设施运营者和自当年起累计向境外提供100万人以上个人信息或1万人以上敏感个人信息的处理者应申报安全评估，规定线上申报流程、材料要求、完备性查验、受理、评估、复评及有效期延长申请条件与程序，数据处理者须对材料真实性负责。
网信办数据出境安全管理政策问答202504
国家互联网信息办公室数据出境安全管理政策问答2025年4月版，系统回应数据出境安全管理制度设计、自贸试验区负面清单一致性、负面清单覆盖领域、个人信息出境必要性判断、重要数据识别、重要数据出境、外资企业参与标准制定、集团公司跨境传输个人信息、延长安全评估结果有效期等代表性问题，明确法律依据和实施路径。
网信办数据出境安全管理政策问答202510
国家互联网信息办公室数据出境安全管理政策问答2025年10月版，就促进和规范数据跨境流动规定中的豁免场景理解、酒店行业个人信息出境、员工个人信息跨境人力资源管理、重要数据申报时限、境外访问判定、系统升级是否重评、标准合同多次备案、重新订立合同情形、向境外第三方提供个人信息、认证依据和标准等十个问题作出解答。
数据基础设施 隐私保护计算公共服务平台（征求意见稿）
全国数据标准化技术委员会2026年8月20日公开征求意见的9项数据基础设施技术文件之一，意见截止9月3日。文件回应数据流通中“可用不可见”的核心诉求，针对安全多方计算、联邦学习、可信执行环境、同态加密等主流技术路线长期各建各的局面，规定隐私保护计算公共服务平台必须具备的能力、性能指标与安全底线，降低多主体跨域数据协作的适配成本。
生成式人工智能个人信息保护技术要求 第1部分：总则.
建立生成式人工智能个人信息保护技术要求的总体框架和基本要求（第1部分：总则），明确生成式AI服务中个人信息的识别、分类、风险评估和保护措施等基础要求，是生成式AI领域个人信息保护的系列标准的总纲。
粤港澳大湾区（内地、澳门）个人信息跨境流动标准合同实施指引
粤港澳大湾区内地澳门个人信息跨境流动标准合同实施指引由国家网信办与澳门相关机构共同制定，适用于粤港澳大湾区内地九市与澳门之间的个人信息跨境流动，采用标准合同与备案管理相结合方式，要求开展个人信息保护影响评估，合同生效后十个工作日内向广东省网信办或澳门个人资料保护局备案，明确变更重评、投诉举报和安全事件处置等要求。
大型网络平台个人信息保护规定 (征求意见稿)
大型网络平台个人信息保护规定征求意见稿由国家网信办和公安部起草，规范境内大型网络平台个人信息处理活动，明确平台认定标准，要求设立由管理层成员担任的个人信息保护负责人和专门工作机构，实行个人信息境内存储和数据中心安全管理，开展合规审计、风险评估和社会责任报告，保障个人权利，强化监管措施和法律责任。
信息安全技术 政务网站系统安全指南
为政务网站系统的安全规划、建设、运维提供技术指导，包括网站内容安全、数据安全、个人信息保护、安全监测与应急响应等方面要求，涉及政务数据的收集处理存储传输各环节的安全合规规范。
信息安全技术 数据出境安全评估指南
为数据出境安全评估提供标准化方法，明确评估要素、评估流程和评估要点。涵盖个人信息出境和重要数据出境的安全评估要求，对数据处理者开展自评估和网信部门组织安全评估均具有重要参考价值。
信息安全技术 互联网信息服务安全评估指南
规定互联网信息服务安全评估的原则、内容、流程和方法。包括评估对象的确定、安全风险识别与分析、安全评估报告编制等要求，涉及用户个人信息保护、数据安全、内容安全等方面的评估指南。
app开发人员gdpr指南(OCR)
法国国家数据保护委员会针对应用程序开发人员发布的GDPR合规操作指南，覆盖从开发准备、架构选择、数据收集最小化、用户管理、代码安全、测试到告知用户、数据主体权利行使、数据保留期限和访问统计等全生命周期，强调隐私保护设计、数据保护影响分析、安全措施、文档记录和合规证明，为开发者提供具体技术方法和最佳实践建议。
数据基础设施 数据沙箱公共服务平台技术要求（征求意见稿）
全国数据标准化技术委员会2026年8月20日公开征求意见的9项数据基础设施技术文件之一，意见截止9月3日。文件针对“看得见拿不走”的数据利用路线，规定数据沙箱公共服务平台通过运行环境与调试环境分离、权限控制、数据脱敏等手段确保原始数据不被带出的技术要求，适用于公共数据开放、科研数据共享等场景，与隐私保护计算公共服务平台形成两条路线同步立规。
数据安全技术 人工智能用户个人信息保护指引（国家标准项目立项公示）
国家标准化管理委员会 2026年8月7日立项公示、由 TC260（全国网络安全标准化技术委员会）归口的推荐性国家标准项目。标准针对生成式人工智能服务存在的个人信息泄露风险，依据《个人信息保护法》《生成式人工智能服务管理暂行办法》，主要围绕安全原则、个人信息语料收集安全、模型设计训练安全、模型运行服务安全、个人信息主体权利保障、管理安全等方面，对面向我国境内公众提供生成式人工智能服务的提供者提出安全基本要求。项目周期 15个月，公示截止 2026年9月6日。由国家网信办数据与技术保障中心、中国移动通信集团有限公司、中国电子技术标准化研究院等主要起草。
GB/Z 234-2026 人工智能 客服大模型系统技术要求
2026年8月27日随第37号国家标准公告发布。文件面向智能客服场景的大模型系统，规定其功能架构、意图理解、多轮对话、知识库检索、话术生成与人工接管等能力要求，并对客服过程中涉及的个人信息采集、使用边界、告知同意与留痕审计提出技术与管理要求，为企业建设合规可控的客服大模型、提升服务体验同时防范个人信息滥用风险提供依据。
YD/T 7347-2026 工业互联网跨域、跨企业数据协作架构与隐私保护要求
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定通过工业互联网技术为企业内部不同数据域业务协作、以及企业间数据协作的人工智能训练模型基础设施架构和隐私保护要求，涵盖数据协作业务要求、多方数据协作要求、部署要求、隐私保护要求等，适用于企业内部、跨企业或跨园区数据协作系统的规划设计与建设。
GB/Z 244-2026 人工智能 办公大模型系统建设指南
2026年8月27日随第37号国家标准公告发布，由中国电子技术标准化研究院牵头，联合数字广东、商汤、视源、西安电子科技大学、美亚柏科等单位起草。文件给出办公大模型系统的建设路径与技术指引，涵盖公文起草、会议纪要、知识问答、流程自动化等场景，并对政务与企业办公数据的接入范围、权限控制、个人信息保护与日志审计提出要求，指导单位安全稳妥建设办公大模型。
YD/T 7283-2026 隐私计算 参与实体分类及编码方法
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定隐私计算参与实体的分类及编码的基本原则和方法，适用于构建隐私计算参与实体编码体系，指导隐私计算领域测评机构、应用企业等相关技术研究、产品研发及评测工作，是隐私计算跨平台互联互通的基础性标识编码标准，为跨域隐私计算节点的统一管理奠定基础。
YD/T 7284-2026 隐私计算 联邦学习业务质量评估方法
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定联邦学习业务质量评估方法，包括数据质量评估方法、参与方贡献量评估方法、算法模型质量评估方法、算法质量评估方法以及联邦学习在典型业务场景下的评估方法，适用于隐私计算联邦学习业务质量评估和优化，为联合建模的收益分配与效果度量提供依据。
YD/T 7335-2026 隐私计算 可信执行环境应用远程管理实施指南
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准提出隐私计算可信执行环境应用远程管理的实施指南，包括参考架构、TEE计算节点实施方法、可信应用实施方法、远程证明实施方法、可信应用管理器实施方法和安全信道实施方法，适用于数据要素领域可信执行环境应用的远程管理和证明，为数据要素流通提供可信底座。
YD/T 7350-2026 隐私计算 多方安全计算产品技术要求和测试方法
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定基于多方安全计算的数据流通产品在计算相关基础功能、编译及计算功能、数据流通相关管理功能、产品安全性、健壮性和稳定性、性能方面的必要技术要求和相应测试方法，适用于该类产品的研发、测试、评估和验收，是数据流通环节产品准入的技术依据。
YD/T 7349-2026 网络语音服务数据安全要求
工信部公告2026年第22号批准发布的通信行业标准，2026年12月1日实施。标准规定网络语音服务的数据安全要求，包括基本要求、技术要求和管理要求，适用于网络语音服务提供者规范数据处理活动，也可为第三方评估机构对网络语音服务数据处理活动进行监督、管理、评估提供参考，覆盖语音采集、传输、存储与销毁的生命周期全环节。
GB/T 36464.2-2026 信息技术 智能语音交互系统 第2部分：智能家居
2026年8月28日随第38号国家标准公告发布，属《信息技术 智能语音交互系统》系列标准第2部分。文件规定智能家居场景下智能语音交互系统的功能与性能要求，涵盖远场拾音、唤醒识别、语义理解、设备控制与多轮对话，并对家庭环境中语音数据的采集时机、本地处理、存储期限与用户授权提出要求，为智能家居语音产品的研发评测与个人信息保护提供统一依据。
GB/T 36464.3-2026 信息技术 智能语音交互系统 第3部分：智能客服
2026年8月28日随第38号国家标准公告发布，属《信息技术 智能语音交互系统》系列标准第3部分。文件规定智能客服场景下语音交互系统的技术要求与评价指标，涵盖来电意图识别、语音导航、多轮问答、情绪识别与人工转接，明确通话录音与声纹等个人信息的采集边界、告知同意与留存销毁要求，为企业建设合规的智能语音客服系统提供标准依据。
GB/T 36464.4-2026 信息技术 智能语音交互系统 第4部分：移动终端
2026年8月28日随第38号国家标准公告发布，属《信息技术 智能语音交互系统》系列标准第4部分。文件面向手机、平板等移动终端，规定语音助手在唤醒、识别、理解、执行与反馈各环节的功能与性能要求，明确端侧语音数据的处理边界、权限最小化、敏感指令二次确认与日志记录要求，为移动终端语音交互体验与隐私合规水平的提升提供统一评测依据。
GB/T 36464.5-2026 信息技术 智能语音交互系统 第5部分：车载终端
2026年8月28日随第38号国家标准公告发布，属《信息技术 智能语音交互系统》系列标准第5部分。文件面向车载语音交互终端，规定其在噪声抑制、多音区识别、离线可用、行车安全约束与车辆控制等方面的技术要求，并对座舱语音与影像数据的车内处理、存储与出境合规提出要求，与汽车数据安全管理相关制度衔接，为智能座舱语音系统的研发与验收提供依据。
GB/T 48092-2026 国家网络身份认证公共服务 网络身份认证服务接口技术要求
2026年8月28日随第38号国家标准公告发布。文件规定国家网络身份认证公共服务对外提供的身份认证服务接口的技术要求，涵盖接口协议、鉴权流程、凭证格式、返回码约定与安全传输，明确最小必要与目的限定原则下的身份信息核验方式，支撑互联网平台以网号网证替代明文身份信息的实名认证，从技术层面减少个人身份信息的过度采集与留存，是个人信息保护的重要基础设施标准。
规范性文件
互联网应用程序个人信息收集使用规定（征求意见稿）
国家互联网信息办公室2026年1月10日公布、征求意见截止2月9日的部门规范性文件草案，共七章三十九条。规定覆盖App、SDK、分发平台与智能终端四类主体：要求首次启动弹窗告知并取得同意、以结构化清单列明收集目的与权限频度；禁止调用通讯录等权限收集他人信息；明确相机麦克风仅在用户主动使用时调用、注销账号15个工作日内完成。
关于加强涉企侵权信息管理 持续推动营商网络环境优化的通知
中央网信办秘书局2026年9月15日印发《关于加强涉企侵权信息管理 持续推动营商网络环境优化的通知》。通知坚持关口前移、源头管理，要求网站平台健全涉企信息事前审核、事中巡查、事后处置全链条管理机制，主动清理显性涉企侵权信息。明确五类应当主动清理处置的信息：个人信息类（如企业家身份证、住址、电话及生物识别、金融账户、行踪轨迹等敏感个人信息）、侮辱贬损类、假冒仿冒类、虚假误导类及其他类。
江苏省网络数据安全管理办法（草案）（征求意见稿）
2026年9月23日由江苏省互联网信息办公室起草并公开征求意见，反馈截止10月23日。办法依据网络安全法、数据安全法、个人信息保护法、网络数据安全管理条例等制定，明确构建党委领导、政府主导、社会协同的网络数据综合治理体系，推进实施网络数据分类分级保护制度，保障重要数据安全，加强个人信息保护，支持数据安全技术、产品、服务创新与安全防护能力建设及人才培养，促进网络数据开发利用和产业发展。
金融信用信息基础数据库管理办法（征求意见稿）
中国人民银行9月30日公布《金融信用信息基础数据库管理办法（征求意见稿）》，共六章五十条，反馈截止10月30日，并拟废止2005年“3号令”。办法将监管对象由个人征信扩展至个人与企业征信，覆盖各类接入机构及信息处理全流程；查询须取得信息主体书面同意并约定用途，未事先同意不得向第三方提供。要求保障数据质量、健全个人信息合规审计，细化异议处理时限，压实运行机构与接入机构数据安全责任。
最高人民法院关于依法审理涉人工智能纠纷案件的意见
最高人民法院2026年9月7日发布《关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号），为首部涉人工智能司法裁判规则文件，共5部分24条。确立以人为本、支持创新发展、筑牢安全防线三项原则；为模型训练在合理范围内处理已合法公开的个人信息且个人未明确拒绝的，一般不认定侵害个人信息权益；明确“AI换脸拟声”“网络开盒”“大数据杀熟”等人格权、隐私权、消费者权益侵权认定规则。
温州市人工智能训练数据商业秘密保护指引（2026版）
温州市市场监督管理局2026年8月31日印发、10月8日公开发布。指引共六章，将人工智能训练数据商业秘密按核心、重要、一般三级密级划分，覆盖收集、标注、清洗、存储、训练、传输、销毁全流程，要求分级审批与权限管控、专机专用、全程留痕；明确严禁将未脱敏涉密数据上传公共大模型等外部工具，海外模型训练仅允许脱敏衍生数据出境并须完成数据出境安全评估，同时规定泄密分级应急响应与维权取证路径。
北京经济技术开发区管理委员会关于印发《中国（北京）自由贸易试验区高端产业片区亦庄组团 国家服务业扩大开放综合示范区经开区区域数据出境负面清单实施意见》的通知
2026年9月28日，北京经济技术开发区管理委员会印发经开区“两区”《数据出境负面清单实施意见》，共二十条、有效期三年，复制推广亦庄组团数据出境管理成熟经验，原京技管字〔2024〕101号文件同步废止。意见坚持安全流动与便利服务、主体责任与规范引导、定期报备与行政监管相结合，明确数据处理者对负面清单备案承担主体责任，推动重点行业数据出境负面清单落地实施，保障敏感个人信息与国家重要数据安全。
金融业网络安全管理办法（征求意见稿）
针对金融业网络安全管理的专门办法（征求意见稿），明确金融机构网络安全管理的基本制度、组织架构、技术防护、监测预警、应急管理、监督检查等要求。与《网络安全法》《数据安全法》《个人信息保护法》等法律衔接，对金融业网络安全和数据安全管理提出更高行业标准。
工业和信息化领域数据安全合规指引
该指引面向工业和信息化领域数据处理者，旨在引导其合法合规开展数据处理活动并履行数据安全保护义务。文件依据数据安全法、网络安全法、个人信息保护法等法律法规，围绕数据分类分级、数据安全管理体系、数据全生命周期保护、风险监测预警与应急处置、数据安全风险评估、数据出境和数据交易等方面提供实务指引。
工业和信息化部关于加强车联网网络安全和数据安全工作的通知
要求车联网相关企业落实网络安全等级保护制度，加强车联网网络设施和系统安全防护，强化数据安全保护，建立网络安全监测预警和信息通报机制。对智能网联汽车生产企业、车联网服务平台运营企业等提出网络安全管理、数据分类分级、个人信息保护、安全评估、应急管理等具体要求，是车联网领域数据安全与个人信息保护的重要政策文件。
关于银行业保险业人工智能安全开发应用的指导意见及答记者问
国家金融监督管理总局发布的关于银行业保险业人工智能安全开发应用的指导意见。明确金融机构在AI系统开发应用过程中应遵循的安全原则（安全可控、透明可释、公平公正、隐私保护），提出AI模型安全管理、训练数据治理、算法公平性评估、人工复核机制、消费者权益保护等监管要求，并附答记者问解读。是金融行业AI安全合规的纲领性指导文件。
最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定
明确人脸信息属于敏感个人信息，规定信息处理者处理人脸信息须征得自然人或者其监护人的单独同意。列举侵害自然人人格权益的几类人脸信息处理行为，是人脸识别数据合规司法实践的重要依据。
最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释
对刑法第二百五十三条之一侵犯公民个人信息罪的具体适用作出解释。明确公民个人信息的范围，界定提供、非法获取等行为的认定标准，规定情节严重和情节特别严重的具体量化标准，是侵犯个人信息刑事案件定罪量刑的基本依据。
最高人民法院关于审理利用信息网络侵害人身权益民事纠纷案件适用法律若干问题的规定
规范利用信息网络侵害人身权益民事纠纷案件的审理。明确网络服务提供者擅自公开他人个人信息或篡改、错误关联等行为可构成侵权。2020年修正后新增了个人信息保护相关条款。
常见类型移动互联网应用程序必要个人信息范围规定
明确39类常见类型App的必要个人信息范围，规定App不得因用户不同意提供非必要个人信息而拒绝用户使用其基本功能服务。涵盖地图导航、网络约车、即时通信等各类应用场景，是落实最小必要原则的重要操作指引。
网络音视频信息服务管理规定
规范网络音视频信息服务活动，对基于深度学习、虚拟现实等新技术新应用的音视频信息服务，要求进行安全评估和显著标识，涉及用户数据和个人信息保护要求。
互联网用户公众账号信息服务管理规定
规范互联网用户公众账号信息服务，要求公众账号信息服务平台建立公众账号分级分类管理、信用等级等制度，涉及用户个人信息保护、数据安全、内容审核等合规要求。
个人信息保护认证实施规则
落实《个人信息保护法》第三十八条关于个人信息保护认证制度的规定，明确个人信息保护认证的适用范围、认证程序、认证标准、认证标志和监督管理要求。认证适用于个人信息处理者开展的个人信息跨境处理活动，是数据出境三条合规路径之一（安全评估、标准合同、保护认证），为企业跨境数据传输提供低成本合规选择。
大型个人信息处理者个人信息保护规定（征求意见稿）
国家网信办整合前期《大型网络平台设立个人信息保护监督委员会规定》《大型网络平台个人信息保护规定》两份征求意见稿后形成，向社会公开征求意见。规定明确大型个人信息处理者认定标准，包括处理1000万人以上自然人个人信息、提供涉及个人信息处理的重要网络服务及对国家安全经济运行具有重要影响等，要求通过省级网信部门向国家网信部门申报认定，强化大型平台个人信息保护特殊义务。意见反馈截止2026年9月7日。
促进分布式数字身份互通互认应用规定（征求意见稿）
国家互联网信息办公室会同有关部门起草，2026年6月18日公开征求意见，反馈截止7月18日。规定分布式数字身份是基于区块链等分布式技术、支持用户自主管理身份信息的新型数字身份，由标识符、密钥、可验证凭证和可验证声明构成，可用于数字账户管理、登录认证、数据授权等场景；拟依托国家区块链网络建设分布式数字身份链，为个人、法人及设备等主体提供注册、核验、凭证签发与授权使用等公共服务。
内蒙古自治区公共数据授权运营管理暂行办法
内蒙古自治区政务服务与数据管理局依据国家《公共数据资源授权运营实施规范（试行）》修订的规范性文件，共七章四十二条。明确授权运营单位由盟市级以上主管部门通过公开招标等公平竞争方式确定，协议有效期不超过5年；确立“原始数据不出域、数据可用不可见”总体要求，实行“一场景一清单一审定”，要求具备网络安全等级保护三级经验、建立泄露溯源与篡改监控预警机制，相关运营记录留存不少于二十年。
宁夏回族自治区公共数据资源授权运营管理办法（试行）
本办法适用于宁夏回族自治区行政区域内公共数据资源授权运营活动。试行期间采取整体授权模式，运营机构按程序确定，数据开发商依场景申请开发利用。实施方案应明确数据资源范围、产品清单、收益分配、安全责任和退出机制。授权运营协议期限一般不超过三年。违反网络安全、数据安全、个人信息保护等规定的由相关部门依法处理。本办法自2025年11月1日起施行，有效期至2027年10月31日。
中国（天津）自由贸易试验区数据出境管理清单（负面清单）（2024 年版）
中国天津自由贸易试验区数据出境管理清单2024年版列明区内企业向境外提供数据需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证的情形，涵盖战略物资和大宗商品、自然资源和环境、工业、金融、统计、通信传播、住房建设、交通运输、公共卫生、公共安全、互联网服务和电子商务、科学技术、个人信息等十三大类，负面清单外数据免予相关程序。
中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024版）
中国北京自由贸易试验区数据出境管理清单2024版列明汽车、医药、民航、零售与现代服务业、人工智能训练数据等领域的数据出境管理要求，区分需通过数据出境安全评估的重要数据和个人信息、需通过个人信息出境标准合同备案或个人信息保护认证出境的个人信息，明确各场景下的数据量级标准和具体数据类型范围。
中国（广西）自由贸易试验区 数据出境负面清单管理办法（试行）及负面清单
中国广西自由贸易试验区数据出境管理清单2025版适用于区内登记注册的数据处理者，按行业领域分批次制定，发布地理信息与气象数据服务、企业信用信息服务、直播跨境电商、海外音视频制作与传播四个领域负面清单，明确需申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息保护认证的数据范围，负面清单外数据可自行出境，实行动态管理。
欧盟GDPR合规指引-CAICT
由中国信息通信研究院等机构编写，系统介绍GDPR立法背景、制度要点和执法机制，详细阐述域外适用、数据主体权利扩张、控制者与处理者问责、数据跨境流动机制及监管体制改革，并从风险评估、组织架构、合规体系设立与执行、培训审计等方面为企业提供合规指引，最后比较GDPR与中国个人信息保护法律的异同及冲突应对策略。
欧盟《电子隐私指令》
欧洲议会和理事会2002年7月12日通过的关于电子通信领域个人数据处理和隐私保护的指令，旨在向公开电子通信服务用户提供统一水平的个人数据和隐私保护，无论使用何种技术，保障通信保密性，规范流量数据、位置数据、订阅者目录信息等处理，要求最小化处理、使用匿名或假名数据，并允许成员国基于公共安全等目的依法采取必要限制措施。
RGA欧盟约束性公司规则（BCRs）
RGA集团制定的控制者政策型约束性公司规则，适用于集团成员在欧洲起源的个人信息的跨境传输和处理，规定适用范围、控制者与处理者定义及义务、数据主体权利、敏感个人信息处理、安全措施、向第三国转移规则、员工合规责任及违规后果，确保无论个人信息转移至何处均能提供与欧盟法律实质相当的数据保护水平，并明确与处理者政策的关系。
CNIL GDPR软件开发指南
法国国家信息与自由委员会发布的软件开发GDPR合规指南，强调在项目全生命周期中保护用户数据和个人数据处理，要求了解GDPR核心原则、必要时指定数据保护官、对数据和处理活动进行映射分类、留存处理活动记录、开展隐私影响评估管控高风险，建立内部流程应对安全事件、用户权利请求、供应商变更等情况，并持续记录和更新合规文档以证明合规。
美国《2018年加州消费者隐私法案》(CCPA)
美国2018年加州消费者隐私法案赋予加州消费者了解所收集个人信息、要求删除、选择退出出售、访问个人信息以及享有平等服务和价格等权利，要求企业披露个人信息收集、出售、共享的类别、来源、目的和第三方，规范企业回应消费者请求的程序，禁止因行使权利而歧视消费者，并对十六岁以下未成年人信息出售设置选择加入要求。
网络安全标准实践指南——座舱数据处理安全要求（征求意见稿）
全国网络安全标准化技术委员会（TC260）秘书处 2026年8月20日面向社会公开征求意见的实践指南性文件。聚焦智能网联汽车座舱数据处理场景，规范座舱数据处理者在数据收集、车内存储、座舱内外传输、跨境提供、与第三方共享、车机端处理等环节的安全要求，并对涉及车内人脸、声音、位置、个人偏好等敏感个人信息提出加强保护措施。意见反馈截止 2026年9月3日，是智能网联汽车数据合规领域的重要技术指引文件。
网络安全标准实践指南——个人用户使用人工智能服务安全指南
全国网络安全标准化技术委员会（TC260）秘书处 2026年8月24日发布（网安秘字〔2026〕105号）的实践指南终稿，为个人用户通过互联网使用人工智能服务提供安全指引。指南分安全意识提升、安全使用指引、使用行为准则三个部分，由北京中关村实验室、北京快手科技、中国电子技术标准化研究院、中央网信办数据与技术保障中心、工信部电子第五研究所、北航、东莞人工智能与数字经济集团、阿里云、天融信、蚂蚁集团、金山办公、智源研究院等24家单位联合起草。适用于个人用户，也可为人工智能服务的技术提供者、服务开发者、服务运营者保障个人用户安全使用提供参考，对引导社会正确认识人工智能服务风险、推动形成'安全可信'人工智能消费环境具有重要意义。
关于侵害用户权益行为的APP（SDK）通报（2026年第5批，总第58批）
工业和信息化部信息通信管理局 2026年8月25日发布，系 2026年个人信息保护系列专项行动第 5 批、累计第 58 批通报。本次共通报 26 款 APP 及 SDK 存在侵害用户权益行为，重点整治违规收集使用个人信息、超范围索权、未明示告知、隐私政策不完整、强制频繁索权、账号注销难等问题。被通报主体须限期整改，整改不到位将依法处置。该通报延续了工信部常态化 APP 合规监管机制，对互联网、金融、教育、出行等领域应用具有警示意义。
数字虚拟人信息服务管理办法（征求意见稿）
国家互联网信息办公室起草，2026年4月3日公开征求意见，反馈截止5月6日，共五章二十七条。办法要求使用自然人敏感个人信息建模须取得单独同意，撤回同意后应予删除并注销数字虚拟人；未经特定自然人同意不得提供足以识别其身份的服务；禁止向未成年人提供虚拟亲属、虚拟伴侣等虚拟亲密关系服务；数字虚拟人展示区域须全程持续显示含“数字人”字样的显著提示标识；具有舆论属性或社会动员能力的应履行算法备案与安全评估。
消费类网联摄像头网络安全标识实施规则（征求意见稿）
国家互联网信息办公室依据《网络安全标识管理办法》组织起草，2026年5月8日与配套标准《网络安全标识 消费类网联摄像头安全要求》同步公开征求意见，反馈截止5月23日。规则适用于消费者个人或组织购买使用的独立联网摄像头；网络安全能力由低到高设基础级、增强级、领先级三级，分别以一星、二星、三星表示，覆盖物理与硬件安全、数据与个人信息安全等五个单项，标识有效期三年。
其他
山东省数据条例
2026年9月23日经山东省第十四届人大常委会第二十六次会议表决通过，自12月1日起施行，共八章六十六条。条例构建全省统一的数据资源体系，对公共数据、企业数据、个人信息相关数据分类规范管理；分类别分场景界定数据持有、使用、经营权益，完善数据产权登记制度；确立公共数据资源授权运营制度，规范数据交易与跨境流动；明确高质量数据集建设、人工智能创新发展等举措，并对数据爬取、算法歧视行为划定法律红线。
天津市数据条例（草案）
天津市人民政府2026年9月17日经市政府第116次常务会议讨论通过，9月18日提请市人大常委会审议并公开征求意见。草案共10章60条，依据数据安全法、个人信息保护法、政务数据共享条例等制定，从数据权益保护、数据资源管理、流通交易、赋能发展、合作交流、数据安全和保障措施等方面作出规范，明确构建数据产权登记体系、健全公共数据开放和授权运营机制。
山东省数据条例（草案）
山东省人大常委会法制工作委员会2026年5月21日将《山东省数据条例（草案）》全文公布公开征求意见，6月21日截止。草案共八章六十五条，经省十四届人大常委会第二十四次会议初次审议，拟取代2021年《山东省大数据发展促进条例》。内容涵盖公共数据授权运营与收费原则、数据持有使用经营三权分置与产权登记、数据爬取与算法歧视红线、敏感个人数据单独同意、重要数据分类分级与风险评估及数据出境便利化。
网络安全标准实践指南 - 移动互联网应用程序 (App) 个人信息保护常见问题及处置指南
针对移动互联网应用程序（App）个人信息保护中的常见问题编制处置指南，涵盖用户同意、最小必要、敏感信息处理、第三方SDK管理、隐私政策撰写等高频问题及合规解决方案，是App开发者开展个人信息保护合规整改的实用参考文件。
信息安全技术 互联网平台及产品服务隐私协议要求
规定互联网平台和产品服务的隐私协议的基本要求、内容要素和编写规范。涵盖隐私协议的透明度要求、告知方式、个人信息处理规则的表述规范、更新与通知机制等，帮助平台企业建立规范透明的隐私政策。
儿童智能手表个人信息和权益保护指南
针对儿童智能手表产品制定个人信息和权益保护指南，涵盖儿童个人信息（位置轨迹、通讯录、音视频等）的收集最小必要原则、监护人知情同意、数据本地存储、安全传输等要求，保护儿童用户的人格权益、人身安全和心理健康。
数据安全技术 基于个人请求的个人信息转移要求
依据《个人信息保护法》第45条关于个人信息转移权的规定，明确基于个人请求实现个人信息转移的技术要求和实施方法。包括数据格式标准、转移接口规范、身份验证机制、数据完整性保障等技术要求，使个人能够在不同服务提供者之间便捷地迁移其个人信息。
信息安全技术 移动互联网应用程序 (App) 生命周期安全管理指南
规定移动互联网应用程序（App）从需求分析、设计开发、测试发布、运营维护到退出运营全生命周期的安全管理要求。覆盖安全需求分析、安全架构设计、代码安全、第三方组件管理、安全测试、漏洞管理、个人信息保护等关键环节，为App开发运营者提供全流程安全管理指南。
直播电子商务平台管理与服务规范
规定直播电子商务平台的管理与服务要求，涵盖平台准入管理、商家和主播实名认证、直播内容审核、商品质量管控、用户个人信息保护、交易安全管理、售后服务和投诉处理等方面。涉及直播电商场景下的数据收集使用和个人信息保护合规要求。
人脸识别支付场景下个人信息保护安全要求 (征求意见稿)
规定人脸识别支付场景下个人信息保护的安全要求（征求意见稿），涵盖人脸信息采集的告知同意、最小必要、存储安全、传输加密、生物特征模板保护等安全要求，禁止强制人脸识别作为唯一支付验证方式，保障用户在支付场景中的个人信息权益。
网络安全技术 智能门锁网络安全技术规范
规定智能门锁产品的网络安全技术规范，包括远程通信安全、身份认证、访问控制、固件安全、数据加密存储、安全升级机制和隐私保护要求，防范智能门锁被非法远程开启或个人信息泄露等风险。
网络安全标准实践指南 —— 学术科技服务平台数据安全要求
针对学术科技服务平台的数据安全管理需求，明确数据安全责任、数据分类分级、用户个人信息保护、科研数据安全共享与开放、数据安全风险评估等具体要求，适用于高校及科研机构运营的学术科技服务平台。
网络安全标准实践指南 —— 互联网平台停服数据处理安全要求
为互联网平台停止运营时的数据处理提供安全要求指南，明确平台停服前应依法提前公告并通知用户，妥善处理用户个人信息（提供数据迁移或删除选项）、退出前的数据处理限制，防止停服过程中个人信息泄露和滥用。
数据安全技术 二手电子产品信息清除技术要求（征求意见稿）
规定二手电子产品（手机、电脑、硬盘等）信息清除的技术要求，包括数据擦除的技术方法、清除深度、验证手段和清除证明文件格式，防止二手电子产品流转过程中原用户个人信息的泄露。（征求意见稿）
信息安全技术 生成式人工智能预训练和优化训练数据安全规范（征求意见稿）
针对生成式人工智能预训练和优化训练活动，规定训练数据的安全规范。包括训练数据的来源合法性要求、数据清洗要求、敏感信息过滤、数据标注质量、数据安全管理和个人信息保护要求，是生成式AI合规治理的重要技术标准。（征求意见稿）
数据安全技术 基于个人信息的自动化决策安全要求
依据《个人信息保护法》第24条，规定基于个人信息进行自动化决策的安全要求。涵盖用户画像、算法推荐、自动化决策的公平公正要求、透明度要求、用户拒绝权和说明权保障，禁止对个人实行不合理的差别待遇等安全合规要求。
数据安全技术 大型互联网企业内设个人信息保护监督机构要求
依据《个人信息保护法》第58条，规定大型互联网企业内设个人信息保护监督机构的组织架构、职责权限、人员配置和运行机制要求。明确监督机构应当独立于业务部门，参与个人信息保护相关决策，对内向主要负责人报告，是大型平台企业合规治理的重要要求。
关于发布 2025 年度第一批网络安全国家标准需求的通知
国家网络安全标准化技术委员会发布的2025年度第一批网络安全国家标准需求清单，明确了年度重点标准制定方向，涵盖数据安全、个人信息保护、人工智能安全、关键信息基础设施安全、供应链安全等领域，为标准制定提供优先指导。
网络安全标准实践指南 —— 摇一摇广告个人权益规范指引（征求意见稿）
针对移动互联网应用中"摇一摇"等传感器触发的广告推送行为，制定个人权益保护规范指引。要求在广告触发时必须显著标明来源和关闭方式，用户可拒绝基于传感器信息的广告推送，保障用户对个人信息的知情权和决定权。（征求意见稿）
服务机器人信息安全通用要求
规定服务机器人（包括家庭服务机器人、公共服务机器人等）的信息安全通用技术要求，涵盖用户数据采集安全、通信安全、软件安全、远程控制安全和隐私保护等要求，防范服务机器人被恶意攻击造成用户隐私泄露或安全危害。
移动应用软件个人信息保护要求和评估方法
规定移动应用软件的个人信息保护要求和评估方法，涵盖个人信息收集、存储、使用、对外提供、删除等环节的安全要求及对应的检测评估方法。是App个人信息保护合规检测和认证的重要技术依据。
移动互联网应用程序（APP）收集使用个人信息最小必要评估规范 第 13 部分：传感器信息
规定移动互联网应用程序收集使用传感器信息（加速度传感器、陀螺仪、麦克风、摄像头等）的最小必要评估规范，明确各传感器信息的必要性判定标准和处理限制，是"最小必要"原则在传感器数据领域的具体落地。
医院信息平台交互标准 第 2 部分：个人信息注册、查询服务
规定医院信息平台中个人信息注册和查询服务的交互标准，包括患者个人信息注册、身份匹配、信息更新、隐私保护等交互数据格式和流程规范，确保医疗数据互联互通场景中的个人信息安全和隐私保护。
移动智能终端个人信息保护规范
规定移动智能终端的个人信息保护技术要求，包括终端权限管理、隐私空间、个人信息防泄露、应用程序权限管控等终端侧的隐私保护能力要求，是终端厂商落实个人信息保护义务的技术规范。
APP 收集使用个人信息最小必要评估规范
系统规定App收集使用个人信息的最小必要评估原则、方法和判定标准，涵盖19类常见服务类型的必要信息范围，是落实《个人信息保护法》"最小必要"原则的综合性评估规范。
移动互联网应用程序 (APP) 儿童个人信息处理的告知同意技术要求
规定移动互联网应用程序处理儿童个人信息时的告知同意技术要求，包括监护人身份验证、分级告知、同意记录、撤销同意等技术实现方案，是《儿童个人信息网络保护规定》的技术配套标准。
移动互联网应用未成年人个人信息保护技术要求
规定移动互联网应用保护未成年人个人信息的技术要求，包括未成年人身份识别、监护人同意获取、信息收集限制、内容过滤、使用时长管理、消费管控等功能的实现要求，是落实未成年人网络保护法的技术标准。
移动智能终端人工智能应用的个人信息保护技术要求及评估方法
规定移动智能终端上人工智能应用的个人信息保护技术要求和评估方法，涵盖AI应用在本地数据处理、模型推理、个性化服务等场景中的个人信息最小化、本地化处理、差分隐私等隐私保护技术要求和效果评估方法。
深圳市地方标准 数据交易合规评估规范
深圳市地方标准，规定数据交易合规评估的基本原则、评估框架、评估指标和评估方法。涵盖数据来源合法性、数据质量、数据安全保护措施、个人信息保护、数据分类分级等方面的合规评估要点，适用于深圳数据交易所场内交易的合规性审查。
上海市数据条例
保护上海市自然人、法人和非法人组织与数据有关的权益，规范本市数据处理活动，加强个人信息特别保护，健全公共数据资源体系和统一目录管理，推进公共数据共享、开放和授权运营，培育数据要素市场，支持数据资源开发和应用，保障数据安全，市政府办公厅负责统筹规划综合协调全市数据发展和管理工作，实行数据工作与业务工作协同管理，鼓励建立首席数据官制度。
欧盟无线电设备指令（RED，2014-53-EU）
欧盟无线电设备指令2014/53/EU协调成员国无线电设备投放市场法律，适用于有意发射或接收无线电波的各类设备，规定有效利用无线电频谱、避免有害干扰、电磁兼容、健康安全、个人数据与隐私保护、防范欺诈、紧急服务接入、残疾人无障碍使用、软件加载合规及通用充电器等基本要求，要求制造商进行合格评定并加贴CE标志，以保障内部市场统一运行。
14117法案
美国总统第14117号行政命令于2024年2月28日签署，旨在限制受关注国家获取美国人批量敏感个人信息和美国政府相关数据，认为此类获取对美国国家安全和外交政策构成异常和重大威胁，授权司法部长制定规则禁止或限制涉及批量敏感个人信息和政府相关数据的特定交易，同时支持开放、全球、可互操作、可靠和安全的跨境数据流动，不实施普遍数据本地化要求，也不广泛禁止与受关注国家的商业往来。
重庆市数据安全管理条例
全国首部数据安全管理地方性法规，2026年7月30日经重庆市第六届人大常委会第二十五次会议通过，9月1日起施行，共六章四十五条。确立“谁管业务、谁管业务数据、谁管数据安全”责任制，将数据分为核心、重要、一般三级实行目录管理与差异化保护；明确日志留存不少于六个月、重要数据委托处理相关日志不少于三年，重要数据处理者须每年开展一次风险评估，并要求人工智能研发应用服务主体依法处理数据、加强个人信息保护。
呼和浩特市网络虚假信息治理办法
呼和浩特市人大常委会2026年6月23日通过、自治区人大常委会7月29日批准，8月3日公布，9月1日起施行，共二十六条。办法禁止借社会热点蹭炒热度牟利及批量注册操纵账号传播虚假信息；要求利用人工智能生成合成的文本、图片、音视频等按规定添加生成合成内容标识，虚构演绎内容须显著标记；压实平台真实身份核验、内容审核、算法推荐主流价值导向与投诉举报义务，建立跨部门执法协作与失信联合惩戒机制。
