《电信和互联网用户个人信息保护规定》解读

第一篇：《电信和互联网用户个人信息保护规定》解读

《电信和互联网用户个人信息保护规定》解读

2013年7月16日，工业和信息化部公布了《电信和互联网用户个人信息保护规定》（中华人民共和国工业和信息化部令第24号）。记者就《规定》采访了工业和信息化部政法司巡视员李国斌，请他对《规定》进行了解读。

记者：近日，工业和信息化部出台了《电信和互联网用户个人信息保护规定》，请问《规定》出台的意义是什么？

李国斌：近年来，我国电信和互联网行业快速发展，新技术、新应用层出不穷，对促进经济社会发展起到了积极的作用。与此同时，用户个人信息的泄露风险和保护难度不断增大，加强用户个人信息保护立法成为社会广泛关注的问题。

出台《规定》，可以进一步完善电信和互联网行业个人信息保护制度。目前，部分电信业务经营者、互联网信息服务提供者对用户个人信息安全重视不够，安全防护措施不完善，管理制度不健全，信息安全责任落实不到位，需要进一步完善用户个人信息保护法律制度，规范电信服务、互联网信息服务过程中收集、使用用户个人信息的活动。

出台《规定》，也是贯彻落实全国人大常委会《关于加强网络信息保护的决定》（以下简称《决定》）的需要。贯彻执行好《决定》有关收集、使用个人信息的制度，需要出台相关配套规定。制定《规定》，进一步明确电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的规则和信息安全保障措施等，是落实全国人大常委会《决定》规定的制度和措施，切实保护用户合法权益的要求。

记者：您能否介绍一下《规定》的制定过程？

李国斌：2012年5月，工业和信息化部启动了《规定》立法研究和起草工作。在起草过程中，我们赴吉林、广东、四川等地进行了调研，多次书面征求了部机关相关司局、各省（区、市）通信管理局、基础电信企业和互联网企业对《规定（征求意见稿）》的意见，组织召开了省级通信管理局、基础电信企业和互联网企业参加的立法座谈会，并通过国务院法制办的“中国政府法制信息网”和我部门户网站向社会公开征求了意见。经征求意见，社会各方面对制定《规定》给予了积极的肯定，没有原则性的不同意见。在充分听取各方面意见并进一步完善有关制度的基础上，我们形成了《规定（草案）》。

2013年6月28日，我部第2次部务会议审议通过了《规定》。7月16日，工业和信息化部第24号令公布了《规定》。《规定》将于9月1日生效。

记者: 您能否介绍一下《规定》关于用户个人信息保护管理工作的定位？

李国斌：全国人大常委会《决定》对“公民个人电子信息”做了界定，并明确了信息收集、使用的原则和相关规则。

目前，各行业普遍存在收集、使用个人信息的情况，相应的信息保护工作也涉及到众多的部门，我部并不负责管理所有的个人信息。《规定》依据《决定》的有关规定，立足我部电信和互联网行业管理职责，以“概括加列举”的方式规定了由我部负责监督管理的用户个人信息的范围，即：电信业务经营者、互联网信息服务提供者在提供服务的过程中收集的能够识别用户的信息以及用户使用服务的信息，包括用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。

记者：您能否介绍一下《规定》的主要内容？

李国斌：《规定》共六章、二十五条，主要规定了如下内容：

（一）电信和互联网用户个人信息的保护范围。《规定》依据全国人大常委会《决定》的有关规定，明确要求保护“电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息”。

（二）用户个人信息收集和使用原则。《规定》根据全国人大常委会《决定》的规定，要求电信业务经营者、互联网信息服务提供者收集、使用用户个人信息应当遵循合法、正当、必要的原则，并对用户个人信息的安全负责。

（三）用户个人信息收集和使用规则。《规定》要求电信业务经营者、互联网信息服务提供者遵守下列信息收集和使用规则：制定并公布其信息收集和使用的规则；未经用户同意不得收集、使用用户个人信息；明确告知用户其收集、使用信息的目的、方式和范围等事项；不得收集提供服务所必需以外的用户个人信息；在用户终止使用服务后应当停止对用户个人信息的收集和使用，并提供注销号码或账号的服务；不得泄露、篡改、毁损、出售或者非法向他人提供用户个人信息等。

（四）代理商管理。《规定》按照“谁经营、谁负责”、“谁委托、谁负责”的原则，根据民法上的委托代理制度，明确规定由电信业务经营者、互联网信息服务提供者负责对其代理商的个人信息保护工作实施管理。《规定》要求：电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进行监督和管理，不得委托不符合《规定》有关用户个人信息保护要求的代理人代办相关服务。

（五）安全保障制度。《规定》从岗位责任、管理制度、权限管理、存储介质、信息系统、操作记录、安全防护等方面，明确了电信业务经营者、互联网信息服务提供者应当采取的防止用户个人信息泄露、毁损、篡改或者丢失的措施。与此同时，《规定》对用户个人信息保护情况自查和培训等制度作了相应的规定。

（六）监督检查制度。《规定》要求电信管理机构对用户个人信息保护情况实施监督检查，电信业务经营者、互联网信息服务提供者应当予以配合。《规定》还明确规定电信管理机构在电信业务经营许可和年检中应当审查用户个人信息保护的情况，将电信业务经营者、互联网信息服务提供者违反《规定》的行为记入其社会信用档案。

记者：有人认为，《规定》的处罚力度有限。《规定》在制度设计方面如何解决处罚力度过低的问题的？

李国斌：诚如您所言，在征求意见过程中，确实有意见认为《规定》设定的罚款数额过低，处罚力度过小，不利于惩处和预防侵害用户个人信息的违法行为，建议加大处罚力度。根据《行政处罚法》和国务院的有关规定，部门规章只能设定警告和最高额为三万元的罚款。《规定》遵循了上述规定，对相关违法行为设定了警告和三万元以下的罚款处罚。与此同时，为有效预防和打击相关违法行为，我们还积极创新管理方式，在法律规定的幅度内设定相关处罚的同时，设立了制止违法行为危害扩大的“叫停”制度、“向社会公告”行政处罚的制度和将违法行为“记入社会信用档案”的制度。我们认为，综合运用上述管理制度和处罚措施，能够有效地遏制侵害用户个人信息的违法行为。

来源：中国民商法律网

第二篇：13 电信和互联网用户个人信息保护规定

电信和互联网用户个人信息保护规定

第一章 总则

第一条 为了保护电信和互联网用户的合法权益，维护网络信息安全，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《中华人民共和国电信条例》和《互联网信息服务管理办法》等法律、行政法规，制定本规定。

第二条 在中华人民共和国境内提供电信服务和互联网信息服务过程中收集、使用用户个人信息的活动，适用本规定。

第三条 工业和信息化部和各省、自治区、直辖市通信管理局（以下统称电信管理机构）依法对电信和互联网用户个人信息保护工作实施监督管理。

第四条 本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的用户姓名、出生日期、身份证件号码、住址、电话号码、账号和密码等能够单独或者与其他信息结合识别用户的信息以及用户使用服务的时间、地点等信息。

第五条 电信业务经营者、互联网信息服务提供者在提供服务的过程中收集、使用用户个人信息，应当遵循合法、正当、必要的原则。

第六条 电信业务经营者、互联网信息服务提供者对其在提供服务过程中收集、使用的用户个人信息的安全负责。

第七条 国家鼓励电信和互联网行业开展用户个人信息保护自律工作。

第二章 信息收集和使用规范

第八条 电信业务经营者、互联网信息服务提供者应当制定用户个人信息收集、使用规则，并在其经营或者服务场所、网站等予以公布。第九条 未经用户同意，电信业务经营者、互联网信息服务提供者不得收集、使用用户个人信息。

电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的，应当明确告知用户收集、使用信息的目的、方式和范围，查询、更正信息的渠道以及拒绝提供信息的后果等事项。

电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息用于提供服务之外的目的，不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及双方的约定收集、使用信息。

电信业务经营者、互联网信息服务提供者在用户终止使用电信服务或者互联网信息服务后，应当停止对用户个人信息的收集和使用，并为用户提供注销号码或者账号的服务。

法律、行政法规对本条第一款至第四款规定的情形另有规定的，从其规定。

第十条 电信业务经营者、互联网信息服务提供者及其工作人员对在提供服务过程中收集、使用的用户个人信息应当严格保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第十一条 电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进行监督和管理，不得委托不符合本规定有关用户个人信息保护要求的代理人代办相关服务。

第十二条 电信业务经营者、互联网信息服务提供者应当建立用户投诉处理机制，公布有效的联系方式，接受与用户个人信息保护有关的投诉，并自接到投诉之日起十五日内答复投诉人。

第三章 安全保障措施

第十三条 电信业务经营者、互联网信息服务提供者应当采取以下措施防止用户个人信息泄露、毁损、篡改或者丢失：

（一）确定各部门、岗位和分支机构的用户个人信息安全管理责任；

（二）建立用户个人信息收集、使用及其相关活动的工作流程和安全管理制度；

（三）对工作人员及代理人实行权限管理，对批量导出、复制、销毁信息实行审查，并采取防泄密措施；

（四）妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体，并采取相应的安全储存措施；

（五）对储存用户个人信息的信息系统实行接入审查，并采取防入侵、防病毒等措施；

（六）记录对用户个人信息进行操作的人员、时间、地点、事项等信息；

（七）按照电信管理机构的规定开展通信网络安全防护工作；

（八）电信管理机构规定的其他必要措施。

第十四条 电信业务经营者、互联网信息服务提供者保管的用户个人信息发生或者可能发生泄露、毁损、丢失的，应当立即采取补救措施；造成或者可能造成严重后果的，应当立即向准予其许可或者备案的电信管理机构报告，配合相关部门进行的调查处理。

电信管理机构应当对报告或者发现的可能违反本规定的行为的影响进行评估；影响特别重大的，相关省、自治区、直辖市通信管理局应当向工业和信息化部报告。电信管理机构在依据本规定作出处理决定前，可以要求电信业务经营者和互联网信息服务提供者暂停有关行为，电信业务经营者和互联网信息服务提供者应当执行。

第十五条 电信业务经营者、互联网信息服务提供者应当对其工作人员进行用户个人信息保护相关知识、技能和安全责任培训。

第十六条 电信业务经营者、互联网信息服务提供者应当对用户个人信息保护情况每年至少进行一次自查，记录自查情况，及时消除自查中发现的安全隐患。

第四章 监督检查

第十七条 电信管理机构应当对电信业务经营者、互联网信息服务提供者保护用户个人信息的情况实施监督检查。

电信管理机构实施监督检查时，可以要求电信业务经营者、互联网信息服务提供者提供相关材料，进入其生产经营场所调查情况，电信业务经营者、互联网信息服务提供者应当予以配合。

电信管理机构实施监督检查，应当记录监督检查的情况，不得妨碍电信业务经营者、互联网信息服务提供者正常的经营或者服务活动，不得收取任何费用。

第十八条 电信管理机构及其工作人员对在履行职责中知悉的用户个人信息应当予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第十九条 电信管理机构实施电信业务经营许可及经营许可证年检时，应当对用户个人信息保护情况进行审查。

第二十条 电信管理机构应当将电信业务经营者、互联网信息服务提供者违反本规定的行为记入其社会信用档案并予以公布。

第二十一条 鼓励电信和互联网行业协会依法制定有关用户个人信息保护的自律性管理制度，引导会员加强自律管理，提高用户个人信息保护水平。

第五章 法律责任

第二十二条 电信业务经营者、互联网信息服务提供者违反本规定第八条、第十二条规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以下的罚款。

第二十三条 电信业务经营者、互联网信息服务提供者违反本规定第九条至第十一条、第十三条至第十六条、第十七条第二款规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以上三万元以下的罚款，向社会公告；构成犯罪的，依法追究刑事责任。第二十四条 电信管理机构工作人员在对用户个人信息保护工作实施监督管理的过程中玩忽职守、滥用职权、徇私舞弊的，依法给予处理；构成犯罪的，依法追究刑事责任。

第六章 附则

第二十五条 本规定自2013年9月1日起施行。

中华人民共和国工业和信息化部

二〇一三年六月二十八日

第三篇：电信和互联网用户个人信息保护规定(征求意见稿)

电信和互联网用户个人信息保护规定

（征求意见稿）第一章 总则

第一条 为了保护电信和互联网用户的合法权益，维护网络信息安全，根据《全国人民代表大会常务委员会关于加强网络信息保护的决定》、《中华人民共和国电信条例》、《互联网信息服务管理办法》等法律、行政法规，制定本规定。

第二条 在中华人民共和国境内提供电信服务和互联网信息服务过程中收集、使用用户个人信息的活动，应当遵守本规定。

第三条 工业和信息化部和各省、自治区、直辖市通信管理局（以下统称“电信管理机构”）依法对电信和互联网用户个人信息保护工作实施监督管理。

第四条 本规定所称用户个人信息，是指电信业务经营者和互联网信息服务提供者在提供服务的过程中收集的能够单独或者与其他信息结合识别用户的信息，包括用户姓名、出生日期、身份证件号码、住址等身份信息以及用户使用服务的号码、账号、时间、地点等日志信息。

第五条 电信业务经营者、互联网信息服务提供者在提供服务的过程中收集、使用用户个人信息，应当遵循合法、正当、必要的原则。

第六条 电信业务经营者、互联网信息服务提供者对其在提供服务过程中收集、使用的用户个人信息的安全负责。

第七条 国家鼓励电信和互联网行业开展用户个人信息保护自律工作。

第二章 信息收集和使用规范

第八条 电信业务经营者、互联网信息服务提供者应当制定用户个人信息收集、使用规则，并在其经营或者服务场所、网站等予以公布。

第九条 未经用户同意，电信业务经营者、互联网信息服务提供者不得收集、使用用户个人信息。

电信业务经营者、互联网信息服务提供者收集、使用用户个人信息的，应当明确告知用户收集、使用信息的目的、方式和范围，留存信息的期限，查询、更正信息的渠道以及拒绝提供信息的后果等事项。

电信业务经营者、互联网信息服务提供者不得收集其提供服务所必需以外的用户个人信息或者将信息使用于其提供服务之外的目的，不得以欺骗、误导或者强迫等方式或者违反法律、行政法规以及双方的约定收集、使用信息。

法律、行政法规对本条第一款至第三款规定的情形另有规定的，从其规定。

第十条 电信业务经营者、互联网信息服务提供者及其工作人员对在提供服务过程中收集、使用的用户个人信息应当严格保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第十一条 电信业务经营者、互联网信息服务提供者委托他人代理市场销售和技术服务等直接面向用户的服务性工作，涉及收集、使用用户个人信息的，应当对代理人的用户个人信息保护工作进行监督和管理，不得委托不能满足用户个人信息保护要求的代理人代办相关服务。

第十二条 电信业务经营者、互联网信息服务提供者应当建立用户投诉处理机制，公布有效的联系方式，接受与用户个人信息保护有关的投诉，并自接到投诉之日起十五日内答复投诉人。

第三章 安全保障措施

第十三条 电信业务经营者、互联网信息服务提供者应当采取以下防止用户个人信息泄露、毁损或者丢失的措施：

（一）确定各部门、岗位和分支机构的用户个人信息安全管理责任；

（二）建立用户个人信息收集、使用及其相关活动的工作流程和安全管理制度；

（三）对工作人员实行权限管理，对批量导出、复制、销毁信息实行审查，并采取防泄密措施；

（四）妥善保管记录用户个人信息的纸介质、光介质、电磁介质等载体，采取相应的安全储存措施；

（五）对储存用户个人信息的信息系统实行接入审查，定期进行安全风险评估；

（六）按照电信管理机构的规定采取通信网络安全防护措施；

（七）记录对用户个人信息进行操作的人员、时间、地点、事项等信息；

（八）电信管理机构规定的其他必要措施。

第十四条 电信业务经营者、互联网信息服务提供者保管的用户个人信息发生或者可能发生泄露、毁损、丢失的，应当立即采取补救措施；造成或者可能造成严重后果的，应当立即向准予其许可或者备案的电信管理机构报告，配合相关部门进行的调查处理。

第十五条 电信业务经营者、互联网信息服务提供者应当对其工作人员进行用户个人信息保护相关知识、技能及安全责任培训。

第十六条 电信业务经营者、互联网信息服务提供者应当对用户个人信息保护情况进行定期自查，记录自查情况，及时消除自查中发现的信息安全问题。

第四章 监督检查

第十七条 电信管理机构应当对电信业务经营者、互联网信息服务提供者保护用户个人信息的情况实施监督检查。

电信管理机构实施监督检查时，可以要求电信业务经营者、互联网信息服务提供者提供相关材料，进入其生产经营场所调查情况，电信业务经营者、互联网信息服务提供者应当予以配合。

电信管理机构实施监督检查，应当记录监督检查的情况。实施监督检查不得妨碍电信业务经营者、互联网信息服务提供者正常的经营或者服务活动，不得收取任何费用。

第十八条 电信管理机构及其工作人员对在履行职责中知悉的用户个人信息应当予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第十九条 电信管理机构实施电信业务经营许可及经营许可证年检时，应当对用户个人信息保护情况进行审查。

第二十条 电信管理机构应当将有违反本规定行为的电信业务经营者、互联网信息服务提供者记入其社会信用档案并予以公布。

第二十一条 鼓励电信和互联网行业协会依法制定有关用户个人信息保护的自律性管理制度，引导会员加强自律管理，提高用户个人信息保护水平。

第五章 法律责任

第二十二条 电信业务经营者、互联网信息服务提供者违反本规定第八条、第十二条规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以下的罚款。

第二十三条 电信业务经营者、互联网信息服务提供者违反本规定第九条、第十条、第十一条、第十三条、第十四条、第十五条、第十六条、第十七条第二款规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以上三万元以下的罚款；构成犯罪的，依法追究刑事责任。

第二十四条 电信管理机构工作人员在对用户个人信息保护工作实施监督管理的过程中玩忽职守、滥用职权、徇私舞弊的，依法给予处理；构成犯罪的，依法追究刑事责任。

第六章 附则

第二十五条 本规定自

年 月 日起施行。

第四篇：寄递服务用户个人信息安全管理规定

寄递服务用户个人信息安全管理规定

第一章 总 则

第一条 为加强邮政行业寄递服务用户个人信息安全管理，保护用户合法权益，维护邮政通信与信息安全，促进邮政行业健康发展，根据《中华人民共和国邮政法》、《全国人大常委会关于加强网络信息保护的规定》、《邮政行业安全监督管理办法》等法律、行政法规和有关规定，制定本规定。

第二条 在中华人民共和国境内经营和使用寄递服务涉及用户个人信息安全的活动以及相关监督管理工作，适用本规定。

第三条 本规定所称寄递服务用户个人信息（以下简称寄递用户信息），是指用户在使用寄递服务过程中的个人信息，包括寄（收）件人的姓名、地址、身份证件号码、电话号码、单位名称，以及寄递详情单号、时间、物品明细等内容。

第四条 寄递用户信息安全监督管理坚持安全第一、预防为主、综合治理的方针，保障用户个人信息安全。

第五条 国务院邮政管理部门负责全国邮政行业寄递用户信息安全监督管理工作。省、自治区、直辖市邮政管理机构负责本行政区域内的邮政行业寄递用户信息安全监督管理工作。

按照国务院规定设立的省级以下邮政管理机构负责本辖区的邮政行业寄递用户信息安全监督管理工作。

国务院邮政管理部门和省、自治区、直辖市邮政管理机构以及省级以下邮政管理机构，统称为邮政管理部门。

第六条 邮政管理部门应当与有关部门相互配合，健全寄递用户信息安全保障机制，维护寄递用户信息安全。

第七条 邮政企业、快递企业及其从业人员应当遵守国家有关信息安全管理的规定及本规定，防止寄递用户信息泄露、丢失。

第二章 一般规定

第八条 邮政企业、快递企业应当建立健全寄递用户信息安全保障制度和措施，明确企业内部各部门、岗位的安全责任，加强寄递用户信息安全管理和安全责任考核。

第九条 以加盟方式经营快递业务企业应当在加盟协议中订立寄递用户信息安全保障条款，明确被加盟人与加盟人的安全责任。加盟人发生信息安全事故时，被加盟人应当依法承担相应安全管理责任。

第十条 邮政企业、快递企业应当与其从业人员签订寄递用户信息保密协议，明确保密义务和违约责任。

第十一条 邮政企业、快递企业应当组织从业人员进行寄递用户信息安全保护相关知识、技能培训，加强职业道德教育，不断提高从业人员的法制观念和责任意识。

第十二条 邮政企业、快递企业应当建立寄递用户信息安全投诉处理机制，公布有效联系方式，接受并及时处理有关投诉。

第十三条 邮政企业、快递企业受网络购物、电视购物和邮购等经营者委托提供寄递服务的，在与委托方签订协议时，应当订立寄递用户信息安全保障条款，明确信息使用范围和方式、信息交换安全保护措施、信息泄露责任划分等内容。

第十四条 邮政企业、快递企业委托第三方录入寄递用户信息的，应当确认其具有信息安全保障能力，并订立信息安全保障条款，明确责任划分。第三方发生信息安全事故导致寄递用户信息泄露、丢失的，邮政企业、快递企业应当依法承担相应责任。

第十五条 未经法律明确授权或者用户书面同意，邮政企业、快递企业及其从业人员不得将其掌握的寄递用户信息提供给任何单位或者个人。

第十六条 公安机关、国家安全机关或者检察机关的工作人员依照法律规定程序调阅、检查寄递详情单实物及电子信息档案，邮政企业、快递企业应当配合，并对有关情况予以保密。

第十七条 邮政企业、快递企业应当建立寄递用户信息安全应急处置机制。对于突发的寄递用户信息安全事故，应当立即采取补救措施，按照规定报告邮政管理部门，并配合邮政管理部门和相关部门的调查处理工作，不得迟报、漏报、谎报、瞒报。

第三章 寄递详情单实物信息安全管理

第十八条 邮政企业、快递企业应当加强寄递详情单管理，对空白寄递详情单发放情况进行登记，对号段进行全程跟踪，形成跟踪记录。

第十九条 邮政企业、快递企业应当加强营业场所、处理场所管理，严禁无关人员进出邮件（快件）处理、存放场地，严禁无关人员接触、翻阅邮件（快件），防止寄递详情单实物信息（以下简称实物信息）在处理过程中泄露。

第二十条 邮政企业、快递企业应当优化寄递处理流程，减少接触实物信息的处理环节和操作人员。

第二十一条 邮政企业、快递企业应当采用有效技术手段，防止实物信息在寄递过程中泄露。

第二十二条 邮政企业、快递企业应当配备符合国家标准的安全监控设备，安排具有专门技术和技能的人员，对收寄、分拣、运输、投递等环节的实物信息处理进行安全监控。第二十三条 邮政企业、快递企业应当建立健全寄递详情单实物档案管理制度，实行集中封闭管理，确定集中存放地，及时回收寄递详情单妥善保管。设立、变更集中存放地，应当及时报告所在地邮政管理部门。

第二十四条 邮政企业、快递企业应当对寄递详情单实物档案集中存放地设专人管理，采取必要的安全防护措施，确保存储安全。

第二十五条 邮政企业、快递企业应当建立并严格执行寄递详情单实物档案查询管理制度。内部人员因工作需要查阅档案时，应当确保档案完整无损，并做好查阅登记，不得私自携带离开存放地。

第二十六条 寄递详情单实物档案应当按照国家相关标准规定的期限保存。保存期满后，由企业进行集中销毁，做好销毁记录，严禁丢弃或者贩卖。

第二十七条 邮政企业、快递企业应当对实物信息安全保障情况进行定期自查，记录自查情况，及时消除自查中发现的信息安全隐患。

第四章 寄递详情单电子信息安全管理

第二十八条 邮政企业、快递企业应当按照国家规定，加强寄递服务用户信息相关信息系统和网络设施的安全管理。

第二十九条 邮政企业、快递企业信息系统的网络架构应当符合国家信息安全管理规定，合理划分安全区域，实现各安全区域之间有效隔离，并具有防范、监控和阻断来自内部和外部网络攻击破坏的能力。

第三十条 邮政企业、快递企业应当配备必要的防病毒软件、硬件，确保信息系统和网络具有防范计算机病毒的能力，防止恶意代码破坏信息系统和网络，避免信息泄露或者被篡改。

第三十一条 邮政企业、快递企业构建信息系统和网络，应当避免使用信息系统和网络供应商提供的默认密码、安全参数，并对通过开放公共网络传输的寄递用户信息采取加密措施，严格审查并监控对信息系统、网络设备的远程访问。

第三十二条 邮政企业、快递企业在采购计算机软件、硬件产品或者技术服务时，应当与供应商签订保密协议，明确其安全责任，以及在发生信息安全事件时配合邮政管理部门和相关部门调查的义务。

第三十三条 邮政企业、快递企业应当建立信息系统安全内部审计制度，定期开展内部审计，对发现的问题及时整改。

第三十四条 邮政企业、快递企业应当加强信息系统及网络的权限管理，基于权限最小化和权限分离原则，向从业人员分配满足工作需要的最小操作权限和可访问的最小信息范围。邮政企业、快递企业应当加强对信息系统和数据库的管理，使网络管理人员仅具有进行信息系统、数据库、网络运行维护和优化的权限。网络管理人员的维护操作须经安全管理员授权，并受到安全审计员的监控和审计。

第三十五条 邮政企业、快递企业应当加强信息系统密码管理，使用高安全级别密码策略，定期更换密码，禁止将密码透露给无关人员。

第三十六条 邮政企业、快递企业应当加强寄递用户电子信息的存储安全管理，包括：

（一）使用独立物理区域存储寄递用户信息，禁止非授权人员进出该区域；

（二）采用加密方式存储寄递用户信息；

（三）确保安全使用、保管和处置存有寄递用户信息的计算机、移动设备和移动存储介质。明确管理数据存储设备、介质的负责人，建立设备、介质使用和借用登记制度，限制设备输出接口的使用。存储设备和介质报废的，应当及时删除其中的寄递用户信息数据，并销毁硬件。

第三十七条 邮政企业、快递企业应当加强寄递用户信息的应用安全管理，对所有批量导出、复制、销毁用户个人信息的操作进行审查，并采取防泄密措施，同时记录进行操作的人员、时间、地点和事项，留作信息安全审计依据。

第三十八条 邮政企业、快递企业应当加强对离岗人员的信息安全审计，及时删除或者禁用离岗人员系统账户。

第三十九条 邮政企业、快递企业应当制定本企业与市场相关主体的信息系统安全互联技术规则，对存储寄递服务信息的信息系统实行接入审查，定期进行安全风险评估。

第五章 监督管理

第四十条 邮政管理部门依法履行下列职责：

（一）制定保障寄递用户信息安全的政策、制度和相关标准，并监督实施；

（二）监督、指导邮政企业、快递企业落实信息安全责任制，督促企业加强寄递用户信息安全管理；

（三）对寄递用户信息安全进行监测、预警和应急管理；

（四）监督、指导邮政企业、快递企业开展寄递用户信息安全宣传教育和培训；

（五）依法对邮政企业、快递企业实施寄递用户信息安全监督检查；

（六）组织调查或者参与调查寄递用户信息安全事故，依法查处违反寄递用户信息安全管理规定的行为；

（七）法律、行政法规和规章规定的其他职责。

第四十一条 邮政管理部门应当加强邮政行业寄递用户信息安全管理制度和知识的宣传，强化邮政企业、快递企业及其从业人员的信息安全管理意识，提高用户对个人信息安全保护的认识。

第四十二条 邮政管理部门应当加强邮政行业寄递用户信息安全运行的监测预警，建立信息管理体系，收集、分析与信息安全有关的各类信息。

下级邮政管理部门应当及时向上一级邮政管理部门报告邮政行业寄递用户信息安全情况，并根据需要通报工业和信息化、通信管理、公安、国家安全、商务和工商行政管理等相关部门。

第四十三条 邮政管理部门应当对邮政企业、快递企业建立和执行寄递用户信息安全管理制度，规范从业人员信息安全保护行为，防范信息安全风险等情况进行检查。

第四十四条 邮政管理部门发现邮政企业、快递企业存在违反寄递用户信息安全管理规定，妨害或者可能妨害寄递用户信息安全的，应当依法进行调查处理。违法行为涉及其他部门管理职权的，邮政管理部门应当会同有关部门对涉案邮政企业、快递企业进行调查处理。第四十五条 邮政管理部门应当加强对邮政企业、快递企业及其从业人员遵守本规定情况的监督检查。

第四十六条 邮政企业、快递企业拒不配合寄递用户信息安全监督检查的，依照《中华人民共和国邮政法》第七十七条的规定予以处罚。

第四十七条 邮政企业、快递企业及其从业人员因泄露寄递用户信息对用户造成损失的，应当依法予以赔偿。

第四十八条 邮政企业、快递企业及其从业人员违法提供寄递用户信息，尚未构成犯罪的，依照《中华人民共和国邮政法》第七十六条的规定予以处罚。构成犯罪的，移送司法机关追究刑事责任。

第四十九条 任何单位和个人有权向邮政管理部门举报违反本规定的行为。邮政管理部门接到举报后，应当依法及时处理。

第五十条 邮政管理部门可以在行业内通报邮政企业、快递企业违反寄递用户信息安全管理规定行为、信息安全事件，以及对有关责任人员进行处理的情况。必要时可以向社会公布上述信息，但涉及国家秘密、商业秘密和个人隐私的除外。

第五十一条 邮政管理部门及其工作人员对在履行职责过程中知悉的寄递用户信息应当保密，不得泄露、篡改或者损毁，不得出售或者非法向他人提供。

第五十二条 邮政管理部门工作人员在寄递用户信息安全监督管理工作中滥用职权、玩忽职守、徇私舞弊，依照《邮政行业安全监督管理办法》第五十五条的规定予以处理。

第六章 附 则

第五十三条 本规定自发布之日起施行。

第五篇：寄递服务用户个人信息安全管理规定

寄递服务用户个人信息安全管理规定

（征求意见稿）

第一章 总 则

第一条 为加强邮政行业寄递服务用户个人信息安全管理，保护用户合法权益，维护邮政通信与信息安全，促进邮政行业健康发展，根据《中华人民共和国邮政法》、《邮政行业安全监督管理办法》及相关的法律法规和规定，制定本规定。

第二条 在中华人民共和国境内经营和使用寄递服务涉及用户个人信息安全的活动以及与之相关的监督管理工作，适用本规定。

第三条 本规定所称寄递服务用户个人信息（以下简称寄递用户信息），是指用户在使用寄递服务过程中的个人信息，包括寄（收）件人的姓名、地址、身份证件号码、电话号码、单位名称，以及寄递单号、时间、物品明细等内容。

第四条 寄递用户信息安全监督管理坚持安全第一、预防为主、综合治理的方针，保障用户个人信息安全，保护公民合法权益。

第五条 国务院邮政管理部门负责全国邮政行业寄递用户信息安全监督管理工作。

省、自治区、直辖市邮政管理机构负责本行政区域内的邮政行业寄递用户信息安全监督管理工作。

－ 1 － 按照国务院规定设立的省级以下邮政管理机构负责本辖区的邮政行业寄递用户信息安全监督管理工作。

国务院邮政管理部门和省、自治区、直辖市邮政管理机构以及省级以下邮政管理机构，统称为邮政管理部门。

第六条 邮政管理部门应当与有关部门相互配合，健全寄递用户信息安全保障机制，维护寄递用户信息安全。

第七条 邮政企业、快递企业及其从业人员应当遵守国家有关信息安全管理的规定及本规定，对寄递用户信息的安全负责。

第二章 一般规定

第八条 邮政企业、快递企业应当建立健全寄递用户信息安全保障制度和措施，确定各部门、岗位的安全责任，加强安全责任考核。

第九条 加盟制快递企业应当在加盟协议中设立寄递用户信息安全保障条款，明确被加盟人与加盟人的安全责任关系。对于加盟人出现的信息安全事故，被加盟人应承担相应的安全管理责任。

第十条 邮政企业、快递企业应当与从业人员签订寄递用户信息保密协议，明确保密义务。

第十一条 邮政企业、快递企业应当组织从业人员进行寄递用户信息安全保护相关知识、技能的培训，加强职业道德教育，不断提高从业人员的法制观念和责任意识。

－ 2 － 第十二条 邮政企业、快递企业应当建立寄递用户信息安全投诉处理机制，公布有效的联系方式，接受并及时处理有关投诉。

第十三条 邮政企业、快递企业接受网络购物、电视购物和邮购等经营者委托提供寄递服务的，在与委托方签订协议时，应当约定寄递用户信息安全保障条款，明确信息使用范围、使用方式、信息交换使用的安全保护措施、信息泄露责任划分等内容。

第十四条 邮政企业、快递企业委托第三方录入寄递用户信息的，应当确认其具有信息安全保障能力，并签订信息安全保障协议条款，明确企业与第三方的安全责任。对于第三方出现的信息安全事故，邮政企业、快递企业应承担相应责任。

第十五条 未经法律明确授权或者用户书面同意，邮政企业、快递企业及其从业人员不得将其掌握的寄递用户信息提供给任何组织或者个人。

第十六条 国家安全机关、公安机关、检察机关的工作人员依据法律规定调阅、检查邮件（快件）实物及电子信息档案，必须凭被调阅企业所在地的县级以上（含县级）国家安全机关、公安机关、检察机关出具的书面证明办理相关调阅和交接手续，实施调阅、检查时，应当出示工作证件。邮政企业、快递企业应当配合，并对有关情况予以保密。

第十七条 邮政企业、快递企业应当建立寄递用户信息安全应急处置机制。对于突发的寄递用户信息安全事故，应立即采取

－ 3 － 补救措施，按照规定报告邮政管理部门，不得迟报、漏报、瞒报，并配合邮政管理部门和相关部门对案件进行调查处理。

第三章 寄递详情单实物信息安全管理

第十八条 邮政企业、快递企业应当加强对寄递详情单的管理，对发放空白单情况进行登记，对号段进行全程跟踪，形成跟踪记录。

第十九条 邮政企业、快递企业应当加强对营业场所、处理场所的管理，对用户服务区域与邮件（快件）处理、存放场地进行物理隔离。严禁无关人员进出邮件（快件）处理、存放场地，严禁无关人员接触、翻阅邮件（快件），防止实物信息在处理过程中被窃取、泄露。

第二十条 邮政企业、快递企业应当优化寄递处理流程，减少接触实物信息的处理环节和操作人员。

第二十一条 鼓励邮政企业、快递企业采用技术手段，防止信息在寄递过程中被窃取、泄露。

第二十二条 邮政企业、快递企业应当配备符合国家标准的安全监控设备，安排具备专门技术和技能的人员，对收寄、分拣、运输、投递等环节的实物信息处理进行安全监控。

第二十三条 邮政企业、快递企业应当建立健全寄递详情单实物档案管理制度，实行集中管理，确定集中存放地，及时回收－ 4 － 寄递详情单妥善保管。设立、变更集中存放地时应当告知所在地邮政管理部门。

第二十四条 邮政企业、快递企业在实物档案集中存放地应当设立专用档案室，设专人管理。采取必要的安全存储措施，做好防灾、防盗、防泄露工作，确保实物档案安全。

第二十五条 邮政企业、快递企业的业务部门因工作需要查阅档案时，应经主管领导批准。查阅人员应当保持档案完整无损，不得私自携带出室，并做好查阅记录。

第二十六条 寄递详情单实物档案应当满足国家相关标准规定的保存期限。保存期满后，由企业监督进行集中销毁，并做好销毁记录，严禁丢弃或贩卖。

第二十七条 邮政企业、快递企业应当对寄递详情单实物安全保障情况进行定期自查，记录自查情况，及时消除自查中发现的信息安全问题。

第四章 寄递详情单电子信息安全管理

第二十八条 邮政企业、快递企业应按照国家、行业相关规定，加强寄递服务用户信息相关系统和网络设施的信息安全管理。

第二十九条 邮政企业、快递企业信息系统应当建立符合国家信息安全要求的、合理的网络架构，划分安全区域，各安全区域之间应当进行有效隔离，并具有防范、监控和阻断来自内外部网络攻击破坏的能力。

－ 5 － 第三十条 邮政企业、快递企业应配置必要的防病毒软硬件，确保信息系统和网络具有防范木马等各类病毒的能力，防止恶意代码破坏信息系统和网络，避免信息泄露或者被篡改。

第三十一条 邮政企业、快递企业构建信息系统和网络，应避免使用信息系统和网络供应商提供的默认密码、安全参数，对通过开放公共网络传输的寄递用户信息设置加密措施，严格审查并监控对信息系统、网络设备的远程访问。

第三十二条 邮政企业、快递企业在采购软硬件产品或者技术服务时，应当与供应商签订保密协议，明确其安全责任及发生信息安全事件时配合邮政管理部门和相关部门调查工作的义务。

第三十三条 邮政企业、快递企业应加强信息系统及网络的权限管理，应基于权限最小化原则和权限分离原则，对从业人员分配满足工作需要的最小操作权限和可访问的最小信息范围。

邮政企业、快递企业应加强对系统管理员、数据库管理员、网络管理员的权限限制，使其有且仅有进行系统、数据库、信息网络运行维护和优化的权限，其所有管理维护操作应得到安全管理员的授权，并受到安全审计员的监控和审计。

第三十四条 邮政企业、快递企业应加强相关系统密码管理，使用高安全级别密码策略，强制定期更换密码，禁止将密码转告他人。

第三十五条 邮政企业、快递企业应加强寄递用户电子信息的存储安全管理，包括：

－ 6 －

（一）使用独立物理区域存储寄递用户信息，禁止非授权人员进出该区域；

（二）采用加密方式存储寄递用户信息；

（三）确保安全使用、保存和处置存有寄递用户信息的计算机、移动设备和移动介质（包括磁带、磁盘、笔记本电脑、设备USB口、可写光驱等输入输出介质等）。明确管理数据存储设备、介质的负责人，建立设备、介质使用和借用登记，限制USB口、可写光驱、无线接口等设备输出接口的使用。及时删除销毁报废设备和存储介质中的寄递用户信息数据。

第三十六条 邮政企业、快递企业应加强寄递用户信息的应用安全管理，对所有批量导出、复制、销毁用户个人信息的操作进行审查，并采取防泄密措施，同时记录进行操作的人员、时间、地点、事项，作为以后进行信息安全审计的依据。

第三十七条 邮政企业、快递企业应加强信息系统账户管理，应在从业人员离职时对其进行信息安全审计，及时禁用相关系统账户。

第三十八条 邮政企业、快递企业应当制定本企业与市场相关主体的信息系统安全互联技术规则，对存储寄递服务信息的信息系统实行接入审查，并定期进行安全风险评估。

第三十九条 邮政企业、快递企业应当建立信息系统安全内部审计制度，定期开展内部审计，对发现的问题及时整改。

－ 7 －

第五章 监督管理

第四十条 邮政管理部门依法履行下列职责：

（一）制定保障寄递用户信息安全的政策、制度和相关标准，并监督实施；

（二）指导与监督邮政企业、快递企业落实信息安全责任制，督促企业加强内部信息安全管理；

（三）对寄递用户信息安全进行监测、预警和应急管理；

（四）指导与监督邮政企业、快递企业开展信息安全的宣传教育和培训；

（五）依法对邮政企业、快递企业实施信息安全监督检查；

（六）组织调查或者参与调查寄递用户信息安全事故，查处违反寄递用户信息安全监管规定的行为；

（七）法律、法规、规章规定的其他职责。

第四十一条 邮政管理部门应当加强邮政行业寄递用户信息安全管理制度和安全知识的宣传，提高从业人员的信息安全意识，增强公众对个人信息保护的安全意识。

第四十二条 邮政管理部门应当加强邮政行业寄递用户信息安全运行的监测预警，建立信息管理体系，收集、分析与信息安全有关的各类信息。

省级邮政管理部门和省级以下邮政管理机构应当及时向上一级邮政管理部门报告邮政行业寄递用户信息安全情况，并定期通－ 8 － 报相关的工业和信息化、通信管理、公安、国家安全、商务和工商行政管理等部门。

第四十三条 邮政管理部门应当对邮政企业、快递企业建立健全和遵守信息安全制度以及企业防范信息安全风险、规范从业人员信息安全行为等情况进行检查。

第四十四条 邮政管理部门发现邮政企业、快递企业存在违反寄递用户信息安全管理规定，妨害或者可能妨害寄递用户信息安全的，应当对其调查。违法行为涉及其他部门的管理职权的，邮政管理部门应当会同有关部门，共同对邮政企业、快递企业进行调查。

第四十五条 邮政管理部门应当加强对邮政企业、快递企业及其从业人员遵守本规定情况的监督检查。

第四十六条 邮政企业、快递企业拒不配合寄递用户信息安全监督检查的，依据《中华人民共和国邮政法》第七十七条的规定予以处罚。

第四十七条 邮政企业、快递企业及其从业人员因泄露寄递用户信息对用户造成损失的，应当依法予以赔偿。

属于从业人员违法泄露寄递用户信息造成损失的，邮政企业、快递企业应当依法进行赔偿，并向从业人员追责。

第四十八条 邮政企业、快递企业及其从业人员违法提供寄递用户信息，尚未构成犯罪的，依照《中华人民共和国邮政法》第七十六条规定予以处罚。邮政企业、快递企业逾期不履行邮政

－ 9 － 管理部门处罚决定的，由邮政管理部门依法申请人民法院强制执行。构成犯罪的，移送司法机关追究刑事责任。

第四十九条 任何单位和个人有权向邮政管理部门举报违反本规定的行为。邮政管理部门接到举报后，应当依法及时处理。

第五十条 邮政管理部门可以在行业内通报邮政企业、快递企业违反寄递用户信息安全监管有关规定、发生信息安全事件以及对有关责任人员进行处理的情况，必要时可以向社会公开上述信息，但涉及国家秘密、商业秘密与个人隐私的除外。

第五十一条 邮政管理部门及其工作人员对在履行职责中知悉的寄递用户信息应当予以保密，不得泄露、篡改或者毁损，不得出售或者非法向他人提供。

第五十二条 邮政管理部门工作人员在信息安全监督管理工作中滥用职权、玩忽职守、徇私舞弊，依照《邮政行业安全监督管理办法》第五十五条的规定予以处理。

第六章 附 则

第五十三条 本规定自年月日起施行。

－ 10 －