2026年6月17日，全国网安标委发布GB/T35273《数据安全技术 个人信息安全规范（征求意见稿）》（下称《意见稿》），旨在对现行的GB/T35273-2020《信息安全技术 个人信息安全规范》（下称《规范》）进行修订。

作为一项推荐性国家标准，《规范》虽不具有强制执行力，但长期在监管执法、合规评估、司法实践及相关标准制定中具有重要参考价值。

然而，近年来，随着新技术的涌现与不断应用，个人信息处理活动呈现出更加复杂、多元的特征，《规范》逐渐难以回应和满足个人信息保护领域中的新风险、新要求，部分规定与《个保法》等后续法律法规存在衔接不足或不完全一致。面对这些问题，《意见稿》聚焦于个人信息全生命周期安全完善个人信息处理规则，对主体责任、安全要求进行细化，并与现行法律法规、相关标准进行衔接。

一、新旧对比：四个值得关注的变化

对比《规范》和《意见稿》，本次修订的主要变化分为四个方面：

一是对术语与概念体系的切换。随着《中华人民共和国个人信息保护法》（下称《个保法》）和《网络数据安全管理条例》（下称《网数条例》）的落地实施，《规范》中使用的部分术语的名称与定义，不能与现行法律法规保持一致。《意见稿》对《规范》中所使用的术语依照《个保法》进行了对齐。

二是对《个保法》《网数条例》《个人信息保护合规审计管理办法》（下称《审计办法》）等法律法规的衔接。将现有条文中的规定细化为可操作的规则。

三是对个人信息保护实践中问题的明确。《意见稿》吸纳了监管部门开展个人信息保护工作中的经验以及目前政策文件所关注的重点，在《规范》的基础上进行了如下补充。

四是回应新技术、新场景带来的个人信息保护治理需求。相较《规范》制定实施之初，人工智能技术、企业数据跨境活动等相关场景的应用规模、复杂程度及监管关注度均显著提升，原有规则已难以充分覆盖由此产生的新型风险和治理需求。《意见稿》因此针对人工智能、数据跨境等重点场景补充完善相关要求，以增强个人信息保护规则对新技术、新业态的适应性。

二、个人信息处理合法性基础的新要求

（一）个人信息处理的合法性

在个人信息处理的合法性基础上，《规范》构建了“以同意为基础，以例外为补充”的框架，在“5.4 收集个人信息时的授权同意”中指出，收集个人信息应向个人告知个人信息的处理规则并获得个人的授权同意，并在“5.6 征得授权同意的例外”中列举了不必征得个人同意处理的11项情形。

这一框架在当时确实理清、解决了许多实践中的个人信息处理的合法性问题，但是随着《个保法》的施行，《规范》的旧框架与《个保法》提出的“个人信息处理合法性基础”的框架存在衔接问题（如：《规范》中授权同意的例外情形超出了《个保法》所规定的不需取得同意的情形，适用前者是否导致违规；对于非基于同意处理敏感个人信息的情形，是否还应当取得个人的单独同意等）。

《意见稿》对这一情况进行了调整，将《个保法》第13条中规定的合法性基础转化为了8项明确的合规要求，并在附录中提供了合法性基础的示例场景，具有较强的参考性与可操作性：

（二）个人信息处理活动的记录留存

《意见稿》对于合法性基础的操作要求，在对每一种情形划定了明确的边界、给出了相应的负面清单的同时，还提出了另一项重点要求：个人信息处理者应在个人信息处理活动开始前识别并记录相应的合法性基础，形成可核验、可追溯、可审计的证据链。

比如，《意见稿》提出：在以同意为合法性基础的情形中，个人信息处理者应留存同意的证据，记录同意的内容、时间、方式、证明材料及撤回轨迹等。

这一要求相应提高了企业在合规管理、记录留存和举证方面的要求。企业不仅需要回答“有隐私政策”“有用户同意”，还需要进一步证明，“在什么时间点、基于什么理由、经过什么审批流程，确定了这个处理活动的合法性基础，并且这个记录和告知内容、处理活动记录、影响评估结论保持一致”。

三、人工智能、终端设备与统一账号等场景下的个人信息风险

对于新技术场景所产生的个人信息安全风险的回应是《征求意见稿》的另一大修改亮点。

（一）人工智能场景

《意见稿》通过增改“6.7 人工智能类产品或服务的收集”“8.4 基于不同业务目的所收集的个人信息的汇聚融合”“8.5.4 生成式人工智能的使用”这三个小节，对人工智能场景从数据收集到模型训练再到内容输出的流程进行了规制，主要的要求如下图：

《意见稿》向个人信息处理者们释放了这样一个信号：人工智能产品或服务的个人信息保护责任，并不因为仅调用第三方服务而得到免除，从数据来源审查、对个人信息去标识化处理、输出内容审核再到删除响应，各方仍应结合委托处理、提供、共同处理等具体法律关系划分责任。

（二）智能终端设备

智能终端设备如智能门锁、手表、手环等设备在近几年得到了极大的发展与普及，但是这类设备与传统的应用程序、网页不同的是，部分智能终端设备并没有一个可以弹窗、可以点击同意按钮的交互界面。《规范》没有对这类设备的个人信息告知机制在实践中的落地作出规定，《意见稿》在“6.8 终端类产品或服务的收集”中给出了具体路径：

如果设备本身无用户交互界面或界面有限，但有配套使用的应用程序或在线网页，应在用户首次使用前通过配套应用/网页以弹窗等显著方式呈现处理规则；如果没有配套应用/网页，可通过用户手册等线下方式呈现。

此外，在安装图像采集设备的公共区域，应设置显著提示标识，告知个人信息主体该区域正在进行视频图像信息收集。

（三）统一账号

统一账号体系是近年来大型互联网集团的常见运营模式，用户可以通过统一账号体系登录同一集团下不同无股权关系的实体运营的多个应用程序。这一模式在给用户提供了便捷的体验的同时，也造成了用户对其信息流转的困惑，当集团旗下的多款产品共用同一个账号体系时，用户难以了解其在A产品中的行为数据、提供的信息是否会流转到B产品，也难以清楚地知道自己对单独软件的操作（如删除数据、注销账号）是否会对整个账号体系造成影响。

《意见稿》对这一模式提出的要求包括：制定专门的个人信息处理规则，向用户告知统一账号关联的个人信息种类、目的、处理方式，敏感个人信息、账号间信息提供情况需明确标识；基于统一账号的单独产品或服务收集处理的个人信息宜分开存储；用户对统一账号的信息关联展示提出质疑的，应做合理说明；除注销统一账号外，应提供删除单独产品数据、注销单个产品账号的途径，且用户申请删除单个产品数据不影响统一账号下其他数据继续保留。

四、跨境合规：海外法律管辖判定与冲突处理

《意见稿》的第11章“海外法律管辖判定与冲突处理”是本次修订中较为值得关注的新增内容，也是GB/T 35273首次以专章形式对跨境合规中的海外法律管辖作出系统性的规定。

规定的大致结构如下：

（一）管辖判定的要素

管辖判定给出了四个判断要素：属地要素（关键处理环节发生地、本地实体或雇员、数据中心地域）、效果要素（是否有意针对目标法域个人信息主体，典型标志包括使用当地语言、币种、配送承诺，投放当地广告等）、属人要素（处理者或其境外实体与目标法域公司的关联）、行业专项规则（是否适用金融、电信、商业交易等特定场景的域外规定）。

第11.1.3条还特别强调，除非当地法律明确规定，企业不应仅以“未在当地设立实体”或“未直接收取对价”为由，否定目标法域的域外适用——这实际上是在提醒企业，不能简单靠“企业未在当地开设公司”来规避境外法律的管辖。

（二）法律冲突的识别与处置

法律冲突处理识别了三类冲突：直接对立型（一方强制传输、另一方禁止出境）、标准不一致型（敏感信息定义、同意门槛等存在差异）、程序性差异型（报告时限、备案登记等流程差异）。

对于识别出的冲突，标准给出了明确的处置优先顺序：在不违反中国法律、行政法规及主管机关要求的前提下，优先考虑当地强制性法律规范的要求；当地规范不明确时，优先考虑规避重大处罚或禁令风险的规范；前述两种情况均无法适用时，可考虑合同约束或行业自律；仍无法提供明确指引的，参考国际标准或行业最佳实践。

这一处置顺序给了出海企业相对清晰的操作路径，将底线锚定在“不违反中国法律、行政法规和主管机关要求”的前提下。

（三）跨境合规负责人

第11章还要求企业指定跨境合规负责人，建立政府数据请求响应机制与透明度报告制度。对目前完全没有设置这类岗位或流程的企业而言，这是一项全新的组织建设要求。

五、组织管理要求的扩充：明确个人信息安全的内控机制

对于个人信息安全的内控机制，《规范》已经在设置个人信息保护负责人/机构的触发标准、负责人资质、管理举措上做出了一部分规定，《征求意见稿》在原有的基础上进行了进一步的扩充。

扩充内容如下：

（一）个人信息保护负责人

《规范》对个人信息保护负责人的规定非常简略，既没有明确其任职条件，也没有独立性保障措施。《意见稿》做了系统性的扩充。

（1）触发门槛从3项扩充为4项：大型网络平台（注册用户5000万以上或月活跃用户1000万以上）、从业人员超200人且主营业务涉及个人信息处理、处理超100万人个人信息、处理超10万人敏感个人信息。

（2）任职条件明确：具有中国国籍、无可能影响独立公正履职的违法犯罪记录或重大失信记录、与处理者存在法律效力的雇佣或委任协议、具备专业知识和管理经验、熟悉组织架构和数据情况、具有较强的综合分析和沟通协调能力。

（3）写入独立性保障要求：个人信息保护负责人不应因合法履行职责被解雇或处罚；应直接向组织最高机构负责；不应担任与个人信息保护存在利益冲突的职务；更换负责人应在30个工作日内补任。

（二）个人信息保护合规审计

《意见稿》在这一部分衔接了《审计办法》与《数据安全技术个人信息保护合规审计要求》，明确了审计准备、审计实施、审计报告、问题整改、归档管理五个阶段的完整流程，并要求提供重要互联网平台服务、用户数量巨大、业务类型复杂的处理者成立主要由外部成员组成的独立机构进行监督。

六、在修订落地前，企业可以做些什么？

虽然《意见稿》尚未正式发布实施，具体条文仍可能在后续审查过程中调整，但从本次修订内容来看，个人信息保护规则正进一步向场景化、精细化和可审计方向发展。企业可结合自身业务特点和风险水平，对以下重点工作进行前瞻性评估和准备：

一、对自身业务涉及个人信息处理活动的合法性基础进行归类。对照新版第5章的8类基础，逐一判断每项处理活动更适合归入哪一类，识别出目前可能存在滥用边界风险的场景（尤其是合同必需、法定职责这两类容易被扩大解释的基础）。

二、评估处理活动记录、影响评估制度能否达到可审计标准。检查现有记录是否覆盖新版13.4条列出的15项内容，是否具备电子化、结构化、可机读的能力，能否在保存三年的要求下完整追溯。

三、检查企业是否触及组织管理要求门槛。对照个人信息保护负责人的四条触发门槛，判断是否需要新设个人信息保护负责人或专职机构，并评估现有负责人的任职条件、独立性保障是否符合新标准要求。

四、出海企业逐步启动跨境合规负责人岗位与判断流程建设。对照第11章的管辖判定框架，评估现有合规体系是否已识别并具备妥善处理潜在的法律冲突情形的能力，并逐步启动跨境合规负责人岗位与判断的流程建设。

文章作者：赛博研究院咨询顾问、研究员 谷依韩

声明：本文来自赛博研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。