信息系统安全等级保护基本要求中对不同级别的信息系统 信息系统安全等级保护( 二 )


以驾驶员信息为例,其上传至平台的姓名、身份证号、联系方式、从业人员资格证号、机动车驾驶证号等数据,可联系到该名自然人的身份,属于个人信息 。
2、企业自身数据:网络货运平台涉及的企业基本信息数据、系统数据、业务数据、日志数据、埋点数据等各类数据 。
3、统计分析数据:基于网络货运平台数据库,通过数据挖掘等技术分析、研究有价值的信息,例如对装卸货、结算的有效管控,物流信息全流程跟踪能力分析,平台线上服务能力 。这类数据是网络货运平台的重要资产,是数据的最大价值所在 。
4、数据分级:《数据安全法》提出了国家核心数据和重要数据的概念,并要求各地区、各部门制定重要数据目录 。网络货运企业应持续关注交通、公安等部门的重要数据目录的制定动态,识别运单信息、货运保险、资金流水等相关处理的数据,是否会落入重要数据的范畴 。
关于个人信息部分,根据《信息安全技术-个人信息安全规范》(GB/T35273-2020),驾驶员身份证、车辆行驶证等留存证件、驾驶员位置信息等,不仅是公民个人信息,更是个人敏感信息 。
对于个人敏感信息,除了“正当、合法、必要”的原则性要求外,应依据《个人信息保护法(草案)》等规定,进行更加严格的保护 。如网络货运经营者须实时采集的承运车辆运输轨迹,而该运输轨迹又同时属于驾驶员的行踪轨迹 。
《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》、《检察机关办理侵犯公民个人信息案件指引》都将“非法获取、出售或者提供行踪轨迹信息,被他人用于犯罪”规定为“情节严重”,可见其敏感性 。
所以,网络货运经营者应注意收集的地理位置数据的访问时间、频率,判断是否超出必要限度 。访问实时行驶轨迹数据应在运单起运和货物确认送达的过程中;并且事先经驾驶员授权同意后,实时采集和上传驾驶员地理位置信息数据 。
数据完成上述分类分级后,网络货运企业目前可以开始为达到重要数据的合规要求做好准备 。落实数据安全负责人和管理机构;对不同级别的数据分类分级标识,根据数据重要程度确定标记是否细化到数据库表的字段级;同时对数据访问权限设置严格的审批流程 。
《民法典》1034 条:个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息,包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等 。

信息系统安全等级保护基本要求中对不同级别的信息系统 信息系统安全等级保护


【信息系统安全等级保护基本要求中对不同级别的信息系统 信息系统安全等级保护】三、合作方互相共享与转让
网络货运平台用户在注册、使用网络货运系统服务期间提供、形成的信息,在平台大量沉淀后,可能因平台进行油品、金融等各类增值服务而对外提供数据;或平台为开展运力互联等原因,从如货拉拉等其他拥有较多数据的外部合作方处导入的数据 。
此类与合作方互相共享、转让数据的行为,若涉及个人信息的,应符合《数据安全法》等对个人信息保护的要求,不得窃取或者以其他非法方式获取数据 。为合法、正当获取数据,除维护国家安全等特殊情形外6,网络货运企业合法对外提供个人信息的方式一般有两种:一是信息主体的授权 。二是去标识化 。
《数据安全管理办法(征求意见稿)》第二十七条:网络运营者向他人提供个人信息前,应当评估可能带来的安全风险,并征得个人信息主体同意 。下列情况除外:

推荐阅读