等保里的个人信息条款
等保 2.0 在「安全计算环境」写入个人信息保护要求并随等级递进：应仅采集和保存业务必需的用户个人信息，禁止未授权访问和非法使用用户个人信息。它与个人信息保护法的最小必要原则同向，但举证侧重不同——等保看数据清单、采集点说明与访问控制记录，个保法看告知同意与影响评估记录，实务中两份材料通常合并准备。
基本信息
| 条款位置 | 安全计算环境 - 个人信息保护（按等级递进） |
|---|---|
| 核心要求 | 仅采集保存业务必需，禁止未授权访问与非法使用 |
| 衔接法规 | 个人信息保护法、GB/T 35273-2020 |
| 举证材料 | 字段清单、采集点说明、授权与访问记录 |
| 核查方式 | 看采集点、看后台权限、看日志是否明文 |
| 常见问题 | 超范围采集、后台可批量导出、日志明文留存 |
典型使用场景
- 等保测评迎检时准备个人信息相关证据
- App 与网站合规整改中的字段收敛
- 数据清单盘点与分类分级的输入材料
- 后台查询与导出权限的最小化改造
- 与个保法、行业规定要求的合并落实
核查方法
核查方法
# 导出应用与数据库中的个人字段清单
# 逐项确认：业务是否必需？有无替代方案？
# 检查后台查询、导出权限与审批记录
# 查看日志中是否明文记录个人敏感信息
# 抽样核对采集页告知内容与实际采集字段关注点与证据
| 关注点 | 要求 | 证据 |
|---|---|---|
| 采集范围 | 仅采集业务必需字段 | 字段清单与必要性说明 |
| 访问控制 | 禁止未授权访问 | 权限配置与审批记录 |
| 使用限制 | 禁止非法使用与超范围共享 | 共享协议与导出记录 |
| 日志留存 | 避免日志明文暴露个人信息 | 脱敏配置与日志样例 |
等保的个人信息保护条款与个保法的最小必要要求可共用同一份字段清单，区别在等保侧重访问与使用控制，个保法侧重告知与同意，合并准备最省事。
只对服务器做加固、不管应用层采集是常见偏差：应用层的超范围采集同样计入等保不符合项。