ICS35030

CCSL.80

中華人民共和國國家標準

GB/T45392—2025

數據安全技術基于個人信息的自動化

決策安全要求

Datasecuritytechnology—Securityrequirementsforautomateddecision

makingbasedonpersonalinformation

2025-03-28發布2025-10-01實施

國家市場監督管理總局發布

國家標準化管理委員會

GB/T45392—2025

目次

前言

…………………………Ⅲ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

概述

4………………………2

自動化決策過程

4.1……………………2

自動化決策使用的計算機程序及其算法

4.2…………3

自動化決策處理信息的范圍

4.3………………………3

自動化決策的安全風險

4.4……………3

安全原則

5…………………4

通用安全要求

6……………4

算法安全要求

7……………4

算法影響評估

7.1………………………4

算法安全技術要求

7.2…………………5

算法安全可信要求

7.3…………………5

算法安全人工介入要求

7.4……………5

保障算法安全的訓練和測試數據要求

7.5……………5

算法開發技術文檔要求

7.6……………6

算法安全運行要求

7.7…………………6

其他要求

7.8……………7

特征生成安全要求

8………………………7

特征生成的個人信息處理要求

8.1……………………7

特征生成的計算安全要求

8.2…………8

決策安全要求

9……………8

基本要求

9.1……………8

決策前的告知要求

9.2…………………8

決策中的個人權益保障要求

9.3………………………9

自動化決策典型場景特別安全要求

10……………………9

教育或職業機會

10.1……………………9

信用貸款或保險評估

10.2………………9

社會福利資格等公共治理領域

10.3……………………9

勞動關系領域

10.4……………………10

特殊群體的自動化決策安全要求

10.5………………10

信息推送商業營銷

10.6、………………10

商業交易

10.7…………………………11

參考文獻

……………………12

Ⅰ

GB/T45392—2025

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規則的規定

GB/T1.1—2020《1:》

起草

。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別專利的責任

。。

本文件由全國網絡安全標準化技術委員會提出并歸口

(SAC/TC260)。

本文件起草單位北京理工大學中國信息通信研究院中國電子技術標準化研究院中國網絡安全

:、、、

審查技術與認證中心北京抖音信息服務有限公司北京百度網訊科技有限公司北京尚隱科技有限公

、、、

司北京三快在線科技有限公司貝殼找房北京科技有限公司上海美士達商務咨詢有限公司上海杉

、、()、、

涌律師事務所北京市競天公誠律師事務所北京小桔科技有限公司北京漢華飛天信安科技有限公司

、、、、

攜程旅游信息技術上海有限公司螞蟻科技集團股份有限公司阿里巴巴北京軟件服務有限公司

()、、()、

北京快手科技有限公司北京京東尚科信息技術有限公司北京微夢創科網絡技術有限公司北京騰云

、、、

天下科技有限公司北京市中倫律師事務所北京外國語大學中國政法大學北京電子科技學院云從

、、、、、

科技集團股份有限公司榮耀終端有限公司北京深度求索人工智能基礎技術研究有限公司

、、、OPPO

廣東移動通信有限公司

。

本文件主要起草人洪延青田申葛鑫吳夢漪朱曼莉王勁松張朝趙冉冉劉笑岑薛晶

:、、、、、、、、、、

徐全全萬方張凌寒王玎彭根樊華王磊陳湉何延哲劉影葛夢瑩王敬周落紅衛孫鐵許銳

、、、、、、、、、、、、、、、

張娜李昳婧劉榕顧偉郭建領周楊吳佳蔚呼娜英丁曉強胡立平付艷艷白曉媛石玉珍

、、、、、、、、、、、、、

趙曉娜李軍彭駿濤吳少卿黃蓉范曄梁天翔

、、、、、、。

Ⅲ

GB/T45392—2025

數據安全技術基于個人信息的自動化

決策安全要求

1范圍

本文件提出了基于個人信息的自動化決策的基本安全原則規定了通用安全要求算法安全要求

,、、

特征生成安全要求決策安全要求和自動化決策典型場景特別安全要求

、。

本文件適用于開展自動化決策的個人信息處理者規范其算法開發特征生成和決策活動也適用于

、,

監管部門第三方評估機構對自動化決策進行監督管理和評估

、、。

2規范性引用文件

下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款其中注日期的引用文

。,

件僅該日期對應的版本適用于本文件不注日期的引用文件其最新版本包括所有的修改單適用于

,;,()

本文件

。

信息安全技術個人信息安全規范

GB/T35273

信息安全技術移動互聯網應用程序收集個人信息基本要求

GB/T41391(App)

信息安全技術網絡數據處理安全要求

GB/T41479

信息安全技術機器學習算法安全評估規范

GB/T42888—2023

3術語和定義

界定的以及下列術語和定義適用于本文件

GB/T35273。

31

.

自動化決策automateddecisionmaking

通過計算機程序自動分析和評估個人的行為習慣興趣愛好或者經濟健康和信用狀況等并進行

、、,

決策的活動

。

注自動化決策可進一步分解為特征生成和決策兩個過程

:。

32

.

個人特征信息