NIST Special Publication 800-53 Revision 5.2.0 Rev 5.2.0

个人可识别信息的处理是信息系统或组织在信息生命周期中对个人可识别信息进行的一项或一系列操作。处理包括但不限于创建、收集、使用、处理、存储、维护、传播、披露和处置。处理操作还包括记录、生成和转换，以及分析技术，例如数据挖掘。组织可能受到法律、行政命令、指令、法规或政策的约束，这些规定确立了组织的权限，从而限制某些类型的个人身份信息处理，或建立与处理相关的其他要求。组织人员应就此类权限向机构高级隐私和法律顾问咨询，特别是当组织受多个司法管辖区或多个权力来源约束时。对于其处理行为不依法律权限决定的组织，组织的政策和决定将规范其如何处理个人身份信息。虽然个人可识别信息的处理在法律上可能是允许的，但仍可能出现隐私风险。隐私风险评估可以识别与授权处理个人可识别信息相关的隐私风险，并支持管理这些风险的解决方案。组织会考虑适用的要求和组织政策，以确定如何记录这种权限。对于联邦机构，处理可识别个人身份信息的权限记录在隐私政策和通知、记录系统通知、隐私影响评估、[PRIVACT] 声明、计算机匹配协议和通知、合同、信息共享协议、谅解备忘录以及其他文件中。组织采取措施确保个人身份信息仅用于授权目的，包括对组织人员进行关于个人身份信息授权处理的培训，以及监督和审计组织对个人身份信息的使用情况。

自动化机制增强了对处理目的的跟踪。

[PRIVACT] 对联邦及非联邦机构在参与匹配程序时的要求进行了规定。一般来说，匹配程序是指对来自两个或多个自动化 [PRIVACT] 记录系统的记录，或自动化记录系统与非联邦机构（或其代理）维护的自动化记录进行计算机化比较的过程。匹配程序要么涉及联邦福利计划，要么涉及联邦人员或工资记录。进行联邦福利匹配是为了确定或核实领取联邦福利计划下付款的资格，或追回根据联邦福利计划支付的款项或拖欠债务。匹配程序不仅涉及匹配活动本身，还包括后续的调查和最终可能采取的行动。

同意允许个人参与关于其信息处理的决策，并将处理可识别个人身份信息所产生的一部分风险从组织转移到个人身上。根据适用的法律、行政命令、指令、法规、政策、标准或指南，可能需要获得同意。否则，在选择同意作为控制手段时，组织会考虑个人是否可以合理地理解并接受其授权所带来的隐私风险。组织还会考虑其他控制措施是否可能单独或与同意结合，更有效地降低隐私风险。组织还会考虑任何可能影响个人对系统或组织所进行处理的理解或行为的人口统计或背景因素。在征求个人同意时，组织会考虑获取同意的适当机制，包括同意的类型（例如（选择加入、选择退出），如何正确地对个人进行身份验证和身份确认，以及如何通过电子方式获得同意。此外，组织应考虑在适当情况下提供机制，以便个人在提供同意后撤回同意。最后，组织会考虑可用性因素，以帮助个人在提供同意时理解所承担的风险，包括使用通俗易懂的语言并避免技术术语。

数据标签通过在系统中传递目的以及相关的个人可识别信息元素，支持对处理目的的跟踪。通过在数据标签中传达处理目的，同时携带个人可识别信息，在信息流经系统时，系统所有者或操作者可以确定处理的变更是否与已识别和记录的目的相符。数据标签还可以支持自动化工具的使用。

[PRIVACT] 包含两套条款，允许联邦机构在特定情况下免除遵守该法规的某些要求。在某些情况下，这些条款允许机构制定法规，以使某些记录系统免除遵守 [PRIVACT] 的特定条款。至少，组织的[PRIVACT]豁免规定应包括将被豁免的任何记录系统的具体名称、这些记录系统将被豁免的[PRIVACT]具体条款、豁免的原因，以及解释为什么该豁免既必要又适当。

[隐私法]限制了机构处理描述个人如何行使《第一修正案》保障权利的信息的能力。各组织会就这些要求咨询机构高级隐私官员和法律顾问。

即时同意使个人能够在特定类型的数据处理过程中或在处理发生时参与其个人可识别信息的处理，这种参与在对个人最有用的情况下进行。如果自个人上次给予同意以来已经过了一段时间，或处理类型存在重大隐私风险，个人关于其可识别信息如何被处理的假设可能并不准确或可靠。组织可以自行决定何时使用即时同意，并可能使用关于人口统计、焦点小组或调查的辅助信息来更多了解个人的隐私兴趣和关注点。

即时通知在最有用的时刻向个人告知组织如何处理其可识别个人身份的信息。如果自组织上次提供通知以来已经过去了一段时间，或者个人上次收到通知的情况发生了变化，那么个人关于可识别信息将如何处理的假设可能不准确或不可靠。即时通知可以解释组织已确定为可能对个人隐私产生较大风险的数据操作。组织可以使用即时通知在特定数据操作发生时更新或提醒个人，或突出自上次通知以来发生的特定变化。即时通知可以与即时同意一起使用，以解释如果拒绝同意将会发生什么。组织会酌情决定何时使用即时通知，并可能使用关于用户人口统计、焦点小组或调查的辅助信息来了解用户的隐私兴趣和关注点。

确定和记录处理的目的为组织提供了理解为何可能处理个人身份信息的依据。“处理”一词包括信息生命周期的每一个步骤，包括创建、收集、使用、处理、存储、维护、传播、披露和销毁。识别和记录处理的目的，是让系统的所有者和运营者以及其信息被系统处理的个人理解信息将如何被处理的前提条件。这使个人能够就其与信息系统和组织的互动做出明智的决策，并管理其隐私权益。一旦确定了具体的处理目的，该目的将在组织的隐私通知、政策及任何相关的隐私合规文档中进行描述，包括隐私影响评估、记录系统通知、[PRIVACT] 声明、计算机匹配通知以及其他适用的联邦公报通知。组织采取措施确保个人可识别信息仅用于已确定的目的，包括培训组织人员以及监控和审计组织对个人可识别信息的处理。组织会监控个人可识别信息处理的变化。组织人员应咨询负责隐私和法律的高级机构官员，以确保因处理变更而产生的任何新目的与信息收集的初衷兼容；如果新目的不兼容，则应根据既定要求实施机制，以在适当情况下允许新的处理。机制可能包括获取个人同意、修改隐私政策或采取其他措施来管理由个人身份信息处理目的变化所引发的隐私风险。

个人可识别信息的处理与透明度政策和程序涉及在系统和组织中实施的PT系列控制。风险管理策略是制定此类政策和程序的重要因素。政策和程序有助于确保安全性和隐私性。因此，安全和隐私项目在制定可识别个人信息处理及透明度政策和程序时进行协作非常重要。一般来说，组织层面的安全和隐私项目政策和程序更为理想，可能不需要针对特定任务或系统的政策和程序。该政策可以作为一般安全和隐私政策的一部分，或者通过多项政策来体现组织的复杂性。如果需要，可以为安全和隐私计划、任务或业务流程以及系统建立相应的程序。程序描述了政策或控制措施是如何实施的，并且可以针对作为程序对象的个人或角色。程序可以记录在系统安全和隐私计划中，或记录在一个或多个单独的文档中。可能导致更新个人可识别信息处理和透明度政策及程序的事件包括评估或审计发现、隐私泄露，或适用法律、行政命令、指令、法规、政策、标准和指南的变更。仅仅重新陈述控制措施并不构成组织的政策或程序。

如果联邦机构要求个人提供将成为记录系统一部分的信息，该机构必须在用于收集信息的表格上或在个人可以保留的单独表格上提供隐私声明。无论信息是以纸质或电子表格、网站、移动应用程序、电话还是其他媒介收集，机构在此类情况下都会提供[PRIVACT]声明。这一要求确保个人能够获得足够的信息，以便对是否回应信息请求做出知情决定。[隐私权] 声明正式通知个人有关授权收集信息的机构；提供信息是强制性的还是自愿的；信息将被使用的主要目的；信息适用的已公布常规用途；如果未能提供所请求信息的全部或部分，对个人可能产生的影响（如有）；以及对相关记录系统通知的适当引用和链接。联邦机构人员应就[PRIVACT]的通知条款咨询机构高级隐私官员和法律顾问。

隐私声明有助于告知个人他们的可识别个人信息是如何被系统或组织处理的。组织使用隐私通知来告知个人其可识别信息是如何、在什么权限下以及出于何种目的被处理的，以及其他信息，例如个人在该处理过程中可能拥有的选择权和信息共享的其他方。法律、行政命令、指令、条例或政策可能要求隐私通知包含特定要素或以特定格式提供。联邦机构人员应咨询机构高级隐私官员以及法律顾问，了解何时何地提供隐私通知，以及隐私通知中应包含的要素和所需格式。在法律或政府范围的政策不要求隐私通知的情况下，组织的政策和决定可能要求提供隐私通知，并且可能作为隐私通知中应包含元素的来源。隐私风险评估识别与处理可识别个人信息相关的隐私风险，并可能帮助组织确定在隐私声明中包含哪些适当的内容以管理这些风险。为了帮助个人了解其信息是如何被处理的，组织会使用通俗易懂的语言撰写材料，并避免使用技术术语。

撤回同意使个人在情况变化时能够对其最初的同意决定进行控制。组织在提供易于使用的撤回功能时会考虑可用性因素。

[PRIVACT] 常规使用是指将记录从维护该记录系统的联邦机构之外披露的特定类型。常规使用是 [PRIVACT] 禁止在未经记录相关个人事先书面同意的情况下披露系统记录的例外。要符合日常使用的资格，披露必须用于与信息最初收集目的相兼容的用途。[PRIVACT] 要求各机构描述系统记录中每条记录的每种日常使用，包括记录用户的类别及使用目的。机构只能通过在相关记录系统公告中明确发布例行使用来建立例行使用。

联邦法律和政策对组织处理社会保障号码规定了具体要求。组织采取措施消除对社会保障号码和其他敏感信息的不必要使用，并遵守适用的任何特定要求。

组织对特定类别的可识别个人信息施加任何可能必要的条件或保护措施。这些条件可能是由法律、行政命令、指令、规章、政策、标准或指南要求的。这些要求也可能来自隐私风险评估的结果，这些评估考虑了可能导致组织认定某一类个人可识别信息特别敏感或存在特殊隐私风险的情境变化。组织会就可能需要的任何保护措施咨询高级机构隐私官和法律顾问。

[PRIVACT]要求联邦机构在建立和/或修改[PRIVACT]记录系统时，在《联邦登记册》上发布记录系统通知。一般而言，当一个机构维护一组由其控制的任何记录，并且可以通过个人姓名或某些识别号码、符号或其他标识符来检索信息时，就需要提供记录系统通知。该通知描述了系统的存在和特性，并识别了记录系统、系统的用途、记录维护的授权、系统中维护的记录类别、涉及记录的个人类别、记录所适用的常规用途，以及根据［OMB A-108］描述的有关系统的其他详细信息。

虽然某些处理可能是产品或服务基本功能所必需的，但其他处理则可能不是。在这种情况下，组织允许个人选择特定可识别个人身份信息的处理方式。更具针对性的同意可能有助于降低隐私风险，提高个人满意度，并避免不良行为，例如放弃使用产品或服务。