关于隐私框架的国家标准草案目前正在征求意见。文件暂编号为TCVN XXXXX:2026，标注”第1版”，全称为《信息技术 – 安全技术 – 隐私框架》。据前言，该标准与ISO/IEC 29100:2024完全相同，由政府密码局起草、国防部部长建议、国家计量质量标准化委员会审定、科学技术部公布。
该文件是各类在信息通信系统中处理个人可识别信息（PII）的机构的基础性文件：运营数字平台的企业、数据外包处理机构、云服务提供商、金融与医疗机构，以及正在建设隐私评估服务的检测机构与认证机构。草案共32页，含6条、1个资料性附录与25项参考文献。
一、草案是什么，处于什么阶段
这是草案国家标准：标准号留空（XXXXX），不具有适用效力，内容在公布前可能调整。采用的方式是整体采纳国际标准：”与ISO/IEC 29100:2024完全相同”。2024年版是ISO/IEC 29100的修订版，替代2011年发布的版本。
有一点需先说明，因为它容易被误读：这是框架，不是用于认证的检查表。草案第2条明确”没有必须引用的规范性文件”，且内容多以”宜”表述而非”必须”。该标准的价值在于统一的术语体系、角色划分，以及可作为机构对照基准的一套原则，而不在于可测量的技术指标。
二、隐私框架由哪些要素构成
第5.1条列出构成框架的六个要素：主体与角色；相互作用；识别个人可识别信息（PII）；隐私保护要求；隐私政策；隐私控制措施。
引言说明其目标：本框架具有概括性，将组织、技术与程序方面的内容纳入统一结构，并被设计为可供后续标准化工作（如技术参考架构、特定隐私技术的落地、外包数据处理的隐私控制、隐私风险评估或具体技术规范）作为基础使用。
三、四类角色与八种PII流向情景
第5.2条确定了可能参与PII处理的四类主体：PII主体、PII控制者、PII处理者与第三方。第5.3条列出它们之间可能出现的八种PII流向情景，并在表1中标示各情景中谁是”PII提供方”、谁是”PII接收方”：
| 情景 | 草案中的描述 |
|---|---|
| a) | PII主体向PII控制者提供PII，例如注册使用某项服务 |
| b) | PII控制者将PII提供给PII处理者，由其代为处理，例如在外包协议框架内 |
| c) | PII主体直接向PII处理者提供PII，该处理者代表控制者处理 |
| d) | PII控制者向PII主体提供与其自身相关的PII，例如应其请求 |
| e) | PII处理者向PII主体提供PII，例如按控制者的指示 |
| f) | PII处理者将PII交回PII控制者，例如在完成受托服务之后 |
| g) | PII控制者将PII提供给第三方，例如在商业协议框架内 |
| h) | PII处理者将PII提供给第三方，例如按控制者的指示 |
四、区分PII处理者与第三方
草案专门用一段说明这一点，因为它决定法律责任归属。当PII交给PII处理者时，对PII的法律控制权仍属于原PII控制者；而第三方在收到PII后可能成为独立的PII控制者。
草案给出具体例子：若第三方自行决定将其从PII控制者处收到的PII转交他方，则该第三方此时是以独立PII控制者的身份行事，因而不再被视为第三方。对经常与境外合作方往来的机构而言，这一区分在审查数据处理合同时非常实用。
草案还指出同一组PII可能存在多个PII控制者的情形：此时各控制者必须相互协调并作出必要安排，以确保隐私原则在处理过程中得到遵守。
五、什么信息构成PII
第5.4条用近四页回答这一问题，也是草案中最实用的部分。总原则：判断某一个人是否”可被识别”，应考虑数据持有方或任何其他方合理可能使用的全部方式，用以将该组PII与该个人相关联。
第5.4.2条给出四种构成PII的情形：信息包含或关联直接指向某个人的标识符（如社会保障号）；关联可联系到某个人的标识符（如护照号、账号）；关联可用于联系已识别个人的标识符（如精确地理位置、电话号码）；或信息中包含将数据与上述任一标识符相链接的引用。
第5.4.3条进一步扩展：信息不必关联标识符才构成PII。若信息包含或关联可用于区分该个人与他人的特征（如生物特征数据），即为PII。某特征是否具有区分作用取决于具体场景：一个人的姓氏在全球范围内可能不足以识别其人，但在一家企业内部往往足以区分。当多个属性组合时，如”女性””45岁””律师”，可在一家具体企业范围内识别出某个个人。
草案表2列出约28个随行业而可能构成PII的属性示例，包括出生日期、居住地址、IP地址、GPS定位与出行轨迹、健康诊断信息、医疗费用单据、工资与人事档案、财务档案、银行账号或信用卡号、生物特征标识、可识别身份的图像或视频、通过监测网页使用推断出的个人偏好、种族或民族来源、宗教信仰、性取向、工会会员身份。草案明确该清单仅为示例。
六、假名化与匿名化
第5.4.5条描述了以假名替代标识信息的技术；满足以下两个条件时称为假名化：（a）与假名相关联的其余信息不足以识别其所关联的PII主体；（b）假名的分配方式使得隐私相关方无法还原原始身份，直接执行假名分配者除外。
值得注意：草案直言假名化仍保留可关联性。关联到同一假名的不同数据可相互链接；关联到同一假名的数据越多，违反条件（a）的风险越高；假名化数据集背后的主体群体越小，识别PII主体的可能性越大。因此假名化数据仍属PII。
相反，匿名化同样满足上述两个条件，但消除了可关联性：处理方删除标识信息或以假名替代后销毁假名分配表或函数。因此匿名化后的数据不再是PII。这正是实践中常见误区：仅重命名字段或临时加密，并不能使数据”不再是PII”。
七、元数据、主动提供的PII与敏感PII
三个虽短但在落地时最易被忽略的条款：
- 元数据（5.4.6）：ICT系统可能存储用户无法直接看到的PII，例如以文档属性保存的PII主体姓名，或在文字处理文档中作为元数据保存的批注与修订痕迹。这是对外共享文件时常见的泄露渠道。
- 非请求获得的PII（5.4.7）：系统也可能存储控制者或处理者并未要求的PII，即偶然收集到的PII，例如用户通过网站匿名反馈表提交的额外信息。草案建议在设计阶段即采取隐私保护措施以降低该风险。
- 敏感PII（5.4.8）：敏感性包括可据以推断出敏感PII的全部PII。例如处方可能泄露健康细节；即使PII不直接包含健康信息，若可用于推断，仍属敏感。草案规定：当推断敏感信息与识别PII主体在合理范围内可行时，该PII即视为敏感PII。在某些法域，即便PII主体已选择加入，处理敏感PII仍可能被法律禁止。
八、隐私保护要求与风险管理
第5.5.1条给出隐私风险管理过程，包含五组活动：确定背景（理解机构、技术环境与影响因素）、评估风险（识别、分析与评价对PII主体的风险）、处置风险（确定隐私保护要求并实施隐私控制以避免或减轻风险）、沟通与咨询，以及监视与评审。
草案特别提示三个时点问题：涉及PII处理的ICT系统的设计，宜在确定相关隐私保护要求之后进行；新系统或重大变更系统的隐私影响需在部署前解决；隐私影响评估宜在机构整体风险管理框架内开展，而非独立于其外。
九、影响保护要求的四类因素
草案列出四类因素并以图1示意。这部分把理论框架转化为具体工作：
- 法律与法规因素：国际、国家与地方法律、法规、司法裁判，或与职工委员会、工会协商达成的协议。所举例子包括数据保护法、消费者保护法、数据泄露通知法、数据留存法与劳动法。在越南，这里是本框架与国内个人数据保护规定（如第13/2023/NĐ-CP号法令及相关指导文件）相交之处。
- 合同因素：来自各方协议的义务、公司政策与企业内部约束性规则。草案提出一项良好做法：任何可访问PII的一方，均宜由控制者以正式方式告知其义务，例如通过签署第三方协议。
- 业务因素：预定应用的特点或其使用场景、所属行业、行业指南、行为准则，或商业模式的性质。草案明确一条界限：机构不应仅因业务因素而改变其所遵循的隐私原则。
- 其他因素：其中草案强调最重要的一项是PII主体的隐私偏好。偏好示例包括希望保持匿名或假名、限制可访问特定PII的人员范围，或限制使用目的。图形用户界面被列为PII主体表达偏好的工具，例如复选框或下拉菜单。
十、内部隐私政策与对外告知
第5.5.6条要求最高管理层制定隐私政策：与机构宗旨相适应、为设定目标提供框架、包含遵守适用隐私保护要求与持续改进的承诺、在全机构内传达，并在适当范围内向相关方公开。
草案区分两类并明确术语：内部隐私政策记录机构为满足隐私保护要求而采取的目标、规则、义务、限制与措施；对外隐私政策向机构外部提供关于其隐私实践的信息，以及PII控制者的身份与正式地址、PII主体可获取更多信息的联系点等相关信息。在本框架中，”隐私政策”用于指内部政策，对外政策则称为告知。草案还要求明确记录用于执行政策的控制措施，例如访问控制、通知规定、审计。
十一、十一项隐私原则
第6条是标准的核心。草案提出11项原则，建议全部适用、将例外限制到最少，并指出这些原则可作为监视与评估成效、对标与审计机构隐私项目的基础：
| 序号 | 原则 |
|---|---|
| 1 | 同意与选择 |
| 2 | 目的合法性与目的确定 |
| 3 | 收集限制 |
| 4 | 数据最小化 |
| 5 | 使用、留存与披露限制 |
| 6 | 准确性与质量 |
| 7 | 开放、透明与告知 |
| 8 | 个人参与与访问 |
| 9 | 责任可追溯（问责） |
| 10 | 信息安全 |
| 11 | 隐私合规 |
十二、同意、选择与目的确定
关于同意与选择：草案要求给予PII主体是否允许处理其PII的选择权，除非其无法自由拒绝同意，或适用法律允许无需同意即可处理。PII主体的决定必须自由、具体且基于充分理解作出。需有措施使PII主体能够选择其PII的处理方式，并可便捷、免费地撤回同意；一旦撤回，PII必须从原同意所涵盖的全部目的处理中排除。
草案也指出若干细节：即使同意被撤回，PII控制者仍可能需在一段时间内保留部分PII以履行法律或合同义务；在某些情形下，适用法律规定PII主体的同意不足以构成法律依据，例如未成年人在未经父母或监护人同意下作出的同意。
目的合法性与目的确定原则要求：确保目的符合适用法律并有获准的法律依据；在信息被收集或首次用于新目的之前告知PII主体；以清晰且符合具体情形的语言表述；必要时充分说明为何必须处理敏感PII。
十三、收集限制与数据最小化
这两项原则常被混用，草案将其明确区分。收集限制侧重于相对既定目的限制所收集的数据：仅收集确实必要的信息，不得随意收集，并将所收集PII的类型及收集理由作为信息管理政策与实践的一部分予以记录。
数据最小化侧重于最小化处理过程本身。草案提出四项设计要求：最小化所处理的PII数量、隐私相关方数量以及被允许访问或处理PII的人数；确保”仅在必要时知晓”原则（每人仅在其合法目的范围内处理履行本职工作所需的PII）；在可能时对不涉及识别PII主体的交互与交易使用或提供默认选项，降低行为可观测性并限制所收集PII的可关联性；在可行时安全销毁PII，尤其是处理目的已结束且法律不再要求留存时。
关于额外收集，有一点值得注意：若控制者希望收集超出提供PII主体所请求服务之外的PII，例如用于直接营销，草案指出视法域不同，此类额外收集可能须经PII主体同意；并在可能范围内允许PII主体选择是否提供该信息，且明确告知其答复属自愿。
十四、使用、留存与披露限制
该原则要求：将PII的使用、留存与披露（含转移）限制在为实现具体、明确、合法目的所必需的范围内；仅将PII用于控制者在收集前确定的目的；仅在实现所述目的所需期间留存PII，之后安全销毁或匿名化；并在所述目的结束时按适用法律仍需留存的情况下封存PII（即存储、保护并将其排除在后续处理之外）。PII发生跨境转移时，PII控制者必须注意有关跨境转移的国内或地方附加要求。
十五、准确性、质量与内控义务
关于准确性与质量，草案要求确保所处理的PII准确、完整、最新（除非有合法依据保留较旧数据）、适当且与使用目的相关；确保从PII主体以外来源收集的PII在处理前具有可靠性；在适当情形下，于对PII作出任何变更之前，以适当方式核实PII主体提供信息的有效性与准确性；建立有助于保证准确性与质量的PII收集流程；并建立控制机制，定期检查已收集与存储PII的准确性与质量。
草案强调，当数据可能被用于给予或拒绝某人重大利益，或数据不准确可能造成重大损害时，该原则尤为重要。这一表述指向信用评分、保险或招聘等场景。
十六、开放、透明与告知
草案要求向PII主体提供关于控制者政策、流程与实践的清晰且易于获取的信息。告知中须说明PII正在被处理、处理目的、哪些人可访问PII，以及PII控制者的联系方式。机构还应告知PII主体可用于限制处理以及访问、更正或删除其信息的选择与工具，并在处理流程发生重大变化时予以通知。
一个值得注意的细节：透明度，包括关于PII处理基本逻辑的一般信息，可能被要求提供，尤其是当处理涉及影响PII主体的决定时。此外，草案要求处理目的的说明应详细到使PII主体能够理解：为实现既定目的所需的具体PII；收集的具体目的；具体处理流程（包括收集、传递与存储机制）；被授权访问PII的主体类型以及PII可能被转移的对象；关于PII留存与销毁的具体要求。
十七、个人参与与访问权
四组要求：允许PII主体访问并查阅其PII，条件是以适当保证级别先行核实身份，且该访问未被现行法律禁止；允许其就PII的准确性与完整性提出异议，并在适当且可行时请求修改、更正或删除；若已知PII被披露给处理者与第三方，应将上述修改、更正或删除提供给他们；并建立流程，使PII主体能够简单、迅速、有效地行使这些权利，不产生不必要的延迟或费用。
草案还要求PII控制者采取适当控制措施，确保PII主体仅能访问自身的PII而非他人的，除非访问者是代表无法自行行使访问权的PII主体获得授权。对于未获妥善解决的异议，机构应记录未决异议内容，并在适当时传达给可访问相关信息的处理者与第三方。
十八、问责（责任可追溯）
这是草案中最长的一项原则，含九项义务：记录并在必要时传达与隐私相关的全部政策、流程与实践；将执行责任分配给机构内的具体个人；在向第三方转移PII时，通过合同或其他措施确保接收方提供同等程度的隐私保护；为将有权访问PII的控制者员工提供适当培训；建立有效的内部投诉与救济流程；将可能造成重大损害的隐私泄露及其已采取的处置措施告知PII主体；按某些法域的要求并根据风险程度，向全部隐私相关方（例如数据保护机构）通报隐私泄露；在发生隐私泄露时，使受影响主体能够获得适当且有效的制裁或救济，例如更正、删除或赔偿；并考虑在隐私无法恢复到”如同从未发生泄露”状态时的救济流程。
草案对救济提出一个值得注意的观点：存在救济流程时，PII主体在交易时可能更安心，因为他们感知到的风险显著降低。就某些服务而言，救济更易实现，例如财务损失；而身份被盗、声誉受损等情形，损失的量化与赔偿则更为困难。
十九、信息安全与隐私合规
关于信息安全原则，草案要求以运行、功能与战略层面的适当控制措施保护机构管理范围内的PII，确保其完整性、保密性与可用性，并在PII整个生命周期内防范未授权访问、破坏、使用、修改、泄露或丢失等风险。草案还要求选择具备充分组织、物理与技术控制措施的PII处理者；依据数据敏感性、可能受影响PII主体数量与PII存储场景，按风险发生可能性与严重程度实施保护措施；将PII访问权限限制于履行职责所需的人员，且仅限其确实需要的PII；处置通过隐私风险评估与审计流程发现的风险与漏洞；并将控制措施纳入持续性安全风险管理中的定期评估与评审。
草案的一条务实提醒：并非所有PII处理都需要相同程度或类型的保护。机构宜依据各项处理活动带来的具体风险进行分类，且隐私控制措施的确定宜成为机构信息安全管理框架中不可分割的一部分。
隐私合规原则要求：通过定期审计（由内部审计人员或可信第三方执行）核实并证明PII处理符合数据保护与隐私要求；建立适当的内部控制与独立监督机制，以确保符合隐私法律以及安全、数据保护与隐私政策流程；并建立并维护隐私风险评估，以评价涉及PII的项目与服务是否合规。当法律规定由监管机构监督数据保护法的遵守情况时，满足该原则还意味着与该等监管机构合作并遵守其指引与要求。
二十、附录A：与ISO/IEC 27000体系的对应
附录A为资料性附录，给出ISO/IEC 29100核心概念与ISO/IEC 27000概念的对应关系，帮助已熟悉信息安全标准体系的机构将隐私框架放到正确位置：
| ISO/IEC 29100 概念 | 对应的 ISO/IEC 27000 概念 |
|---|---|
| 隐私相关方 | 相关方 |
| PII（个人可识别信息） | 信息资产 |
| 隐私泄露 | 信息安全事件 |
| 隐私控制 | 控制 |
| 隐私风险 | 风险 |
| 隐私影响评估 | 风险管理 |
| 隐私保护要求 | 控制目标 |
参考文献目录共25项，显示该框架在标准生态中的位置：ISO/IEC 27001与27002、关于信息安全风险管理的ISO/IEC 27005、关于云服务商作为PII处理者时保护PII的ISO/IEC 27018、关于隐私信息管理的ISO/IEC 27701、关于PII保护实践准则的ISO/IEC 29151，以及关于风险管理的ISO Guide 73与ISO 31000。
二十一、阅读草案时需留意七点
第一，这是框架，不是用于认证的标准。第2条写明”没有必须引用的规范性文件”，内容以”宜”为主。若要获得合格评定的依据，机构仍需进一步参照ISO/IEC 27701等标准或具体法律要求。
第二，标准对法律表述非常克制。草案反复使用”可能适用相关法律要求”，而不作详细规定。这意味着在越南适用时，机构仍须将本框架与国内个人数据保护规定及行业特定义务结合。
第三，假名化不等于匿名化。这是落地中最易出错之处，草案专门设条说明：只有销毁假名分配表或函数，数据才不再是PII。
第四，敏感PII包括可推断数据。不仅是健康、性取向或宗教相关数据，还包括可据以推断这些信息的数据，例如处方。
第五，第三方可能”转换角色”。若第三方自行决定转交PII，其即成为独立的PII控制者。角色决定义务，因此这一点应纳入合同审查。
第六，排版问题需在发布前统一。前言写作”与ISO/IEC ISO/IEC 29100:2024完全相同”（重复ISO/IEC）；封面写”TCVN XXXXX:2026″，而页眉与目录写”TCVN XXXX: 2026″；目录未列出”前言”，而正文第5页有该部分；目录将第4条称为”缩略语”，正文标题为”符号与缩略语”；第2条文字为”没有必须引用引用的文件”；第6.8条存在拼写错误；第3.24条”第三方”的表述与全文不一致。
第七，继承性范围。该标准被设计为可供后续标准化工作继承使用，因此阅读时宜区分哪部分属于ISO/IEC 29100本身，哪部分来自ISO/IEC 27701、ISO/IEC 27018、ISO/IEC 29151等相关标准。
二十二、企业需要准备什么
对处理PII的机构，宜立即启动七件事：按第5.3条八种情景绘制PII流向图，并明确在与各合作方的关系中自身所处角色；审查数据处理合同，区分PII处理者与第三方，并写明同等保护水平条款；建立并记录内部隐私政策，同时与对外告知清晰区分；建立同意与便捷免费撤回同意的机制并留存记录；在部署新系统或重大变更系统之前开展隐私影响评估；排查元数据中隐藏的数据以及通过表单无意收集的PII；建立投诉接收、处理、记录与泄露救济流程，含通知义务。
对服务提供商与数据处理外包机构，重点在于证明能力：组织、物理与技术控制措施；按”仅在必要时知晓”限制访问；日志与可审计性。对检测机构与认证机构，本标准是构建隐私评估服务的基准，但所需能力是过程评估、档案审查与控制测试，与常规物理检测不同。越南认证义务背景，例如需按QCVN 4试验的高风险货物，是建设此类服务时需与本标准并列考虑的框架。
二十三、常见问题
该草案已生效了吗？
还没有。这是第1版草案，标准号留空，内容在公布前可能调整，且不具有适用效力。
与ISO/IEC 27701有何不同？
ISO/IEC 29100是概念框架与原则集；ISO/IEC 27701则提供将ISO/IEC 27001、27002管理体系扩展至隐私信息管理的要求与指南。草案将ISO/IEC 27701列入参考文献，并被设计为此类标准的基础。
该标准是否强制？
TCVN属自愿适用。强制性义务（如有）来自个人数据保护法律、技术法规或企业所参加认证项目的要求。
已匿名的数据还是PII吗？
按草案，经正确匿名化（即销毁假名分配表或函数）的数据不再是PII；仅经假名化的数据仍属PII。
是否需要认证？
草案本身未规定认证项目。认证（如有）将基于其他标准，或由机构、协会、监管机关设立的项目。
文中内容是否已为最终？
不是。本文概述分析时草案的内容；标准正式发布后应核对正式文本。
二十四、延伸阅读
- TCVN物联网网络安全标准草案：设备基本要求（ISO/IEC 27402:2023）
- SIEM标准草案：安全信息与事件管理产品通用要求
- SOAR标准草案：网络安全编排、自动化与响应产品通用要求
- NIPS标准草案：网络入侵防护产品通用要求
- 需按QCVN 4试验的高风险货物：第36/2026/TT-BKHCN号通知的规定
二十五、参考来源
- TCVN XXXXX:2026（第1版）草案《信息技术 – 安全技术 – 隐私框架》，与ISO/IEC 29100:2024完全相同，由政府密码局起草、国防部部长建议、国家计量质量标准化委员会审定、科学技术部公布。草案不具有适用效力；本文概述其内容，不摘录全部条款原文。
- 草案内容：第1条适用范围；第2条引用文件；第3条术语与定义（24条定义）；第4条符号与缩略语；第5条隐私框架的基本要素；第6条隐私原则；附录A（资料性）；参考文献。
- 参考文献选摘：ISO Guide 73；ISO 31000；ISO/IEC 27000:2018；ISO/IEC 27001；ISO/IEC 27002；ISO/IEC 27005；ISO/IEC 27018；ISO/IEC TS 27008；ISO/IEC 27701；ISO 27799；ISO/IEC 29151。
二十六、联系我们
运营数字平台的企业、数据处理外包机构、云服务提供商，以及正在建设隐私项目的检测机构、认证机构与咨询单位，可通过下表提交需求，就适用范围、PII流向图的绘制、隐私影响评估，以及标准发布前需准备的事项进行沟通。
本文分析的是尚未发布的标准草案，仅用于信息普及，不代替标准文本，也不构成针对具体情形的技术与法律咨询。草案内容在公布前可能调整，文中内容与条款为分析时草案中的内容。标准正式发布后，请使用正式文本及现行法律规范性文件。
