eID个人信息保护政策

“公安部公民网络身份识别系统”承建运营方--公安部第三研究所(以下称“eID签发中心”)与eID网络身份运营机构及服务机构(以下或统称“我们”)共同向用户提供eID服务,我们以个人信息保护为宗旨,尊重用户个人信息上所承载的人格权益,为响应《中华人民共和国网络安全法》第四十二条的要求,我们不断研发安全可靠的技术和服务,寻求用户个人信息保护的最优方案,确保个人信息安全并避免对用户隐私进行大数据画像。在此我们将详细说明我们在获取、管理及保护用户个人信息方面的政策及措施。《eID个人信息保护政策》适用于eID签发中心为用户签发的eID以及我们向用户提供的eID服务。

本个人信息保护政策与用户使用eID服务密切相关,请用户仔细阅读本个人信息保护政策,以明确用户个人信息在eID服务中是如何收集和使用。您使用或在我们更新本政策后继续使用我们提供的eID服务,我们将理解为您同意我们继续根据本个人信息保护政策(或更新后的个人信息保护政策)向您提供eID服务。

一、我们采用的个人信息保护措施

我们通过eID数字身份及eID载体保护用户个人身份信息。

1、eID数字身份

由eID签发中心承建并运营管理的“公安部公民网络身份识别系统”向用户签发eID时,会用密码算法基于用户个人身份信息生成用户的公民eID数字身份。公民eID数字身份不含任何个人身份信息,且不可逆推出个人身份信息,公民eID数字身份在后台与公民身份信息相关联。

用户使用接入eID服务的线上应用时,应用方会通过连接“公安部公民网络身份识别系统”的运营和服务机构,得到一个用户与该线上应用相对应的用户eID数字身份。用户在不同的应用方的用户eID数字身份依据应用方的不同而不同。因此,虽然用户eID数字身份是能关联到用户的唯一身份信息,但不同的应用方只能得到不同的用户eID数字身份,从而避免用户在不同线上应用机构中的行为数据被汇聚、分析和追踪,在最大程度上保护个人信息。

2、eID载体

eID可以加载于智能安全芯片中。eID功能在智能安全芯片内独立运行和存储,与智能安全芯片上的其它功能(如金融、社保等)无关且互不干扰。

用户的eID载体与eID数字身份相关联。基于此,接入eID服务的线上应用机构无需采集用户的个人信息来验证用户的身份,用户只需在使用eID载体时,输入eID签名密码(口令)进行签名即可安全表达用户的身份,因此完全避免了用户的个人身份信息在网络上传播,降低了用户的个人信息被泄露的风险。

3、其他措施

除通过以上所列出的eID数字身份、eID载体的方式来保护您的个人信息,我们还会根据具体的应用场景采取各种技术措施和其他必要措施来保护您的个人信息,例如加密处理、分离储存、人员管理等。

但请您理解,在互联网环境下,由于技术的限制和可能存在的恶意行为,任何措施都不可能保证服务的百分之百安全。

二、eID登记发行及服务阶段中个人信息收集及使用描述

为便于用户理解我们的个人信息保护政策,我们先简要介绍eID登记发行服务。

1、eID登记发行阶段个人信息收集及使用描述

在此阶段,涉及eID签发中心、eID登记发行机构和自然人用户。目前,eID登记发行机构主要为与eID签发中心合作的银行或电信运营商,具体机构名称可参见eID官网(http://eid.cn/cooperation/partner.html)。用户在eID登记发行机构申领eID载体并开通eID时,eID签发中心对用户的个人信息处理措施如下:

(1)为了确定用户的身份,在用户申领eID载体及开通eID时,用户要通过eID登记发行机构向eID签发中心提供一些个人信息,包括用户的姓名、公民身份号码。

(2)eID签发中心在通过eID登记发行机构向用户签发eID时,需严格地核实用户身份,为确保“人证合一”,可能会采取人脸识别技术辅助确定用户的身份,对用户的人脸信息同所持身份证内置照片比对。对于获取到的用户的人脸信息,eID签发中心会采取技术及管理措施进行存储及处理。

(3)eID签发中心在签发eID时,为便于联系用户会要求用户提供手机号码。

(4)为了管理用户的eID载体,用户需要向eID签发中心提供用户的eID载体的载体编号。例如,载体的设备号等。

(5)eID签发中心对于在eID登记发行阶段获取的个人信息,遵循“前台匿名后台实名”原则进行保护,进而降低个人身份信息泄露的风险。

a)前台匿名,是指在身份验证过程中基于用户eID数字身份进行密码算法处理后完成,用户eID数字身份不能逆推出个人身份信息。

b)后台实名,是指个人信息不存储在互联网上,仅可在安全的非互联网环境下通过eID签发中心与真实个人关联。

2、服务阶段个人信息收集及使用描述

在此阶段,涉及eID签发中心、eID网络身份运营和服务机构、线上应用机构和自然人用户。用户在线上应用机构使用其相关服务时,根据线上应用机构的需求和设置,用户可能需要通过eID服务来证明自己的身份或表明自己的意愿。在此阶段,用户的个人信息收集及使用情况如下:

(1)eID实名身份认证服务

使用本服务需要用户提供姓名、公民身份号码信息,然后对提交的身份信息进行签名确认。

实名身份认证是基于线上应用机构的需求对用户的身份信息是否是本人信息进行验证,因此在此等服务中,线上应用机构会向我们提供用户的姓名、公民身份号码信息、eID载体以及证书信息,我们在后台服务中将eID载体和证书信息转化为对应的公民eID数字身份并验证与姓名、公民身份号码信息的一致性,然后向线上应用机构提供用户的身份认证结果。

(2)eID匿名身份认证服务

为了保护用户的个人身份信息,对于已合法持有用户身份信息的线上应用机构,在进行一系列的用户eID数字身份转换之后,可以在用户不输入身份信息的前提下,完成用户身份与应用端身份信息的一致性验证,从而实现“前台匿名后台实名”的网络身份认证。

在此等服务中,用户无须向我们提供个人的身份信息。

(3)eID签名认证服务

用户可通过输入eID签名密码(口令)进行电子签名,根据依赖方的需求,实现本人对所签名内容的认可。可用于电子政务,电子商务等应用场景。

在此等服务中,用户无须向我们提供个人的身份信息。

(4)eID网络身份信息保护服务

eID网络身份信息保护服务旨在帮助线上应用机构为其收集到的个人身份信息提供技术保护措施,在eID网络身份信息保护服务中,通过向应用提供用户eID数字身份,取代个人身份信息,从而实现用户身份信息的“前台匿名后台实名”,以减少姓名、公民身份号码等个人身份信息在网上留存、泄露或非法采集的风险。

本服务旨在保护用户身份信息,不能作为是否是用户本人的认证依据。

本服务中,线上应用机构会向我们提供用户的姓名、公民身份号码信息,以便于我们向线上应用机构提供用户eID数字身份。线上应用机构留存用户eID数字身份后,可不必再行留存用户的明文身份信息。

3、记录保存

“公安部公民网络身份识别系统”在安全的非互联网环境下存储我们收集到的用户的姓名、公民身份号码、人脸图像,“公安部公民网络身份识别系统”通过加密方式存储我们收集到的手机号码。对于用户使用eID服务产生的操作信息,我们将严格按照法律法规的规定对这些信息进行妥善保管。

三、我们通过如下方式使用用户信息

1、向用户提供eID实名身份认证服务、eID匿名身份认证服务、eID签名验签服务和eID网络身份信息保护服务;

2、本政策中列明的用途;

3、向第三方证明用户身份;

4、经用户许可的其他用途。

四、例外

我们不会向其他方提供用户的个人信息,但以下情形除外:

1、已取得用户或用户的监护人的另行授权或许可的;

2、司法机关或行政机关依据法定程序要求我们披露的;

3、在诉讼或仲裁中,我们被诉讼或仲裁中的利益相关方要求证明用户的本人身份时;

4、法律法规规定的其它情形。

五、对第三方责任的声明

用户的操作相对方、用户访问的第三方网站经营者、用户使用的线上应用机构和接受用户个人信息的第三方可能有自己的个人信息保护政策。

我们会努力去要求这些主体对用户的个人信息采取保护措施,但我们无法保证这些主体一定会按照我们的要求采取保护措施,亦不对这些主体的行为及后果承担任何责任。如果用户发现这些第三方创建的网页或第三方开发的应用程序存在风险时,建议用户终止相关操作以保护自身合法权益。

eID网络身份运营和服务机构可能会提供独立于eID服务之外的其它服务,在这些其它服务中,eID网络身份运营和服务机构可能会采取不同于本政策的个人信息保护策略。对于提供其它服务时的eID网络身份运营和服务机构,eID签发中心无法保证其一定按照eID签发中心的要求采取信息安全措施,亦不对上述机构在提供其它服务时的行为及后果承担任何责任。

六、本政策的修订

由于业务变更,我们可能会对本政策进行变更,由于eID的用户群过于庞大和分散,因此如发生变更,我们将选择在www.eid.cn以公告的方式予以公布。

如果用户认为相关操作不符合本政策的要求或有其他建议,用户可以随时与我们联系,我们的联系邮箱是:service@eid.net.cn。