数据安全和个人保护社会责任评价方法、信息保护社会责任实践案例、报告模板.docxVIP

STYLEREF标准文件_文件编号GB/TXXXXX—XXXX

STYLEREF标准文件_文件编号错误!使用“开始”选项卡将标准文件_文件编号应用于要在此处显示的文字。

PAGE2

PAGEIII

附录A

（资料性）

数据安全和个人信息保护社会责任评价方法

A.1评价指标和评价等级确定

通过指标评价方式，可促进组织确定社会责任管理的优先事项，对社会责任绩效进行分级评价，有助于组织策划和实施提升社会责任的绩效。

表A.1给出了数据安全和个人信息保护社会责任评价指标和绩效评价等级。结合本文件第5章至第9章内容，将社会责任评价指标设计为5项一级指标，一级指标下设24项二级指标。针对每项二级指标，分为四个评价级别（一星级、二星级、三星级、四星级），每项二级指标分值区间为2-3分，即：一星级：1-2分，二星级：3-5分，三星级：6-8分，四星级：9-10分，不满足指标描述事项不得分，根据指标描述事项的落实情况在分值区间中进行评价。根据每项二级指标得分情况，对组织数据安全和个人信息保护社会责任绩效等级进行综合评价，评价依据如下：

一星级（基础级）：组织遵守法律法规要求，履行了数据安全和个人信息保护社会责任的基本义务。所有二级指标总分大于等于20分（百分制）；

二星级（计划级）：在达到一星级指标要求的基础上，将社会责任相关工作纳入了年度工作计划，并进行了考核。要求24项指标（存在不适用指标的，从总数中扣除）中至少60%以上达到指标要求，即60%以上的二级指标项至少得3分；

三星级（系统级）：在达到二星级指标要求的基础上，建立良好的社会责任管理体系，并取得更高的社会责任绩效。要求24项指标（存在不适用指标的，从总数中扣除）中至少70%以上达到指标要求，即70%以上的二级指标项至少得6分。其中“★”项为必选指标（不适用的情况除外），该项至少得6分；

四星级（成熟级）：在达到了三星级指标要求的基础上，持续改进社会责任管理绩效，主动承担更多社会责任，在多项指标上不断实现更高的社会责任绩效。要求24项指标（存在不适用指标的，从总数中扣除）至少80%以上达到指标要求，即80%以上的二级指标项至少得9分。

数据安全和个人信息保护社会责任绩效总分的计算方式为：

社会责任绩效总分=（所有适用项得分之和/（适用项数*10））*100。

注1：总分通过四舍五入方式取小数点后一位。

如因组织规模、业务领域、发展阶段等因素，24个二级指标中适用指标数量不足60%（15个）的，考虑到评价本身的全面性、公正性等要素，不宜进行评级。如存在不适用指标，则应当充分说明不适用的理由。

示例1：如企业当前业务的服务对象不涉及个人消费者的（业务领域原因），可认为二级指标中的“18用户投诉及争议处理”为不适用。

示例2：如企业没有以任何形式参与数据安全和个人信息保护活动或科普宣传工作（与组织规模、业务领域、发展阶段等无关），不宜认为二级指标中的“22活动举办和科普宣传”为不适用。

表A.1评价指标与评价等级

一级

指标

二级指标

一星级(基础级)

二星级（计划级）

三星级(系统级)

四星级(成熟级)

一

组织治理

1

★

核心

价值观

及

发展

理念

组织的核心价值观及发展理念符合法律法规和政策中数据安全及个人信息相关的保护理念。

在成文的核心价值观及发展理念中强调了数据安全和个人信息保护的重要性及相关的愿景、目标。

组织配置相应的资源，以持续满足核心价值观及发展理念的管理要求，并推广其中关于数据安全及个人信息保护相关的愿景、目标。

能够持续改进和更新核心价值观及发展理念。

组织的核心价值观及发展理念包含了带动并引领与自身经营有实质性关联的领域在数据安全和个人信息保护方面工作的内容，并对同业伙伴、供应链上下游、投资方、客户等产生了实际的积极影响。

2

管理层

承诺

或

声明

组织的管理层对数据安全和个人信息保护社会责任有关内容有做出过承诺或声明，且相关内容符合相关法律法规、规章制度、标准等的要求。

组织的管理层通过发布报告、制度文件等文字形式对数据安全和个人信息保护社会责任做出承诺或声明，并编制制度性文件落实相关内容。

组织针对管理层在数据安全和个人信息保护社会责任方面的承诺或声明的实施建立了内部机制，并通过内部培训场合向全体员工传达等。

组织设置对管理层关于数据安全和个人信息保护社会责任承诺或声明的跟踪机制，允许内部、外部人员对其进行评价、监督，促进管理层能切实履行承诺并尽责。

3

社会

责任

工作

方针

与目标

组织了解数据安全和个人信息保护社会责任的主题和相关议题，在制定社会责任工作方针与目标时会考虑数据安全和个人信息保护相关主题和议题。

组织的数据安全和个人信息保护社会责任工作方针与目标符合相关法律法规、规章