网约车运营服务管理 第4部分：信息安全 .docxVIP

1

网约车运营服务管理第4部分：信息安全

1范围

本文件规定了网络预约出租汽车（简称网约车）经营者、网约车线下合作机构、网约车驾驶员、网约车乘客、网约车管理部门的信息安全标准。

本文件适用于网约车行业的信息安全保障。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。

GB25069信息安全技术术语

GB28827.4-2019信息技术服务运行维护第4部分：数据中心服务要求

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T29245-2012信息安全技术政府部门信息安全管理基本要求

GB/T29246—2017信息技术安全技术信息安全管理体系概述和词汇

GB/T35273-2017信息安全技术个人信息安全规范

GB/T37378-2019交通运输信息安全规范

JT/T1068网络预约出租汽车运营服务规范

DB3502/T046.1-2019网约车运营服务管理第1部分：运营条件

DB3502/T046.2-2019网约车运营服务管理第2部分：服务规范

3术语与定义

JT/T1068、DB3502/T046.1-2019、DB3502/T046.2-2019和GB25069的以及下列术语和定义适用于本文件。

3.1

信息information

有意义的数据。

3.2

信息安全informationsafety

保护信息的必威体育官网网址性、完整性和可用性。

3.3

必威体育官网网址性informationconfidentiality

确保信息只被授权人员访问。

3.4

2

完整性integrity

包括数据完整性和系统完整性。数据完整性表征数据所具有的特性，即无论数据形式作何变化，数据的准确性和一致性均保持不变的程度；系统完整性表征系统在防止非授权用户修改或使用资源和防止授权用户不正确地修改或使用资源的情况下，系统能履行其操作目的的品质。

3.5

可用性availability

表征数据或系统根据授权实体的请求可被访问与使用程度的安全属性。

3.6

用户user

使用网络预约汽车服务的个人，通常包括乘客和驾驶员。乘客包括约车人和乘车人。3.7

约车人bookingperson

向网络服务平台发送预约用车请求的人，可以不是乘车人。

4网约车经营者信息安全

4.1总体要求

网约车经营者的信息安全保护能力应达到GB/T22239-2019规定的第二级及以上安全要求。

4.2数据安全

4.2.1数据收集

4.2.1.1网约车经营者采集乘客的个人信息，分为乘客必要信息和可选信息，必要信息的采集应用于网约车基础服务，可选信息的采集应用于乘客自主选择的可选业务功能，不得超越提供网约车业务所必需的范围。乘客必要信息和乘客可选信息具体如下：

a)乘客必要信息包括手机号码、姓名、乘客账号信息、身份证、位置信息、订单信息、支付方式、银行卡号、通信设备信息等。

b)乘客可选信息包括实际乘车人姓名及手机号码、紧急联系人姓名及手机号码、家庭住址、公司地址、虚拟电话号码通话录音、App端内在线沟通记录、服务评价、乘客与客服的通话记录、发票信息、纸质发票收件地址、电子发票收件邮箱等。

4.2.1.2网约车经营者采集驾驶员的个人信息，分为驾驶员静态信息和动态运营信息，不得超越提供网约车业务所必需的范围。驾驶员静态信息和动态运营信息具体如下：

a)驾驶员静态信息包括手机号码、姓名、驾驶员账号信息、身份证、面部识别特征、车辆识别代号、车辆号牌、车身颜色、品牌型号、驾驶证、行驶证、车龄保险、信用记录、网约车驾驶员证、网约车运输证、兼职网约车备案证、收款方式、银行卡号、通信设备信息等；

b)驾驶员动态运营信息包括位置信息、行程轨迹、订单信息、行程录音、行程驾驶行为信息等，网约车安装有智能车载设备的，收集的驾驶员动态运营信息包括行程录像。

4.2.1.3为保障服务正常开展，乘客App需向乘客申请移动终端操作系统位置信息权限，驾驶员App需向驾驶员申请移动终端操作系统位置信息、麦克风和相机权限，网络预约汽车服务App采集位置信息频率每秒不应超过一次。

4.2.1.4网约车经营者应通过其服务平台以显著方式将用户个人信息的采集和使用的目的、方式、范围进行告知，保障其知情权。

3

4.2.2数据传输

4.2.2.1基本要求

网约车经营者应根据业务情况确定数据传输的类型、方式和数量，采