GB_T 42015-2022《信息安全技術(shù) 網(wǎng)絡(luò)支付服務(wù)數(shù)據(jù)安全要求》實施日期：2023/5/1

網(wǎng)絡(luò)支付服務(wù)提供者收集個人信息應(yīng)在遵守G R / T 35273—2020中 5.1、5.2、5.3的要求基礎(chǔ)上.遵 守以下要求：

a） 通 過 A p p 收集必要個人信息應(yīng)符合G B / T 41391—2022中 A . 5的規(guī)定；

b） 擴展業(yè)務(wù)功能收集的個人信息均應(yīng)由用戶可選提供，H.應(yīng)限于實現(xiàn)處理目的的最小范I韋1,常見 擴展業(yè)務(wù)功能收集的個人信息范圍及使用要求見附錄C;

c） 應(yīng)采取具有信息輸入安全防護、即時數(shù)據(jù)加密功能的安全控件對支付鑒權(quán)信息的輸入進行安 全保護，并采取有效措施防止合作機構(gòu)獲取、留存。

注 ：支付鑒權(quán)信息包括但不限于網(wǎng)絡(luò)支付交易口令、快捷支付口令、銀行卡密碼。

網(wǎng)絡(luò)支付服務(wù)提供者如提供跨境支付服務(wù)，在境外商戶消費、向境外匯款/接收境外匯款、為用戶提 供跨境支付結(jié)算服務(wù)等場景F ，涉及數(shù)據(jù)出境。網(wǎng)絡(luò)支付服務(wù)提供者數(shù)據(jù)出境應(yīng)遵守以下要求:

a） 不涉及處理跨境支付業(yè)務(wù)的.不應(yīng)向境外提供個人信息等數(shù)據(jù)；

b） 出境數(shù)據(jù)應(yīng)僅限為處理跨境支付業(yè)務(wù)所需的必要信息；

c） 應(yīng)建立數(shù)據(jù)出境記錄.包括但不限于出境時間、數(shù)據(jù)類型、數(shù)量、目的地、境外接收方等.相關(guān)記 錄至少保存五年；

d） 根據(jù)業(yè)務(wù)發(fā)展和運營情況，每年應(yīng)自行或委托第二方機構(gòu)對數(shù)據(jù)出境至少進行一次數(shù)據(jù)出境 風(fēng)險評估。

附件：GB_T 42015-2022《信息安全技術(shù) 網(wǎng)絡(luò)支付服務(wù)數(shù)據(jù)安全要求》