对生物特征识别信息控制者的要求如下， a）生物特征识别信息原则上不应共享、转让。 b） 不应公开披露生物特征识别信息。 委托第三方处理生物特征识别信息时，应预先向生物特征识别信息主体告知以下信息： 1）第三方相关信息； 2）所涉生物特征识别信息的类型和数量； 3）委托处理目的。 d 委托第三方处理生物特征识别信息，以及嵌入第三方工具处理生物特征识别信息时，应优先 择具备相应资质或能力的机构

对生物特征识别信息控制者的要求如下。 a）生物特征识别信息原则上不应共享、转让。 b） 不应公开披露生物特征识别信息。 c） 委托第三方处理生物特征识别信息时，应预先向生物特征识别信息主体告知以下信息： 1）第三方相关信息； 2）所涉生物特征识别信息的类型和数量； 3）委托处理目的。 d 委托第三方处理生物特征识别信息，以及嵌入第三方工具处理生物特征识别信息时，应优先选 择具备相应资质或能力的机构

10生物特征识别信息安全事件处置

对生物特征识别信息控制者的要求如下。 a）生物特征识别信息安全事件发生时，应及时评估事件影响，应及时撤销受安全事件影响的生物 特征识别比对信息，防止攻击者未经授权访问；宜及时更新受安全事件影响的生物特征识别比 对信息。 b） 当有证据明确表明正在使用的生物特征识别比对信息存在风险时，如生物特征识别信息主体 主动表示其生物特征识别比对信息存在泄漏风险，应及时撤销存在风险的生物特征识别比对 信息，并为生物特征识别信息主体关联新的生物特征识别比对信息。 C 因安全事件更新生物特征识别比对信息时，应进行安全评估，如存在更新生物特征识别比对信 息后亦不能消除安全威胁的情况，应在撤销生物特征识别比对信息的前提下，及时使用其他的 身份识别方式。

11生物特征识别信息安全管理要求

对生物特征识别信息控制者的管理要求如下。 a）在提供多种可供选择的身份识别方式时，不宜将使用生物特征识别信息的方式作为初始设置 的默认选项。 b）应持续开展安全风险相关的评估，及时采取措施降低处理风险，充分保障生物特征识别主体的 权利，包括： 1）在业务活动计划收集生物特征识别信息前，应评估使用生物特征识别信息的必要性，以及 是否具备相应的安全能力和安全控制措施 2）在收集生物特征识别信息前，应进行个人信息安全影响评估，确保处理生物特征识别信息 过程风险可控； 3） 在执行变更生物特征识别信息处理目的或范围、委托第三方处理、共享或转让等行为前， 应进行个人信息安全影响评估档案标准，确保不引入新的安全风险； 4）有共享、转让生物特征识别信息情况的，应定期对共享、转让生物特征识别信息的必要性 进行评估； 5）宜定期（如每年度）对现有生物特征识别信息处理情况进行重新评估，确保现有安全措施 满足当下安全需求

GB/T 406602021

C） 应建立、维护生物特征识别信息处理活动记录，记录的内容宜包括： 1）所控制的生物特征识别信息类型、来源； 2）生物特征识别信息授权情况； 3）生物特征识别信息处理情况。 d） 应针对不同类型、不同处理阶段生物特征识别信息制定保护计划，并宜向相关生物特征识别信 息主体公开保护计划 e 应对生物特征识别原始信息的传输进行有效控制，宜采取水印等技术手段保障生物特征识别 原始信息可溯源。 对因终止生物特征识别相关活动删除或匿名化生物特征识别信息的情况，应对删除或匿名化 效果进行评估。 g） 基于生物特征识别信息的身份识别相关算法，以及开展生物特征识别相关活动时收集的生物 特征识别信息原则上不应出境、出口；如有特殊原因需出境、出口，应经相关主管部门审批。 本文件凡涉及密码算法的相关内容，按国家有关法规实施；凡涉及采用密码技术解决保密性、 完整性、真实性、不可否认性需求的应遵循密码相关国家标准和行业标准