业务调整、运营不善、合规不力……互联网服务竞争激烈的当下，一个网站或平台因各种原因停服的情况并不鲜见。多数情况下，停服意味着平台“网络生命”的终结，那么曾活跃在平台上的用户留下的大量数据，又该如何处理？

近日，全国网络安全标准化技术委员会发布《网络安全标准实践指南—互联网平台停服数据处理安全要求（征求意见稿）》（下称《征求意见稿》），针对上述问题作出解答。意见反馈截止日期为8月22日。

《征求意见稿》明确，其依据《网络安全法》《数据安全法》《个人信息保护法》等法律法规，给出了互联网平台停服数据处理的基本要求，以及重要数据处理的要求，可用于指导互联网平台数据处理者开展数据安全保护工作等。

《征求意见稿》首先将“停服”定义为互联网平台运营者因合并、分立、解散、被宣告破产等原因不再提供产品或者服务。数据处理的通用要求包括，自停服之日起停止收集个人信息和重要数据；及时处置长期未对外提供服务的App、小程序等；因停服需要转移数据的，应明确数据转移方案并通知受影响用户。

互联网平台运营者应于平台停服之日前至少30个工作日发布个人信息处置公告，内容包括个人查阅、复制、下载、转移、删除个人信息的处置时限与途径，平台隐私政策已转移或删除个人信息的情况，拟转移或删除个人信息对个人权益的影响等。公告时长不得少于30个工作日，这期间涉及交易、支付、金融账户等敏感个人信息的，平台应当以电话、短信、即时通信工具等方式通知个人。

平台决定停服后，用户个人信息可能面临被转移、继续保存、删除等处理，《征求意见稿》分别对此作出要求。

如果停服后将个人信息转移给接收方，掌握1000万人以下个人信息的互联网平台运营者应当于处置公告时限届满后，向提供与其业务相关的产品或服务、且明确承诺继续接受平台隐私政策约束的接收方转移个人信息。接收方应当继续履行个人信息保护义务，变更原先的处理目的、处理方式的，应当重新取得个人同意。

三种情况下的平台运营者，可以继续保存个人信息。一是涉及互联网保险销售、网络支付、信托登记等业务，或者履行配合反洗钱等法定职责、义务，确需继续保存用户身份信息、交易记录；二是以预收款方式提供产品、服务，或者提供代收费的互联网平台，在退回相关款项前保存用户身份信息、缴费记录、计费记录等；三是为配合公安机关侦查打击违法犯罪，确需继续保存相关数据的。

在继续保存的过程中，还应采取一系列必要措施。比如，将继续保存的个人信息单独存储，明确个人信息保护负责人；应规范内部访问权限、流程，采取加密等技术措施和其他必要措施；法律、行政法规以及有关部门规定的保存期限届满的，应当删除个人信息。

在个人信息删除方面，互联网平台运营者掌握的个人信息若在1000万人以下，应当于处置公告时限届满后，主动删除个人信息，符合转移和继续保存要求的除外；平台运营者宜自行或者委托第三方机构对删除效果进行评估，并将评估结果向社会公开。

针对掌握重要数据、1000万人以上个人信息的互联网平台运营者，则有更严格的要求。《征求意见稿》规定，其应当于平台停服之日前至少45个工作日，按照国家有关规定报告重要数据或个人信息处置方案。

具体来看，方案内容包括重要数据或个人信息情况，比如规模、范围、种类、敏感程度，拟删除、转移、保存后可能带来的风险，采取的安全措施以及措施的有效性等；接收方处理重要数据或个人信息的目的、范围、方式，接收方能承诺承担的义务，以及履行数据安全保护义务的管理和技术措施、能力等。

另外，具备上述资质的互联网平台运营者应当委托第三方机构对删除效果进行评估，确保重要数据和个人信息不可被识别、恢复，评估报告应当至少保存三年。因停服需要转移数据的，涉及重要数据和核心数据备案内容发生变化的，应当履行备案和变更手续。

采写：南都记者樊文扬