个人信息访问、使用软件中设置（等保测评的授权与非授权）

（重庆、北京、上海和天津地区）服务器软件应用如何区分应用群体，个人信息访问、使用应该注意哪些问题？重庆、北京、上海和天津等保测评要求授权与未授权的用户应该采取哪些措施？

对应要求：

应禁止未授权访问和非法使用用户个人信息。

判例内容：

未授权访问和非法使用个人信息，如在未授权情况下将用户信息提交给第三方处理，未脱敏的情况下用于其他业务用途，未严格控制个人信息查询以及导出权限，非法买卖、泄露用户个人信息等，可判定为高风险。

适用范围：

所有系统。

满足条件（任意条件）：

1、在未授权情况下将用户个人信息共享给其他公司、机构、个人（国家、法律规定的公安、司法机构除外）。

2、未脱敏的情况下用于其他非核心业务系统或测试环境等。

3、未严格控制个人信息查询以及导出权限。

4、非法买卖、泄露用户个人信息。

补偿措施：

如互联网系统在收集用户的个人敏感信息前，数据收集方明确数据的用途，可能涉及使用数据的单位、机构，权责清晰，并根据各自职责与用户签订个人信息保密协议和个人信息收集声明许可协议的，可根据实际情况酌情降低风险等级。

重庆、北京、上海和天津整改建议：

建议通过官方正式渠道向用户表明采集信息的内容、用途以及相关的安全责任，并在用户同意、授权的情况下采集、保存业务必需的用户个人信息，通过技术和管理手段，防止未授权访问和非法使用。