GB/T 46901-2025《数据安全技术 基于个人请求的个人信息转移要求》解读

GB/T 46901-2025《数据安全技术 基于个人请求的个人信息转移要求》解读

一、标准的基本信息

标准编号与名称：GB/T 46901-2025《数据安全技术 基于个人请求的个人信息转移要求》，英文名为 Data security technology—Requirements for personal information transfer based on request of personal information subject。

发布与实施：2025年12月31日，国家市场监督管理总局、国家标准化管理委员会以2025年第38号国家标准公告正式发布；实施日期为2026年7月1日。

归口与主管：由全国网络安全标准化技术委员会（SAC/TC260）归口并执行，主管部门为国家标准委。中国标准分类号L80，国际标准分类号ICS 35.030。

起草阵容：北京理工大学牵头，联合北京电子科技学院、中国电子技术标准化研究院、深信服、百度、阿里巴巴、贝壳找房、中国联通、奇安信等23家产学研单位共同起草；主要起草人包括洪延青、王玎、朱雪峰、何延哲等36位专家。

二、标准内容

适用范围与核心定位：作为国内首部系统化细化"个人信息转移权"的技术标准，本标准规定了基于个人信息主体请求的个人信息转移的适用范围、前提要求、流程要求及特定情形的其他要求；适用于指导个人信息处理者响应转移请求，亦可供监管部门和第三方评估机构监督、管理、评估参考。

双轨转移模式：标准创新性地设计了两种转移路径——"以个人信息主体为中介"和"以个人信息处理者为中介"。前者由用户自行下载并转发，后者则由原处理者直接向接收方传输，两种模式在验证、时限、技术保障上各有侧重。

前提条件与边界划定：转移须满足三大前提——合法性（基于同意或合同所必需）、不损害他人合法权益（涉及第三方信息需去标识化或取得同意）、合理性（请求频次、目的须在合理限度内）。可转移范围限于用户主动提供的数据及使用服务产生的记录，画像标签、推荐权重、商业秘密、匿名化信息等均被排除在外。

流程与格式要求：处理者应在15个工作日内完成验证并响应；数据须以CSV、JSON、XML等结构化、机器可读格式导出；对照片、视频等大容量数据，建议通过第三方安全访问接口提供。标准还对不满十四周岁未成年人、跨境转移、自动化处理等特殊场景作出专门规定。

三、标准应用场景

互联网平台用户数据迁移：社交平台、电商、云服务等To C端企业，当用户希望将个人资料、订单记录、健康数据等迁移至竞品或新平台时，可依据本标准建立标准化的导出入口与格式规范，降低用户"换平台"的摩擦成本。

金融与医疗行业合规：银行、保险、互联网医疗等强监管领域，客户申请将体检报告、保单信息、交易流水转移至新机构时，处理者可按标准完成身份核验、数据脱敏、安全传输，既响应用户权利，又防范信息泄露风险。

未成年人保护与跨境业务：在线教育、游戏等面向未成年人的平台，须按标准要求落实监护人同意机制；出海企业则需在用户请求将数据转移至境外接收方时，履行跨境合规告知义务，确保符合我国数据出境安全管理要求。

四、总结

从原则到落地的关键一跃：GB/T 46901-2025将《个人信息保护法》第四十五条的转移权条款，转化为可验证、可评估、可执行的技术规则，填补了国内个人信息可携权领域的标准空白。

推荐性标准的实践张力：虽为推荐性国标，其约束力取决于监管引用与司法参考；企业宜前瞻布局，将标准融入隐私合规体系，以应对日益精细化的执法与审计环境。

数据要素流通的基石工程：标准的实施不仅赋能个人"数据自主"，更将倒逼企业打通数据孤岛、统一接口协议，为构建安全、有序、可信的数据要素市场奠定制度与技术双重基础。