如何推進消費類可穿戴智能設備數據安全標準化工作？

對照消費類可穿戴智能設備數據安全風險挑戰，以及已有的相關安全標準現狀，建議 在以下方面推進消費類可穿戴智能設備數據安全標準化工作。

1.針對設備可穿戴特點的數據安全

目前的個人信息和數據安全標準大多是從通用的角度出發，雖然部分標準如 GB/T 34978-2017、GB/T 37076-2018、GB/T 20979-2019等涉及移動智能終端、生物特征識別等消 費類可穿戴智能設備相關技術，但相關要求分散在多個標準中，總體上碎片化嚴重。消費 類可穿戴智能設備具有隨身攜帶、實時監測等獨特屬性，其采集的數據類型多樣（如生理 參數、位置信息、行為習慣等），數據量大、更新頻率高，且與個人生活與健康密切相關， 因此對數據安全和隱私保護提出了更高要求。

2.生物特征細化與擴展的數據安全

消費類可穿戴智能設備采集的數據中生物特征數據占據重要地位。雖然 GB/T 41806- 2022、GB/T 41807-2022、GB/T 41773-2022、GB/T 41819-2022 等標準對基因、聲紋、步態 和人臉等識別的數據安全提出要求，但對其他類型的生物特征數據，如心率、體溫、血糖、 血壓、腦電（見附錄 C）等仍缺乏專門的安全標準。由于生物特征數據具有唯一性和敏感 性，一旦泄露可能造成嚴重后果。因此需要針對不同類型的生物特征數據，制定更加細化 和全面的采集、傳輸、存儲、使用等環節的安全要求，并在用戶授權同意、隱私保護等方 面提出明確規定。同時，還需考慮如何平衡數據應用和隱私安全，制定生物特征數據脫敏、 加密等安全處理標準。

3.面向設備全生態體系的數據安全

當前的標準大多從數據視角關注安全，而缺乏對消費類可穿戴智能設備產品全架構、 全環節、全生態的體系性管理要求。未來需要明確各參與方（制造商、供應商、運營商、 服務提供商等）的安全職責；要將安全和隱私設計理念引入設備全生命周期，在設計之初 就考慮數據最小化、默認加密等隱私保護機制；要建立漏洞管理、安全更新等機制，保障 設備上市后的持續安全；要規范設備退役和廢棄階段的數據刪除流程，防止數據二次泄露。 此外，從提升用戶對設備安全性的信任度出發，探討消費類可穿戴智能設備安全評估和認 證的可行性、必要性與緊迫性。針對消費類可穿戴智能設備數據安全特點，從測評對象、 測評指標、測評方法入手，為開展全方位、多角度的安全測評與認證提供依據。

4.數據收集與使用中用戶權益保障

消費類可穿戴智能設備的數據價值主要體現在對用戶數據的分析和服務，然而目前的標準對消費類可穿戴智能設備數據收集和使用環節的用戶權益保障考慮不足。未來需結合 消費類可穿戴智能設備特點，通過適當方式明確告知用戶消費類可穿戴智能設備數據收集 的范圍、目的和使用方式，并允許用戶選擇性同意或拒絕；要賦予用戶對個人數據的控制 權，提供適合消費類可穿戴智能設備特點的數據訪問、更正、刪除等機制；要規范基于用 戶數據的行為分析和自動化決策，防止過度收集和濫用；要加強對兒童等特殊群體隱私的 保護。 

5.跨平臺互操作性的數據同步安全

隨著消費類可穿戴智能設備應用生態的發展，跨設備、跨平臺的數據同步和可攜帶需 求日益凸顯，但目前對這一環節缺乏明確的安全標準。未來需圍繞消費類可穿戴智能設備 數據同步和可攜帶制定不同類型和品牌的消費類可穿戴智能設備之間的數據交互和通信協 議標準，確保數據在跨平臺傳輸時的安全性和一致性；要建立第三方應用的準入機制和數 據訪問審計機制，防止數據越權和非授權使用；要探索基于用戶授權同意的數據同步模式， 確保用戶對數據流向的知情權和控制權。

6.可穿戴智能設備數據安全測評

目前對消費類可穿戴智能設備數據安全測評缺乏統一、權威的標準和規范。為全面評 估消費類可穿戴智能設備的數據安全性能，亟需制定專門的測評標準，明確測評對象、測 評方法、測評指標等要素。測評對象需要覆蓋消費類可穿戴智能設備的軟硬件系統、移動 應用、云服務平臺等，全面考察其數據安全能力。測評方法要從消費類可穿戴智能設備數 據處理活動各環節入手，采用文檔審查、功能測試、滲透測試、行為分析等多種技術手段， 結合實驗室與真實場景開展測評。測評指標要對應前述各項數據安全標準的具體要求，形 成科學、量化、可操作的指標體系。同時，測評標準要建立面向不同應用場景的安全等級 劃分，對消費類可穿戴智能設備的數據安全能力進行分級評估，形成差異化的測評要求。 

7.可穿戴智能設備數據安全認證

安全認證是驗證消費類可穿戴智能設備滿足數據安全相關標準的重要手段。當前對消 費類可穿戴智能設備的數據安全認證缺乏統一規范，難以形成統一有效的安全認證市場。 未來應加快制定消費類可穿戴智能設備數據安全認證標準，明確認證對象、認證依據、認 證流程等。認證對象主要包括消費類可穿戴智能設備的硬件產品、嵌入式軟件、移動 App、 后臺云服務等，通過認證確保其數據安全能力符合標準要求。認證依據應以國家相關數據 安全標準和行業最佳實踐為基礎，制定統一的認證依據，避免認證標準碎片化。認證流程 要規范認證受理、測評、審核、頒證、監督等各環節的活動，明確認證機構的業務流程、 管理要求，確保認證工作的客觀公正性和權威性。要建立面向不同安全保護等級的分級認 證制度，對消費類可穿戴智能設備的數據安全能力進行梯度劃分。