GA/T 2366-2025 国家网络身份认证公共服务 个人身份信息处理要求

ICS35.240.15

CCSA90

中华人民共和国公共安全行业标准

GA/T2366—2025

国家网络身份认证公共服务

个人身份信息处理要求

Publicservicefornationalnetworkidentityauthentication—

Requirementsforidentityinformationprocessing

2025-12-09发布2026-05-01实施

中华人民共和国公安部发布

GA/T2366—2025

目次

前言……………………………Ⅲ

引言……………………………Ⅳ

1范围…………………………1

2规范性引用文件……………1

3术语和定义…………………1

4总体要求……………………2

5个人身份信息处理技术要求………………2

5.1通用要求………………2

5.2个人身份信息收集……………………2

5.3服务端信息存储与处理………………3

5.4服务端至国家网络身份认证公共服务平台的信息传输……………4

5.5国家网络身份认证公共服务平台至服务端的信息传输……………4

5.6认证后身份信息的使用………………4

5.7信息删除………………5

6个人身份信息处理管理要求………………5

6.1通用要求………………5

6.2管理部门设置和职责…………………5

6.3个人身份信息分类分级管理…………6

6.4个人身份信息安全影响评估…………6

6.5合规风险检测、安全风险防护和快速处置体系设置…………………6

6.6安全审计………………6

6.7应急响应………………6

参考文献………………………7

Ⅰ

GA/T2366—2025

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由公安部网络安全保卫局提出。

本文件由公安部社会公共安全应用基础标准化技术委员会归口。

本文件起草单位：公安部第一研究所、公安部网络安全保卫局、中国标准化研究院。

本文件主要起草人：于锐、蒋文合、张紫薇、杨林、叶敏、胡光俊、郝久月、邓晨、刘斌、马腾飞、于晓敏、

宋杰、王静静、吴明明、隋媛。

Ⅲ

GA/T2366—2025

引言

随着大数据、人工智能、区块链等新技术的广泛应用和互联网行业的蓬勃发展，数字技术正在全面融

入社会方方面面，驱动生产生活方式和社会治理方式发生深刻变革。与此同时，为了在网络空间实现用

户身份的有效识别，基于个人实名身份信息的服务需求出现爆发式增长，也引发了个人信息非法采集、使

用，甚至贩卖等突出问题，对国家安全体系和公民个人权益造成严重侵害，对数字经济发展和网络空间治

理产生了重要影响。

在此背景下，经党中央、国务院决策部署，由公安部在相关部委指导、支持下建设实施国家网络身份

认证公共服务平台，提供权威、高效、安全、便捷的网络身份认证服务。依托国家网络身份认证公共服务，

用户可在电子政务、交通出行、邮政寄递和互联网金融等领域方便快捷地证明身份，以及注册、登录各种

网络应用。通过国家网络身份认证公共服务的推广应用，可有效落实《中华人民共和国网络安全法》《中

华人民共和国个人信息保护法》《中华人民共和国反电信网络诈骗法》等法律，改善互联网企业过度收集、

留存个人信息等现象，有力打击网络违法犯罪、保护公民个人敏感信息，对于支持国家“放管服”改革、服

务“新基建”战略、促进数字经济发展具有重要意义，对于推进国家治理体系和治理能力现代化、建设社会

诚信体系也将发挥积极影响。

本文件在《中华人民共和国个人信息保护法》对“个人信息的处理规则”和“敏感个人信息的处理规

则”的规定以及《中华人民共和国网络安全法》中“推动不同电子身份认证之间的互认”的要求基础之上，

给出“个人身份信息处理”的定义，制定国家网络身份认证公共服务范围内个人身份信息处理要求，规范

个人身份信息处理活动，保护个人身份信息权益，保障个人的合法权益和社会公共利益，提高我国网络身

份认证的安全性。本文件是《中华人民共和国个人信息保护法》在国家网络身份认证公共服务关键环节

的技术性要求，对标准中的要求事项，若法律法规另有规定，遵照其规定执行。

Ⅳ

GA/T2366—2025

国家网络身份认证公共服务

个人身份信息处理要求

1范围

本文件规定了国家网络身份认证公共服务平台与接入机构应用系统交互过程中个人身份信息处理

的总体要求、个人身份信息处理技术要求和个人身份信息处理管理要求。

本文件适用于国家网络身份认证公共服务平台与接入机构应用系统交互过程中的个人身份信息处

理活动，也适用于监管部门及第三方评估机构对个人信息处理活动进行监督、管理和评估。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

文件。

GB/T32907—2016信息安全技术SM4分组密码算法

GB/T33560—2017信息安全技术密码应用标识规范

GB/T35273—2020信息安全技术个人信息安全规范

GB/T35275—2017信息安全技术SM2密码算法加密签名消息语法规范

GB/T35276—2017信息安全技术SM2密码算法使用规范

GB/T37964信息安全技术个人信息去标识化指南

GB/T38636信息安全技术传输层密码协议（TLCP）

GB/T40660—2021信息安全技术生物特征识别信息保护基本要求

GB/T43697—2024数据安全技术数据分类分级规则

GA/T1721国家网络身份认证公共服务通用术语

GA/T1723.2国家网络身份认证公共服务认证服务第2部分：真实身份认证服务接口要求

GA/T2364国家网络身份认证公共服务人脸活体图像采集控件技术要求

3术语和定义

GB∕T35273—2020和GA/T1721界定的以及下列术语和定义适用于本文件。

3.1

个人身份信息identityinformation

以电子或者其他方式记录的能单独或者与其他信息结合识别特定自然人身份的各种信息。

注：个人身份信息包括姓名、出生日期、身份证件号码、个人生物识别信息等。

[来源：GA/T1721—2025，3.1.7]

3.2

个人身份信息处理identityinformationprocessing

对个人身份信息进行收集、存储、使用、加工、传输、提供、公开和删除等行为。

1