《隐私保护与个人信息处理管理制度》

第一章 总则

第一条 为保护安徽省安述心理咨询中心（普通合伙）（以下简称“本中心”）来访者及其他个人的隐私权和个人信息权益，规范本中心个人信息处理活动，根据《中华人民共和国民法典》第一千零三十二条、第一千零三十四条，《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国精神卫生法》及《安徽省安述心理咨询中心心理咨询专业伦理守则》第三十八条，制定本制度。

第二条 本制度适用于本中心在心理咨询、心理测量与评估、团体咨询、远程咨询、教学培训、科学研究等业务活动中处理个人信息的全部活动。

第三条 本中心是个人信息处理者。本中心名称为安徽省安述心理咨询中心（普通合伙），联系方式为 ansooth@163.com、中心服务热线 400-987-6800（24 小时接听），注册地址为安徽省合肥市庐阳区双岗街道濉溪路 168 号新天地广场办公 8-719室。

第四条 本中心处理个人信息应当遵循下列原则：（一）合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息；（二）目的明确原则，具有明确、合理的目的，与心理咨询服务直接相关；（三）最小必要原则，处理个人信息应当限于实现处理目的的最小范围，不得过度收集；（四）公开透明原则，以显著方式、清晰易懂的语言真实告知个人信息处理规则；（五）质量与安全原则，保证个人信息准确、完整、安全。

第二章 职责分工

第五条 个人信息保护工作实行下列职责分工：（一）合伙人会议：审议批准个人信息保护制度和重大合规事项；

（二）执行事务合伙人：对个人信息保护工作全面负责，

指定个人信息保护负责人；

（三）个人信息保护负责人（由执行事务合伙人指定）：

统筹个人信息保护合规，组织影响评估，响应个人权利请求；（四）信息管理员：负责技术安全措施、访问权限、日志和备份；（五）心理咨询人员：在执业范围内按最小必要原则处理个人信息，履行告知同意义务；（六）行政前台：负责个人权利请求的受理登记和转交。

第三章 处理的合法基础

第六条 本中心处理个人信息，应当具有下列合法基础之一：（一）取得个人或者其监护人的同意；（二）为订立、履行个人作为一方当事人的服务合同所必需；（三）为履行法定职责或者法定义务所必需；（四）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（五）法律、行政法规规定的其他情形。

第七条 本中心处理个人信息，应当限于实现心理咨询服务目的的最小范围。除法律、行政法规另有规定外，不得将所收集的个人信息用于与原处理目的无关的其他目的。

第七条之一 本中心处理的个人信息种类包括：来访者基本身份信息、联系方式、咨询记录、测评资料、知情同意书、危机评估记录、紧急联系人信息及其他为提供心理咨询服务所必需的信息。不得收集与心理咨询服务无关的个人信息。

第七条之二 本中心不进行自动化决策。使用信息系统辅助预约、记录和提醒的，不得通过自动化决策方式作出对个人权益有重大影响的决定；确需使用的，应当保证决策透明度和结果公平公正，并提供人工复核渠道。

第七条之三 本中心对处理的个人信息建立处理活动记录，载明处理目的、种类、保存期限、受托方和共享方等信息，至少保存三年。

第四章 敏感个人信息处理规则

第八条 心理咨询信息属于《中华人民共和国个人信息保护法》第二十八条规定的敏感个人信息，一旦泄露或者非法使用，容易导致自然人人格尊严受到侵害或者人身、财产安全受到危害。

第九条 处理敏感个人信息应当具有特定的目的和充分的必要性，并采取严格保护措施。本中心仅在为来访者提供心理咨询服务所必需的范围内处理敏感个人信息，不得超目的、超范围处理。

第十条 处理敏感个人信息，应当依照《中华人民共和国个人信息保护法》第二十九条、第三十条的规定取得个人的单独同意，并向个人告知处理敏感个人信息的必要性以及对个人权益的影响。法律、行政法规规定应当取得书面同意的，从其规定。

第十一条 本中心在取得单独同意时，应当将敏感个人信息处理事项与其他事项区分，由个人单独作出意思表示，不得以概括授权、捆绑同意等方式取得。

第十一条之一 为保护心理咨询人员与本中心的合法权益，本中心在服务协议、知情同意书中载明：未经本中心及咨询师事先书面同意，来访者及其陪同人员不得对咨询过程进行录音、录像、拍照或者屏幕录制，不得复制、传播相关内容。发现来访者私自录音录像的，心理咨询人员应当立即制止并要求删除；拒不删除或者已经传播的，本中心有权中止服务，并依法追究其法律责任。

第五章 告知义务

第十二条 本中心处理个人信息，应当依照《中华人民共和国个人信息保护法》第十七条的规定，以显著方式、清晰易懂的语言真实、准确、完整地告知下列事项：（一）本中心的名称和联系方式；（二）处理个人信息的目的、方式和个人信息种类；（三）保存期限；（四）个人行使个人信息保护法规定权利的方式和程序；（五）处理敏感个人信息的必要性以及对个人权益的影响；（六）法律、法规规定应当告知的其他事项。

第十三条 告知应当在首次服务前以书面方式作出，并在知情同意书中载明。服务目的、方式、个人信息种类等发生变更的，应当重新履行告知义务并取得同意。个人不同意变更后处理方式的，本中心不得因此拒绝提供原有服务。

第十三条之一 告知应当包含保存期限的合理说明，原则上按照本中心档案管理制度确定。保存期限届满或者处理目的已实现的，本中心应当主动删除个人信息；法律、行政法规规定的保存期限更长的，从其规定。

第六章 未成年人个人信息特别规则

第十四条 处理不满十四周岁未成年人个人信息的，应当依照《中华人民共和国个人信息保护法》第三十一条的规定，取得其父母或者其他监护人的同意，并制定专门的个人信息处理规则。

第十五条 处理已满十四周岁未成年人个人信息的，应当同时尊重未成年人本人意愿，并依法取得其父母或者其他监护人的同意，法律、行政法规另有规定的除外。

第十六条 本中心坚持最有利于未成年人的原则，处理未成年人个人信息采取严格保护措施，处理范围限于实现未成年人保护目的的最小必要。

第十六条之一 本中心制定不满十四周岁未成年人个人信息处理专门规则，明确处理目的、方式、种类、保存期限、监护人同意取得方式和未成年人权利行使途径。该专门规则在服务场所和官方平台公示。

第七章 委托处理、共享与公开

第十七条 本中心委托他人处理个人信息的，应当依照《中华人民共和国个人信息保护法》第二十一条的规定，与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。远程视频平台、外部督导、EAP 委托方等受托

处理的，应当签署委托处理协议。

第十八条 受托人应当按照约定处理个人信息，不得超出约定的处理目的、处理方式等处理个人信息。委托合同不生效、无效、被撤销或者终止的，受托人应当将个人信息返还本中心或者予以删除，不得保留。

第十八条之一 本中心对受托人的个人信息处理活动进行监督，定期评估其安全保护能力和履约情况。发现受托人违反约定或者存在安全风险的，应当要求其整改或者终止委托。

第十八条之二 具体委托场景包括：远程视频咨询平台服务商提供音视频传输和存储、外部督导师查阅去标识化个案资料、EAP 委托方按合同约定使用服务记录、云存储和信息系统服务商提供技术服务。上述场景均应当签订书面协议明确个人信息保护义务。

第十九条 本中心向其他个人信息处理者提供个人信息的，应当依照《中华人民共和国个人信息保护法》第二十三条的规定，向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息种类，并取得个人的单独同意。

第二十条 本中心原则上不公开披露个人信息。确需公开的，应当取得个人的单独同意，并进行去标识化处理。

第八章 个人权利响应

第二十一条 个人对其个人信息享有下列权利：（一）知情、决定、限制或者拒绝他人处理其个人信息；（二）查阅、复制其个人信息；（三）发现其个人信息不准确或者不完整的，有权请求更正、补充；（四）符合法定情形的，有权请求删除其个人信息；（五）请求解释个人信息处理规则；（六）撤回同意；（七）法律、法规规定的其他权利。

第二十二条 个人行使上述权利的，可以向本中心提出书面请求。本中心应当在收到请求后十五个工作日内予以答复。本中心拒绝请求的，应当说明理由。

第二十二条之一 个人权利请求的响应流程如下：（一）行政前台登记请求，核验请求人身份；（二）转交个人信息保护负责人办理；（三）涉及咨询档案的，会同档案管理员和相关心理咨询人员处理；（四）在规定时限内书面答复请求人；（五）处理过程和结果归档。

第二十二条之二 本中心为个人行使权利提供便捷渠道，不得对个人的合理请求拖延、拒绝或者设置不合理条件。个人请求撤回同意或者删除个人信息的，本中心应当在保存期限和法定义务允许范围内及时处理。

第二十三条 有下列情形之一的，本中心可以拒绝个人查阅、复制、更正、删除的请求，并说明理由：（一）与公共安全、公共卫生等重大公共利益相关的；（二）涉及他人重大合法权益的；（三）本中心有充分证据证明个人请求系滥用权利的；（四）法律、行政法规规定的其他情形。

第二十四条 个人撤回同意的，不影响撤回前基于同意已进行的个人信息处理活动的效力。本中心不得对撤回同意的个人进行歧视性对待。

第九章 个人信息保护影响评估

第二十五条 有下列情形之一的，本中心应当依照《中华人民共和国个人信息保护法》第五十五条的规定进行个人信息保护影响评估：（一）处理敏感个人信息的；（二）利用个人信息进行自动化决策的；（三）向其他个人信息处理者提供个人信息的；（四）委托处理个人信息的；（五）其他对个人权益有重大影响的个人信息处理活动。

第二十六条 个人信息保护影响评估应当包括下列内容：（一）个人信息的处理目的、处理方式等是否合法、正当、必要；（二）对个人权益的影响及安全风险；（三）所采取的保护措施是否合法、有效并与风险程度相适应。

第二十七条 个人信息保护影响评估报告和处理情况记录应当至少保存三年。

第十章 安全措施

第二十八条 本中心依照《中华人民共和国个人信息保护法》

第五十一条的规定，采取下列安全技术和管理措施：（一）制定内部个人信息管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取加密、去标识化等技术措施；（四）合理确定个人信息处理的操作权限，定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；（六）法律、法规规定的其他措施。

第二十九条 本中心处理个人信息的系统应当符合网络安全等级保护要求，定期进行安全检测和风险评估。

第二十九条之一 本中心采取的具体安全措施包括：（一）个人信息加密存储和传输，敏感个人信息去标识化处理；（二）按岗位职责分配访问权限，实行最小必要和最小知悉；（三）操作留痕，访问日志可追溯；（四）定期备份和恢复演练；（五）人员离职即时回收权限；（六）与接触个人信息的辅助人员签订保密协议。

第二十九条之二 本中心不得在不安全的网络环境中传输敏感个人信息，不得使用个人邮箱、公共即时通讯工具传输咨询记录和测评资料。

第十一章 泄露事件处置

第三十条 发生或者可能发生个人信息泄露、篡改、丢失的，本中心应当依照《中华人民共和国个人信息保护法》第五十七条的规定立即采取补救措施，并通知履行个人信息保护职责的部门和个人。

第三十一条 通知应当包括下列事项：（一）发生或者可能发生个人信息泄露、篡改、丢失的信息种类、原因和可能造成的危害；（二）本中心采取的补救措施和个人可以采取的减害措施；（三）个人可以联系的本中心联系方式。

第三十二条 未造成不良影响的，经履行个人信息保护职责的部门评估，可以不通知个人；但部门认为可能造成不良影响的，本中心应当通知。具体应急程序按照本中心《个人信息泄露与数据安全事件应急预案》执行。

第三十二条之一 发生个人信息安全事件后，个人信息保护负责人应当立即报告执行事务合伙人，组织应急处置，评估影响范围，按规定向监管部门报告，并配合调查处理。事件处置完毕后应当形成总结报告，完善防范措施。

第十二章 境内存储与跨境提供

第三十三条 本中心在境内运营中收集和产生的个人信息，应当在境内存储。确需向境外提供的，应当依照《中华人民共和国个人信息保护法》第三章的规定履行相关程序，包括进行个人信息保护影响评估、与境外接收方订立合同并取得个人单独同意。

第三十四条 本中心原则上不向境外提供个人信息。远程咨询涉及境外平台的，应当选择数据境内存储的平台，并签订委托处理协议。

第三十四条之一 本中心工作人员发现个人信息处理活动违反法律、法规或者本制度的，应当及时向个人信息保护负责人报告，不得隐瞒、不得拖延，切实防止风险扩大。

第十三章 培训、审计与违规责任

第三十五条 本中心每年至少组织一次个人信息保护培训和考核，新入职人员应当在岗前培训中学习个人信息保护制度。

第三十六条 本中心每年至少进行一次个人信息保护合规审计，检查制度执行情况、技术措施有效性和个人权利响应情况，形成审计报告。

第三十六条之一 合规审计可以由本中心自行开展，也可以委托专业机构进行。审计发现问题的，应当制定整改计划，限期整改，并将整改情况纳入下一年度审计。

第三十七条 违反本制度的，视情节轻重给予提醒谈话、警告、暂停执业、解除聘用或者合作关系等处理；造成个人信息权益损害的，依法承担相应法律责任；构成违法的，移送有关机关处理。

第十四章 附则

第三十八条 本制度由本中心执行事务合伙人负责解释。

第三十九条 本制度经合伙人会议审议通过，自发布之日起施行。附：制定、发布与修订记录