国际标准化组织（ISO）和国际电工委员会（IEC）于2011年联合发布的《ISO29100隐私框架》，提出十一项处理个人可识别信息的原则：
1.同意和选择原则。应向信息主体提供是否允许处理其可识别信息的选择机制，收集或处理敏感可识别信息应获得信息主体的明示同意，在获得信息主体同意前应告知其享有的权利，应向信息主体解释其同意或拒绝的含义，应给予信息主体选择如何处理其信息的机会并允许无条件撤回同意。
2.目的合法和特定原则。确保信息使用目的符合法律并具有可接受的法律基础，在收集信息或第一次用于新的目的时应告知信息主体使用目的。
3.收集限制原则。个人可识别信息的收集应限定在法律允许和特定目的的真实、必要范围内。
4.信息最小化原则。最大限度减少所处理的个人可识别信息的范围和隐私利益相关者的数量，确保“必要知道”原则的采用，使用或提供默认选项尽可能在不涉及识别信息主体身份的活动和交易中减少对其行为的可观测性和个人信息的可链接性，目的一经实现应将可识别信息予以删除。
5.使用、存储和披露限制原则。应限制个人可识别信息的使用、存储和披露，使用应限制在收集目的限定的范围内，保存仅限于实现目的的时限，目的达成后应封存、销毁或匿名化相关信息以避免进一步处理。
6.准确和质量原则。确保个人可识别信息对使用目的而言是准确、完整、最新、充分和相关的，在处理前应确认从其他来源收集的个人可识别信息的可靠性，对个人可识别信息作出任何改变前应以适当的方法确认信息主体提出的要求的有效性和准确性，制定相应程序确保个人可识别信息的质量并建立监测机制定期进行检查。(www.xing528.com)
7.公开、透明和通知原则。信息控制者以清晰和易懂的方式向信息主体提供有关信息处理的政策、程序和规则，应向信息主体告知本人的信息是否被收集、收集的目的、披露给第三方的信息类型、控制者的身份以及访问、更正、删除本人信息的方式，当处理程序有重大变化时应提示信息主体。
8.个人参与和访问原则。应使身份经过验证的信息主体能够访问和审核其信息，允许信息主体对其信息的准确性和完整性提出异议并尽可能给予修改、更正、清除的机会，可以要求信息处理者和已获取信息的第三方修改、更正、清除其信息，制定能够使信息主体简单、快速、高效行使其权利的程序。
9.责任原则。应对与隐私相关的政策、程序和应用进行记录和沟通，建立有效的内部投诉和解决机制，告知信息主体可能导致隐私泄露的情形及解决措施，根据法律要求和风险程度向隐私利益相关者告知隐私泄露，当隐私泄露时允许受侵害的信息主体获得救济，在隐私无法恢复到受侵害前的情况下应启动赔偿程序。
10.信息安全原则。信息控制者应使个人可识别信息处于控制下，在运营、系统设计和策略三个层面采取适当措施确保信息的完整性、保密性和可用性，在全生命周期中防止未经授权的访问、损毁、使用、修改、披露、丢失等风险。
11.隐私合规原则。定期进行审计以确认和证明信息的处理符合信息保护和隐私安全的要求，建立适当的内部控制和独立监督机制，对信息处理的系统设计和服务提供过程是否符合信息保护和隐私安全的要求进行风险评估。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
