T∕TAF 077.1-2020 APP收集使用個人信息最小必要評估規(guī)范 總則

1、ICS 33.050M 30團體標準T/TAF 077.1-2020APP 收集使用個人信息最小必要評估規(guī)范總則Application software user personal information collection and usage minimization and necessity evaluation specificationGeneral principle2020-11 - 26 發(fā)布2020 - 11 - 26 實施電信終端產(chǎn)業(yè)協(xié)會 發(fā)布目次前言II引言III范圍1規(guī)范性引用文件1術(shù)語、定義和縮略語1術(shù)語和定義1縮略語2最小必要原則2個人信息處理最小必要評估要求2告

2、知同意要求2權(quán)限要求3收集要求3使用要求3傳輸要求3存儲要求4第三方共享要求4刪除要求4評估流程4評估方與被評估方4選擇評估指標4制定評估計劃5實施評估5評估結(jié)論5前言本文件按照 GB/T 1.1-2020 給出的規(guī)則起草。本文件中的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔識別這些專利的責任。本文件由電信終端產(chǎn)業(yè)協(xié)會提出并歸口。本文件起草單位：中國信息通信研究院、OPPO廣東移動通信有限公司、維沃移動通信有限公司、北京奇虎科技有限公司、華為技術(shù)有限公司、北京三快在線科技有限公司、小米科技有限責任公司、阿里巴巴(中國)有限公司、北京字節(jié)跳動科技有限公司。本文件主要起草人：王艷紅、杜云、寧華、

3、武林娜、胡月、陳鑫愛、周飛、李京典、湯立波、常浩倫、李騰、毛欣怡、賈科、姚一楠、衣強、方強、周圣炎、賈雪飛、楊驍涵、王宇曉、安瀟羽。引言隨著移動應用種類和數(shù)量呈爆發(fā)式增長，APP侵害用戶權(quán)益事件層出不窮，個人信息保護態(tài)勢愈加嚴峻，如何保護用戶個人信息，尤其是人臉、通訊錄、短信、位置、圖片等個人敏感信息受到國家和社會公眾高度關(guān)注。APP收集使用個人信息最小必要評估旨在對移動互聯(lián)網(wǎng)行業(yè)收集使用用戶人臉、通訊錄、短信、位置、圖片等個人敏感信息進行規(guī)范，落實最小、必要的原則。本系列相關(guān)標準：T/TAF 077.1-2020 APP 收集使用個人信息最小必要評估規(guī)范 總則。T/TAF 077.2-202

4、0 APP收集使用個人信息最小必要評估規(guī)范 位置信息。T/TAF 077.3-2020 APP收集使用個人信息最小必要評估規(guī)范 圖片信息。T/TAF 077.4-2020 APP收集使用個人信息最小必要評估規(guī)范 通訊錄。T/TAF 077.5-2020 APP收集使用個人信息最小必要評估規(guī)范 設備信息。T/TAF 077.6-2020 APP收集使用個人信息最小必要評估規(guī)范 軟件列表。T/TAF 077.7-2020 APP收集使用個人信息最小必要評估規(guī)范 人臉信息。T/TAF 077.8-2020 APP收集使用個人信息最小必要評估規(guī)范 錄像信息。APP 收集使用個人信息最小必要評估規(guī)范 總

5、則范圍本文件明確APP收集使用個人信息最小必要評估規(guī)范系列標準中術(shù)語定義，規(guī)定了收集使用的最小必要原則及要求，是APP收集使用個人信息最小必要評估規(guī)范系列標準的引領(lǐng)部分，或為其他移動終端數(shù)據(jù)相關(guān)標準提供參考。本文件適用于各種制式的移動智能終端及移動終端上的應用軟件，個別條款不適用于特殊行業(yè)、專業(yè)應用，其他終端也可參考使用。規(guī)范性引用文件下列文件對于本標準的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本標準。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本標準。GB/T 25069-2010 信息安全技術(shù) 術(shù)語術(shù)語、定義和縮略語術(shù)語和定義下列術(shù)語和定義適用于本文件。

6、3.1.1移動智能終端 smart mobile terminal能夠接入移動通信網(wǎng)，具有能夠提供應用軟件開發(fā)接口的操作系統(tǒng)，具有安裝、加載和運行應用軟件能力的終端。3.1.2移動應用軟件 mobile Application Software針對智能終端所開發(fā)的應用程序，包括智能終端預置應用以及互聯(lián)網(wǎng)信息服務提供者提供的可以通過智能終端下載、安裝、升級、卸載的應用。注：本標準中規(guī)定的移動應用軟件（APP）即為個人信息處理者。3.1.3個人信息 personal information個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息,不包括匿名化處理后的信息。3.1.

7、4個人敏感信息 personal sensitive information敏感個人信息是一旦泄露或者非法使用,可能導致個人受到歧視或者人身、財產(chǎn)安全受到嚴重危害的個人信息,包括種族、民族、宗教信仰、個人生物特征、醫(yī)療健康、金融賬戶、個人行蹤等信息。3.1.5個人信息處理 personal information processing個人信息處理包括個人信息的收集、存儲、使用、加工、 傳輸、提供、公開等活動。3.1.6收集 collect獲得個人信息的控制權(quán)的行為。3.1.7告知同意 inform consent應用通過彈窗或產(chǎn)品界面等方式提示通知用戶收集使用相關(guān)權(quán)限或信息的的目的、方式、范圍

8、等， 并獲用戶做出明確授權(quán)的行為。3.1.8定向推送 directional Push基于特定個人信息主體的網(wǎng)絡瀏覽歷史、興趣愛好、消費記錄和習慣等個人信息，向該個人信息主體推薦或展示信息內(nèi)容、提供商品或服務的搜索結(jié)果以及推送商業(yè)廣告等活動。注：業(yè)務實踐中，定向推送也被稱為個性化展示或個性化推薦。本文件中同時使用定向推送、個性化展示和個性化推薦，具有相同含義?？s略語下列縮略語適用于本文件。 APP 移動應用軟件 ApplicationSDK 軟件工具開發(fā)包 Software Development Kit最小必要原則APP進行個人信息處理時應遵循以下最小必要原則，即處理個人信息應當具有明確、合

9、理的目的, 并應當限于實現(xiàn)處理目的的最小范圍,不得進行與處理目的無關(guān)的個人信息處理。注：當APP提供的業(yè)務場景不在“APP收集使用個人信息最小必要評估規(guī)范的系列規(guī)范”的場景分類內(nèi)，但業(yè)務確有需要時，應滿足收集使用個人信息的最小必要原則。個人信息處理最小必要評估要求告知同意要求告知同意應遵循最小必要原則，即APP所提供服務涵蓋多項業(yè)務功能的，收集使用個人敏感信息時，宜按業(yè)務功能進行單項或分項征得用戶同意，不宜要求用戶一次性接受并授權(quán)同意其未申請或使用的業(yè)務功能收集個人信息的請求。告知同意的時機及頻率應遵循最小必要原則，宜在收集使用之前或收集使用之際的適當時機告知，增進用戶對告知與所收集的個人信息

10、之間關(guān)聯(lián)性的理解；并以必要最小限度的頻率告知， 確保用戶的服務體驗質(zhì)量。權(quán)限要求權(quán)限的申請應遵循最小必要原則，即只申請與業(yè)務功能相關(guān)的權(quán)限，不應過度申請權(quán)限。對于第三方SDK等外部代碼的引用，APP應確認其相關(guān)權(quán)限的申請同樣滿足最小化原則，限制SDK過度申請權(quán)限。如APP的業(yè)務場景中，不包含位置相關(guān)場景，則不應申請位置權(quán)限。APP宜優(yōu)先采用系統(tǒng)自身功能，代替調(diào)用相關(guān)敏感權(quán)限。在存在替代功能實現(xiàn)方式的情況下， 不應以提升用戶體驗為由，強迫用戶授予權(quán)限。權(quán)限的使用應遵循最小必要原則，即應合理使用申請的權(quán)限，不應濫用權(quán)限，且實際使用的權(quán)限不應超出告知同意的范圍。收集要求收集個人信息的類型應遵循最小必

11、要原則，即在收集個人信息的類型，不應超出業(yè)務場景的實際需要，法律法規(guī)要求的除外。收集個人信息的數(shù)量應遵循最小必要原則，即在收集個人信息的數(shù)量，不應超出業(yè)務場景的實際需要。收集個人信息的頻率應遵循最小必要原則，即收集個人信息的頻率，不應超出業(yè)務場景的實際需要。使用要求使用個人信息的類型、數(shù)量及頻率應遵循最小必要原則，不應超出業(yè)務場景的實際需要，法律法規(guī)要求的除外。使用個人信息時，除目的所必需外，應消除明確身份指向性，避免精確定位到特定個人。使用個人信息進行定向推送應遵循最小必要原則，即對用戶進行用戶畫像的個人信息不應超出業(yè)務場景的實際需要。使用個人信息進行定向推送應告知用戶使用的個人信息來源，是

12、APP收集還是來源于其他第三方。使用個人信息進行定向推送應顯著區(qū)分個性化展示和非個性化展示，顯著區(qū)分的方式包括但不限于：標明“推薦”、“猜你喜歡”等字樣，或通過不同的欄目、版塊、頁面分別展示等。使用個人信息進行定向推送應當同時向該用戶提供關(guān)閉個性化展示的選項。此外，APP宜建立用戶對個性化展示所依賴的個人信息(如標簽、畫像維度等)的自主控制機制，保障用戶調(diào)控定向推送展示相關(guān)性程度的能力。傳輸要求傳輸個人信息的類型及數(shù)量應遵循最小必要原則，不應超出業(yè)務場景的實際需要，法律法規(guī)要求的除外。傳輸個人信息的頻率應遵循最小必要原則，不應超出業(yè)務場景的實際需要。存儲要求APP 個人信息的存儲包含本地存儲和

13、服務器遠端存儲，均應遵循最小必要原則。存儲個人信息的類型及數(shù)量應遵循最小必要原則，不應超出業(yè)務場景的實際需要。存儲個人信息的時間應遵循最小必要原則，即存儲個人信息的時間，應當為實現(xiàn)處理目的所必要的最短時間，法律法規(guī)要求的除外。第三方共享要求個人信息的第三方共享均應遵循最小必要原則，即委托處理、共享、轉(zhuǎn)讓、公開披露的個人信息類型、數(shù)量及頻率，不應超出業(yè)務場景的實際需要，法律法規(guī)要求的除外。其中，共享個人身份信息、網(wǎng)絡身份標識等個人信息前，應征得用戶的授權(quán)同意。刪除要求超出存儲期限后，應對個人信息進行刪除或匿名化處理。評估流程APP收集使用個人信息最小必要評估流程如圖1所示。包括確定評估目標、選擇

14、評估指標、制定評估計劃、實施評估及得出評估結(jié)論這四個活動。圖1 APP收集使用個人信息最小必要評估流程圖評估方與被評估方應考慮以下方面，確定評估方和被評估方：被評估方可為APP 或者 APP 中某項某類功能。評估方可為 APP 提供者、開發(fā)者和運營者，也可為第三方實驗室開展評估參考使用。選擇評估指標應考慮以下方面，確定評估指標：評估方根據(jù)被評估方提供的技術(shù)說明文檔、被評估 APP 樣品等材料，確定初步的方案審核， 發(fā)現(xiàn)涉及的個人信息類型，選擇對應的評估規(guī)范標準，并由此定義后續(xù)的評估的計劃和評估項例。制定評估計劃應考慮以下方面，制定評估準則：評估方應根據(jù)評估目標，本著公平、公正、公開原則開展評估工作。評估準則內(nèi)容應至少包括評估對象和范圍、評估依據(jù)、評估環(huán)境、評估工具。評估準則中應明確評估通過/不通過準則。實施評估應考慮以下方面，實施評估工作：依據(jù)對應的評估規(guī)范標準開展實施評估活動.通過各部分實施評估工作可順序開展也可并行開展，無完整的順序關(guān)系。各部分最小必要評估結(jié)果均應以評估報告的形式進行輸出，其內(nèi)容至少應包括開展最小必要信息類型、評估所選擇的評估指標及針對評估指標的評估結(jié)果。評估結(jié)論應考慮以下方面，給出評估結(jié)論：針對開展評估的個人信息類別進行評估，APP 收集使