TTAF 077.8-2020 APP收集使用個(gè)人信息最小必要評(píng)估規(guī)范 錄像信息

1、ICS 33.050M 30團(tuán)體標(biāo)準(zhǔn)T/TAF 077.8-2020APP 收集使用個(gè)人信息最小必要評(píng)估規(guī)范錄像信息Application software user personal information collection and usage minimization and necessity evaluation specificationVideo information2020 - 11 -26 發(fā)布2020- 11 -26 實(shí)施電信終端產(chǎn)業(yè)協(xié)會(huì) 發(fā)布T/TAF 077.8-2020 PAGE * ROMAN III目次 HYPERLINK l _bookmark0 前言II

2、HYPERLINK l _bookmark1 引言III HYPERLINK l _bookmark2 范圍1 HYPERLINK l _bookmark3 規(guī)范性引用文件1 HYPERLINK l _bookmark4 術(shù)語和定義1 HYPERLINK l _bookmark5 典型場(chǎng)景1 HYPERLINK l _bookmark6 主動(dòng)上傳類場(chǎng)景1 HYPERLINK l _bookmark7 視頻通訊類場(chǎng)景1 HYPERLINK l _bookmark8 錄像加工類場(chǎng)景1 HYPERLINK l _bookmark9 服務(wù)所需類場(chǎng)景2 HYPERLINK l _bookmark10 錄

3、像信息最小必要規(guī)范2 HYPERLINK l _bookmark11 授權(quán)同意2 HYPERLINK l _bookmark12 收集2 HYPERLINK l _bookmark13 使用2 HYPERLINK l _bookmark14 對(duì)外提供3 HYPERLINK l _bookmark15 存儲(chǔ)、刪除3前言本文件按照 GB/T 1.1-2020 給出的規(guī)則起草。本文件中的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專利的責(zé)任。本文件由電信終端產(chǎn)業(yè)協(xié)會(huì)提出并歸口。本文件起草單位：中國信息通信研究院、北京小桔科技有限公司。本文件主要起草人：秦齊祺、張娜、高星照、寧華、王艷紅、杜云

4、、陳鑫愛、武林娜、周飛。引言隨著移動(dòng)通信技術(shù)的快速發(fā)展，移動(dòng)互聯(lián)網(wǎng)應(yīng)用正逐漸滲透到人們生活、工作的各個(gè)領(lǐng)域，個(gè)人信息安全問題成各方關(guān)注的重點(diǎn)。越來越多移動(dòng)應(yīng)用軟件使用錄像進(jìn)行展示、通訊、加工、提供服務(wù)，錄像信息是個(gè)人信息主體個(gè)人信息的重要部分。目前行業(yè)中尚未有從APP收集使用錄像信息必要性出發(fā)的最小化評(píng)估規(guī)范，缺乏統(tǒng)一的標(biāo)準(zhǔn)?；谏鲜隹紤]，提出本文件，旨在對(duì)移動(dòng)互聯(lián)網(wǎng)行業(yè)收集使用個(gè)人信息主體錄像信息進(jìn)行規(guī)范，落實(shí)最小、必要的原則，進(jìn)一步促進(jìn)移動(dòng)互聯(lián)網(wǎng)行業(yè)的健康穩(wěn)定發(fā)展。T/TAF 077.8-2020 PAGE 4APP 收集使用個(gè)人信息最小必要評(píng)估規(guī)范 錄像信息范圍本文件規(guī)定了移動(dòng)應(yīng)用軟件對(duì)

5、錄像信息的收集、使用、存儲(chǔ)、刪除等活動(dòng)中的最小必要規(guī)范和評(píng)估方法，并通過個(gè)人信息處理活動(dòng)中的典型應(yīng)用場(chǎng)景來說明如何落實(shí)最小必要原則。本文件適用于移動(dòng)互聯(lián)網(wǎng)應(yīng)用軟件提供者規(guī)范個(gè)人信息主體個(gè)人信息中的錄像信息的處理活動(dòng)，也適用于主管監(jiān)管部門、第三方評(píng)估機(jī)構(gòu)等組織對(duì)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序收集錄像信息行為進(jìn)行監(jiān)督、管理和評(píng)估。規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T 352732020 信息安全技術(shù) 個(gè)人信息安全規(guī)范T/TAF 077.1-2020 APP收集使用個(gè)人信

6、息最小必要評(píng)估規(guī)范 總則術(shù)語和定義T/TAF 077.1-2020界定的以及下列術(shù)語和定義適用于本文件。3.1錄像信息 video information通過視頻采集設(shè)備錄制的直接含有自然人個(gè)人信息或者能夠反映自然人活動(dòng)情況的視頻信息及其衍生數(shù)據(jù)。注：衍生數(shù)據(jù)包括從視頻中提取的圖像、聲音等。典型場(chǎng)景主動(dòng)上傳類場(chǎng)景主動(dòng)上傳類場(chǎng)景，指?jìng)€(gè)人信息主體通過APP主動(dòng)上傳錄像用以向自身或者他人展示的場(chǎng)景。視頻通訊類場(chǎng)景視頻通訊類場(chǎng)景，指?jìng)€(gè)人信息主體通過實(shí)時(shí)錄像與其他方進(jìn)行通訊的場(chǎng)景。錄像加工類場(chǎng)景錄像加工類場(chǎng)景，指為個(gè)人信息主體提供提取錄像內(nèi)容、加工合成錄像等服務(wù)的場(chǎng)景。服務(wù)所需類場(chǎng)景服務(wù)所需類場(chǎng)景，指

7、APP 需要收集相關(guān)錄像以為個(gè)人信息主體提供相關(guān)服務(wù)的場(chǎng)景。錄像信息最小必要規(guī)范授權(quán)同意對(duì)錄像信息的授權(quán)同意要求包括：APP 收集錄像信息前，應(yīng)向使用 APP 的個(gè)人信息主體告知收集、使用錄像信息的目的、方式、范圍等，并獲個(gè)人信息主體的授權(quán)同意。收集錄像需要調(diào)用設(shè)備權(quán)限的，宜在錄像功能啟動(dòng)時(shí)動(dòng)態(tài)申請(qǐng)權(quán)限。個(gè)人信息主體拒絕錄像相關(guān)權(quán)限申請(qǐng)后，APP 不應(yīng)拒絕為個(gè)人信息主體提供服務(wù)，錄像信息作為服務(wù)的最小必要信息的除外。個(gè)人信息主體拒絕錄像相關(guān)權(quán)限申請(qǐng)后，APP 宜間隔 48 小時(shí)以上再進(jìn)行重新申請(qǐng)，不應(yīng)頻繁請(qǐng)求權(quán)限干擾個(gè)人信息主體正常使用 APP 其他功能，個(gè)人信息主體主動(dòng)開啟相關(guān)功能的除外。A

8、PP 不應(yīng)擅自更改個(gè)人信息主體原有的錄像權(quán)限設(shè)置。如需更改，應(yīng)重新獲得個(gè)人信息主體授權(quán)。不得欺騙誤導(dǎo)個(gè)人信息主體同意收集錄像信息，不得隱蔽收集錄像信息。征得授權(quán)同意的例外參照GB/T 35273-2020 第 5.6 條“征得授權(quán)同意的例外”條款執(zhí)行。收集對(duì)錄像信息的收集要求包括：主動(dòng)上傳類場(chǎng)景、視頻通訊類場(chǎng)景、錄像加工類場(chǎng)景，應(yīng)僅在使用 APP 的個(gè)人信息主體主動(dòng)提供時(shí)才能收集錄像信息。服務(wù)所需類場(chǎng)景，個(gè)人信息主體拒絕提供錄像信息的，APP 不得拒絕向個(gè)人信息主體提供服務(wù)。錄像為服務(wù)的最小必要信息的除外。判斷錄像信息是否為某種服務(wù)類型的最小必要信息時(shí)，應(yīng)充分考慮錄像收集目的。原則上以維護(hù)公共

9、安全或者保護(hù)個(gè)人信息主體重要人身財(cái)產(chǎn)權(quán)利為目的的，可以將錄像信息作為該服務(wù)類型的最小必要信息。使用對(duì)錄像信息的使用要求包括：使用錄像信息時(shí)，不應(yīng)超出與收集時(shí)所聲稱的目的具有直接或合理關(guān)聯(lián)的范圍。因業(yè)務(wù)需要， 確需超出上述范圍使用錄像信息的，應(yīng)再次征得個(gè)人信息主體明示同意。APP 運(yùn)營者應(yīng)對(duì)內(nèi)部人員訪問錄像信息建立嚴(yán)格的管理機(jī)制，合理分配錄像信息訪問權(quán)限，嚴(yán)格控制訪問人員和可訪問內(nèi)容。宜在對(duì)角色權(quán)限控制的基礎(chǔ)上，按照業(yè)務(wù)流程的需求觸發(fā)操作授權(quán)。對(duì)于服務(wù)所需類場(chǎng)景，APP 工作人員訪問錄像信息宜采取技術(shù)措施對(duì)錄像中個(gè)人信息主體面部進(jìn)行模糊化處理，如采取檢測(cè)技術(shù)在視頻中定位個(gè)人信息主體面部位置，對(duì)面

10、部識(shí)別特征遮擋處理等。對(duì)面部識(shí)別特征進(jìn)行遮擋導(dǎo)致無法實(shí)現(xiàn)使用目的的除外。對(duì)于錄像信息中出現(xiàn)的提供錄像的個(gè)人信息主體之外的其他個(gè)人信息主體的信息，不宜進(jìn)行針對(duì)個(gè)人的分析。法律法規(guī)另有規(guī)定或另行獲得個(gè)人信息主體本人同意的除外。對(duì)外提供對(duì)錄像信息對(duì)外提供的要求包括：除依據(jù)法律法規(guī)規(guī)定、征得個(gè)人信息主體同意，或者為了維護(hù)相關(guān)方重大合法權(quán)利且對(duì)錄像信息進(jìn)行去標(biāo)識(shí)化處理外，APP 不應(yīng)向第三方共享、轉(zhuǎn)讓或者公開披露錄像信息。向第三方共享、轉(zhuǎn)讓、公開披露錄像信息前，應(yīng)告知個(gè)人信息主體共享、轉(zhuǎn)讓個(gè)人信息的目的、數(shù)據(jù)接收方的類型，并事先征得個(gè)人信息主體的授權(quán)同意。征得授權(quán)同意的例外參照GB/T 35273-2020 第 9.5 條“共享、轉(zhuǎn)讓、公開披露個(gè)人信息時(shí)事先征得授權(quán)同意的例外”條款執(zhí)行。存儲(chǔ)、刪除對(duì)錄像信息的存儲(chǔ)、刪除要求包括：應(yīng)在實(shí)現(xiàn)收集目的或超過約定存儲(chǔ)時(shí)限后及時(shí)刪除錄像信息，法律法規(guī)另有規(guī)定的除外。如個(gè)人信息主體在使用服務(wù)過程中產(chǎn)生的糾紛尚未解決完畢，APP 可以適當(dāng)延長錄像信息的保存期限，在糾紛