2024APP用戶權(quán)益保護(hù)測評規(guī)范第1部分：超范圍收集個人信息

IIAPP用戶權(quán)益保護(hù)測評規(guī)范第1部分：超范圍收集個人信息目??次TOC\o"1-3"\h\u127821范圍 124142規(guī)范性引用文件 1314283術(shù)語和定義 1312344縮略語 2296185超范圍收集個人信息 2308875.1超范圍收集 2239585.2超頻次收集 2326905.3SDK 3143065.4SDK 343355.5 3111195.6 3289825.7 431791SDK 4——第1部分：超范圍收集個人信息；——第2部分：定向推送；——第3部分：個人信息獲取行為；——第4部分：權(quán)限索取行為；——第5部分：違規(guī)使用個人信息；——第6部分：違規(guī)收集個人信息；——第7部分：欺騙誤導(dǎo)強(qiáng)迫行為；——第8部分：移動應(yīng)用分發(fā)平臺管理；——第9部分：移動應(yīng)用分發(fā)平臺信息展示；——第10部分：自啟動和關(guān)聯(lián)啟動行為。APP用戶權(quán)益保護(hù)測評規(guī)范第1部分：超范圍收集個人信息范圍本文件規(guī)定了移動應(yīng)用軟件超范圍收集個人信息的檢測細(xì)則以及典型檢測場景。本文件適用于移動應(yīng)用軟件提供者規(guī)范應(yīng)用使用與個人信息相關(guān)的權(quán)限索取的行為，也適用于主管部門、第三方評估機(jī)構(gòu)等組織對移動應(yīng)用軟件收集使用個人信息行為進(jìn)行監(jiān)督、管理和評估。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T41391—2022信息安全技術(shù)移動互聯(lián)網(wǎng)應(yīng)用程序(App)收集個人信息基本要求YD/T2407—2021移動智能終端安全能力技術(shù)要求YD/T4177.1—2022移動互聯(lián)網(wǎng)應(yīng)用程序（APP）收集使用個人信息最小必要評估規(guī)范第1部分：總則術(shù)語和定義移動智能終端smartmobileterminal能夠接入移動通信網(wǎng)，具有能夠提供應(yīng)用軟件開發(fā)接口的操作系統(tǒng)，具有安裝、加載和運(yùn)行應(yīng)用軟件能力的終端。[來源:YD/T2407—2021,3.1.1]移動互聯(lián)網(wǎng)應(yīng)用程序mobileInternetapplication可安裝在移動智能終端內(nèi)，能夠利用移動智能終端操作系統(tǒng)提供的公開開發(fā)接口，實(shí)現(xiàn)某項或某幾項特定任務(wù)的應(yīng)用程序。注：包含移動智能終端預(yù)置應(yīng)用、小程序、快應(yīng)用以及互聯(lián)網(wǎng)信息服務(wù)提供者提供的可以通過網(wǎng)站、應(yīng)用商店等應(yīng)用分發(fā)平臺下載、安裝、升級的應(yīng)用程序，簡稱APP。軟件開發(fā)工具包softwaredevelopmentkit協(xié)助軟件開發(fā)的軟件庫。注：軟件工具開發(fā)包簡稱SDK，通常包括相關(guān)二進(jìn)制文件、文檔、范例和工具的集合。[來源:GB/T41391—2022，3.14，有修改]收集collect獲得個人信息的活動。[來源:YD/T4177.1—2022，3.7]靜默狀態(tài)silencestate指的是APP處于設(shè)備屏幕中，用戶未使用該APP的任何相關(guān)功能且未主動觸發(fā)任何操作的狀態(tài)。縮略語下列縮略語適用于本文件。IMEI：國際移動設(shè)備識別碼（InternationalMobileEquipmentIdentity）IMSI：國際移動用戶識別碼（InternationalMobileSubscriberIdentity）MAC：媒體存取控制（MediaAccessControl）IDFA：廣告標(biāo)識別符（IdentifierForAdvertising）IDFV：供應(yīng)商標(biāo)識符（IdentifierForVendor）OAID：匿名設(shè)備標(biāo)識符（OpenAnonymousDeviceIdentifier）MEID：移動設(shè)備識別碼（MobileEquipmentIdentifier）ICCID：集成電路卡識別碼（IntegrateCircuitCardIdentity）SN：設(shè)備序列號（SerialNumber）SUCI：用戶隱藏標(biāo)識符（SUbscriptionConcealedIdentifier）SUPI：用戶永久標(biāo)識符（SUbscriptionPermanentIdentifier）超范圍收集個人信息超范圍收集超范圍收集具體場景包括但不限于：APP在收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息時，超出其所明示收集目的的合理關(guān)聯(lián)范圍；APP僅以服務(wù)體驗(yàn)、產(chǎn)品研發(fā)、算法推薦、風(fēng)險控制等為由，強(qiáng)制要求用戶同意超范圍或者與服務(wù)場景無關(guān)的個人信息處理行為。超頻次收集超頻次收集具體場景包括但不限于：APP未向用戶明示收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，以特定頻率收集個人信息；APP向用戶明示收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，收集個人信息的頻率超出其實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。SDKAPP向用戶明示第三方SDK處理IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的目的、方式和范圍，第三方SDK收集相應(yīng)個人信息時不應(yīng)超出其所明示收集目的的合理關(guān)聯(lián)范圍。SDKSDK超頻次收集具體場景包括但不限于：APP未向用戶明示第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，第三方SDK以特定頻率收集個人信息；APP向用戶明示第三方SDK收集使用IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，第三方SDK收集個人信息的頻率超出其實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。APP在靜默狀態(tài)下或在后臺運(yùn)行時，收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息不應(yīng)超出其所明示的收集目的的合理關(guān)聯(lián)范圍。靜默后臺超頻次收集具體場景包括但不限于：APP未向用戶明示在靜默狀態(tài)下或在后臺運(yùn)行時收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，以特定頻次收集個人信息；APP向用戶明示在靜默狀態(tài)下或在后臺運(yùn)行時收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，收集個人信息的頻率超出其實(shí)現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。APPSDKIMEI、IMSIMACAndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、SDKSDK靜默后臺超頻次收集具體場景包括但不限于：APP未向用戶明示在靜默狀態(tài)下或在后臺運(yùn)行時第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機(jī)電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，在靜默狀態(tài)下或在后臺運(yùn)行時，第三方SDK以特定頻次收集個人信息；APP向用戶明示在靜默狀態(tài)下或在后臺運(yùn)行時第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本