T∕CVIA 108.12-2023 智能电视信息安全 应用程序个人信息保护要求和评测方法

Personalinformationprotectionrequirementsandtestmethodsforsm2023-12-06发布 II III 1 1 1 24.1个人信息分类和安全分级 5个人信息保护技术要求 45.1个人信息收集技术要求 45.2个人信息存储技术要求 5.3个人信息传输技术要求 5.4个人信息删除技术要求 5.5个人信息使用技术要求 5.6个人信息权利保护技术要求 66.1测试环境搭建 6.2评测方法 请注意本文件的某些内容可能涉及专利。本文件发布份有限公司、重庆市易平方科技有限公司、康佳集团股份有限公司、深圳康佳电子科技有限公司、中家院（北京）检测认证有限公司、聚好看科技股份有限公司、厦门厦华科技有限公司、深圳市雷鸟网本文件主要起草人：邓文科、宋舰、郝亚斌、冯晓曦、彭健锋、彭一亮、徐崖洲、马万铮、姜海辉、叶兴旺、房振会、范鸿波、鞠磊磊、马琳、郑梁、刘洋、时雨、薛元、林恺杰、张利利、王佳敏。随着信息技术和人类生产生活交汇融合，各类数据迅猛增长、海代，电视也从普通电视发展为现在的智能电视，智能电视也进入了大数据时代。截止到20能电视的保有量已经超过4亿台，智能电视的信息安全也关系到咱们国家的信息安全，也观众者的合法利益。这也是全生态发展到一定阶段的突出智能电视信息安全保护的最终目的是促进数据的合理使用。要在索实现更加精确的数据确权，更加便捷的数据交易，更合理的数据使用，激发市场主体活力和科技创新能力，同时也为我国数字化经济成功转型与健康、安全发展的强大保障力量提供了基础，也让人民为进一步加强行业自律，完善智能电视信息安全和用户信息保护体系，保障消费者权益业健康有序发展，根据智能电视产品的实际情况和市场的发展趋势，在工信部电子信息司消费电子处的指导下，2022年5月中国电子视像行业协法》等十三部团体标准，开展智能电视信息安全系列标准的制定。智能电视信息安全系列标准分《智能电视信息安全应用程序个人信息保护要求和评测方法》规范了智能电视应用程序对于保护要求和评测方法，对保护消费者合法权益具有非常重要的智能电视信息安全应用程序个人信息保护要求和评测方法本文件适用于智能电视应用程序涉及的个人信息处理活动，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本GB/T35273-2020信息安全技T/CVIA108.7-2023智能电视信息安全应用程序信息T/CVIA108.6-2023智能电视信息智能电视机是具有操作系统，支持第三方应用资源实现功能扩展，支持多网络接入运行在智能电视操作系统之上，向用户提供各个功能和服务的应用3.3个人信息personalin签，能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的，属于个人信23.4个人敏感信息personalsensitivein一旦泄露、非法提供或滥用，可能危害人身或财产安全，个人隐私暴露，极易导致个用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的，属于个人3.5个人信息主体personalinformation3.6个人信息控制者personalinformationco通过收集、汇聚、分析个人信息，对某特定自然人个人特征，通过对个人信息的技术处理，使得个人信息主体无注：个人信息经匿名化处理后所得的信息不属于个人3.10去标识化de-identi通过对个人信息的技术处理，使其在不借助额外信息的情况下，无法识别或关联个人信息主体注：去标识化建立在个体基础之上，保留了个体颗粒度，采用假名、加密、哈希函数等技术手4概述本文件对智能电视应用程序在个人信息保护关于收集、存储、传输、删除、使用等方面制定4.1个人信息分类和安全分级本文件所制定的智能电视应用程序个人信息分类和分级方法，遵从《个人信息保护法》和4.1.1个人信息分类方法1姓名、生日、性别、民族、国籍、家庭关系、住址2345手术及麻醉记录、护理记录、用药记录、药物食物6职业、职位、工作单位、学历、学位、教育经历7银行账号、鉴别信息（口令）、存款信息（包括资录等）、房产信息、信贷记录、征信信息、交易和89包括硬件序列号、设备MAC地址、唯一设备识别码（如AndID/UDID/OMID/GUID信息等)等为描述自然人的工作表现、经济状况、健康性、行为方式、位置或行踪等特征而进行自4.1.2个人敏感信息方法41等）、房产信息、信贷记录、征信信息、交易和消费记2个人因病医治等产生的相关记录，如:病症、住院志、医嘱单术及麻醉记录、护理记录、用药记录、药物食物过敏信345性取向、婚史、宗教信仰、未公开的违法犯罪记录录、好友列表、群组列表、行踪轨迹、住宿信4.1.3个人信息安全分级方法Ⅰ个人敏感信息，同表2ⅡⅢ5.1个人信息收集技术要求55.2个人信息存储技术要求5.3个人信息传输技术要求在个人信息的传输阶段，智能电视应用程序个人信息传输应满足《T5.4个人信息删除技术要求5.5个人信息使用技术要求5.6个人信息权利保护技术要求66.1.1提供1台可以正常开机运行的智能电视机，以下称“测试样机”6.1.2提供1种可以接入互联网的网络，以下称“测试网络”a)测试网络访问互联网的带宽不低于200Mb)根据测试样机的网络接入方式，测试网络可以是有线形式或Wi-Fi形式。6.1.3提供1个待测应用程序，以下称“应用”71)步骤1：启动应用并进行个人信息采集操作后，进入智2)步骤2：通过技术检测查看个人生物识别信息存储情况。3)步骤3：通过技术检测查看个人生物识别信息与个人身份信息存储情况。3)步骤3后：如果个人生物识别信息的摘要信息未与个人身份信息分开存储，则评测结果为d)期望结果：分别按照《T/CVIA108.7-2023智能电视信息安全应2)步骤2：进入授权管理页面，撤回个人信息的部分授权，重复步骤1。1)步骤2后：如果采集的个人信息包含撤回授权部分的个人信息，则评测结果为“不符合要81)步骤1后：如果没有弹出弹窗或者链接提示授3)步骤3后：如果没有再次弹出弹窗或者链接提示授权申请，并提供同意和拒绝选