YDT 6412-2025 移动互联网应用未成年人个人信息保护技术要求标准立项发展报告

移动互联网应用未成年人个人信息保护技术要求标准立项发展报告StandardizationDevelopmentReport:TechnicalRequirementsforProtectionofMinors'PersonalInformationinMobileInternetApplications摘要随着移动互联网应用的飞速发展，未成年人在网络空间的个人信息保护问题日益凸显。为贯彻落实《中华人民共和国个人信息保护法》《中华人民共和国未成年人保护法》及相关法律法规要求，工业和信息化部组织制定了邮电通信行业标准YD/T6412-2025《移动互联网应用未成年人个人信息保护技术要求》。本标准于2025年4月10日发布，2025年8月1日正式实施，填补了我国移动互联网应用领域未成年人个人信息保护专项技术标准的空白。本报告系统梳理了该标准的立项背景、编制原则、主要技术内容和预期实施效果，分析了其对完善我国个人信息保护标准体系、强化未成年人网络权益保障、引导行业合规发展的重要意义。标准明确了移动互联网应用在处理未成年人个人信息时的技术框架与合规要求，涵盖收集、存储、使用、加工、传输、公开、删除等全生命周期管理环节，为应用开发者、运营者及监管机构提供了统一、可操作的技术依据。关键词：移动互联网应用；未成年人；个人信息保护；技术标准；邮电通信行业；合规要求Keywords:MobileInternetApplications;Minors;PersonalInformationProtection;TechnicalStandards;PostsandTelecommunicationsIndustry;ComplianceRequirements一、引言1.1研究背景随着数字经济的蓬勃发展和智能移动终端的全面普及，移动互联网应用（APP）已成为未成年人学习、社交、娱乐的重要载体。据中国互联网络信息中心（CNNIC）发布的数据显示，我国未成年网民规模持续增长，互联网使用率已超过97%。与此同时，未成年人个人信息被过度收集、违规使用、非法交易等乱象频发，对未成年人的身心健康和合法权益构成严重威胁。近年来，国家先后出台了一系列法律法规和政策文件，对未成年人个人信息保护提出了明确要求。《中华人民共和国个人信息保护法》第二十八条将不满十四周岁未成年人的个人信息列为敏感个人信息，要求取得监护人单独同意并制定专门的处理规则，并设置专条予以特别保护；《中华人民共和国未成年人保护法》增设“网络保护”专章，明确规定网络服务提供者应当针对未成年人使用其服务设置相应的时间管理、权限管理、消费管理等功能。2023年国务院公布的《未成年人网络保护条例》进一步细化了相关规定，为未成年人个人信息保护提供了更为具体的制度框架。然而，现有法律法规对未成年人个人信息保护的规定以原则性和制度性要求为主，缺乏针对移动互联网应用的技术实施标准和具体操作指引。行业亟需制定统一、细化的技术标准，将法律原则转化为可执行、可检测、可评估的技术要求。1.2标准立项必要性在YD/T6412-2025发布之前，我国尚无专门针对移动互联网应用未成年人个人信息保护的国家标准或行业标准。现行个人信息保护相关标准多面向一般个人信息处理场景，未能充分体现未成年人个人信息保护的特殊性要求——如监护人同意机制、最小必要原则的严格适用、未成年人识别技术、信息分类分级管理等。这一标准空白导致了三个突出问题：1.监管依据不足：监管部门在执法过程中缺乏具体的技术判定标准；2.企业合规困难：应用开发者缺乏清晰的技术指引，合规成本高、效果参差不齐；3.用户权益保障缺位：未成年人及其监护人难以有效行使知情权、删除权等法定权利。基于上述背景，制定《移动互联网应用未成年人个人信息保护技术要求》行业标准具有迫切的现实需求和重要的战略意义。二、标准编制概况2.1编制原则本标准编制遵循以下原则：（1）合法性原则。严格遵循《中华人民共和国个人信息保护法》《中华人民共和国未成年人保护法》《未成年人网络保护条例》等法律法规的规定，确保标准内容与上位法保持一致。（2）科学性原则。充分考虑未成年人认知能力、身心发展特点及移动互联网应用的技术实现可能性，合理设定各项技术要求。（3）可操作性原则。技术指标和检测方法应明确具体，便于企业和检测机构实施与评估，避免模糊性表述。（4）协调性原则。与既有个人信息保护标准体系相衔接，注重与GB/T35273《信息安全技术个人信息安全规范》等国家标准协调配套，避免标准间冲突。（5）前瞻性原则。兼顾技术发展态势，为人工智能、大数据等新技术在未成年人保护领域的应用预留空间。2.2编制过程本标准的编制经过深入调研、草案起草、征求意见、技术审查等阶段。标准编制组广泛收集了国内外相关法律法规、技术标准和实践经验，包括欧盟《通用数据保护条例》（GDPR）中关于儿童数据保护的有关规定、英国《适龄设计规范》（AgeAppropriateDesignCode）等技术文件，结合我国移动互联网行业发展现状，经过多轮研讨和修改完善，最终形成标准送审稿并通过专家审查。2.3标准框架本标准在结构上涵盖范围、规范性引用文件、术语和定义、缩略语、总体要求、个人信息处理的技术要求、未成年人身份识别技术要求、未成年人个人信息安全事件应急处理及舆情应对、未成年人个人信息保护成效评估等章节，形成了较为完整的技术规范体系。三、标准主要技术内容3.1范围与定位本标准规定了移动互联网应用处理未成年人个人信息应遵循的技术要求和检测评价方法，适用于移动互联网应用的开发设计、运营维护、产品更新等各阶段，为应用提供者的合规自评估、第三方检测机构的检测评估以及监管部门的监督检查提供技术依据。3.2术语与定义标准明确界定了“移动互联网应用”“未成年人”“未成年人个人信息”“监护人”“匿名化”“去标识化”“用户画像”等核心术语。值得关注的是，标准中的“未成年人”指不满十八周岁的自然人，与《中华人民共和国未成年人保护法》的规定保持一致。同时，标准参考《个人信息保护法》的规定，对不满十四周岁未成年人的个人信息给予更高保护级别，并进行了专门规定。3.3总体要求标准提出了移动互联网应用处理未成年人个人信息的总体要求，包括：合法正当、最小必要、公开透明、准确完整、安全保障五大原则。明确要求移动互联网应用提供者应设置未成年人个人信息保护的专门负责人（或指定专人），建立未成年人个人信息安全事件应急预案；应定期开展未成年人个人信息保护合规审计，审计频次不低于每年一次；应在上线前及重大版本更新时进行个人信息保护影响评估。3.4个人信息处理的技术要求标准对未成年人个人信息的收集、存储、使用、加工、传输、公开、删除等处理活动分别提出了具体技术要求。在收集环节，标准明确要求应用提供者遵循最小必要原则，仅可收集与所提供服务直接相关的未成年人个人信息，禁止以改善服务质量、提升用户体验等为由超范围收集。对于不满十四周岁未成年人个人信息的收集，须取得监护人明确同意，并提供显著、清晰的专门告知。标准特别对场景化告知方式作出技术性规定——告知内容应包含处理目的、处理方式、信息种类、存储期限等核心要素，且告知语言和呈现方式应适应未成年人认知水平。在收集频次方面，标准明确要求除非业务功能所必需，不得频繁触发个人信息收集行为。在存储环节，标准要求对未成年人个人信息进行加密存储，加密强度应不低于国家密码管理部门规定的商用密码算法要求；应将未成年人个人信息与一般用户个人信息实施分类存储和物理或逻辑隔离；明确个人信息存储期限为实现处理目的所必需的最短时间，超过期限应予以删除或匿名化处理。在使用和加工环节，标准要求不得出于向未成年人进行商业营销或用户画像等目的处理未成年人个人信息；不得将未成年人个人信息用于个性化推荐、定向广告等商业用途，除非取得监护人单独同意；利用未成年人个人信息进行自动化决策时，应保证决策结果的公平公正，不得对未成年人的身心健康和权益产生显著影响。在传输和公开环节，标准明确要求向第三方提供未成年人个人信息前应进行安全评估并取得监护人单独同意，传输过程应使用安全通道并采取加密措施；原则上不得公开披露未成年人个人信息，确需公开的应符合法律法规规定并采取去标识化等措施。在删除环节，标准要求当处理目的已实现、无法实现或者为实现处理目的不再必要，或监护人撤回同意、未成年人本人提出合理请求时，应提供便捷的删除渠道。应用提供者应在收到删除请求后十五个工作日内完成删除或匿名化处理，并停止除存储和采取必要安全保护措施之外的处理。3.5未成年人身份识别技术要求准确识别用户是否为未成年人，是落实未成年人个人信息特殊保护规则的前提。标准提出了以下技术路径：应用提供者应综合运用实名认证、行为特征分析、设备信息研判等技术手段识别未成年人用户；对于明确声明不满十四周岁的用户，应启动敏感个人信息处理规则；鼓励应用提供者利用人工智能技术优化未成年人识别模型，提高识别准确率。此外，标准要求应用提供者不得以未成年人识别为由收集与识别目的无关的个人信息，识别过程中收集的信息仅可用于未成年人保护目的。3.6未成年人个人信息安全事件应急处理及舆情应对标准要求移动互联网应用提供者建立未成年人个人信息安全事件应急响应机制，明确应急组织架构及职责分工，制定应急预案并定期开展演练（每年至少组织一次）。发生或可能发生未成年人个人信息泄露、篡改、丢失安全事件时，应立即启动应急预案，采取补救措施防止危害扩大，并按照法律法规要求履行通知和报告义务。同时，标准对舆情监测和应对也提出了要求，明确应建立7×24小时舆情监测机制，及时掌握涉及未成年人个人信息安全的舆情动态并在发现后4小时内启动应对流程，及时发布权威信息、回应社会关切、消除不良影响，并向监管机构报告相关情况。3.7未成年人个人信息保护成效评估标准建立了未成年人个人信息保护成效评估框架，从组织制度保障、技术防护能力、处理活动合规性、安全事件发生情况及处置效果、用户满意度等维度进行评估。明确要求移动互联网应用提供者应定期（至少每年一次）开展保护成效自评估，也可委托第三方机构实施独立评估。评估结果应向监管部门报告，并作为持续改进未成年人个人信息保护工作的依据。四、主要编写单位本标准由中国信息通信研究院牵头起草，联合国内主要移动互联网企业、网络安全企业、科研院所和高校共同编制。中国信息通信研究院中国信息通信研究院（以下简称“中国信通院”）是工业和信息化部直属科研事业单位，是国家在信息通信领域最重要的智库和专业技术支撑机构。中国信通院始建于1957年，前身为邮电部邮电科学研究院，经过六十余年的发展，已形成以互联网、通信、信息化、网络安全为核心的综合研究能力。在个人信息保护领域，中国信通院深度参与了《中华人民共和国个人信息保护法》《未成年人网络保护条例》等法律法规的立法支撑工作，承担了大量国家标准和行业标准的制定任务，在个人信息保护技术研究、标准制定、检测认证、合规评估等方面积累了丰富经验。中国信通院设立了专门的个人信息保护研究团队，长期追踪国内外个人信息保护立法动态和技术发展趋势，建设了专业的技术验证和检测评估环境，具备从标准研制到检测评估的全链条技术能力。除中国信通院外，参与本标准编制的单位还包括国内头部移动互联网应用企业，为标准的技术可行性和行业适用性提供了实践支撑。五、标准实施意义与展望5.1实施意义YD/T6412-2025的发布实施，对我国移动互联网未成年人个人信息保护工作具有多方面的重要意义：填补标准空白。本标准是电信和互联网领域首项专门针对未成年人个人信息保护的技术标准，填补了该领域的标准空白，完善了个人信息保护标准体系，使法律法规的原则性要求落地为可执行的技术规范。提供合规指引。为移动互联网应用提供者开展未成年人个人信息保护工作提供了明确、可操作的技术指引，有助于企业降低成本、提高合规效率，也有助于统一行业实践、促进公平竞争。支撑监管执法。为电信主管部门和其他监管部门开展监督检查、执法认定提供了技术依据和判定标准，有助于提升监管的科学性和精准性。强化权益保障。通过技术手段切实加强对未成年人个人信息的保护力度，有助于降低未成年人个人信息安全风险，保障未成年人合法权益，营造有利于未成年人健康成长的网络环境。5.2未来展望随着云计算、大数据、人工智能等新一代信息技术的快速发展，未成年人个人信息保护面临着新的挑战和机遇。未来需要持续跟进技术演进趋势，适时开展标准修订和配套标准制定，进一步完善未成年人个人信息保护技术标准体系。重点方向包括：面向智能推荐、生成式人工智能等新场景的保护技术要求；未成年人个人信息保护的自动化检测与评估技术标准；未成年人个人信息保护能力成熟度评估模型等。同时，应加强标准的宣贯推广和国际交流合作，推动我国在未成年人网络保护领域的实践经验和技术方案为国际社会贡献中国智慧。六、结论YD/T6412-2025《移动互联网应用未成年人个人信息保护技术要求》的发布实施，是我国未成年人个人信息保护标准化工作的重要里程碑。该标准以法律法规为依据，以技术实现为路径，以未成年人权益保障为核心目标，构建了覆盖未成年人个人信息全生命周期处理活动的技术规范体系。标准既充分考虑了中国移动互联网产业的发展实际，又积极借鉴了国际先进经验，体现了科学性、前瞻性和可操作性的有机统一。展望未来