GBT 43739-2024 数据安全技术 应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南标准立项发展报告

数据安全技术应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南标准立项发展报告StandardizationDevelopmentReport:DataSecurityTechnology—GuidelinesforReviewandManagementofPersonalInformationProcessingComplianceofMobileInternetApplications(Apps)inAppStores摘要随着移动互联网的迅猛发展，移动应用程序（App）已成为公民个人信息收集与处理的主要载体，应用商店作为App分发与运营的关键入口，在个人信息保护中承担着不可替代的“守门人”角色。当前，部分App存在超范围收集、强制授权、违规共享个人信息等问题，严重侵害用户合法权益。为落实《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》等法律法规要求，规范应用商店对App个人信息处理行为的审核与管理活动，国家市场监督管理总局与国家标准化管理委员会于2024年4月25日联合发布了GB/T43739-2024《数据安全技术应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南》，该标准于2024年11月1日正式实施。本标准确立了应用商店对App个人信息处理活动进行规范性审核与管理的总体原则、审核流程、管理机制和技术手段，为应用商店运营者提供了系统化、可操作的工作框架。本报告系统阐述了该标准的立项背景、编制原则、主要内容与技术要点，深入分析了其对行业监管、企业合规和技术发展的深远影响，并就标准未来配套细化与迭代方向提出了展望，旨在为相关企事业单位和标准化工作者提供全面、权威的参考。关键词：数据安全；个人信息保护；应用商店；移动应用程序；规范性审核；标准解读Keywords:DataSecurity;PersonalInformationProtection;AppStore;MobileApplication;ComplianceReview;StandardInterpretation1引言1.1研究背景移动互联网应用程序（App）深度融入经济社会生活的各个领域，在衣食住行、政务办公、金融支付、医疗健康等方面为公众提供了极大便利。然而，App在采集个人信息方面呈现出的“泛化采集”“过度索取”“隐蔽处理”等乱象，长期困扰着广大用户。据相关统计，我国移动互联网用户规模已超过10亿，App总量达到数百万款，个人信息违规收集问题已成为社会关注的焦点问题之一。应用商店作为App上架、分发、更新和下架的枢纽环节，是连接App开发者与终端用户的核心渠道。工信部等部门近年来持续开展App侵害用户权益专项整治行动，多次通报并责令整改违规App，但仅仅依靠事后监管难以实现全面覆盖。应用商店的事前审核与事中管理优势尚未得到充分发挥，亟需通过标准化手段明确其职责边界与操作规范。在此背景下，制定一部专门面向应用商店的App个人信息处理规范性审核与管理国家标准，成为落实法律法规要求、回应社会关切、完善数据安全治理体系的重要举措。GB/T43739-2024正是在这一时代背景下应运而生的。1.2标准立项的必要性与紧迫性从立法层面看，《中华人民共和国个人信息保护法》于2021年11月1日起施行，明确规定提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者应当履行“守门人”义务；《中华人民共和国数据安全法》亦对数据安全保护义务提出了系统性要求。应用商店运营者作为平台型主体，其法律义务需要具体化、操作化的标准予以支撑。从监管层面看，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局四部门联合印发的《App违法违规收集使用个人信息行为认定方法》为App个人信息违规行为的认定提供了依据，但在应用商店审核操作层面仍缺乏细粒度、全流程的技术指引。从产业发展层面看，各应用商店平台在App个人信息审核实践中标准不一、尺度各异、方法多样，部分中小型应用商店缺乏系统化的审核能力，导致违规App“换壳上架”“多地分发”现象屡禁不止。统一国家标准有助于促进公平竞争、提升整体合规水平。综上，制定GB/T43739-2024具有充分的必要性和紧迫性，是完善我国数据安全标准体系的关键一环。1.3标准制定依据本标准的编制遵循以下法律法规及政策文件：-《中华人民共和国个人信息保护法》-《中华人民共和国数据安全法》-《中华人民共和国网络安全法》-《App违法违规收集使用个人信息行为认定方法》-《常见类型移动互联网应用程序必要个人信息范围规定》-《GB/T35273-2020信息安全技术个人信息安全规范》-《GB/T41391-2022信息安全技术移动互联网应用程序（App）收集个人信息基本要求》2标准编制原则GB/T43739-2024的编制过程严格遵循以下基本原则：2.1合规性原则标准内容全面对标《个人信息保护法》《数据安全法》《网络安全法》等上位法的规定，确保各项审核要求和管理措施于法有据。标准对个人信息处理活动的审核维度设定，与现行法律法规的合规要求保持高度一致，确保应用商店开展的各项审核与管理工作具有明确的法律基础。2.2系统性原则标准从应用商店审核与管理的全流程出发，系统性地覆盖了App上架前的资质审核、隐私政策审核、个人信息处理行为审核，上架后的抽样检查、监测预警、投诉处理，以及下架后的整改复核等环节，形成了事前、事中、事后的完整闭环管理链条，避免出现管理真空和审核盲区。2.3可操作性原则标准的各项条款力求具体明确，避免模糊化和原则化表述。在审核内容方面，明确了App信息提供、隐私政策文本审核、用户权益保障评估、技术检测验证等具体工作事项及操作要点；在管理机制方面，规定了审核流程、复核频次、风险处置等切实可行的管理手段，便于应用商店运营者直接落地实施。2.4技术中立性原则标准不针对特定技术方案或特定产品形态作出倾向性规定，各项要求适用于不同技术架构、不同业务模式的应用商店平台。同时，标准鼓励采用自动化检测、人工智能辅助审核等先进技术手段提升审核效率，体现了技术中立与技术创新并重的编制理念。2.5协调一致性原则标准的编制注重与已有的个人信息保护相关国家标准、行业标准保持协调一致，特别是在术语定义、分类分级、技术要求等方面充分参考和引用了GB/T35273、GB/T41391等基础性标准，避免标准之间的冲突和重复，构建协调统一的标准体系。3标准主要内容GB/T43739-2024《数据安全技术应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南》是一项推荐性国家标准，主要技术内容涵盖以下核心模块：3.1范围与规范性引用文件标准规定了应用商店对移动互联网应用程序（App）个人信息处理活动进行规范性审核与管理的基本要求，适用于应用商店运营者开展App上架审核、在架管理、下架处置等相关活动，也可为监管部门、第三方评估机构提供参考依据。标准规范性引用了上述法律法规及GB/T35273等配套标准，确保标准体系的内在协调一致性。3.2术语和定义标准对“应用商店”“移动互联网应用程序（App）”“个人信息”“个人信息处理”“规范性审核”等关键术语进行了明确定义。其中，“应用商店”涵盖提供App下载、安装、更新、卸载等服务的软件分发平台，包括移动终端内置应用商店、第三方应用商店及网页形式的分发渠道等。术语定义的明确为标准的准确理解和统一实施奠定了概念基础。3.3审核与管理总体框架标准提出了应用商店对App个人信息处理规范性进行审核与管理的总体框架，明确了以下关键要素：-审核主体：应用商店运营者应指定专门的审核机构或审核人员，建立独立的审核工作机制，确保审核工作的客观性和公正性；-审核对象：申请上架或在架的App及其运营者，包括App的名称、版本、功能说明、隐私政策、权限调用说明等信息；-审核依据：国家法律法规、国家标准、行业规范以及应用商店自身的平台规则；-审核方式：形式审核与实质审核相结合、技术检测与人工审核相结合、事前审核与事后监督相结合；-管理闭环：建立“申请—审核—上架—监测—整改—下架”的全流程管理机制。3.4App上架前的规范性审核上架前审核是防范个人信息违规处理行为的第一道关口。标准对审核的核心内容作出了系统性规定：（一）App运营者信息审核。应用商店应核验App运营者的主体身份信息，包括企业营业执照、开发者资质、联系方式等，确保运营者身份真实、合法、有效，为后续追溯管理奠定基础。（二）App基础信息审核。对App名称、包名、版本号、软件著作权证明、功能描述等信息进行审核，确保App提供的信息真实、准确、完整，不得存在隐瞒或误导情形。（三）隐私政策审核。隐私政策是App向用户告知个人信息处理规则的核心载体。标准要求应用商店对隐私政策进行实质性审查，重点包括：是否明示个人信息处理者的名称和联系方式；是否清晰列出收集个人信息的类型、目的、方式和范围；是否说明个人信息保存期限、超期处理方式；是否告知用户行使权利（查阅、复制、更正、删除、撤回同意等）的途径和程序；是否说明个人信息跨境传输情况；是否清晰说明个人信息共享、转让、公开披露的情形等。隐私政策应以显著方式呈现，使用通俗易懂、简明清晰的语言，避免晦涩难懂的表述。（四）个人信息处理行为审核。应用商店应结合App的权限调用声明、SDK使用情况、信息收集清单等材料，审核App是否存在超出必要原则收集个人信息的行为。重点审查是否有强制、诱导用户同意收集非必要个人信息的情形，以及是否存在频繁打扰用户、欺骗误导用户等违规行为。（五）用户权益保障机制审核。审核App是否提供了完善的用户权益保障机制，包括但不限于账户注销渠道是否畅通、撤回同意机制是否便捷、投诉举报通道是否有效等。（六）技术检测验证。标准鼓励应用商店采用自动化检测工具对App进行技术验证，包括权限调用行为分析、数据传输内容检测、第三方SDK收集行为分析等，实现审核结论的多维度交叉验证。3.5App上架后的动态管理与监督个人信息处理活动并非一成不变，App版本迭代、功能更新、SDK升级等均可能带来新的合规风险。标准要求应用商店建立上架后的持续性管理机制：-定期复核：对在架App的个人信息处理情况进行定期或不定期的复核检查，复核频次可根据App的类型、用户规模、数据敏感程度等因素实行差异化管理；-风险监测：利用技术手段对在架App的版本更新、权限变更、数据传输行为等进行持续监测，发现异常情况及时启动核查程序；-投诉处理：建立便捷的投诉举报渠道，及时受理和处理用户关于App个人信息处理问题的投诉举报；-违规处置：对经核实存在个人信息违规处理行为的App，应采取警示、下架、列入黑名单等处置措施，并将处置结果反馈相关监管部门。3.6审核记录与档案管理标准要求应用商店运营者对审核过程和管理活动进行完整记录，包括但不限于审核申请材料、审核记录、审核结论、整改通知、整改结果、处置决定等信息。记录应当真实、完整、可追溯，保存期限不得少于法律法规规定的期限。审核记录不仅是合规管理的证据基础，也为监管部门的监督检查和评估提供了原始依据。3.7审核能力建设4修订企事业单位/标委会介绍本标准由全国网络安全标准化技术委员会（TC260）提出并归口。全国网络安全标准化技术委员会是国家标准化管理委员会批准成立的专门从事网络安全领域标准化工作的技术组织，负责网络安全国家标准的技术审查和归口管理工作。TC260汇聚了国内网络安全领域的权威专家、科研机构、行业企业及监管部门的代表，是我国网络安全标准化工作的核心力量。此外，中国信息通信研究院作为工业和信息化部直属科研事业单位，深度参与了本标准的制定工作，重点在移动互联网技术检测、App个人信息安全评估等方面提供了有力的技术支撑。中国网络安全审查技术与认证中心、国家计算机网络应急技术处理协调中心等机构的专家也在标准研讨、技术审定等环节给予专业指导。5标准实施意义与应用前景5.1对法律法规落地实施的有力支撑本标准的发布实施为《个人信息保护法》中关于平台“守门人”义务的规定提供了技术层面的细化指引，使应用商店运营者的法律义务转化为具体可操作的工作流程和技术手段，有效弥合了法律原则与技术实践之间的鸿沟。5.2对应用商店行业规范化发展的促进标准的实施统一了各应用商店在App个人信息处理规范性审核方面的尺度与要求，有利于消除不同平台之间的审核水平差异，营造公平有序的市场竞争环境。同时，标准提供了一套完整的审核方法论，降低了中小型应用商店建立审核能力的门槛，有助于提升整个行业的管理水平。5.3对App个人信息保护水平提升的推动作用通过应用商店这一关键入口的标准化管控，能够在App触达用户之前过滤掉大量存在个人信息违规处理行为的产品，从源头上减少个人信息侵害事件的发生。同时，上架后的持续监测与动态管理机制也形成常态化震慑，推动App开发者持续完善个人信息保护措施。5.4对监管执法协同的积极贡献标准的实施为监管部门评估应用商店合规管理状况提供了参考基准。监管部门可依据标准对应用商店的审核管理活动开展监督检查和安全评估，实现政府监管与平台自治的有效联动，构建多元共治的个人信息保护格局。6结论与展望GB/T43739-2024《数据安全技术应用商店的移动互联网应用程序（App）个人信息处理规范性审核与管理指南》是我国数据安全标准化体系建设的重要成果，填补了应用商店环节App个人信息保护标准的空白。该标准以法律法规为依据，以风险防控为导向，以可操作为原则，构建了覆盖App全生命周期的审核与管理规范体系，对落实个人信息保护法定义务、规范应用商店运营行为、保障公民个人信息权益具有重要的现实意义。展望未来，随着人工智能、大数据、物联网等新技术的快速发展，App个人信息处理将呈现更加复杂多元的形态。建议在以下方面持续深化相关工作：一是加快配套标准的研制。围绕未成年人个人信息保护、生物识别信息处理、大模型应用个人信息影响评估等新兴领域，加快制定配套标准或技术指南，构建更加完备的标准簇，形成系统性支撑能力。二是推动审核技术的创新应用。积极推动自动化检测工具、人工智能辅助审核、隐私计算等技术在应用商店审核管理中的应用，建立标准与技术相互促进的良性发展格局，提升审核的智能化水平和覆盖能力。三是深化国际交流与合作。密切跟踪I