GB-T 39336-2020 信息安全技术 移动互联网应用程序（App）个人信息安全影响评估指南

GB/T39336-2020信息安全技术移动互联网应用程序（App）个人信息安全影响评估指南国家标准编号：GB/T39336-2020标准中文名称：信息安全技术移动互联网应用程序（App）个人信息安全影响评估指南发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2020年11月19日实施日期：2021年06月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准为首次正式发布，无替代旧版标准，自实施之日起，作为国内各类移动互联网应用程序研发运营单位、第三方评估机构、行业监管部门开展App个人信息收集、处理、共享、对外提供全流程个人信息安全影响评估工作的专属基础性国标依据，衔接个人信息保护相关法律法规及系列配套安全标准，所有App合规备案、专项自查、整改复核、监管检查对应的个人信息安全影响评估工作，均须严格遵照本指南规范执行。前言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的基础编制规范起草制定，体例格式、编撰逻辑均严格遵循国家标准化文件统一编制要求。随着移动互联网产业高速发展，各类移动互联网应用程序已深度融入大众日常生产生活、政务服务、民生消费、产业运营等各个领域，成为个人信息收集、存储、使用、共享、传输处理的主要载体。当前部分移动App存在超范围强制收集个人信息、非必要权限申请、过度索权、静默数据采集、违规第三方共享、个人信息防护措施缺失、用户权益告知不到位、注销难删除难等突出违规问题，严重侵害个人信息主体合法权益，扰乱移动互联网行业合规运营秩序，给个人信息安全和网络空间安全带来显著安全隐患。为规范移动互联网应用程序个人信息处理活动全流程安全管理，统一App个人信息安全影响评估的评估原则、评估流程、评估维度、风险识别规则、分级评价标准及整改闭环要求，指导App运营者常态化开展前置性、常态化、变更专项个人信息安全影响评估工作，提前识别处置个人信息处理潜在安全风险，压实App运营者个人信息保护主体责任，适配个人信息保护相关法律法规合规监管要求，引导移动互联网行业健康合规、良性可持续发展，特制定本推荐性国家标准。本文件专门针对移动互联网应用程序专属应用场景编制，聚焦App个人信息收集使用核心痛点和合规短板，区别于通用个人信息安全评估标准，精准适配移动端App权限调用、信息采集、后台运行、第三方数据流转、用户注销删除、自动化决策等特有业务场景评估需求。本文件不规定具体技术检测工具参数和强制量化阈值，仅明确评估顶层框架、核心评估环节、实操核查要点及风险处置通用规则，各类App运营单位可结合自身App业务类型、用户规模、个人信息敏感等级、服务受众范围、行业监管特殊要求，在本指南统一框架下细化适配个性化内部评估实施细则，第三方专业评估机构可依据本指南开展合规评估服务工作。1范围本文件规定了信息安全技术领域移动互联网应用程序个人信息安全影响评估的总体评估原则、基础评估通用要求、全流程评估实施阶段、个人信息处理活动识别要求、个人信息安全风险识别与分析方法、风险等级综合评价判定规则、风险分级管控与整改处置措施、评估报告编制规范、周期性复评与持续改进管理全部核心内容。本文件适用于各类从事移动互联网应用程序研发、运营、维护、迭代更新的企事业单位、互联网运营主体，在App新品上线发布、版本重大迭代更新、个人信息处理规则变更、业务服务模式调整、第三方数据合作新增、自动化决策功能上线等关键节点，开展前置专项个人信息安全影响评估及常态化年度合规自评工作。本文件同时适用于第三方安全测评机构、合规评估服务机构受托开展App个人信息安全专项评估工作，可供网信、工信、公安等行业监管部门开展App合规督导、专项检查、风险研判及行业监管政策制定工作作为核心参考依据。本文件不适用于涉密专用移动应用、军工专属定制App、国家核心政务涉密移动端系统的个人信息安全影响评估工作，此类涉密特殊场景移动应用评估工作，可结合国家涉密信息安全管理专项规定及涉密移动终端专属安全标准，在本指南基础上另行制定专项涉密评估实施规范。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件App个人信息安全影响评估各项工作实施。GB/T35273信息安全技术个人信息安全规范GB/T39335信息安全技术个人信息安全影响评估指南GB/T22239信息安全技术网络安全等级保护基本要求GB/T41479信息安全技术数据分类分级安全保护规范《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》App违法违规收集使用个人信息行为认定方法及相关配套监管政策文件。3术语和定义3.1移动互联网应用程序（App）：运行在移动智能终端设备上，依托移动互联网网络环境，为用户提供各类信息服务、业务办理、生活服务、交互互动等功能应用的客户端软件程序，涵盖移动端原生App、小程序应用、快应用及各类衍生移动智能化应用程序。3.2App个人信息安全影响评估：App运营者围绕自身App所有个人信息收集、存储、使用、加工、传输、共享、提供、公开、删除、注销全生命周期处理活动，系统性识别个人信息处理合规风险、安全保护脆弱性、权益侵害隐患，科学分析风险发生可能性及对个人权益、合规经营造成的危害程度，综合判定风险等级，针对性制定风险整改、防护加固、合规优化措施，形成评估结论并持续改进的全流程闭环合规管理活动。3.3个人信息主体：能够被单独或者结合其他信息识别特定自然人身份或者反映特定自然人活动情况的个人信息对应的自然人，即App实际注册使用、授权操作的终端用户。3.4敏感个人信息：一旦泄露、非法提供或者滥用，极易危害人身、财产安全，极易侵害个人名誉、身心健康及合法权益的个人信息，包含生物识别信息、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹、未成年人个人信息等核心类别，App处理此类信息须执行最严格合规管控与评估要求。3.5个人信息处理活动：App运营者针对个人信息开展的收集、存储、保留、使用、加工、整理、传输、披露、共享、对外提供、公开披露、删除、注销销毁等全部操作管理活动。3.6个人信息安全脆弱性：App在个人信息处理流程、权限管控机制、技术防护配置、合规管理制度、人员运维管理、第三方合作管控等方面存在的安全薄弱环节和合规管理缺陷，能够被违规操作、恶意攻击、管理疏漏利用，进而引发个人信息泄露、篡改、滥用、非法流转等安全风险的各类内在短板。3.7变更专项评估：App发生版本重大升级、个人信息处理规则调整、收集范围扩大、第三方合作新增、自动化决策功能上线等关键变更事项时，针对性开展的专项个人信息安全影响评估工作，用于提前防范变更引发新增合规风险和安全隐患。4App个人信息安全影响评估总体原则4.1依法合规，底线坚守原则。评估工作严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及监管细则，全面对标本指南及配套国标规范要求，严格恪守App个人信息收集使用最小必要、知情同意、目的限定、保障权益核心合规底线，杜绝违规评估、简化评估、形式化走过场评估，确保评估全流程合法合规、有据可依、对标达标。4.2全周期覆盖，不留盲区原则。评估工作全面覆盖App个人信息从收集起始到最终删除注销销毁的全生命周期所有处理环节，覆盖App所有功能模块、所有权限调用场景、所有第三方数据流转链路、所有用户群体类别，既核查常规基础个人信息处理风险，也重点核查敏感个人信息及未成年人个人信息专项处理风险，实现评估全域覆盖、无死角无遗漏。4.3客观公正，实事求是原则。评估实施全过程秉持客观公正、实事求是的核心准则，严格依据App实际运营配置、真实权限调用情况、实际个人信息处理行为、现有安全防护措施及合规管理现状开展核查研判，不隐瞒违规问题、不弱化安全隐患、不虚构合规情况，评估结论真实客观、整改建议贴合App运营实操、落地可行。4.4最小必要，权益优先原则。评估全过程始终以保障个人信息主体合法权益为核心首要目标，严格对标App个人信息收集使用最小必要核心要求，重点核查超范围收集、强制索权、静默采集、捆绑授权、注销难等违规行为，优先整改侵害用户核心权益的高风险问题，确保合规管控与用户权益保障双向统一。4.5技管结合，闭环管控原则。评估同步兼顾App技术防护脆弱性和合规管理管控漏洞，既核查App代码安全、数据加密、权限管控、传输防护、存储安全等技术层面安全短板，也核查隐私政策公示、用户告知同意、管理制度建设、人员运维管理、第三方管控等管理层面合规缺陷，实现评估排查、风险研判、整改处置、复核验收、持续改进全流程闭环联动管理。4.6动态评估，持续适配原则。App业务迭代快、版本更新频繁、合规监管要求动态调整，个人信息安全影响评估不做一次性静态评估，结合App版本迭代、功能新增、合规政策更新、安全隐患排查情况常态化开展年度复评和变更专项评估，动态优化管控措施，持续适配合规监管新形势、新要求。5App个人信息安全影响评估基础通用要求5.1评估人员能力要求。参与App个人信息安全影响评估的内部自评人员及第三方专业评估人员，须具备移动互联网App合规管理专业知识、个人信息保护法律法规解读能力、App权限及数据处理流程核查实操能力、风险评估研判专业能力，熟知本指南评估流程、判定规则及App违规行为认定标准，评估前须开展专项合规培训，杜绝无专业能力、无合规资质人员开展评估工作，保障评估工作专业规范。5.2评估范围精准界定要求。评估正式启动前，须精准明确本次评估覆盖的App版本号、业务功能模块、个人信息收集类别、权限调用范围、第三方数据合作对象、用户服务群体、评估实施周期，明确本次评估为常规年度自评、版本上线前置评估还是变更专项评估，清晰划定评估边界，避免评估范围模糊、核查内容偏离、评估结论失真失效。5.3评估资料完整准备要求。评估实施前须全面收集App相关佐证资料，包含App隐私政策文本、个人信息处理规则文件、权限调用清单、个人信息收集台账、数据存储传输防护配置文档、第三方合作协议、用户投诉处置记录、过往评估整改报告、版本迭代变更记录等全部相关资料，确保评估资料真实完整、详实有效，为风险识别、合规核查及等级研判提供可靠依据。5.4评估全程保密管理要求。评估全过程严格落实个人信息保密管理规定，所有评估参与人员须签订专项保密协议，评估过程接触的用户个人敏感信息、App运营核心资料、评估涉密结论不得私自外传、复制、泄露，评估报告及原始评估记录统一加密归档管理，严防评估工作引发二次个人信息泄露安全风险。6App个人信息安全影响评估全流程实施阶段划分6.1评估策划与前期筹备阶段。本阶段为评估启动前置核心基础工作，主要完成评估工作整体策划组织、评估核心目标设定、评估精准范围界定、评估专项工作团队组建、评估配套资料收集梳理、评估实施工作计划编制审批、现场核查工具及核查流程准备等前期筹备工作，明确各评估环节责任分工、工作实施时限、核心核查重点及合规评估要求，为后续现场实地评估实施筑牢基础，保障评估工作有序规范启动推进。6.2App个人信息处理活动全面识别阶段。本阶段核心开展App全量个人信息处理活动盘点识别工作，逐项梳理App收集的基础个人信息、敏感个人信息、未成年人个人信息类别及范围，精准核查每一项信息对应的收集目的、收集方式、授权模式、使用场景、存储期限、传输路径、共享对象、对外提供范围、删除注销流程，全面梳理App权限调用明细及后台静默数据采集行为，建立完整App个人信息处理活动明细清单，为后续风险识别研判奠定核心基础。6.3合规风险与安全脆弱性双向识别阶段。本阶段同步开展App个人信息合规违规风险识别和安全防护脆弱性识别双向核查工作，全面排查隐私政策不合规、超范围收集、强制捆绑授权、告知同意不到位、注销删除功能缺失、第三方违规共享等合规管理风险，逐项核查数据加密防护缺失、权限管控宽松、传输链路不安全、日志审计缺失、运维管理不规范等技术及管理脆弱性短板，精准梳理所有潜在合规隐患和安全薄弱环节，形成App合规风险清单和安全脆弱性问题清单。6.4个人信息安全风险综合分析研判阶段。本阶段结合已识别的个人信息敏感等级、合规风险违规程度、脆弱性危害大小、现有防护管控力度，综合分析每一项风险的发生概率高低、即时权益侵害程度、长期合规处罚影响、品牌经营连锁反应大小，区分常规个人信息处理风险和敏感个人信息专项处理风险开展差异化专项分析，精准研判每项风险实际危害实况，不夸大风险影响、不弱化违规隐患，确保风险分析贴合App实际运营现状。6.5风险等级综合评价判定阶段。本阶段依据风险发生可能性和个人权益危害影响程度双重核心维度，按照本指南统一分级评价规则，对所有已分析研判的风险进行等级评定，划分为重大风险、高风险、中风险、低风险四个标准等级，形成App个人信息安全风险等级汇总清单，明确需要立即清零整改的高危核心风险和常规常态化管控的一般风险。6.6风险分级整改处置与加固优化阶段。本阶段针对不同等级风险匹配对应专项处置策略，按照风险合规整改、安全防护加固、流程规范优化、长效管控强化四项核心原则制定整改措施，明确整改责任部门、整改责任人、整改完成时限及整改验收合规标准，限期完成重大及高风险清零整改、中低风险稳步合规优化，所有整改工作全程留痕、闭环管理、复核销项。6.7评估报告编制审核归档阶段。本阶段汇总评估全流程工作内容、个人信息处理活动识别情况、合规风险及脆弱性排查结果、风险分析评价结论、分级整改处置计划，编制正式App个人信息安全影响评估报告，完整详实记录评估全过程核心信息，评估报告经运营单位合规负责人及管理者代表审核审批后统一加密归档留存，作为App合规备案、监管迎检、管理评审及持续改进的核心合规佐证依据。6.8周期性复评与持续合规改进阶段。本阶段按照常态化复评及变更专项评估要求，结合App版本迭代更新、合规监管政策调整、风险整改完成情况、用户投诉反馈情况，常态化开展年度复评及变更专项评估工作，动态更新风险清单、优化合规管控措施，持续完善App个人信息保护管理体系，实现个人信息安全管控动态适配、长效合规。7App个人信息处理活动识别与合规核查核心要求7.1个人信息收集环节识别核查。重点核查App个人信息收集是否严格遵循最小必要原则，无与业务功能无关的强制信息收集行为，无静默后台私自采集个人信息行为；核查隐私政策是否清晰如实告知用户个人信息收集范围、使用目的、存储期限、共享对象及用户合法权益；核查用户授权模式是否合规，无捆绑授权、默认授权、强制同意等违规操作，授权弹窗清晰易懂、知情同意自愿有效，如实记录每一项信息收集对应的合规授权凭证。7.2个人信息存储与使用环节识别核查。核查App个人信息存储是否落实加密防护措施，敏感个人信息专项加密存储管控到位，存储期限严格遵循业务必要最短期限要求，无超期违规留存个人信息问题；核查个人信息使用严格限定在告知的合规用途范围内，无超范围违规使用、非法加工篡改个人信息行为，自动化决策功能使用个人信息合规规范，无算法滥用、违规画像绘制等侵害用户权益行为。7.3个人信息共享与对外提供环节识别核查。核查App向第三方共享、对外提供个人信息前是否履行专项告知同意及合规审批手续，与第三方签订个人信息保护专项协议，明确第三方合规保护责任及数据流转管控要求；核查第三方无超范围使用、二次流转泄露个人信息权限，第三方个人信息保护能力经过合规审核，全程记录个人信息对外流转日志，做到流转可追溯、责任可界定。7.4个人信息删除与账号注销环节识别核查。核查App具备便捷易操作的账号注销、个人信息删除、授权撤回功能，无设置注销门槛、故意拖延注销、变相拒绝注销等违规行为；核查用户申请注销或删除个人信息后，及时完成数据彻底删除或匿名化处置，无数据违规留存、残留泄露风险，注销处置全程留痕、闭环可查。7.5未成年人个人信息专项识别核查。针对面向未成年人使用的App或包含未成年人服务功能的App，专项核查未成年人个人信息收集处理合规管控情况，落实未成年人专项知情同意、监护人授权、最小范围收集、严格防护管控专属要求，无违规收集未成年人敏感信息、违规画像推送、不良信息诱导等侵害未成年人权益行为。8App个人信息合规风险与安全脆弱性识别细则8.1合规管理类风险识别。重点排查App隐私政策公示不规范、内容虚假隐瞒、更新不告知用户、个人信息处理规则未公示等基础合规风险；排查超范围收集、强制索权、捆绑授权、静默采集、频繁弹窗骚扰用户等违规收集使用风险；排查账号注销难、删除难、授权撤回难、用户权益响应处置不到位等用户权益保障风险；排查第三方合作管控缺失、对外提供无审批、数据违规流转等外部合作合规风险；排查未成年人个人信息保护措施不落实、专项管控缺失等专项合规风险。8.2技术安全类脆弱性识别。重点核查App个人信息传输未加密、存储无加密防护、数据脱敏措施缺失等数据防护脆弱性；核查App权限管控宽松、越权访问漏洞、接口安全认证缺失、操作日志审计不全、安全补丁未及时更新等应用安全脆弱性；核查个人信息备份恢复机制不完善、数据销毁不彻底、退役数据残留等数据生命周期防护脆弱性；排查App代码安全漏洞、恶意代码植入、外部攻击入侵导致个人信息泄露篡改等技术安全短板。8.3运维管理类脆弱性识别。重点核查App个人信息安全管理制度不健全、合规管理责任未压实、运维人员合规培训不到位、日常合规自查未常态化开展等管理短板；核查版本迭代变更无合规评估、运维操作不规范、内部人员违规访问拷贝个人信息、考核问责机制缺失等运维管理漏洞；排查安全事件应急处置预案不完善、个人信息泄露事件处置不及时、复盘整改不到位等应急管理脆弱性。9App个人信息安全风险分析实施要求9.1风险发生可能性分析。结合App违规行为频发程度、安全脆弱性整改落实情况、同类App合规处罚案例、外部网络攻击活跃态势、内部运维管理规范程度，综合研判每项合规及安全风险发生高、中、低三级可能性等级，长期违规频发、防护薄弱、管理缺失的风险判定为高可能性；偶尔违规、防护一般的风险判定为中可能性；合规管控完善、防护到位、极少发生的风险判定为低可能性。9.2风险影响程度分析。结合风险触发后对用户个人人身财产权益侵害大小、企业合规行政处罚轻重、品牌声誉负面影响程度、App下架停运风险高低、社会舆情危害深浅，综合判定每项风险严重、较大、一般、轻微四级影响程度，造成大规模用户信息泄露、重大合规处罚、App下架停运、严重舆情危机的判定为严重影响；造成局部用户权益受损、一般性合规处罚、不良经营影响的判定为较大影响；造成轻微管理扰动、无实质性合规及权益损失的判定为一般影响；仅存在微小隐患、无任何实质危害的判定为轻微影响。9.3差异化专项分析要求。针对敏感个人信息和未成年人个人信息处理风险实行从严差异化专项分析，同等脆弱性和违规情形下，敏感信息及未成年人信息相关风险等级从严判定，重点加重风险影响程度研判，优先纳入核心整改管控范围，筑牢特殊群体个人信息合规保护防线。10App个人信息安全风险等级综合评价判定标准10.1重大风险等级判定。风险发生可能性高且个人权益及合规影响程度严重，或可能性中等但影响极端严重，一旦触发将造成大规模用户敏感个人信息泄露、监管部门重大行政处罚、App强制下架停运、重大社会舆情危机、大量用户权益严重受损的风险，统一判定为重大风险，属于立即暂停违规功能、即刻清零整改、即刻销项的最高等级管控风险。10.2高风险等级判定。风险发生可能性高且影响程度较大，或可能性中等且影响程度严重，一旦触发将造成局部用户个人信息泄露、一般性合规处罚、App运营受限、品牌声誉受损、批量用户投诉维权的风险，统一判定为高风险，属于限期专项合规整改、重点监控、限期加固压降的核心重点管控风险。10.3中风险等级判定。风险发生可能性中等且影响程度一般，或可能性低但影响程度较大，触发后仅造成一般性合规管理问题、少量用户投诉、无重大合规处罚及大规模权益损失的风险，统一判定为中风险，纳入日常常态化合规管控、持续优化改进的常规管控风险。10.4低风险等级判定。风险发生可能性低且影响程度轻微，触发后基本无实质性合规处罚、无用户权益损害、不影响App正常合规运营的风险，统一判定为低风险，纳入定期巡查管控、严防风险升级即可的基础常规管控风险。11App个人信息安全风险分级整改处置管控措施11.1重大风险整改处置措施。严格执行立即整改、风险清零处置策略，即刻暂停App相关违规功能运行及个人信息违规处理行为，成立专项合规整改工作小组，最短期限内完成违规行为纠正、安全防护加固、合规流程优化，整改完成后开展专项复核复测及合规验收，验收合格后方可恢复相关功能运营，整改全程专人督办、全程留痕、闭环销项，严禁重大风险带病运营、长期留存。11.2高风险整改处置措施。实行专项合规整改、防护强化处置策略，制定专项合规整改优化方案，明确整改步骤、合规优化措施、责任人员及完成时限，针对性补齐合规管理短板、强化技术安全防护、规范个人信息处理流程，定期跟踪整改进度，整改完成后开展合规复测和风险核验，确保高风险有效压降为中低风险，严防高风险升级演变为重大合规风险。11.3中风险管控处置措施。实行常态化合规管控、持续优化处置策略，纳入App日常合规运维管理和定期自查范围，持续完善隐私政策及管理制度，规范日常个人信息处理操作，稳步优化合规管控流程，无需紧急停运整改，但须持续跟踪管控、定期评估优化，避免中风险升级恶化。11.4低风险管控处置措施。实行常规巡查预防、动态监测处置策略，做好日常基础合规自查和安全防护监测，无需专项整改加固，重点做好风险动态跟踪管控，严防App版本迭代及合规政策调整导致低风险等级升级，保持风险长期合规可控。11.5风险例外接受审批管理。确因特殊业务发展需要暂时无法立即整改、需短期风险接受的高等级及重大风险，必须经App运营单位最高合规管理负责人专项审批备案，明确风险接受合规理由、临时缓释管控措施及整改倒计时计划，严禁未经审批私自违规接受高危合规风险。12App个人信息安全影响评估报告编制规范12.1评估基础概况内容。评估报告开篇须明确评估项目基础信息、评估对标依据标准、评估App版本及范围边界、评估工作团队人员、评估实施周期、评估工作总体开展概况，清晰说明本次评估工作背景、评估