GB-T 38676-2020 信息安全技术 移动互联网应用程序（App）收集个人信息基本规范

GB/T38676-2020信息安全技术移动互联网应用程序（App）收集个人信息基本规范国家标准编号：GB/T38676-2020标准中文名称：信息安全技术移动互联网应用程序（App）收集个人信息基本规范发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2020年11月19日实施日期：2021年06月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准为首次正式发布，无替代旧版标准，自实施之日起，作为国内所有移动互联网应用程序研发运营单位规范个人信息收集行为、落实最小必要收集原则、整改违规索权行为、规范用户授权管理的基础性核心国标依据，衔接个人信息保护相关法律法规及App专项合规管理系列配套标准，所有App上架应用商店合规审核、常态化合规整改、专项自查自纠、监管部门合规检查工作，均须严格遵照本规范各项条款严格执行。前言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》规定的编制规范起草制定，整体编撰结构、条款编排逻辑、国标行文体例均严格遵循国家标准化文件统一编制管理要求，保证标准文本严谨规范、统一适用。移动互联网应用程序已全面渗透社会生产经营、群众日常生活、政务便民服务、产业数字化运营等各类场景，成为个人信息采集、归集、处理流转的核心前端载体。当前移动App行业普遍存在超范围强制收集个人信息、非业务必要权限频繁申请、静默后台私自采集数据、捆绑打包授权强制用户同意、无关功能违规索要敏感信息、不给权限不让用基础服务等突出违规乱象，严重违背个人信息保护核心准则，肆意侵害广大用户个人合法权益，破坏移动互联网行业健康合规运营秩序，滋生个人信息泄露、违规滥用、非法交易等各类安全隐患。为从源头规范各类移动互联网应用程序个人信息收集全流程行为，统一App个人信息收集最小必要边界、授权管理规则、功能与信息匹配要求、敏感信息收集管控底线，明确App基本业务功能与扩展业务功能个人信息收集差异化管控要求，杜绝过度收集、强制收集、静默收集、捆绑收集等违法违规行为，压实App运营者个人信息收集合规主体责任，引导App运营合规经营、良性发展，保障个人信息主体知情权、选择权、控制权等合法权益，筑牢移动互联网领域个人信息安全保护基础防线，特制定本国家推荐性标准。本文件聚焦App个人信息收集环节核心合规管控痛点，专门针对移动端App独有运行特性、权限调用模式、用户交互授权场景、后台数据采集行为编制专属基础规范，不涉及个人信息存储、传输、销毁全生命周期后续深度管理细则，相关后续管理工作遵照对应配套数据安全及个人信息安全相关国标执行。本文件以最小必要、知情同意、目的限定、权责对等为核心底线，明确各类App通用收集规则和差异化管控要求，不设置复杂量化技术阈值，各类App运营主体可结合自身业务类型、服务模式、用户群体规模，在本规范统一框架下细化适配内部个人信息收集合规管理制度，第三方合规评估机构及行业监管部门可依据本规范开展合规判定、违规认定及整改督导工作。1范围本文件规定了信息安全技术领域移动互联网应用程序收集个人信息的基础合规管控原则、通用收集基本要求、App业务功能与个人信息匹配规则、必要个人信息与非必要个人信息划分要求、用户授权管理规范、敏感个人信息收集专项管控要求、后台静默采集管控规则、权限申请与弹窗告知规范、版本迭代变更收集管理及违规收集整改处置基础规范。本文件适用于所有从事移动互联网原生App、快应用、衍生移动智能应用程序研发编制、上线运营、版本迭代、日常运维管理的企事业单位及互联网运营主体，规范App新品上线、版本更新、功能新增、权限调整全流程个人信息收集合规管理工作。本文件同时适用于应用商店上架审核机构、第三方合规测评机构开展App个人信息收集合规核验工作，可供网信、工信、公安等行业监管部门开展App违规收集个人信息专项整治、合规检查、违规认定及行业合规政策制定工作作为核心判定依据。本文件不适用于涉密专用移动应用、军工定制专属移动端程序、国家核心政务涉密移动办公系统的个人信息收集管理工作，此类涉密特殊场景移动应用个人信息收集管控，可结合国家涉密信息安全专项管理规定及涉密移动终端专属安全标准，在本规范基础上另行制定专项涉密收集管控实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件App个人信息收集合规管控各项工作实施。GB/T35273信息安全技术个人信息安全规范GB/T39335信息安全技术个人信息安全影响评估指南GB/T39336-2020信息安全技术移动互联网应用程序（App）个人信息安全影响评估指南《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》App违法违规收集使用个人信息行为认定方法及常见类型App必要个人信息范围相关配套监管文件。3术语和定义3.1移动互联网应用程序（App）：运行在手机、平板等移动智能终端设备之上，依托移动互联网通信网络，为用户提供各类生活服务、业务办理、信息交互、娱乐办公等功能服务的客户端软件，包含原生App、快应用及同类移动智能化衍生应用程序。3.2个人信息收集：App运营者通过权限调用、用户主动录入、后台自动采集、交互行为抓取等各类方式，获取、采集、归集用户个人相关信息的初始获取行为，是个人信息全生命周期处理活动的首个核心起始环节。3.3必要个人信息：保障App基本业务功能正常运行所不可或缺的最小范围个人信息，用户不提供该类信息则无法正常使用App核心基础服务功能，无任何替代方式可规避信息提供即可使用基础服务。3.4非必要个人信息：不属于App基本业务功能运行必需，仅用于扩展增值服务、运营优化、精准营销、用户画像构建等附加功能的个人信息，用户拒绝提供该类信息不影响App核心基础业务功能正常使用。3.5基本业务功能：App研发上线对外宣传主推的核心基础服务功能，是用户下载安装该App的核心使用目的，属于App存续运营的必备核心功能模块。3.6扩展业务功能：App在基本核心业务功能之外，额外增设的增值服务、营销推送、个性化推荐、衍生互动等附加拓展功能模块，不属于用户使用App的必备基础服务范畴。3.7捆绑授权：App将多项个人信息收集权限、多个个人信息采集事项强制合并为单一同意选项，用户无法单独选择同意或拒绝单项权限及单项信息收集，只能全部同意或全部拒绝的强制授权行为。3.8静默收集：App在用户未主动授权、未弹窗告知、未获得用户明确同意的前提下，后台自动悄悄采集用户个人位置、设备信息、使用轨迹、通讯录等个人信息的违规采集行为。4App个人信息收集核心合规基本原则4.1依法合规，底线不可突破原则。App所有个人信息收集行为必须严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及本规范国标要求，严格恪守合规经营底线，严禁任何形式的违规强制收集、过度收集、静默收集、欺骗诱导收集行为，所有收集活动有据可依、依规执行、合规可控。4.2最小必要，仅限必需收集原则。App个人信息收集严格执行最小必要核心准则，仅收集保障基本业务功能正常运行的必要个人信息，绝不收集与业务功能无关、非服务必需的各类个人信息；非必要个人信息不得强制索要，用户拒绝提供非必要信息不得限制、中断基础业务功能使用。4.3知情同意，自愿自主授权原则。App收集任何个人信息及申请终端设备权限前，必须清晰如实向用户告知收集目的、收集范围、使用用途、调用场景，获得用户明确自愿同意后方可开展收集工作；严禁默认同意、捆绑同意、诱导同意、胁迫同意等违规授权模式，保障用户自主选择权和知情权。4.4目的限定，专款专用收集原则。App收集个人信息必须具备明确、合理、合法的业务使用目的，收集的个人信息仅用于告知用户的既定服务用途，不得擅自变更收集目的、扩大使用范围、转借共享用于无关营销及其他业务场景。4.5权责清晰，运营主体负责原则。App运营者是个人信息收集合规管理第一责任主体，全面负责规范收集流程、管控权限申请、落实用户告知、整改违规行为，承担违规收集引发的合规处罚、用户维权及安全事件全部责任。4.6透明可溯，全程规范留痕原则。App个人信息收集行为、授权操作记录、权限调用记录全程留痕可追溯，收集规则公开透明、隐私政策如实公示，用户可随时查看授权状态、撤回无关授权、关闭非必要权限，保障用户全程可控。5App业务功能与个人信息收集匹配通用要求5.1功能与信息精准匹配要求。App收集的所有个人信息、申请的所有终端设备权限，必须与自身业务功能直接对应匹配，一项功能仅匹配一项必要信息收集需求，无业务功能支撑不得申请任何设备权限、不得采集任何用户个人信息，杜绝有功能多收集、无功能乱收集的违规乱象。5.2基本业务功能收集管控要求。App仅可针对基本业务功能依规收集必要个人信息，必要个人信息范围严格按照国家相关规定及本规范划定最小边界，不得随意扩大必要信息收集品类和收集范围；用户仅需提供必要个人信息即可完整使用全部基础核心服务，不得增设额外信息门槛。5.3扩展业务功能收集管控要求。App扩展增值业务功能如需收集个人信息，仅限收集对应扩展功能所需的非必要个人信息，实行单独弹窗、单独告知、单独授权模式，严禁将扩展功能所需信息捆绑至基本业务功能授权环节；用户拒绝扩展功能信息收集，不影响基础核心功能正常使用。5.4无功能禁止收集管控要求。App未上线、未启用、未实际使用的业务功能，不得提前对应申请设备权限、不得提前静默采集相关个人信息；功能下架停用后，同步关闭对应权限调用及信息收集行为，不得后台持续隐性采集留存用户信息。6App必要与非必要个人信息收集划分及管控要求6.1必要个人信息刚性收集规则。必要个人信息为App基础服务运行刚需，运营者须如实告知用户该类信息收集的必要性和不提供的影响后果；必要个人信息收集仅限最小数量、最小范围、最短使用周期，不得超额采集、重复采集、过度采集同类信息。6.2非必要个人信息柔性收集规则。非必要个人信息实行自愿授权、按需收集原则，运营者不得强制索要、不得变相胁迫、不得因用户拒绝而限制基础服务使用；非必要个人信息收集须单独弹窗说明用途，用户可随时自主关闭授权、取消信息收集，关闭后不影响App正常基础运行。6.3空白免收集基础服务要求。对于实用工具类、简单办公类等无需任何个人信息即可使用基础功能的App，运营者不得强制要求用户注册账号、不得索要手机号、不得采集设备无关信息，保障用户无需提供任何个人信息即可正常使用全部核心基础服务。6.4分类分级差异化收集要求。普通个人信息按常规告知授权流程收集管控，敏感个人信息实行最严格收集管控标准，必须获取用户单独明确同意、专项弹窗告知、专项授权确认，不得与普通信息捆绑授权，未成年人个人信息收集须额外落实监护人同意专属要求。7App用户授权与弹窗告知管理规范7.1授权前置告知要求。App在首次申请设备权限、首次收集个人信息前，必须提前弹窗清晰告知用户收集事项、收集目的、使用场景、是否后台持续收集、拒绝授权影响后果，告知内容简洁易懂、直白明确，不得使用模糊晦涩话术、隐藏真实收集意图。7.2禁止捆绑打包授权要求。App必须实行单项授权、分项同意的授权模式，每一项权限申请、每一类个人信息收集单独弹窗、单独确认、单独选择，严禁将多个权限、多项信息合并为一个同意按钮，严禁用户一键全同意或全拒绝的捆绑强制授权模式。7.3禁止默认自动同意要求。App所有个人信息收集及权限授权必须由用户主动点击同意确认，系统不得默认勾选同意、不得后台自动授权、不得安装后静默自动开启收集权限，所有授权操作必须用户自主主动触发确认。7.4授权随时撤回变更要求。App须为用户提供便捷易懂的授权管理入口，支持用户随时查看已授权权限、随时撤回非必要授权、随时关闭后台收集功能，用户撤回授权后立即停止对应信息收集行为，不影响App基础业务功能正常使用。7.5隐私政策公示同步要求。App须在注册页面、设置页面显著位置公示完整合规的隐私政策，清晰列明个人信息收集清单、授权规则、使用范围、共享对象及用户权益，隐私政策更新须主动告知用户，不得隐瞒收集规则、篡改合规条款。8App后台静默收集与隐性采集专项管控要求8.1禁止无授权后台静默采集。App在用户未前台使用、未明确授权的前提下，不得在后台私自采集用户位置信息、设备标识、通讯录信息、应用使用记录、浏览轨迹等各类个人信息，杜绝后台隐性偷采、暗地归集用户数据的违规行为。8.2后台运行权限严格管控。App如需后台持续运行及后台数据同步，仅限基础业务功能刚需场景，须提前专项告知用户并获取单独授权；用户关闭后台权限后，立即停止所有后台信息收集行为，不得绕过权限设置隐性采集数据。8.3开机自启关联收集管控。App不得默认开机自启动、后台关联唤醒，不得通过自启和关联唤醒触发隐性个人信息采集；用户关闭自启及关联唤醒权限后，不得私自重启唤醒、不得变相绕过管控采集用户信息。9敏感个人信息及未成年人信息收集特殊管控要求9.1敏感个人信息专项单独授权。App收集生物识别、医疗健康、金融账户、行踪轨迹等敏感个人信息，必须单独弹窗专项说明收集必要性及使用风险，获取用户单独明示同意，不得捆绑在普通授权环节一并获取，无单独同意不得开展任何敏感信息收集工作。9.2未成年人个人信息从严收集管控。面向未成年人使用的App及包含未成年人服务模块的App，原则上不主动收集未成年人个人信息，确需收集的必须获取监护人明示同意，遵循最小范围收集原则，不得收集未成年人敏感信息、不得违规画像推送、不得诱导过度授权。9.3敏感信息收集限时管控。敏感个人信息收集仅限业务必要最短周期，业务服务完成后立即停止收集行为，按照数据安全相关规范及时脱敏或删除，不得长期无期限留存、不得擅自复用用于其他营销场景。10App版本迭代与功能变更收集管理要求10.1版本更新不新增违规收集。App日常版本迭代、功能优化升级过程中，不得借机新增非必要权限申请、不得扩大个人信息收集范围、不得新增静默采集行为，版本更新如需新增信息收集事项，必须重新履行告知及单独授权流程。10.2新增功能同步合规评估。App新增业务功能如需新增个人信息收集