GB-T 38675-2020 信息安全技术 移动互联网应用程序（App）个人信息安全基本规范

GB/T38675-2020信息安全技术移动互联网应用程序（App）个人信息安全基本规范国家标准编号：GB/T38675-2020标准中文名称：信息安全技术移动互联网应用程序（App）个人信息安全基本规范发布机构：国家市场监督管理总局、国家标准化管理委员会发布日期：2020年11月19日实施日期：2021年06月01日归口单位：全国网络安全标准化技术委员会（SAC/TC260）适用性质：国家推荐性国家标准替代及废止说明：本标准为首次制定发布，无替代旧版标准，自正式实施之日起，作为国内移动互联网应用程序个人信息全生命周期安全防护、技术管控、运营管理、风险防护的基础性通用国标规范。本标准衔接个人信息保护相关法律法规及App系列配套安全国标，与GB/T38676-2020App收集个人信息基本规范相辅相成，覆盖App个人信息收集之后存储、使用、加工、传输、共享、删除、注销全环节安全管控要求，是App运营者落实个人信息安全主体责任、开展常态化安全防护整改、第三方机构合规测评、监管部门安全核查的核心合规依据。前言本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的统一编制规范起草制定，整体篇章结构、条款编排逻辑、国标行文表述均严格遵循国家标准化文件编撰统一要求，保障标准文本严谨规范、行业通用、落地适配。移动互联网应用程序作为个人信息处理流转的核心前端载体，在完成个人信息合规收集环节之外，后续存储保管、加工使用、对外传输、第三方共享、到期销毁、账号注销等全生命周期安全管控环节，是防范个人信息泄露、篡改、滥用、非法流转的关键核心环节。当前行业内多数App仅注重前端收集合规整改，普遍存在个人信息存储加密防护缺失、内部权限管控宽松、传输链路未做安全加固、第三方合作安全管控缺位、数据删除注销不彻底、安全运维管理流于形式、安全事件应急处置能力不足等突出安全短板，极易引发大规模个人信息安全事件，严重侵害用户合法权益，扰乱移动互联网行业安全合规运营秩序。为统一各类App个人信息全生命周期安全防护基本要求，明确技术安全防护底线、运营管理管控准则、人员操作规范、第三方协作安全约束、应急处置长效机制，补齐App个人信息后续安全管理合规短板，压实App运营者全流程个人信息安全保护主体责任，规范App个人信息全链路安全管控行为，构建收集合规、防护到位、管控严格、销毁彻底、应急有效的App个人信息安全防护体系，特制定本国家推荐性标准。本文件聚焦App个人信息全生命周期后端安全管控核心环节，区别于侧重前端授权与收集规则的专项规范，重点强化技术安全防护、日常运营安全管理、内部人员操作管控、外部合作安全约束、数据销毁与注销安全、安全事件应急处置等核心安全维度要求，不设置复杂量化技术硬性阈值，坚持安全底线思维、实操落地导向、合规长效管控原则。各类App运营主体可结合自身业务规模、用户体量、个人信息敏感等级、行业监管特殊要求，在本规范统一框架下细化适配内部个人信息安全管理细则，第三方合规测评机构及行业监管部门可依据本规范开展App个人信息安全合规判定、隐患排查及整改督导工作。1范围本文件规定了信息安全技术领域移动互联网应用程序个人信息安全保护的总体安全基本原则、个人信息全生命周期通用安全基本要求、个人信息存储安全规范、个人信息使用与加工安全管控要求、个人信息传输与跨境流转安全规则、个人信息共享与对外提供安全约束、个人信息删除与账号注销安全标准、内部人员操作安全管理规范、第三方合作接入安全管控要求、安全技术防护保障措施、安全运维常态化管理要求、个人信息安全事件应急处置与复盘管理全部核心内容。本文件适用于所有移动互联网原生App、快应用及各类移动端衍生智能应用程序的研发运营单位、运维管理机构，规范App个人信息全生命周期后端安全管控及常态化安全防护管理工作，覆盖App日常运营、版本迭代、功能升级、第三方合作、数据流转、账号注销、系统退役等全场景安全管理活动。本文件同时适用于第三方安全测评机构开展App个人信息安全合规专项测评工作，可供网信、工信、公安等行业监管部门开展App个人信息安全专项检查、风险研判、合规整治及行业安全政策制定工作作为核心判定依据。本文件不适用于涉密专用移动应用、军工定制移动端程序、国家核心政务涉密移动办公系统的个人信息安全管理工作，此类涉密特殊场景移动应用个人信息安全管控，可结合国家涉密信息安全专项管理规定及涉密移动终端专属安全标准，在本规范基础上另行制定专项涉密安全管控实施细则。2规范性引用文件下列文件对于本文件的应用必不可少。凡是注日期的引用文件，仅对应注日期版本适用于本文件；凡是不注日期的引用文件，其最新有效修订版本及所有修改单内容，均适用于本文件App个人信息安全各项管控工作实施。GB/T35273信息安全技术个人信息安全规范GB/T39335信息安全技术个人信息安全影响评估指南GB/T39336-2020信息安全技术移动互联网应用程序（App）个人信息安全影响评估指南GB/T38676-2020信息安全技术移动互联网应用程序（App）收集个人信息基本规范GB/T22239信息安全技术网络安全等级保护基本要求《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》App个人信息安全保护相关配套监管政策及专项治理文件。3术语和定义3.1移动互联网应用程序（App）：运行在手机、平板等移动智能终端设备之上，依托移动互联网通信网络，为用户提供各类生活服务、业务办理、信息交互、娱乐办公等功能服务的客户端软件，包含原生App、快应用及同类移动智能化衍生应用程序。3.2个人信息安全：个人信息在收集、存储、使用、加工、传输、共享、对外提供、删除、注销、销毁全生命周期过程中，免受泄露、篡改、丢失、非法访问、滥用、非法流转、恶意破坏等安全威胁，保障个人信息处理合规可控、用户合法权益不受侵害的安全状态。3.3个人信息存储：App运营者将采集获取的用户个人信息留存于移动终端本地、云端服务器、存储设备等介质的行为，是个人信息留存保管的核心基础环节，需落实全方位安全防护管控。3.4个人信息加工使用：App运营者对个人信息进行整理、分析、画像绘制、个性化推送、数据统计等处理应用行为，须严格遵循目的限定原则，严禁违规加工、过度画像、滥用推送等侵害用户权益行为。3.5个人信息对外共享提供：App运营者将所持有的用户个人信息转交、同步、共享给第三方合作机构的行为，属于高风险数据流转环节，须落实严格审批、专项协议、安全管控及全程追溯要求。3.6个人信息彻底销毁：App运营者在用户申请注销账号、信息删除或数据留存到期后，对个人信息进行不可逆清除、彻底销毁处置，杜绝数据残留、违规留存、后续复用的安全处置行为。3.7个人信息安全事件：因网络攻击、运维失误、管理漏洞、第三方违规等各类原因，导致App个人信息发生泄露、篡改、丢失、非法滥用、违规流转等侵害用户合法权益的安全突发事件。4App个人信息安全总体基本原则4.1依法合规，底线管控原则。App个人信息全生命周期安全管控工作严格遵循国家网络安全、数据安全、个人信息保护相关法律法规及本规范、配套国标要求，严守个人信息安全保护合规底线，所有安全防护措施、管理操作行为、数据流转活动均合法合规、有据可依，杜绝各类违规安全操作及管控缺位问题。4.2全周期防护，全程可控原则。安全防护管控覆盖App个人信息从收集完成到最终销毁的全生命周期所有环节，兼顾终端本地安全、云端存储安全、传输链路安全、使用加工安全、第三方流转安全、注销销毁安全，不留安全防护盲区，实现个人信息全程安全可控、风险可防。4.3最小权限，最小留存原则。严格落实权限最小化、数据留存最小化核心要求，内部人员及运维账号仅分配工作必需的最小数据访问权限，个人信息仅留存业务必要最短周期，业务终止、账号注销后及时清理销毁，杜绝超权限访问、超期违规留存个人信息。4.4技管并重，双重防护原则。同步落实技术安全防护措施和行政管理管控机制，以技术手段筑牢安全防护技术防线，以管理制度规范人员操作和运营行为，技术防护与管理管控相辅相成、同步落地，构建技术加管理双重安全防护体系。4.5权责到人，失职追责原则。明确App个人信息安全管理各级责任岗位、责任人员，细化安全管理职责分工，做到安全工作有人管、防护措施有人落、风险隐患有人改、安全事件有人担，落实安全失职问责追责机制，压实全员安全责任。4.6应急处置，持续改进原则。常态化做好个人信息安全风险预警和应急处置准备，发生安全事件快速响应、及时处置、溯源整改，定期复盘安全管理短板，持续优化安全防护措施和管理制度，实现个人信息安全长效管控、持续提升。5App个人信息存储安全基础规范5.1分类分级存储管控要求。App运营者须按照个人信息敏感等级实行分类分级差异化存储管理，普通个人信息常规安全存储防护，敏感个人信息、未成年人个人信息实行最高等级专项加密存储管控，单独划分专属存储区域，隔离防护、重点管控，严禁普通信息与敏感信息混合无差别存储。5.2数据加密安全存储要求。个人信息云端存储及终端本地留存均须落实加密防护措施，采用安全可靠的加密算法对个人信息进行加密处理，敏感个人信息必须实现全程加密存储，严禁明文存储用户手机号、身份信息、金融信息、生物识别信息、行踪轨迹等核心敏感数据，严防数据直接泄露风险。5.3存储期限合规管控要求。严格按照业务服务必要最短周期设定个人信息存储留存期限，在隐私政策中明确公示各类个人信息具体存储时长，业务服务终止、用户账号注销、留存期限到期后，立即启动数据清理销毁流程，不得无期限永久留存、不得超期私自留存复用用户个人信息。5.4存储介质安全防护要求。承载App个人信息的服务器、存储设备、移动存储介质等硬件设施，须落实机房物理防护、访问权限管控、安全补丁更新、病毒木马防护等基础安全措施，定期开展存储介质安全巡检和漏洞排查，严防硬件设备故障、外部攻击、物理泄露引发数据安全问题。5.5数据备份安全管理要求。建立App个人信息常态化安全备份机制，定期对核心个人信息进行加密备份存储，备份数据同步落实同等安全防护标准，明确备份数据管理责任人，定期开展备份恢复测试，确保数据丢失、损坏时可快速恢复，备份数据无需使用时及时彻底销毁。6App个人信息使用与加工安全管控要求6.1目的限定规范使用要求。App个人信息使用与加工必须严格限定在用户知情同意的既定业务用途范围内，不得擅自变更使用目的、扩大加工使用范围，不得将个人信息用于无关营销推广、商业变现、违规画像等未告知用户的用途，杜绝私自滥用个人信息行为。6.2用户画像合规管控要求。App开展用户画像绘制、个性化推荐等加工处理活动，须在隐私政策中清晰如实告知用户画像使用规则、个性化推送范围，为用户提供便捷的关闭个性化推送入口，用户选择关闭后立即停止基于个人信息的精准画像和定向推送服务，不得变相强制开启画像推送功能。6.3内部访问权限管控要求。严格管控内部运维、研发、运营人员对个人信息的访问查看、导出拷贝权限，实行岗位最小权限分配、访问操作身份认证、操作行为全程日志审计，严禁内部人员私自查看、私自拷贝、私自导出、私自外传用户个人信息，严防内部人员违规泄露数据。6.4脱敏去标识化处理要求。App开展数据统计、运营分析、技术测试等内部加工工作时，须对个人信息进行脱敏处理和去标识化改造，去除可识别特定自然人的核心标识信息，不得使用原始完整个人信息开展非必要内部测试和数据分析工作，降低信息泄露安全风险。6.5自动化决策安全管控要求。App利用个人信息开展自动化决策、智能风控、智能推荐等自动化处理活动，须保障决策逻辑公平公正、无算法歧视，不得侵害用户合法权益，为用户提供拒绝仅依靠自动化决策作出重要决定的选择权利，保障用户自主权益。7App个人信息传输与跨境流转安全规则7.1境内传输加密防护要求。App个人信息在终端与云端、服务器与服务器之间境内传输过程中，必须采用安全加密传输协议，全程加密传输防护，严禁个人信息明文网络传输，严防传输链路中被窃取、篡改、劫持等网络攻击风险，保障传输全程安全可控。7.2数据跨境流转严格管控要求。App确需向境外传输用户个人信息的，必须严格遵守国家数据跨境传输相关法律法规及合规审批要求，完成安全评估、合规备案等法定流程，落实境外接收方安全保护能力审核，签订专项数据保护协议，明确安全防护责任，未经合规审批不得私自向境外传输任何个人信息。7.3传输链路安全运维要求。定期排查App个人信息传输网络链路安全漏洞、通信接口安全隐患，及时更新安全防护策略和通信安全配置，强化网络访问控制和攻击防护，严防非法入侵、接口越权访问、数据劫持窃取等传输安全事件发生。8App个人信息共享与对外提供安全约束规范8.1共享前置合规告知同意要求。App对外向第三方合作机构共享、提供用户个人信息前，必须严格履行专项告知义务，单独告知用户共享对象、共享信息范围、共享使用用途、第三方安全保护责任，获取用户单独明示同意，未获得用户同意不得开展任何个人信息对外共享提供行为。8.2第三方安全资质审核要求。App运营者对外合作前须严格审核第三方机构个人信息安全保护能力、合规资质、安全管理制度，严禁向无安全防护能力、无合规资质、存在重大安全隐患的第三方机构共享个人信息，从源头把控第三方合作安全风险。8.3签订专项安全保护协议要求。与所有接收个人信息的第三方机构签订个人信息安全保护专项协议，明确双方安全管理责任、数据使用边界、安全防护义务、违规处置追责、数据回收销毁要求，约束第三方不得超范围使用、不得二次流转、不得私自泄露个人信息。8.4第三方全程管控审计要求。App运营者对第三方使用个人信息全过程进行常态化监督、安全审计、定期核查，实时掌握第三方数据使用情况，发现违规使用、安全隐患及时叫停整改，情节严重的立即终止合作、收回所有个人信息并依规追责问责。9App个人信息删除与账号注销安全处置标准9.1注销删除便捷可操作要求。App须在应用设置页面设置显著、便捷、无门槛的账号注销、个人信息删除功能入口，不得设置注销繁琐流程、故意拖延注销审核、变相拒绝用户注销申请，保障用户一键申请注销、删除个人信息的合法便捷权益。9.2注销后彻底销毁处置要求。用户提交账号注销、个人信息删除申请并审核通过后，App运营者须在规定时限内对用户所有个人信息进行不可逆彻底销毁清除，云端存储数据、终端缓存数据、备份留存数据同步全部清理，不得私自留存、后台残留、后续复用用户注销数据。9.3注销删除全程留痕溯源要求。账号注销、个人信息删除处置全过程操作留痕、日志记录、全程可追溯，详细记录用户申请时间、处置操作流程、销毁完成时间、处置责任人，留存注销销毁台账备查，保障注销删除工作闭环可查、合规可控。9.4注销后权益保障延续要求。用户账号注销完成后，App不得再以任何形式采集、使用、推送关联用户信息，不得骚扰已注销用户，彻底终止所有个人信息相关处理活动，保障用户注销后个人权益不受后续侵扰。10App内部人员操作安全管理规范10.1人员安全岗位职责划分。明确App研发、运维、运营、合规、技术管理各岗位人员个人信息安全工作职责，定岗定责、分工明确，严禁一岗多权、权责混乱，杜绝人员越权操作、违规履职引发数据安全风险。10.2人员安全培训与保密管理。定期组织全员开展个人信息安全保护合规培训、安全操作培训、风险警示教育，所有接触个人信息的工作人员签订专项保密协议，明确保密责任和泄密追责要求，严防内部人员违规泄密。10.3人员操作权限动态管理。实行人员账号权限动态调整机制，人员岗位变动、离职离岗时，立即回收注销对应数据访问权限、操作账号、运维密钥，清理人员操作留存记录，杜绝离职人员遗留权限违规访问个人信息。10.4内部操作行为审计管控。对所有内部人员访问、操作、导出、修改个人信息的行为全程日志审计、实时监测，定期开展操作审计复盘，及时发现越权操作、违规访问、异常数据导出等风险行为，及时处置整改追责。11App第三方合作接入安全管控要求11.1第三方接入安全前置评估。新增第三方SDK、插件、合作接口接入App前，必须开展个人信息安全影响专项评估，排查第三方安全漏洞、后门隐患、违规采集风险，评估合格后方可接入使用，严禁未经安全评估的第三方组件随意接入。11.2第三方组件常态化安全排查。定期对已接入的第三方SDK及合作组件开展安全复测、漏洞排查、合规核查，及时清理存在安全隐患、违规采集、恶意偷采数据的第三方组件，立即关停违规第三方数据接口，消除安全隐患。11.3第三方数据流转全程管控。严格限制第三方组件个人信息获取范围和调用权限，仅开放业务必要最小数据权限，全程监控第三方数据调用、信息采集、数据流转行为，严防第三方静默偷采、违规共享、私自外传用户个人信息。12App安全技术防护常态化保障措施12.1App客户端安全加固要求。对App客户端程序开展安全加固防护，防范反编译、逆向破解、代码篡改、恶意植入后门等攻击行为，修复App代码安全漏洞，及时更新安全补丁，提升App客户端自身安全防护能力。12.2接口安全访问防护要求。强化App对外服务接口、数据交互接口安全认证、访问控制、防攻击防护，防范接口非法调用、越权访问、数据爬取、恶意攻击等行为，接口操作全程日志记录、异常行为实时告警。12.3安全监测与风险预警要求。搭建App个人信息安全常态化监测体系，实时监测数据访问异常、数据批量导出、违规数据流转、外部攻击入侵等风险行为，及时触发风险预警，快速处置安全隐患