TC260-PG-20202A 网络安全标准实践指南 —移动互联网应用程序（App）收集使用个 人信息自评估指南 b u m o c . 5 h t i g 全国信息安全标准化技术委员会秘书处 2020 年 7 月 本文档可从以下网址获得： www.tc260.org.cn/ 前 言 《网络安全标准实践指南》（以下简称《实践指南》）是 全国信息安全标准化技术委员会（以下简称“信安标委”）秘 书处组织制定和发布的标准相关技术文件，旨在围绕网络安 全法律法规政策、标准、网络安全热点和事件等主题，宣传 网络安全相关标准及知识，提供标准化实践指引。 b u m o c . 5 h t i g I 声 明 本《实践指南》版权属于信安标委秘书处，未经秘书处 书面授权，不得以任何方式抄袭、翻译《实践指南》的任何 部分。凡转载或引用本《实践指南》的观点、数据，请注明 “来源：全国信息安全标准化技术委员会秘书处”。 m o c . 5 b u h t i g 技术支持单位 本《实践指南》得到中国电子技术标准化研究院、中国 网络安全审查技术与认证中心、中国信息通信研究院、公安 部第一研究所、中国网络空间安全协会、中国电子科技集团 公司第三十研究所、国家计算机病毒应急处理中心等单位的 技术支持。 II 摘 要 2016 年《网络安全法》颁布，明确我国网络安全保护的 基本要求和制度，并将个人信息保护问题作为网络安全的重 要内容予以规定。 本《实践指南》依据《网络安全法》等法律法规要求， 参照《App违法违规收集使用个人信息行为认定方法》和相 关国家标准，结合检测评估工作经验，归纳总结出App收集 m o c . 5 使用个人信息的六个评估点：是否公开收集使用个人信息的 规则；是否明示收集使用个人信息的目的、方式和范围；是 否征得用户同意后才收集使用个人信息；是否遵循必要原则， b u 仅收集与其提供的服务相关的个人信息；是否经用户同意后 h t i g 才向他人提供个人信息；是否提供删除或更正个人信息功能， 或公布投诉、举报方式等信息，供App运营者自评估参考使 用。小程序、快应用等运营者也可参考其中的适用条款进行 自评估。 III 目 录 评估点一：是否公开收集使用个人信息的规则 ..................................... 1 1.1 是否公开隐私政策等收集使用规则 ....................................... 1 1.2 是否提示用户阅读隐私政策等收集使用规则 ............................... 1 1.3 隐私政策等收集使用规则是否易于访问 ................................... 1 1.4 隐私政策等收集使用规则是否易于阅读 ................................... 2 1.5 公开的收集使用规则是否完整 ........................................... 2 评估点二：是否明示收集使用个人信息的目的、方式和范围 ......................... 4 2.1 是否逐一列出收集使用个人信息的目的、方式、范围等 ..................... 4 2.2 收集使用个人信息的目的、方式、范围发生变化时是否通知用户 ............. 4 2.3 是否同步告知申请打开权限和要求提供个人敏感信息的目的 ................. 5 2.4 收集使用规则是否易于理解 ............................................. 5 评估点三：是否征得用户同意后才收集使用个人信息 ............................... 6 3.1 收集个人信息或打开可收集个人信息权限前是否征得用户同意 ............... 6 3.2 用户明确表示不同意收集后是否仍收集个人信息 ........................... 6 3.3 用户明确表示不同意收集后是否频繁征求用户同意、干扰用户正常使用 ....... 6 3.4 实际收集的个人信息是否超出用户授权范围 ............................... 7 3.5 是否以默认选择同意隐私政策等非明示方式征求用户同意 ................... 7 3.6 是否未经用户同意更改其设置的可收集个人信息权限状态 ................... 8 3.7 存在定向推送信息情形的是否提供非定向推送信息的选项 ................... 8 3.8 是否以不正当方式误导用户同意收集个人信息 ............................. 8 3.9 是否向用户提供撤回同意收集个人信息的途径、方式 ....................... 8 3.10 是否违反其所声明的收集使用规则 ...................................... 9 评估点四：是否遵循必要原则，仅收集与其提供的服务相关的个人信息 .............. 10 4.1 是否收集与业务功能无关的个人信息 .................................... 10 4.2 用户是否可拒绝收集非必要信息或打开非必要权限 ........................ 10 4.3 是否以非正当方式强迫收集用户个人信息 ................................ 10 4.4 收集个人信息的频度是否超出业务功能实际需要 .......................... 11 评估点五：是否经用户同意后才向他人提供个人信息 .............................. 12 5.1 向他人提供个人信息前是否征得用户同意 ................................ 12 5.2 向接入的第三方应用提供个人信息前是否经用户同意 ...................... 12 评估点六：是否提供删除或更正个人信息功能，或公布投诉、举报方式等信息 ........ 13 6.1 是否提供有效的注销用户账号功能 ...................................... 13 6.2 是否提供有效的更正或删除个人信息途径 ................................ 13 6.3 是否建立并公布个人信息安全投诉、举报渠道 ............................ 14 b u m o c . 5 h t i g IV 评估点一：是否公开收集使用个人信息的规则 1.1 是否公开隐私政策等收集使用规则 a) 隐私政策通过弹窗、文本链接、附件、常见问题（FAQs）等界 面或形式展示。 b) 隐私政策中包含收集使用个人信息规则的相关内容。 c) 隐私政策文本链接有效，文本可正常显示。 m o c . 5 d) 如存在涉及收集使用儿童个人信息相关业务功能的，需制定针 对儿童的个人信息保护规则。 注 1：详见 2019 年国家互联网信息办公室令（第 4 号）《儿童个人信息网络 保护规定》。 b u 注 2：例如收集不满十四周岁的未成年人个人信息的教育类App，需制定针对 儿童的个人信息保护规则。 h t i g 1.2 是否提示用户阅读隐私政策等收集使用规则 a) 在App首次运行或用户注册时主动提示用户阅读隐私政策。 注：例如可采用通过弹窗、突出链接等主动方式提示用户阅读隐私政策。 b) 避免使用不明显的方式展示隐私政策链接，导致用户不易发现 隐私政策。 注：例如采用与背景颜色相近的字体、刻意缩小字号、弹出键盘遮挡、置于 边缘等为不明显方式展示隐私政策链接。 1.3 隐私政策等收集使用规则是否易于访问 a) 用户进入主功能界面后，通过 4 次（含）以内的点击等操作， 能够访问到隐私政策。 b) 尽可能在界面的固定路径展示隐私政策（或其链接），以便用 户随时访问和获取，避免仅在注册/登录界面展示隐私政策链 1 接，或只能以咨询客服等方式查找隐私政策等情形。 注 1：例如通过“我--设置--关于”或者“我的--设置--隐私”等用户熟悉路径展 示隐私政策，不频繁变更展示隐私政策的路径。 注 2：在首次展示隐私政策时，宜说明查找隐私政策的方法、路径。 c) 隐私政策以单独成文的形式发布，而不是作为用户协议、用户 须知等文件中的一部分存在。 注：如果因展示条件等特殊原因使用用户协议、用户须知等文件描述个人 信息收集使用规则，则尽可能显著标识并以连续篇幅呈现。 m o c . 5 1.4 隐私政策等收集使用规则是否易于阅读 a) 隐私政策文本文字显示方式不会造成阅读困难。 注 1：例如可采取与App其他界面等同的样式。 b u 注 2：例如文本字号过小、颜色与背景色相近、行间距过密、字迹模糊、列 宽大于手机屏幕等易造成阅读困难。 h t i g b) 提供简体中文版隐私政策。 c) 隐私政策内容使用标准化的数字、图示，采用通用的语言习惯， 避免误用概念、术语或存在有歧义的语句等。 1.5 公开的收集使用规则是否完整 a) 对App运营者基本情况进行描述，至少包括组织名称、注册地 址或常用办公地址、个人信息保护工作机构或相关负责人联系 方式。 b) 说明隐私政策的发布、生效或更新日期。 c) 说明收集使用个人信息的目的、方式、范围。 注：详见本《实践指南》2.1 节。 d) 对个人信息存放地域（境内、境外哪个国家或地区）、存储期 2 限（法律规定范围内最短期限或明确的期限）、超期处理方式 进行说明。 e) 如果将个人信息用于用户画像、个性化展示等，说明其应用场 景和可能对用户权益产生的影响。 注：如部分业务功能不涉及用户画像、个性化展示，可在规则中明确说 明。 f) 如果存在个人信息出境情形，说明出境个人信息类型并显著标 m o c . 5 识。 注：例如可采用字体加粗、标星号、下划线、斜体、不同颜色等显著标识 方式。 g) 对个人信息保护方面采取的措施和具备的能力进行说明。 b u h) 如果存在个人信息对外共享、转让、公开披露的情况，说明以 h t i g 下内容：①对外共享、转让、公开披露个人信息的目的；②涉 及的个人信息类型；③接收方类型或身份。 i) 对以下用户权利和相关操作方法进行说明