ICS35. 030 CCS L 80 中 华 人 民 共 和 国 国 家 标 准 GB/T 42016—2022 信息安全技术 网络音视频服务数据 安全要求 I n f o rma t i ons e c u r i t e chno l o t as e c u r i t equ i r emen t sf o ron l i neaud i o yt gy—Da yr andv i d e os e r v i c e s 2022 10 12 发布 2023 05 01 实施 国家市场监督管理总局 国家标准化管理委员会 发 布 GB/T 42016—2022 目 次 前言 ………………………………………………………………………………………………………… Ⅰ 1 范围 ……………………………………………………………………………………………………… 1 2 规范性引用文件 ………………………………………………………………………………………… 1 3 术语和定义 ……………………………………………………………………………………………… 1 4 缩略语 …………………………………………………………………………………………………… 2 5 概述 ……………………………………………………………………………………………………… 2 5. 1 网络音视频服务业务组成 ………………………………………………………………………… 2 5. 2 网络音视频服务数据范围 ………………………………………………………………………… 3 6 基本要求 ………………………………………………………………………………………………… 3 7 数据收集 ………………………………………………………………………………………………… 4 7. 1 收集个人信息 ……………………………………………………………………………………… 4 7. 2 申请系统权限 ……………………………………………………………………………………… 4 7. 3 告知同意 …………………………………………………………………………………………… 4 8 数据存储和传输 ………………………………………………………………………………………… 5 9 数据使用和加工 ………………………………………………………………………………………… 5 9. 1 数据展示 …………………………………………………………………………………………… 5 9. 2 用户画像与内容个性化展示 ……………………………………………………………………… 5 9. 3 个人信息保护功能 ………………………………………………………………………………… 5 10 数据提供和公开 ………………………………………………………………………………………… 6 11 数据出境 ………………………………………………………………………………………………… 6 12 个人信息主体权利 ……………………………………………………………………………………… 6 13 未成年人保护 …………………………………………………………………………………………… 7 14 音视频服务相关场景数据安全要求 …………………………………………………………………… 7 14. 1 智能合成音视频场景 ……………………………………………………………………………… 7 14. 2 网络音视频内容数据安全保护场景 ……………………………………………………………… 8 附录 A (资料性) 网络音视频服务数据处理活动及安全风险 ………………………………………… 9 附录 B (资料性) 网络音视频服务重要数据识别参考规则及数据分类示例 ………………………… 11 附录 C (资料性) 网络音视频服务常见扩展业务功能的个人信息收集范围及使用要求 …………… 13 附录 D (资料性) 网络音视频服务 App 相关系统权限申请范围及使用要求 ……………………… 14 参考文献 …………………………………………………………………………………………………… 15 GB/T 42016—2022 前 本文件按照 GB/T1. 1—2020《标准化工作导则 起草。 言 第 1 部分:标准化文件的结构和起草规则》的规定 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会( SAC/TC260)提出并归口。 本文件起草单位:中国电子技术标准化研究院、北京爱奇艺科 技 有 限 公 司、中 国 网 络 安 全 审 查 技 术 与认证中心、上海哔哩哔哩科技有限公司、北京快手科技有限公司、北京微播视界科技有限公司、广州虎 牙信息科技有限公司、湖南快乐阳光互动娱乐传媒有限公司、上海麦克 风 文 化 传 媒 有 限 公 司、阿 里 巴 巴 (北京)软件服务有限公司、北京小米移动软件有限公司、上海喜马拉雅科 技 有 限 公 司、深 圳 市 腾 讯 计 算 机系统有限公司、北京百度网讯科技有限公司、重庆邮电大学、华为技术有限公司、海信集团控股股份有 限公司、 OPPO 广东移动通信有限公司、国家计算机网络应急技术处理协 调 中 心、陕 西 省 信 息 化 工 程 研 究院、国家工业信息安全发展研究中心、北京数安行科技有限公司、上海兆言网络科技有限公司、中国信 息通信研究院、北京搜狐新媒体信息技术有限公司、北京市竞天公诚律师事务所上海分所。 本文件主要起草人:姚相振、上官晓丽、周晨炜、奚 海 生、杨 建 军、胡 影、樊 华、张 颖、童 永 祥、樊 庆 君、 朱垒、刘晓静、赵 新 强、林 阳 荟 晨、刘 楠、陈 陆 敏、宜 静、邵 华、田 申、高 斯 平、王 平、林 芷 晴、冯 帆、陈 琪 曼、 马方超、费蓓洁、刘小敏、李涛、李紫璇、刘震宇、唐佳 伟、徐 雨 晴、徐 光 侠、衣 强、高 雪 松、王 小 璞、赵 芸 伟、 张勇、柳彩云、刘玉红、朱璐、戚琳、庞小妹、袁立志。 Ⅰ GB/T 42016—2022 信息安全技术 网络音视频服务数据 安全要求 1 范围 本文件规定了网络音视频服务收集、存储、使用、加工、传 输、提 供、公 开、删 除 等 数 据 处 理 活 动 的 安 全要求。 本文件适用于网络音视频服务提供者规范数据处理活动,也可为监管部门、第三方评估机构对网络 音视频服务数据处理活动进行监督、管理、评估提供参考。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必 不 可 少 的 条 款。其 中,注 日 期 的 引 用 文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包 括 所 有 的 修 改 单)适 用 于 本文件。 GB/T25069 信息安全技术 术语 GB/T35273—2020 信息安全技术 GB/T37988 信息安全技术 GB/T39335 信息安全技术 个人信息安全规范 数据安全能力成熟度模型 个人信息安全影响评估指南 GB/T41391—2022 信息安全技术 移动互联网应用程序( App)收集个人信息基本要求 GB/T41479 信息安全技术 网络数据处理安全要求 3 术语和定义 3. 1 GB/T25069、 GB/T35273—2020 界定的以及下列术语和定义适用于本文件。 网络音视频服务 on l i neaud i oandv i d e os e r v i c e 通过互联网站、应用程序等网络平台,向社会公众提供音视频信息制作、发布、传播的服务。 注 1:也称网络音视频信息服务。 3. 2 3. 3 注 2:不包括音视频编辑工具、本地播放器和具有即时通信属性的在线直播(如在线会议)服务。 网络音视频服务平台 on l i neaud i oandv i d e os e r v i c ep l a t f o rm ) 提供网络音视频服务( 的信息系统。 3. 1 网络音视频服务提供者 on l i neaud i oandv i d e os e r v i c epr o v i d e r 向社会公众提供网络音视频服务( 3. 1)的组织或者个人。 注 1:本文件中主要指网络音视频服务平台的所有者、管理者。 3. 4 注 2:本文件中简称“提供者”。 网络音视频服务使用者 on l i neaud i oandv i d e os e r v i c eu s e r ) 使用网络音视频服务( 的组织或者个人。 3. 1 1 GB/T 42016—2022 3. 5 注:本文件中简称“用户”。 网络音视频内容生产者 on l i neaud i oandv i de oc on t e n tpr odu c e r 通过网络音视频服务平台( 3. 2)进行 网 络 音 视 频 内 容 生 产、制 作、发 布、传 播、在 线 实 时 直 播 的 网 络 音视频服务使用者( 3. 4)。 3. 6 注:本文件中简称“内容生产者”。 网络音视频服务第三方参与者 on l i neaud i oandv i d e os e r v i c et h i r d r t r t i c i t pa ypa pan 除网络音视频服务提供者( 3. 3)和网络音视频服务使用者( 3. 4)之外的网络音视频服务( 3. 1)的参与 主体。 3. 7 注:本文件中简称“第三方”。 网络音视频服务数据 on l i neaud i oandv i de os e r v i c eda t a 网络音视频服务提供者( 3. 3)在提供网络音视频服务( 3. 1)过程中收集和产生的数据。 注:主要包括用户数据和业务数据,不包括提供者内部管理经营数据。 3. 8 网络音视频内容数据 on l i neaud i oandv i de oc on t en tda t a 网络音视频服务提供者( 3. 3)所拥有和管理的图文、音频、视频等信息内容,以及描述上述信息内容 属性的元数据。 注:本文件中简称“内容数据”。 4 缩略语 下列缩略语适用于本文件。 I oT:物联网( I n t e rne to fTh i ngs) IP:互联网协议( I n t e rne tPr o t o c o l) 5 概述 5. 1 网络音视频服务业务组成 网络音视频服务主要包括网络音频服务、网络视频服务以及 网 络 直 播 服 务。网 络 音 频 服 务 向 用 户 提供音乐、广播、曲艺、有声读物、广 播 剧、节 目 赛 事 音 频、新 闻 资 讯 音 频