Time: 2022-07-11  Wfdbzx

GB/T 41391-2022《App收集个人信息基本要求》解读及实践思路

根据2022年4月15日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告(2022年第6号),全国信息安全标准化技术委员会归口的10项国家标准正式发布。其中包括了一项个人信息保护方面的重点标准:GB/T 41391—2022《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》,也是移动互联网应用程序(App)个人信息保护方面的首个国家标准,引起了高度关注。本标准查阅和获取方式附后!

本文由标准的牵头编制单位:中国电子技术标准化研究院的标准参编专家,针对该标准的编制背景、适用范围、主要内容、关键问题等方面进行解读,并提出实施建议,供各界参考:


01 编制背景

近年来,移动互联网应用程序(App)得到广泛应用,App超范围收集、捆绑授权、强制索权、私自调用权限上传个人信息等现象普遍存在,违法违规收集使用个人信息的问题突出。为此,中国电子技术标准化研究院联合北京理工大学、中国网络安全审查技术与认证中心等34家单位,研制了《移动互联网应用程序(App)收集个人信息基本要求》。

本标准根据《网络安全法》《个人信息保护法》《常见类型移动互联网应用程序必要个人信息范围规定》《App违法违规收集使用个人信息行为认定方法》等有关要求,重点围绕个人信息处理的最小必要原则,针对App违法违规收集使用个人信息的突出问题,结合当前移动互联网技术及应用现状,在GB/T35273—2020《信息安全技术 个人信息安全规范》的基础上,给出了App收集个人信息应满足的基本要求,以及常见服务类型App必要个人信息的使用要求,旨在规范App个人信息收集行为,最大程度地保障个人信息权益。


02 适用范围与核心概念

‍‍‍‍‍本标准适用于App运营者规范其个人信息收集活动,也适用于监管部门、第三方评估机构等对App个人信息收集活动进行监督、管理和评估。其中,App包括移动智能终端预置、下载安装的应用程序和小程序。

本标准提出了以下核心概念。

1.服务类型:包括App类型、其他服务类型。其中,App类型为实现用户最主要使用目的的一种服务类型。

2.业务功能:包括基本业务功能、扩展业务功能。其中,基本业务功能是App实现用户主要使用目的的业务功能,基本业务功能之外的其他业务功能属于扩展业务功能。

3.必要个人信息:特指保障App基本业务功能正常运行所必需的个人信息,即当且仅当没有该等个人信息的参与,该App的基本业务功能无法实现或无法正常运行。


03 标准主要内容

标准给出了39种常见类型App必要个人信息范围和使用要求,提出了12种特定类型个人信息的收集要求,并将App收集个人信息的要求细化为以下7个主要方面。

1.App功能划分:包括明确App类型、划分App的基本业务功能和扩展业务功能等。

2.最小必要收集:包括明确App必要个人信息范围,以及目的明确、最小范围、最小影响、直接相关、时机恰当的最小必要原则。其中,“范围”包括类型、频率、数量、精度等。

3.告知同意:包括App基本业务功能与必要个人信息的告知同意,敏感个人信息告知同意,多种服务类型告知同意,以及用户拒绝或撤回同意4个方面。

4.系统权限:包括权限申请要求、权限使用要求。同时在附录中给出了可收集个人信息权限范围,以及与常见服务类型相关程度较低的安卓系统权限。

5.特定类型个人信息收集要求:包括日历信息、应用程序列表、设备信息、短信信息、通话记录信息、通讯录信息、位置信息、生物识别信息、录音及拍摄录像信息、传感器信息、相册信息、存储文件信息等的收集要求。

6.第三方收集管理:包括App对接入的第三方应用、嵌入的第三方SDK的安全管理要求。

7.常见类型App必要个人信息的使用要求:在《常见类型移动互联网应用程序必要个人信息范围规定》的基础上,给出了地图导航、网络约车、即时通信、网络支付等39种常见类型App必要个人信息的使用要求。


04 常见问题答疑

问题1:如果App提供了多种类型服务,那么App类型、App基本业务功能、以及App必要个人信息范围是否可以叠加?

答:不能叠加。App可能提供多种类型服务,实现用户最主要使用目的的一种服务类型,称为App类型。App基本业务功能是App类型下实现用户主要使用目的的业务功能。必要个人信息特指保障App基本业务功能正常运行所必需的个人信息。

问题2:如何理解必要、非必要但有关联、无关的含义?

必要

非必要

必要

非必要但有关联

无关

相关

无关

答:“必要”与“非必要但有关联”,统称为“相关”;“非必要但有关联”与“无关”,统称为“非必要”。所对应的要求可总结为:无关的不收集、非必要的不强制。

问题3:除了必要个人信息,其他个人信息是否都不允许收集?

答:不是。必要个人信息特指保障App基本业务功能正常运行所必需的个人信息;非必要但有关联个人信息是与App所提供服务直接相关但可选收集的个人信息。即非必要但有关联个人信息也可收集,但应做到用户可选择、可拒绝(即“非必要的不强制”)。

问题4:如果用户同意或主动提供,是否可以收集与所提供的服务无关的个人信息?

答:不能收集。与所提供的服务无关的个人信息不应收集、或以任何方式向用户征求同意,即使用户可能同意或可能提供(即“无关的不收集”)。


05 实施建议

标准的实施与应用有助于指导App运营者落实个人信息保护法规政策的有关要求,进一步规范App个人信息收集活动,建立App个人信息安全合规体系,着力防范App违法违规收集使用个人信息风险。

同时,该标准的实施推广,可指导第三方机构进行App个人信息安全测评和认证,支撑主管监管部门开展App个人信息安全治理,破解超范围收集、捆绑授权、强制索权等个人信息突出问题,为个人信息保护管理工作提供标准化支撑。

于App的“合规人员”和“开发人员”,具体实施建议如下:

(一)合规人员

1、全面梳理App所收集的个人信息、申请的系统权限,各项个人信息类型、系统权限所用于的业务功能或使用目的,以及该个人信息/权限是否为实现相关功能或目的所必需;

2、全面梳理App接入的第三方应用与嵌入的第三方SDK的运营者主体名称、所收集的个人信息、申请的系统权限,各项个人信息类型、系统权限所用于的业务功能或使用目的,以及该个人信息/权限是否为实现相关功能或目的所必需。

3、按照标准设计告知同意、系统权限、第三方收集、特定类型个人信息等保护措施。

(二)开发人员

1、权限申请:减少权限申请数量,避免申请低相关度权限;

2、 权限使用:设置合理的申请时机,以及通过权限收集个人信息的频率与时机;

3、隐私设计:为用户提供业务功能的多种实现方式,并默认采用对个人权益影响最小的实现方式,例如无需系统权限、本地方式、申请较低精度权限、单次授权等方式;

4、最新隐私机制:跟进适配移动智能终端操作系统的最新隐私机制与功能,例如分区存储。


06 其他配套文件

事实上,GB/T 41391—2022《信息安全技术 移动互联网应用程序(App)收集个人信息基本要求》的编制过程中伴随着大量的研究、实践工作,以下文件、工具均有助于组织在落实标准要求中提供参考和辅助:

1.TC260-PG-20191A《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》(2019年6月1日发布)

2.TC260-PG-20202A《网络安全标准实践指南—移动互联网应用程序(App)收集使用个人信息自评估指南》(2020年7月25日发布)

3.TC260-PG-20203A《网络安全标准实践指南—移动互联网应用程序(App)个人信息保护常见问题及处置指南》(2020年9月20日发布)

4.TC260-PG-20204A《网络安全标准实践指南—移动互联网应用程序(App)系统权限申请使用指南》(2020年9月20日发布)

5.TC260-PG-20205A《网络安全标准实践指南—移动互联网应用程序(App)使用软件开发工具包(SDK)安全指引》(2020年11月27日发布)

6.App个人信息保护合规评估工具(https://zcpt.cesidsat.com)(2020年9月20日发布)

 

 

文章来源:安全内参

本文作者:中国电子技术标准化研究院网安中心 周晨炜 胡影

文本链接:https://www.secrss.com/articles/41731


18818860088

工作时间:法定工作日,9:00~18:00

广州万方计算机科技有限公司 ©版权所有 2019-2020 粤ICP备08124637号

本站文章内容部分来源于网络转载,版权归作者所有。文章内容仅代表作者独立观点,不代表本站立场,转载目的在于传递更多信息。如有侵权,请联系删除。