1、ICS 33.050M 30團體標準T/TAF 077.5-2020APP 收集使用個人信息最小必要評估規范設備信息Application software user personal information collection and usage minimization and necessity evaluation specificationDevice information2020 -11 - 26 發布2020 -11 - 26 實施電信終端產業協會 發布T/TAF 077.5-2020 PAGE * ROMAN III目 次 HYPERLINK l _bookmark0 前言

2、II HYPERLINK l _bookmark1 引言III HYPERLINK l _bookmark2 范圍1 HYPERLINK l _bookmark3 規范性引用文件1 HYPERLINK l _bookmark4 術語和定義、縮略語1 HYPERLINK l _bookmark5 術語和定義1 HYPERLINK l _bookmark6 縮略語2 HYPERLINK l _bookmark7 基本原則2 HYPERLINK l _bookmark8 設備信息類型2 HYPERLINK l _bookmark9 設備信息常見收集使用場景3 HYPERLINK l _bookmar

3、k10 個人信息處理活動各環節最小必要評估要求3 HYPERLINK l _bookmark11 收集階段3 HYPERLINK l _bookmark12 存儲階段3 HYPERLINK l _bookmark13 使用階段3 HYPERLINK l _bookmark14 刪除階段3 HYPERLINK l _bookmark15 例外情況3 HYPERLINK l _bookmark16 評估流程和方法3參考文獻錯誤！未定義書簽。前 言本文件按照GB/T 1.1-2020的規定起草。本文件中的某些內容可能涉及專利。本文件的發布機構不承擔識別這些專利的責任。本文件由電信終端產業協會提出并歸

4、口。本文件起草單位：中國信息通信研究院、北京字節跳動有限科技公司。本文件主要起草人：王宇曉、李夢月、楊驍涵、安瀟羽、高震、張吉、劉凱紅、田申、寧華、王艷紅。引 言隨著移動移動互聯網的迅速發展和日益成熟，移動智能終端功能的成熟與便利，設備信息已成為移動應用軟件開展業務功能的重要組成部分。按照最小必要原則收集使用個人信息成為移動應用軟件在個人信息處理活動中的主要目標。本文件根據中華人民共和國網絡安全法等相關法律要求，依據GB/T 35273-2020信息安全技術 個人信息安全規范的最小必要原則，提出移動應用軟件在處理涉及個人信息設備信息的收集、存儲、使用、刪除等活動中的最小必要信息規范和評估準則，

5、旨在對移動互聯網行業收集使用用戶設備信息進行規范，落實最小、必要的原則，進一步促進移動互聯網行業的健康穩定發展。T/TAF 077.5-2020 PAGE 4APP 收集使用個人信息最小必要評估規范 設備信息范圍本文件規定了移動應用軟件在處理涉及用戶個人信息（設備信息）的收集、存儲、使用、刪除等活動中的最小必要評估規范，并通過設備信息在處理活動中的典型應用場景來說明如何落實最小必要原則。本文件適用于移動應用軟件提供者規范用戶個人信息（設備信息）的處理活動，也適用于第三方評估機構等組織對移動應用軟件收集使用設備信息行為進行監督、管理和評估。規范性引用文件下列文件對于本文件是必不可少的。其中，注日

6、期的引用文件，僅該日期對應的版本適用于本文件。不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T 25069-2010 信息安全技術 術語GB/T 35273-2020 信息安全技術 個人信息安全規范T/TAF 077.1-2020APP收集使用個人信息最小必要評估規范 總則術語和定義、縮略語術語和定義T/TAF 077.1-2020界定的以及下列術語和定義適用于本文件。3.1.1移動智能終端 smart mobile terminal能夠接入移動通信網，具有能夠提供應用軟件開發接口的操作系統，具有安裝、加載和運行應用軟件能力的終端。3.1.2移動應用軟件 mobile

7、application針對移動智能終端所開發的應用程序，包括移動智能終端預置應用軟件以及互聯網信息服務提供者提供的可以通過智能終端下載、安裝、升級、卸載的應用軟件。3.1.3個人信息 personal information個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息,不包括匿名化處理后的信息。3.1.4個人敏感信息 personal sensitive information一旦泄露或者非法使用,可能導致個人受到歧視或者人身、財產安全受到嚴重危害的個人信息,包括種族、民族、宗教信仰、個人生物特征、醫療健康、金融賬戶、個人行蹤等信息。縮略語下列縮略語適用于本文件。

8、APP 應用軟件 ApplicationeSIM 嵌入式SIM卡 Embedded SIMIMEI 國際移動設備識別碼 International Mobile Equipment Identity IDFA 廣告標識別符 Identifier For AdvertisingIDFV 供應商標識符 Identifier For Vendor GAID 谷歌廣告標識符 Google Advertising IDMEID 移動設備識別碼 Mobile Equipment IdentifierOAID 匿名設備標識符 Open Anonymous Device Identifier基本原則應滿足T/

9、TAF 077.1-2020APP收集使用個人信息最小必要評估規范 總則中的最小必要原則。設備信息類型移動智能終端的設備信息類型根據其特性主要包括三類，基本設備信息、不可變設備標識、可變設備標識。基本設備信息均為設備機型相關信息或參數，無法用于標識用戶，不針對此開展最小必要性評估。不可變設備標識在用戶正常使用、系統設置或系統重置等操作發生時，不會隨操作發生改變，所有應用獲取到的值一致。部分終端可生成獨立的不可變設備標識符，不可變設備標識的收集通常會受到系統權限機制管控。可變設備標識在用戶正常使用、系統設置或系統重置等操作行為發生時，會隨行為發生改變，不同應用獲取到的可能不一致。表 1 設備信息

10、設備信息類別設備信息名稱不可變設備標識IMEI、MEID、eSIM 標識、硬件序列號、網絡設備標識符等可變設備標識Android ID、IP 地址、IDFA、IDFV、GAID、OAID 等基本設備信息設備廠商名稱、設備型號、CPU 型號、處理器架構、存儲空間大小、設備操作系統類型、屏幕分辨率、設備名稱等設備信息常見收集使用場景在移動應用中設備信息的收集使用主要用于設備識別等基礎服務，再應用于具體的業務場景或服務。根據設備信息收集使用常見場景和業務類型進行分類，主要包括以下統計、推送、安全風控、個性化推薦、用戶畫像、支付、廣告營銷、日志、查找設備等。個人信息處理活動各環節最小必要評估要求收集階

11、段個人信息控制者在收集設備信息前應向用戶告知并獲得授權同意，告知同意的時機及頻率應遵循最小必要原則；個人信息控制者在申請設備信息相關系統權限時，申請時機應在用戶使用相關功能或服務時，用戶拒絕后宜間隔 48 小時及以上再進行重新申請，用戶主動申請相應功能或服務的情況除外；個人信息控制者應在保證實現相關功能或服務的前提下，按照最少必要的種類和最低頻率收集設備信息。若本地處理設備信息能完成相關功能時，宜優先選擇本地處理。存儲階段設備信息的存儲時間應在個人信息主體授權的存儲時間或提供相關功能或服務所需的必要期限內， 超出存儲期限后，應及時對設備信息進行刪除或匿名化處理，法律法規另有規定的除外；若法律法

12、規或行業監管對信息保存期限另有要求，要遵守該保存期限的要求（例如物流行業）。使用階段設備信息的使用過程及場景應符合移動應用軟件的功能或服務要求；個人信息控制者在使用相關設備信息時，應考慮到對用戶的潛在影響，并盡量避免高風險的數據使用場景；對被授權訪問用戶設備信息的人員，應建立最小授權的訪問控制策略，使其只能訪問職責所需的最小必要的設備信息，且僅具備完成職責所需的最少的數據操作權限；若存在設備信息的第三方共享情況，第三方共享的設備信息類型、數量及頻次不應超出業務服務的場景范圍，法律法規要求的除外。刪除階段個人信息控制者應對超出存儲期限的設備信息進行刪除或匿名化處理;個人信息控制者應提供途徑并保證響應并實現用戶刪除個人信息的要求；個人信息控制者應在滿足在法律規定的時限或雙方約定的時間內及時響應用戶刪除相關個人信息的請求；如需延長答復用戶的時間，應提供合理正當理由。例外情況在某些情況下，個人信息控制者如需收集比原先預期的應用必要功能更多的個人信息，以使個人信息控制者有足夠的信息來解決潛在的必要活動；在保障網絡安全或運營安全的前提下，可收集不可變更的設備標識。評估流程和方法APP 收集使用人臉信息最小必要的評估流程和