minimizationandnecessityevaluationspecificatio電信終端產業協會發布I 1 1 1 1 1 1 2 2 2 2 3 4 4 4 4 4本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定本文件是T/TAF077.3-2020《APP收集使用個與T/TAF077.3-2020相比，除結構調整和編輯性改動外，主要c)針對一些熱點事件中問題，修改了在刪除階段圖片信息最請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。研究有限公司、榮耀終端有限公司、北京快手科技有用圖片信息的過程中，有些個人信息可能并非個人信息主體使用該功能時所必須的。本文是APP收集使用個人信息最小必要評估規范系列標準中的圖片信息部分，旨1APP收集使用個人信息最小必要評估規范第3部分：圖片信息GB/T35273信息安全技術個人信息安全T/TAF077.1APP收集使用個人信息最小必要評估規范總則GB/T35273、T/TAF077.1和T/TAF077.7界定的術語和定義適用于4縮略語APP：應用軟件（ApplicatioGNSS：全球衛星導航系統（GlobalNavigationSatelliteSyst應滿足T/TAF077.1《APP收集使用個人信息最小必要評估規范總則》中的最小2c）圖片位置信息：指拍攝圖片時的精準定位信息。例如安卓系統可通過GpsLocationProviderb）媒體發布類：個人信息主體出于圖片公開的目的將圖片通過APAPP收集圖片信息主要通過調用移動智能終端的拍照或屏幕截圖功能生成圖片信息，或是通過讀生成或訪問圖片信息。以下表1列出了生成或訪問圖片時所必須的權限，非必要權限應在業務場景發生是否是是是人信息主體明確的授權同意。宜逐一列出該應用（含委托的第三方或嵌入的第三方SDK、插件等）不同3信息主體對相應權限的授權同意；移動應用軟件通過相機/屏幕截圖生成圖片信息時，應為個），APP不同場景下最小必要收集圖片信息如表2：是是是是是是是是APP本地存儲圖片信息應滿足以下要求：生物識別信息的特征信息，并與個人身份信8.3.2云存儲APP本地存儲圖片信息應滿足以下要求：b）使用個人生物識別信息用于身份鑒別功能時，若需上傳包含生物特征識別信息的圖片（如指圖標閃爍、狀態欄提示、自定義提示條等）提示個4APP展示圖片信息時，個人信息控制者宜對展示的個人信息采取去標識化處理等措施，降低個人信展示時宜給個人信息主體提示圖片中是否含圖片附加信息和圖片位置信息并允許個人信息主體選擇展示時宜給個人信息主體提示圖片中是否含圖片附加信息和圖片位置信息并允許個人信息主體選擇展示時宜給個人信息主體提示圖片中是否含圖片附加信息和圖片位置信息并允許個人信息主體選擇展示時宜給個人信息主體提示圖片中是否含圖片附加確需超出上述范圍使用個人信息的，應再次征得個人信息主體明示APP對圖片信息和收集的其他個人信息匯聚融合，應遵循使用目的的限制要求，并開展個人信息安未經個人信息主體單獨同意，不應將收集的圖片信息的功能。未經個人信息主體單獨同意，不應刪9評估流程和方法9.1評估流程9.2評估方法59.2.1權限授權的評估方法測試要求：見本文件8.19.2.2收集階段評估方法預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合9.2.2收集階段評估方法4）檢查APP是否滿足8.1.1中d）條中收集9.2.3存儲階段評估方法1）通過訪談或審查文檔等方式檢查APP對圖片信息在端側的本地存儲，是否滿足8.3.163）通過功能驗證或技術檢測檢查個人生物識別信息的原始圖片在實現身份鑒別等功能預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合1）通過功能驗證檢查APP對圖片信息的云端存儲是否提供身份認證和鑒別等訪問控制措施；通過訪談或審查文檔等方式檢查云端個人信息主體圖片是否加密預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合9.2.4使用階段評估方法三方展示個人信息主體圖片是否經過個人信息主預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合測試項目：圖片信息的使用目的的限制的最71）通過訪談或審查文檔等方式檢查APP聲稱的目的和其實際收集和使用個人信息的目的2）通過訪談或功能驗證檢查超范圍使用個人信息時是否再次征得個人信息主體明示同預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合1）通過訪談或審查文檔等方式檢查APP是否在其聲稱的目的范圍內對圖片信息與其他個預期結果：若以上測試步驟結果為肯定，則測試項判定為未見異常，否則判定為不符合測試項目：圖片信息中圖像識別的限定的最1)通過訪談檢查應用設計或開發者是否對圖片信息采取隱蔽手段挖掘和分析歸納個人2)通過訪談和審查文檔等方式檢查APP是否將收集的圖片信息用于對個人信息主體進行3)通過功能驗證檢查將收集的圖片信息用于身份的標識和識別的場