T∕TAF 067-2020 移動(dòng)智能終端及應(yīng)用軟件用戶個(gè)人信息保護(hù)實(shí)施指南 第6部分：應(yīng)用軟件敏感權(quán)限規(guī)范

1、ICS 33.050M 30團(tuán)體標(biāo)準(zhǔn)T/TAF 067-2020移動(dòng)智能終端與應(yīng)用軟件用戶個(gè)人信息保護(hù)實(shí)施指南 第 6 部分：應(yīng)用軟件權(quán)限規(guī)范Mobile intelligent terminal and application software user personal information protection implementation guidePart 6: Application software sensitive access specification2020-08-24 發(fā)布2020-08-24 實(shí)施電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布T/TAF 067-2020目次前言II引言II

2、I1 范圍12 規(guī)范性引用文件13 術(shù)語、定義和縮略語13.1 術(shù)語和定義14 應(yīng)用軟件敏感權(quán)限規(guī)范安全準(zhǔn)則24.1 概述24.2 用戶個(gè)人信息的信源范圍定義24.3 應(yīng)用軟件敏感權(quán)限規(guī)范基本要求34.4 應(yīng)用軟件權(quán)限具體要求34.5 信源與軟件應(yīng)用場景化分類44.6 基于差異化和融合場景的應(yīng)用權(quán)限規(guī)范4附錄 A（資料性附錄）敏感權(quán)限對(duì)應(yīng)的常用功能場景列表5I庫七七 提供下載前言本標(biāo)準(zhǔn)是移動(dòng)智能終端及應(yīng)用軟件用戶個(gè)人信息保護(hù)實(shí)施指南系列標(biāo)準(zhǔn)的第六部分，主要針對(duì)應(yīng)用軟件的敏感權(quán)限申請和使用進(jìn)行規(guī)范和要求。本標(biāo)準(zhǔn)首先對(duì)用戶敏感信息的信源進(jìn)行了定義，并在此基礎(chǔ)上，說明了與信源對(duì)應(yīng)及關(guān)聯(lián)的敏感權(quán)限，進(jìn)

3、而聲明了應(yīng)用軟件申請和使用敏感權(quán)限時(shí)應(yīng)遵循的原則， 最后以附錄舉例的方式，不完全地枚舉了應(yīng)用軟件在具體功能和場景下，可合理使用的敏感權(quán)限。標(biāo)準(zhǔn)按照 GB/T 1.1-2009 給出的規(guī)則起草。本標(biāo)準(zhǔn)中的某些內(nèi)容可能涉及專利。本標(biāo)準(zhǔn)的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專利的責(zé)任。本標(biāo)準(zhǔn)由電信終端產(chǎn)業(yè)協(xié)會(huì)提出并歸口。本標(biāo)準(zhǔn)起草單位：中國信息通信研究院、武漢安天信息技術(shù)有限責(zé)任公司、北京百度網(wǎng)訊科技有限公司、華為技術(shù)有限公司、維沃移動(dòng)通信有限公司、OPPO廣東移動(dòng)通信有限公司、北京奇虎科技有限公司、北京小米科技有限責(zé)任公司、宏達(dá)通訊有限公司。本標(biāo)準(zhǔn)主要起草人：寧華、王艷紅、王宇曉、董霽、羅成、劉波、黃瑩、張屹、

4、姚一楠、李笑如、王江勝、賈科、焦四輩、李騰、周圣炎、張朝、王安宇、衣強(qiáng)、趙新娜、樊俊燕。II引言移動(dòng)智能終端應(yīng)用軟件為終端用戶提供種類繁多、功能各異的服務(wù)，由于應(yīng)用開發(fā)者、終端用戶對(duì)移動(dòng)智能終端應(yīng)用軟件的權(quán)限獲取合理性關(guān)注較少，目前沒有形成明確的監(jiān)管及合理的權(quán)限安全管理機(jī)制，移動(dòng)智能終端應(yīng)用軟件要求終端用戶授予安卓權(quán)限時(shí)，可能存在沒有根據(jù)自身應(yīng)用功能需求來合理申請或調(diào)用權(quán)限的行為，從而造成權(quán)限被濫用，存在較大安全威脅，進(jìn)而導(dǎo)致用戶個(gè)人信息存在泄露風(fēng)險(xiǎn)。綜上所述，為了提供給移動(dòng)終端用戶更加完善的服務(wù)，提高整個(gè)行業(yè)市場更廣的發(fā)展前景，維護(hù)國內(nèi)安全可信的信息通信網(wǎng)絡(luò)環(huán)境，移動(dòng)智能終端應(yīng)用軟件敏感權(quán)限

5、規(guī)范的頒布是非常有必要的。該標(biāo)準(zhǔn)將適用于智能終端生產(chǎn)企業(yè)的移動(dòng)智能終端預(yù)置應(yīng)用軟件，和互聯(lián)網(wǎng)信息服務(wù)提供者提供的移動(dòng)智能終端應(yīng)用軟件，積極響應(yīng)我國移動(dòng)互聯(lián)網(wǎng)市場安全環(huán)境的大方向，貼合移動(dòng)智能終端及應(yīng)用行業(yè)健康持續(xù)發(fā)展道路。III移動(dòng)智能終端與應(yīng)用軟件用戶個(gè)人信息保護(hù)實(shí)施指南 第 6 部分：應(yīng)用軟件權(quán)限規(guī)范1 范圍本標(biāo)準(zhǔn)規(guī)定了移動(dòng)應(yīng)用軟件敏感權(quán)限規(guī)范要求和實(shí)施指南。本標(biāo)準(zhǔn)適用于移動(dòng)智能終端預(yù)置應(yīng)用軟件以及互聯(lián)網(wǎng)信息服務(wù)提供者提供的可以通過移動(dòng)智能終端下載、安裝、升級(jí)的應(yīng)用軟件。2 規(guī)范性引用文件下列文件對(duì)于本標(biāo)準(zhǔn)的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本標(biāo)準(zhǔn)。凡是不注日期的

6、引用文件，其最新版本（包括所有的修改單）適用于本標(biāo)準(zhǔn)。YD/T 2407-2013 移動(dòng)智能終端安全能力技術(shù)要求；YD/T 2439-2012 移動(dòng)互聯(lián)網(wǎng)惡意程序描述格式；YD/T 3228-2017 移動(dòng)應(yīng)用軟件安全評(píng)估方法；關(guān)于加強(qiáng)移動(dòng)智能終端進(jìn)網(wǎng)管理的通知（工信部電管2013120號(hào)）；移動(dòng)智能終端應(yīng)用軟件預(yù)置和分發(fā)管理暫行規(guī)定（工信部信管2016407號(hào)）。3 術(shù)語、定義和縮略語3.1 術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1.1 3.1.1移動(dòng)智能終端 smart mobile terminal移動(dòng)智能終端是指接入公眾移動(dòng)通信網(wǎng)絡(luò)、具有操作系統(tǒng)、可由用戶自行安裝和卸載應(yīng)用軟件的移

7、動(dòng)終端產(chǎn)品。3.1.2 3.1.2移動(dòng)應(yīng)用軟件 mobile application software移動(dòng)智能終端應(yīng)用軟件（以下簡稱“應(yīng)用軟件”）是指移動(dòng)智能終端預(yù)置以及通過網(wǎng)站、應(yīng)用商店、掃二維碼、應(yīng)用自身、其他線上線下平臺(tái)或渠道下載、安裝、升級(jí)、卸載的應(yīng)用軟件。3.1.3 3.1.3個(gè)人信息 personal information與一個(gè)身份已被識(shí)別或者身份可被識(shí)別的自然人（“數(shù)據(jù)主體”）相關(guān)的任何信息；身份可識(shí)別的自然人是指其身份可以通過諸如姓名、身份證號(hào)、位置數(shù)據(jù)等識(shí)別碼或者通過一個(gè)或多個(gè)與自然人的身體、生理、精神、經(jīng)濟(jì)、文化或者社會(huì)身份相關(guān)的特定因素來直接或者間接地被識(shí)別。個(gè)人數(shù)據(jù)包

8、括：1T/TAF 067-2020自然人的email地址、電話號(hào)碼、生物特征（指紋）、位置數(shù)據(jù)、IP地址、醫(yī)療信息、宗教信仰、社保號(hào)、婚姻狀態(tài)等。3.1.4 3.1.4敏感權(quán)限 sensitive permission敏感權(quán)限對(duì)應(yīng)的數(shù)據(jù)或資源，涉及下列范圍：個(gè)人信息或個(gè)人敏感信息，一旦泄露、非法提供或?yàn)E用可能危害人身和財(cái)產(chǎn)安全；對(duì)用戶存儲(chǔ)的數(shù)據(jù)或其他應(yīng)用的操作產(chǎn)生影響，可能干擾系統(tǒng)正常運(yùn)行或?qū)嵤阂庑袨椤? 應(yīng)用軟件敏感權(quán)限規(guī)范安全準(zhǔn)則4.1 概述移動(dòng)智能終端應(yīng)用可以通過申請并獲取相應(yīng)的權(quán)限，從而得以對(duì)終端用戶的個(gè)人信息執(zhí)行創(chuàng)建、獲取、存儲(chǔ)、傳輸、修改、刪除等操作，即相關(guān)權(quán)限是用戶個(gè)人信息得以

9、產(chǎn)生的前提和必要條件。因此， 如要針對(duì)移動(dòng)智能終端及應(yīng)用軟件用戶的個(gè)人信息實(shí)施保護(hù)，移動(dòng)應(yīng)用對(duì)相應(yīng)權(quán)限的申請及使用就必須要進(jìn)行有效地規(guī)范和管理，防止和管控移動(dòng)應(yīng)用因申請多余的、無關(guān)的權(quán)限以及濫用權(quán)限而導(dǎo)致用戶個(gè)人信息泄露的問題。用戶個(gè)人信息的信源，即在移動(dòng)智能終端上產(chǎn)生各類用戶個(gè)人信息的實(shí)體和來源。移動(dòng)智能終端操作系統(tǒng)通過權(quán)限管理，對(duì)信源產(chǎn)生的各類用戶信息的訪問和使用進(jìn)行管控，相應(yīng)地，終端應(yīng)用在訪問和使用信源產(chǎn)生的用戶數(shù)據(jù)之前，需要合規(guī)地聲明、申請和使用對(duì)應(yīng)的權(quán)限。不同的用戶個(gè)人數(shù)據(jù)由不同的信源產(chǎn)生，也對(duì)應(yīng)不同的系統(tǒng)權(quán)限，下面對(duì)信源的類別和范圍進(jìn)行說明。4.2 用戶個(gè)人信息的信源范圍定義4.2

10、.1 定位通過使用定位權(quán)限，可實(shí)現(xiàn)提供地理位置信息。4.2.2 攝像頭通過使用攝像頭權(quán)限，可實(shí)現(xiàn)執(zhí)行拍照、錄像等功能以獲取圖片、視頻等信息。4.2.3 麥克風(fēng)通過使用麥克風(fēng)權(quán)限，可實(shí)現(xiàn)錄音以獲取音頻信息。4.2.4 電話通過使用電話權(quán)限，可實(shí)現(xiàn)撥打電話、讀寫通話記錄、獲取終端識(shí)別碼等信息。4.2.5 信息通過使用信息權(quán)限，可實(shí)現(xiàn)創(chuàng)建、發(fā)送、接收、讀取和修改等操作的短信、彩信等信息。4.2.6 聯(lián)系人通過使用聯(lián)系人權(quán)限，可實(shí)現(xiàn)讀取、創(chuàng)建、修改、刪除聯(lián)系人等信息。74.2.7 存儲(chǔ)空間通過使用應(yīng)用存儲(chǔ)空間的權(quán)限，可實(shí)現(xiàn)在存儲(chǔ)空間中執(zhí)行搜索、創(chuàng)建、讀取、修改文件等信息。4.2.8 日程表通過使用日程

11、表權(quán)限，可實(shí)現(xiàn)創(chuàng)建、讀取、修改和刪除日歷等信息。4.2.9 傳感器通過使用傳感器權(quán)限，可實(shí)現(xiàn)獲取使用者身體特征信息，包括心率、體溫、步頻、睡眠數(shù)據(jù)等信息。4.3 應(yīng)用軟件敏感權(quán)限規(guī)范基本要求a) 應(yīng)用軟件申請敏感權(quán)限時(shí)必須有明確、合理的業(yè)務(wù)功能和使用場景，不應(yīng)申請與應(yīng)用業(yè)務(wù)功能無關(guān)的其他權(quán)限。b) 應(yīng)用軟件申請敏感權(quán)限時(shí)或申請之前，應(yīng)明確逐條告知用戶，申請和使用某權(quán)限的目的、方式和范圍。c) 應(yīng)用軟件不以默認(rèn)、捆綁、停止安裝使用等手段變相強(qiáng)迫用戶授予敏感權(quán)限申請。d) 應(yīng)用軟件申請敏感權(quán)限時(shí)，應(yīng)允許用戶拒絕授權(quán)，并且不能因用戶拒絕授權(quán)提供服務(wù)最小必要的權(quán)限之外的敏感權(quán)限而自動(dòng)關(guān)閉、退出軟件或禁

12、止其他無關(guān)功能的使用，也不應(yīng)頻繁申請，干擾用戶使用應(yīng)用軟件其他功能。e) 應(yīng)用軟件在用戶授權(quán)后，應(yīng)允許用戶撤回授權(quán)，并且不能因用戶撤回某項(xiàng)授權(quán)而禁止用戶使用與該敏感權(quán)限無關(guān)的功能和業(yè)務(wù)，或者完全禁止用戶使用應(yīng)用軟件。f) 應(yīng)用軟件對(duì)敏感權(quán)限的使用應(yīng)符合權(quán)限申請時(shí)聲明的目的、方式和范圍，并不得在未獲得用戶授權(quán)的前提下，將權(quán)限對(duì)應(yīng)的數(shù)據(jù)或能力對(duì)外提供。4.4 應(yīng)用軟件權(quán)限具體要求4.4.1 位置權(quán)限位置權(quán)限包括訪問精確位置、訪問粗略位置、后臺(tái)訪問位置，允許應(yīng)用軟件在應(yīng)用使用時(shí)獲得位置信息、始終可獲得位置信息、或禁止獲得用戶位置信息。除出行、導(dǎo)航、運(yùn)動(dòng)健康類應(yīng)用可申請后臺(tái)訪問位置信息，禁止其它類應(yīng)用

13、申請后臺(tái)訪問用戶位置信息。定位服務(wù)僅需申請粗略位置權(quán)限、且單次獲取用戶當(dāng)前位置，無需高精度持續(xù)跟蹤用戶，減少對(duì)設(shè)備功耗的影響。4.4.2 相機(jī)權(quán)限應(yīng)用訪問相機(jī)時(shí)，必須在前臺(tái)為用戶呈現(xiàn)顯示的拍攝界面。4.4.3 麥克風(fēng)權(quán)限麥克風(fēng)權(quán)限的使用必須是由用戶主動(dòng)觸發(fā)，用戶使用完后，應(yīng)用必須立即停止繼續(xù)訪問麥克風(fēng)。應(yīng)用持續(xù)使用麥克風(fēng)權(quán)限時(shí)，系統(tǒng)在前臺(tái)以顯性的方式提醒用戶。4.4.4 電話權(quán)限只有在用戶主動(dòng)將應(yīng)用注冊為默認(rèn)電話程序的情況下，應(yīng)用才可以向用戶申請撥打電話權(quán)限。應(yīng)用監(jiān)聽設(shè)備的通話狀態(tài)可以通過系統(tǒng)提供的接口實(shí)現(xiàn)，無需申請任何權(quán)限即可使用。系統(tǒng)已經(jīng)禁止了通過申請“讀取手機(jī)識(shí)別碼”權(quán)限，應(yīng)用軟件應(yīng)使用

14、其它ID，如OAID作為替代方案。4.4.5 短信息權(quán)限短信屬于高度敏感的個(gè)人數(shù)據(jù)，應(yīng)用禁止申請此權(quán)限組，只有在用戶主動(dòng)將應(yīng)用注冊為默認(rèn)短信的情況下，應(yīng)用可向用戶申請發(fā)送短信權(quán)限。建議應(yīng)用采用系統(tǒng)提供的接口來實(shí)現(xiàn)應(yīng)用功能，無需申請任何權(quán)限，如：使用Intent.ACTION_SENDTO通過startActivity拉起系統(tǒng)短信界面由用戶點(diǎn)擊后發(fā)送。4.4.6 通訊錄權(quán)限通過通訊錄屬于敏感的個(gè)人數(shù)據(jù)，與用戶無關(guān)的功能禁止訪問通訊錄。即使是用戶所需功能，也需在用戶主動(dòng)觸發(fā)時(shí)應(yīng)用才讀寫通訊錄。如應(yīng)用需要用戶的通訊錄在應(yīng)用用戶中查找朋友，只有在用戶使用應(yīng)用的“添加朋友”功能時(shí)，應(yīng)用才申請權(quán)限并僅在此

15、時(shí)去讀取通訊錄。應(yīng)用應(yīng)謹(jǐn)慎使用刪除通訊錄權(quán)限。4.4.7 存儲(chǔ)空間權(quán)限應(yīng)用不需要對(duì)外分享、下載、讀取外部存儲(chǔ)上的文件情況下，不應(yīng)申請存儲(chǔ)權(quán)限，可直接保存在應(yīng)用自有的目錄下。4.4.8 日歷權(quán)限日歷的訪問也必須由用戶主動(dòng)觸發(fā)，禁止應(yīng)用在用戶不可感知或超出預(yù)期的情況下訪問日歷。日歷屬于敏感的個(gè)人數(shù)據(jù)，與用戶無關(guān)的功能禁止訪問日歷。4.4.9 傳感器權(quán)限傳感器權(quán)限涉及到用戶敏感數(shù)據(jù)，只有運(yùn)動(dòng)健康類應(yīng)用軟件可以申請個(gè)人敏感信息相關(guān)的傳感器權(quán)限。4.5 信源與軟件應(yīng)用場景化分類移動(dòng)智能終端應(yīng)用軟件為保證功能和業(yè)務(wù)的正常運(yùn)行，在運(yùn)行和服務(wù)提供過程中可能需要申請和授予單一或多元信源的訪問和使用權(quán)限。即針對(duì)某

16、個(gè)具體的應(yīng)用軟件使用場景和功能，應(yīng)用軟件申請哪些對(duì)應(yīng)的敏感權(quán)限是必需的或合理的，對(duì)這些映射關(guān)系進(jìn)行說明和界定。敏感權(quán)限及其對(duì)應(yīng)的常用功能場景，請參考附錄A。4.6 基于差異化和融合場景的應(yīng)用權(quán)限規(guī)范移動(dòng)互聯(lián)網(wǎng)仍然不斷演進(jìn)，移動(dòng)應(yīng)用的新功能和新的業(yè)務(wù)場景也不斷涌現(xiàn)。同時(shí)，綜合了多項(xiàng)功能和使用場景的融合移動(dòng)應(yīng)用也逐漸增多。本標(biāo)準(zhǔn)的第二部分（第4章節(jié)），即針對(duì)單個(gè)權(quán)限及其對(duì)應(yīng)的使用場景說明和規(guī)范，針對(duì)上述情景并不能做到全覆蓋。因此，針對(duì)未在第4章節(jié)列出和說明的移動(dòng)應(yīng)用新增功能和業(yè)務(wù)場景，其權(quán)限的申請和使用，都必須遵循4.3章“應(yīng)用軟件權(quán)限敏感規(guī)范基本要求”的各項(xiàng)規(guī)定和要求。附錄A（資料性附錄）敏感權(quán)

17、限對(duì)應(yīng)的常用功能場景列表表A.1 位置信息場景功能場景類型場景說明和舉例出行服務(wù)定位用戶和司機(jī)信息，明確用車起點(diǎn)和目的地，便于計(jì)費(fèi)。導(dǎo)航服務(wù)精準(zhǔn)定位起始地和目的地，根據(jù)起始地和目的地精準(zhǔn)計(jì)算路線。O2O 上門服務(wù)精準(zhǔn)定位用戶位置信息，進(jìn)行基于位置信息的上門服務(wù)。社交通訊以用戶的位置為中心，定位周邊好友，或根據(jù)用戶與好友之間的位置，計(jì)算距離，進(jìn)行路線規(guī)劃。電商購物根據(jù)用戶的精準(zhǔn)定位，分區(qū)域的進(jìn)行商品、店鋪或服務(wù)等推薦；根據(jù)用戶定位信息，自動(dòng)填寫收貨地址。影音娛樂基于用戶的地理位置，推薦周邊的有趣視頻；根據(jù)用戶所看的視頻，推薦周邊與用戶看同一視頻的其他用戶，增強(qiáng)社交屬性。新聞閱讀利用精準(zhǔn)定位，獲取

18、用戶所在城市、區(qū)域，推薦給用戶本地的新聞內(nèi)容。天氣服務(wù)向用戶提供具體位置和地點(diǎn)的天氣信息?？爝f配送通過對(duì)快遞服務(wù)定位，使得收發(fā)雙方可以實(shí)時(shí)看到物品地點(diǎn)。表A.2 照相機(jī)場景功能場景類型場景說明和舉例拍照和視頻錄制用戶為記錄、上傳、分享、掃碼等原因，主動(dòng)拍攝照片和視頻；手電筒開啟手電筒需要申請照相機(jī)權(quán)限；身份驗(yàn)證注冊、登錄時(shí)需要開啟相機(jī)，協(xié)助身份認(rèn)證；條碼掃描通過條碼、二維碼掃描進(jìn)行相關(guān)操作。表A.3 麥克風(fēng)場景功能場景類型場景說明和舉例社交通信例如聊天應(yīng)用，用于錄制語音信息；文本輸入例如輸入法，用于語音輸入；語音控制例如使用語音控制 IoT 設(shè)備的移動(dòng)應(yīng)用，用于錄制語音指令；移動(dòng)辦公例如使用錄

19、音機(jī)等進(jìn)行信息記錄、識(shí)別等操作；多媒體處理例如短視頻類應(yīng)用，錄制音頻、視頻等需求；語言學(xué)習(xí)例如外語學(xué)習(xí)，發(fā)音訓(xùn)練等；表A.4 電話場景功能場景類型場景說明和舉例社交通信例如撥打互聯(lián)網(wǎng)電話；數(shù)據(jù)備份例如備份工具需要訪問通話記錄進(jìn)行數(shù)據(jù)備份；通話記錄管理例如騷擾攔截等；表A.5 信息場景功能場景類型場景說明和舉例信息管理用于收發(fā)和管理短彩信狀態(tài)的應(yīng)用軟件，可申請信息讀、寫、接收和發(fā)送權(quán)限；數(shù)據(jù)備份例如備份工具需要訪問通話記錄進(jìn)行數(shù)據(jù)備份；表A.6 聯(lián)系人場景功能場景類型場景說明和舉例通信錄管理用于新建、保存、修改和刪除等聯(lián)系人管理應(yīng)用軟件，可申請聯(lián)系人讀和寫權(quán)限，例如名片、電話本管理等工具軟件；數(shù)據(jù)備份通過備份工具軟件備份聯(lián)系人，可以申請聯(lián)系人讀權(quán)限；網(wǎng)絡(luò)電話網(wǎng)絡(luò)撥打電話應(yīng)用軟件，可申請聯(lián)系人讀權(quán)限；移動(dòng)辦公例如辦公軟件、郵件工具軟件等，可申請聯(lián)系人讀和寫權(quán)限；表A.7 存儲(chǔ)場景功能場景類型場景說明和舉例新建和保存用戶在使用應(yīng)用過程中需要在本應(yīng)