2024APP用戶權(quán)益保護測評規(guī)范第1部分：超范圍收集個人信息

IIAPP用戶權(quán)益保護測評規(guī)范第1部分：超范圍收集個人信息目??次TOC\o"1-3"\h\u127821范圍 124142規(guī)范性引用文件 1314283術(shù)語和定義 1312344縮略語 2296185超范圍收集個人信息 2308875.1超范圍收集 2239585.2超頻次收集 2326905.3SDK 3143065.4SDK 343355.5 3111195.6 3289825.7 431791SDK 4——第1部分：超范圍收集個人信息；——第2部分：定向推送；——第3部分：個人信息獲取行為；——第4部分：權(quán)限索取行為；——第5部分：違規(guī)使用個人信息；——第6部分：違規(guī)收集個人信息；——第7部分：欺騙誤導強迫行為；——第8部分：移動應用分發(fā)平臺管理；——第9部分：移動應用分發(fā)平臺信息展示；——第10部分：自啟動和關(guān)聯(lián)啟動行為。APP用戶權(quán)益保護測評規(guī)范第1部分：超范圍收集個人信息范圍本文件規(guī)定了移動應用軟件超范圍收集個人信息的檢測細則以及典型檢測場景。本文件適用于移動應用軟件提供者規(guī)范應用使用與個人信息相關(guān)的權(quán)限索取的行為，也適用于主管部門、第三方評估機構(gòu)等組織對移動應用軟件收集使用個人信息行為進行監(jiān)督、管理和評估。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T41391—2022信息安全技術(shù)移動互聯(lián)網(wǎng)應用程序(App)收集個人信息基本要求YD/T2407—2021移動智能終端安全能力技術(shù)要求YD/T4177.1—2022移動互聯(lián)網(wǎng)應用程序（APP）收集使用個人信息最小必要評估規(guī)范第1部分：總則術(shù)語和定義移動智能終端smartmobileterminal能夠接入移動通信網(wǎng)，具有能夠提供應用軟件開發(fā)接口的操作系統(tǒng)，具有安裝、加載和運行應用軟件能力的終端。[來源:YD/T2407—2021,3.1.1]移動互聯(lián)網(wǎng)應用程序mobileInternetapplication可安裝在移動智能終端內(nèi)，能夠利用移動智能終端操作系統(tǒng)提供的公開開發(fā)接口，實現(xiàn)某項或某幾項特定任務(wù)的應用程序。注：包含移動智能終端預置應用、小程序、快應用以及互聯(lián)網(wǎng)信息服務(wù)提供者提供的可以通過網(wǎng)站、應用商店等應用分發(fā)平臺下載、安裝、升級的應用程序，簡稱APP。軟件開發(fā)工具包softwaredevelopmentkit協(xié)助軟件開發(fā)的軟件庫。注：軟件工具開發(fā)包簡稱SDK，通常包括相關(guān)二進制文件、文檔、范例和工具的集合。[來源:GB/T41391—2022，3.14，有修改]收集collect獲得個人信息的活動。[來源:YD/T4177.1—2022，3.7]靜默狀態(tài)silencestate指的是APP處于設(shè)備屏幕中，用戶未使用該APP的任何相關(guān)功能且未主動觸發(fā)任何操作的狀態(tài)?？s略語下列縮略語適用于本文件。IMEI：國際移動設(shè)備識別碼（InternationalMobileEquipmentIdentity）IMSI：國際移動用戶識別碼（InternationalMobileSubscriberIdentity）MAC：媒體存取控制（MediaAccessControl）IDFA：廣告標識別符（IdentifierForAdvertising）IDFV：供應商標識符（IdentifierForVendor）OAID：匿名設(shè)備標識符（OpenAnonymousDeviceIdentifier）MEID：移動設(shè)備識別碼（MobileEquipmentIdentifier）ICCID：集成電路卡識別碼（IntegrateCircuitCardIdentity）SN：設(shè)備序列號（SerialNumber）SUCI：用戶隱藏標識符（SUbscriptionConcealedIdentifier）SUPI：用戶永久標識符（SUbscriptionPermanentIdentifier）超范圍收集個人信息超范圍收集超范圍收集具體場景包括但不限于：APP在收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息時，超出其所明示收集目的的合理關(guān)聯(lián)范圍；APP僅以服務(wù)體驗、產(chǎn)品研發(fā)、算法推薦、風險控制等為由，強制要求用戶同意超范圍或者與服務(wù)場景無關(guān)的個人信息處理行為。超頻次收集超頻次收集具體場景包括但不限于：APP未向用戶明示收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，以特定頻率收集個人信息；APP向用戶明示收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，收集個人信息的頻率超出其實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。SDKAPP向用戶明示第三方SDK處理IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的目的、方式和范圍，第三方SDK收集相應個人信息時不應超出其所明示收集目的的合理關(guān)聯(lián)范圍。SDKSDK超頻次收集具體場景包括但不限于：APP未向用戶明示第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，第三方SDK以特定頻率收集個人信息；APP向用戶明示第三方SDK收集使用IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，第三方SDK收集個人信息的頻率超出其實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。APP在靜默狀態(tài)下或在后臺運行時，收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息不應超出其所明示的收集目的的合理關(guān)聯(lián)范圍。靜默后臺超頻次收集具體場景包括但不限于：APP未向用戶明示在靜默狀態(tài)下或在后臺運行時收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，以特定頻次收集個人信息；APP向用戶明示在靜默狀態(tài)下或在后臺運行時收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，收集個人信息的頻率超出其實現(xiàn)產(chǎn)品或服務(wù)的業(yè)務(wù)功能所必需的最低頻率。APPSDKIMEI、IMSIMACAndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、SDKSDK靜默后臺超頻次收集具體場景包括但不限于：APP未向用戶明示在靜默狀態(tài)下或在后臺運行時第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻等個人信息的頻率，未經(jīng)用戶同意，在靜默狀態(tài)下或在后臺運行時，第三方SDK以特定頻次收集個人信息；APP向用戶明示在靜默狀態(tài)下或在后臺運行時第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUCI、SUPI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本