GB-T 42012-2022 信息安全技術(shù) 即時通信服務(wù)數(shù)據(jù)安全要求

國家標(biāo)準(zhǔn)化管理委員會I前言 Ⅲ 12規(guī)范性引用文件 13術(shù)語和定義 14縮略語 25概述 25.1即時通信服務(wù)業(yè)務(wù)組成 25.2即時通信服務(wù)數(shù)據(jù)范圍 36基本要求 37數(shù)據(jù)收集 37.1收集用戶信息 37.2申請系統(tǒng)權(quán)限 47.3告知同意 48數(shù)據(jù)存儲和傳輸 48.1數(shù)據(jù)存儲 48.2數(shù)據(jù)傳輸 49數(shù)據(jù)使用和加工 59.1數(shù)據(jù)展示 59.2數(shù)據(jù)加工 510數(shù)據(jù)提供和公開 511數(shù)據(jù)刪除 612數(shù)據(jù)出境 613個人信息主體權(quán)利 613.1個人信息查閱和更正 613.2個人和組織信息刪除 613.3個人撤回同意 614即時通信服務(wù)特殊場景 714.1未成年人保護 714.2防范網(wǎng)絡(luò)詐騙的保護措施 7附錄A(資料性)即時通信服務(wù)數(shù)據(jù)處理活動及安全風(fēng)險 8附錄B(資料性)即時通信服務(wù)重要數(shù)據(jù)識別參考規(guī)則及數(shù)據(jù)分類示例 9附錄C(資料性)個人即時通信服務(wù)常見擴展業(yè)務(wù)功能收集個人信息范圍 附錄D(資料性)即時通信服務(wù)App相關(guān)系統(tǒng)權(quán)限申請范圍及使用要求 參考文獻 Ⅲ司、華為技術(shù)有限公司、鄭州信大捷安信息技術(shù)股份有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司、1信息安全技術(shù)即時通信服務(wù)數(shù)據(jù)安全要求安全要求。本文件適用于即時通信服務(wù)提供者規(guī)范數(shù)據(jù)處理活動，也可為監(jiān)管部門、第三方評估機構(gòu)對即時通信服務(wù)數(shù)據(jù)處理活動進行監(jiān)督、管理、評估提供參考。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于GB/T25069信息安全技術(shù)術(shù)語GB/T35273—2020信息安全技術(shù)個人信息安全規(guī)范GB/T37964信息安全技術(shù)個人信息去標(biāo)識化指南GB/T37988信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型GB/T39335信息安全技術(shù)個人信息安全影響評估指南GB/T41391—2022信息安全技術(shù)移動互聯(lián)網(wǎng)應(yīng)用程序(App)收集個人信息基本要求GB/T41479信息安全技術(shù)網(wǎng)絡(luò)數(shù)據(jù)處理安全要求3術(shù)語和定義GB/T25069和GB/T35273—2020界定的以及下列術(shù)語和定義適用于本文件。即時通信服務(wù)instantmessagingservice個人即時通信服務(wù)consumerinstantmessagingservice面向個人用戶的即時通信服務(wù)。組織即時通信服務(wù)organizationinstantmessagingservice面向組織(例如企業(yè)、政務(wù)機關(guān)等)辦公場景的即時通信服務(wù)。2SDK:軟件開發(fā)工具包(SoftwareDea)個人即時通信服務(wù)：個人即時通信服務(wù)的參與相關(guān)方包括個人用戶、即時通信服務(wù)提供者3即時通信服務(wù)數(shù)據(jù)處理活動及安全風(fēng)險見附錄A。5.2即時通信服務(wù)數(shù)據(jù)范圍本文件中即時通信服務(wù)數(shù)據(jù)范圍包括以下內(nèi)容。a)用戶數(shù)據(jù)：即時通信服務(wù)提供者在提供即時通信服務(wù)過程中收集和產(chǎn)生的個人和組織用戶數(shù)b)業(yè)務(wù)數(shù)據(jù)：即時通信服務(wù)提供者在提供即時通信服務(wù)過程中處理的除用戶數(shù)據(jù)外的其他數(shù)據(jù)，6基本要求即時通信服務(wù)提供者數(shù)據(jù)安全的基本要求如下：a)數(shù)據(jù)處理活動應(yīng)遵守GB/T41479中的要求；b)個人信息處理活動應(yīng)遵守GB/T35273—2020中的要求，即時通信App的個人信息收集活動應(yīng)遵守GB/T41391—2022中的要求；c)應(yīng)按照有關(guān)要求和標(biāo)準(zhǔn)進行數(shù)據(jù)分類分級保護，識別即時通信服務(wù)涉及的核心數(shù)據(jù)、重要數(shù)d)應(yīng)識別即時通信服務(wù)涉及的一般個人信息、敏感個人信息，對個人信息進行分類管理；e)應(yīng)履行互聯(lián)網(wǎng)平臺運營者義務(wù)，如個人信息保護獨立監(jiān)督、制定公平公正的平臺規(guī)則、隱私政策披露、平臺內(nèi)經(jīng)營者管理、發(fā)布個人信息保護社會責(zé)任報告等；f)即時通信服務(wù)提供者的數(shù)據(jù)安全能力應(yīng)至少符合GB/T37988二級能力要求；g)應(yīng)結(jié)合數(shù)據(jù)處理活動的實際情況，按照有關(guān)國家標(biāo)準(zhǔn)定期開展數(shù)據(jù)安全風(fēng)險評估；h)應(yīng)在開展對個人權(quán)益有重大影響的個人信息處理活動前，按照GB/T39335進行個人信息保護影響評估；i)應(yīng)按照有關(guān)國家標(biāo)準(zhǔn)，在即時通信服務(wù)平臺規(guī)劃建設(shè)時開展個人信息安全工程實踐，同步規(guī)j)即時通信服務(wù)平臺應(yīng)符合國家網(wǎng)絡(luò)安全等級保護相關(guān)標(biāo)準(zhǔn)要求。7.1收集用戶信息即時通信服務(wù)提供者應(yīng)在遵守GB/T35273—2020中5.1、5.2、5.3的要求基礎(chǔ)上，遵守以下要求：a)通過即時通信App收集用戶必要個人信息應(yīng)符合GB/T41391—2022中A.3的規(guī)定；b)通過即時通信App社區(qū)功能要求用戶必須提供的個人信息，不應(yīng)超出GB/T41391—2022中A.4規(guī)定的必要個人信息范圍；c)擴展業(yè)務(wù)功能收集的個人信息均應(yīng)由用戶可選提供或者用戶公開信息，且應(yīng)限于實現(xiàn)處理目的的最小范圍；4即時通信App不應(yīng)申請與App業(yè)務(wù)功能無關(guān)的系統(tǒng)權(quán)限，系統(tǒng)權(quán)限申請范圍及使用要求見附a)組織即時通信服務(wù)提供者宜提示組織用戶通過組織文件等方式告知組織員工個人信息收集8.1數(shù)據(jù)存儲個人即時通信服務(wù)提供者開展數(shù)據(jù)存儲活動時，應(yīng)在遵守GB/T35273—2020中第6章的要求基a)即時通信服務(wù)個人信息存儲期限應(yīng)為實現(xiàn)個人信息處理目的所必需的最短時間，超出存儲期a)應(yīng)對敏感個人信息提供安全加密存儲和保護；c)宜依據(jù)組織歸檔處理管理制度銷毀或者存儲歸檔組織即時通信信息。5個人即時通信服務(wù)提供者對個人信息的展示，應(yīng)在遵守GB/T35273—2020中7.2的要求基礎(chǔ)上，a)應(yīng)對如登錄口令等涉及賬號安全的敏感個人信息采取GB/T37964中的方法進行脫敏展示，c)宜向組織用戶提供設(shè)置水印等保護組織數(shù)據(jù)的功能。d)通過自動化決策方式向個人進行廣告推送、商業(yè)營銷，應(yīng)當(dāng)同時提供不針對其個人特征的選即時通信服務(wù)提供者向第三方提供數(shù)據(jù)，應(yīng)在遵守GB/T35273—2020中9.1至9.5的要求基礎(chǔ)b)在使用第三方SDK,將收集的數(shù)據(jù)委托給外部機構(gòu)處6即時通信服務(wù)提供者向用戶提供個人信息刪除，應(yīng)在遵守GB/T35273—2020中8.3的要求基礎(chǔ)即時通信服務(wù)提供者向用戶提供個人信息撤回同意，應(yīng)在遵守GB/T35273—2020中8.4的要求7d)提供撤回全部或部分向其他應(yīng)用的關(guān)系鏈?zhǔn)跈?quán)a)收集不滿14周歲未成年人個人信息，應(yīng)制定專門的個人信息處理規(guī)則，并取得未成年人的父c)青少年模式應(yīng)在通過口令等方式驗證后才可退出；f)宜在用戶注冊時提示未滿14周歲的用戶填寫個人生日信息；2)出現(xiàn)異常登錄或好友發(fā)起異常轉(zhuǎn)賬等非常規(guī)行為時進行安全提示；8(資料性)即時通信服務(wù)數(shù)據(jù)處理活動及安全風(fēng)險A.1即時通信服務(wù)數(shù)據(jù)處理活動即時通信服務(wù)數(shù)據(jù)處理活動示意圖如圖A.1所示。=應(yīng)用集成存儲平臺或服務(wù)提供者提供和公開使用和加工組織用戶個人用戶M戶匹第三方刪除圖A.1即時通信服務(wù)數(shù)據(jù)處理活動及相關(guān)角色和服務(wù)功能示意圖A.2即時通信服務(wù)數(shù)據(jù)安全風(fēng)險即時通信服務(wù)提供者主要面臨如下數(shù)據(jù)安全風(fēng)險：a)在數(shù)據(jù)收集活動中，過度收集個人信息或者過度索取移動智能終端權(quán)限的風(fēng)險；b)收集數(shù)據(jù)時，未能有效識別未成年人或未能征得未成年人監(jiān)護人的有效同意，導(dǎo)致無法有效提供未成年人保護措施；c)在數(shù)據(jù)傳輸、存儲活動中，未采取充分安全保護措施，因鏈路監(jiān)聽、攻擊拖庫和權(quán)限不數(shù)據(jù)泄露、損壞和濫用風(fēng)險，尤其是關(guān)系鏈信息泄露造成的網(wǎng)絡(luò)詐騙等風(fēng)險；d)辦公場景下，即時通信服務(wù)數(shù)據(jù)除了用戶個人信息外，還包含組織數(shù)據(jù)，同時還面臨組織數(shù)據(jù)e)在數(shù)據(jù)使用活動中，數(shù)據(jù)展示和加工處理環(huán)節(jié)可能存在對用戶個人信息的濫用風(fēng)險，尤其是在好友匹配、廣告推薦、資訊推薦等個性化場景中，以f)在數(shù)據(jù)提供活動中，如在支持用戶通過授權(quán)服務(wù)開通第三方應(yīng)用賬號、使用第三方完善服務(wù)、第三方辦公應(yīng)用接入、第三方廣告和內(nèi)容創(chuàng)作等場景中，可能存在對用戶信息的過度共享，以及第三方濫用和泄露用戶個人信息的風(fēng)險。9(資料性)即時通信服務(wù)重要數(shù)據(jù)識別參考規(guī)則及數(shù)據(jù)分類示例B.1即時通信服務(wù)重要數(shù)據(jù)識別參考規(guī)則即時通信服務(wù)重要數(shù)據(jù)識別參考規(guī)則如下：a)按照國家和即時通信服務(wù)行業(yè)的重要數(shù)據(jù)目錄，識別涉及的重要數(shù)據(jù)；b)相關(guān)目錄不明確時，按照重要數(shù)據(jù)識別相關(guān)規(guī)定、國家或行業(yè)標(biāo)準(zhǔn)識別重要數(shù)據(jù)；c)相關(guān)目錄、規(guī)定和標(biāo)準(zhǔn)均不明確時，將一旦被泄露或篡改、損運行、社會穩(wěn)定、公共健康和安全的數(shù)據(jù)識別為重要數(shù)據(jù)。B.2即時通信服務(wù)數(shù)據(jù)分類示例即時通信服務(wù)數(shù)據(jù)分類示例見表B.1。表B.1即時通信服務(wù)數(shù)據(jù)分類示例數(shù)據(jù)類別范圍址、昵稱、頭像、興趣愛好等；2)個人身份信息，包括身份證、護照、駕駛證等；3)個人生物識別信息，包括面部識別特征、聲紋等；4)網(wǎng)絡(luò)身份標(biāo)識信息，包括會員賬號或會員名、昵稱、互聯(lián)網(wǎng)協(xié)議(InternetProtocol,IP)地址等；5)個人即時通信信息，包括發(fā)送、接收、轉(zhuǎn)發(fā)、離線推送消息等；6)聯(lián)系人信息，包括好友、昵稱、備注、頭像、聯(lián)系方式、關(guān)聯(lián)群組、分組等；7)個人群組管理信息，包括群成員信息、公告信息、群昵稱、群設(shè)置等；8)個人常用設(shè)備信息，包括硬件序列號、設(shè)備媒體訪問控制(MediaAccessControl,MAC)地址、軟件列表、唯一設(shè)備識別碼(如國際移動設(shè)備識別碼)等個人常用設(shè)備基本情況的信息；9)個人位置信息，包括粗略定位信息、精準(zhǔn)定位信息、設(shè)備登錄位置等；10)其他信息，包括用戶偏好、訂閱瀏覽記錄、用戶網(wǎng)絡(luò)行為等1)組織基本資料，包括組織全稱、組織地址、官方網(wǎng)址、證件類型、營業(yè)執(zhí)照復(fù)印件、統(tǒng)一社會信用代碼、組織名稱、地址、法人代表姓名、法人代表身份證號、認(rèn)證公函等；2)組織辦公通訊錄，包括組織架構(gòu)、員工手機號、1)業(yè)務(wù)統(tǒng)計數(shù)據(jù)，包括用戶數(shù)、新增用戶數(shù)、用戶活躍度(日、周、月)、用戶留存率等；2)業(yè)務(wù)經(jīng)營數(shù)據(jù)，包括廣告點擊量、點贊量、上架應(yīng)用數(shù)量等；3)業(yè)務(wù)技術(shù)數(shù)據(jù)，包括算法模型、技術(shù)指標(biāo)參數(shù)(資料性)個人即時通信服務(wù)常見擴展業(yè)務(wù)功能收集個人信息范圍個人即時通信服務(wù)常見擴展業(yè)務(wù)功能收集個人信息范圍見表C.1。表C.1個人即時通信服務(wù)常見擴展業(yè)務(wù)功能收集的個人信息范圍個人信息收集范圍生日、性別、職業(yè)、愛好、家鄉(xiāng)、公司、地域位置、個性簽名匹配好友位置、性別、職業(yè)、愛好、年齡、家鄉(xiāng)、公司、個性簽名應(yīng)急聯(lián)系注：表中僅列舉了較為典型的個人即時通信服務(wù)常見擴展業(yè)務(wù)功能，各即時通信服務(wù)提供者務(wù)功能可能會有所差別，本表未予明確的擴展業(yè)務(wù)功能服務(wù)，根據(jù)需要實現(xiàn)的服務(wù)目的(資料性)即時通信服務(wù)App相關(guān)系統(tǒng)權(quán)限申請范圍及使用要求D.1即時通信服務(wù)AndroidApp(Android11及以下版本)相關(guān)系統(tǒng)權(quán)限申請范圍及使用要求表D.1即時通信服務(wù)AndroidApp相關(guān)系統(tǒng)權(quán)限申請范圍及使用要求ACCESS_FINE_LOCATION訪問精ACCESS_COARSE_LOCATION訪問粗略ACCESS_BACKGROUND_LOCATION支READ_CONTACTS讀取通訊錄READ_EXTERNAL_STORAGE讀取外置僅用于即時通信信息備份恢復(fù)、不同終端即時通性信息展示、二維碼掃描或識別除用戶主動使用云端存儲外，讀取后不應(yīng)回傳WRITE_EXTERNAL_STORAGE寫入外RECORD_AUDIO錄音READ_PH