移動互聯網應用程序(App)安全認證實施規(guī)則最終版2019年度-03-13發(fā)布

1、市場監(jiān)管總局中央網信辦關于開展App安全認證工作的公告為規(guī)范移動互聯網應用程序（以下稱 App ）收集、使用用戶信息特別是個人 信息的行為，加強個人信息安全保護，根據中華人民共和國網絡安全法中華人民共和國認證認可條例，市場監(jiān)管總局、中央網信辦決定開展App安全認 證工作?，F將有關事項公告如下:、App安全認證活動依據移動互聯網應用程序（App ）安全認證實施規(guī)則（見附件）開展。、從事App安全認證的認證機構為中國網絡安全審查技術與認證中心，檢測機構由認證機構根據認證業(yè)務需要和技術能力確定。三、認證機構和檢測機構應按有關規(guī)定，客觀、公正地開展認證和檢測活動, 并對認證和檢測結果負責。四、國家鼓勵

2、App運營者自愿通過App安全認證，鼓勵搜索引擎、應用商 店等明確標識并優(yōu)先推薦通過認證的 App附件編號：CNCA-APP-001移動互聯網應用程序（App）安全認證實施規(guī)則2019-03-13 發(fā)布2019-03-15 實施國家認證認可監(jiān)督管理委員會發(fā)布目錄（7）1適用范圍2認證依據 3認證模式4認證程序4.14.24.34.4認證申請. 認證受理. 技術驗證. 現場審核.4.54.64.7認證決定對認證決定的申訴獲證后監(jiān)督5認證時限6認證證書6.1證書的保持6.2證書的變更6.3認證的暫停、撤銷和注銷7認證證書和認證標志的使用和管理 7.1認證證書的使用7.2認證標志及其使用8認證責任1

3、適用范圍本規(guī)則適用于對移動互聯網應用程序（以下稱“ App”）的數據安 全認證。2認證依據App安全認證的認證依據為GB/T 35273信息安全技術個人信息 安全規(guī)范及相關標準、規(guī)范。上述標準原則上應執(zhí)行國家標準化行政主管部門發(fā)布的最新版本。3認證模式App安全認證的認證模式為：技術驗證+現場核查+獲證后監(jiān)督。4認證程序4.1認證申請4.1.1申請方認證申請主體為通過App向用戶提供服務的網絡運營者（以下簡稱 “ App運營者”），且取得市場監(jiān)督管理部門或有關機構注冊登記的法 人資格。違反相關法律法規(guī)； 在12個月內發(fā)生重大信息安全事件； 所持同類證書在撤銷認證影響期內； 認證機構規(guī)定的其他情

4、況。App運營者有下列情形之一的，不得申請認證：（1）（2）（3）（4）4.1.2申請單元的確定原則上按App版本申請認證。同一名稱的 App,版本號、操作系統(tǒng) 平臺等不同時，一般應分為不同申請單元，具體由認證機構依據本規(guī) 則制定的認證實施細則予以規(guī)定。認證申請書；法人資格證明材料；App版本控制說明；對認證要求符合性的自評價結果及相關證明文檔;對App符合相關安全技術標準的證明文件； 不同發(fā)布渠道的版本差異性聲明； 其他需要的文件。4.1.3申請方應提交的文件和資料 認證申請方在申請認證時，提交的文檔資料應至少包含以下內容：（1）（2）（3）（4）（5）（6）4.2認證受理認證機構對申請資料

5、進行審核后做出受理決定，并向認證申請方 反饋受理決定。4.3技術驗證4.3.1樣品獲取認證申請方按照申請書填寫的送樣方式提交樣本。送樣副本應反映所有發(fā)布渠道App副本與認證相關的技術特性；不 能反映時，還應選送申請單元內其他 App副本。4.3.2技術驗證依據的標準技術驗證的依據為GB/T 35273信息安全技術個人信息安全規(guī)范 認證機構應根據GB/T 35273制定技術驗證規(guī)范，確定針對標準要 求的技術驗證內容、方法和評價準則。4.3.3技術驗證方式技術驗證采用實驗室檢測和現場核查等方式進行。4.3.4技術驗證實施檢測機構按照技術驗證規(guī)范實施技術驗證，并按照認證機構有關 規(guī)定出具技術驗證報告

6、。發(fā)現不符合時，檢測機構向認證申請方出具不符合報告，并要求 限期整改；逾期未完成整改的，中止認證過程。4.4現場審核技術驗證通過后，認證機構對App運營者進行現場審核。4.4.1現場審核依據的標準現場審核的依據為GB/T 35273信息安全技術個人信息安全規(guī)范。 認證機構應根據GB/T 35273制定現場審核規(guī)范，確定針對標準要求的現場審核內容、方法和評價準則。442現場審核實施認證機構按照現場審核規(guī)范實施現場審核，并按認證機構有關規(guī) 定出具現場審核報告。發(fā)現不符合時，認證機構向認證申請方出具不符合報告，并要求 限期整改；逾期未完成整改的，中止認證過程。4.5認證決定認證機構根據申請資料、技術

7、驗證結論和現場審核結論等進行綜 合評價，做出認證決定。認證決定通過后，由認證機構向認證申請方 頒發(fā)認證證書，并授權獲證App運營者使用規(guī)定的認證標志。認證決定 不通過的，終止認證。4.6對認證決定的申訴認證申請方如對認證決定結果有異議，可在收到認證結果通知后 10個工作日內通過認證機構指定的申訴渠道進行申訴。認證機構自收到申訴之日起，應在5個工作日決定是否予以受理；對于受理的申訴, 一般應在30個工作日給出處理結果，并將處理結果書面通知認證申請 方。4.7獲證后監(jiān)督獲證App運營者應持續(xù)進行獲證后自評價，并配合認證機構的監(jiān)督 活動。認證機構應對獲證App和 App運營者實施持續(xù)監(jiān)督，監(jiān)督方式包

8、括 日常監(jiān)督和專項監(jiān)督。4.7.1獲證后自評價獲證App勺分發(fā)渠道發(fā)生變化； 認證標志使用情況發(fā)生變化；獲證App發(fā)生變更，以及所引起的收集、處理和使用個人信 息的目的、類型、方式發(fā)生變化；獲證App運營者應對獲證App持續(xù)符合認證要求的情況進行自評 價。當出現如下情形時，獲證 App運營者應向認證機構提交自評價報 告：（1）（2）（3）（4）獲證App運營者對所收集個人信息的共享、轉讓、公開披露 的對象、方式和目的發(fā)生變化；（5）獲證App運營者收到獲證App個人信息保護相關的投訴舉報。 4.7.2日常監(jiān)督認證機構應對獲證App和App運營者持續(xù)實施日常監(jiān)督，日常監(jiān) 督的內容至少包括以下方面

9、：（1）獲證App一致性檢查；（2）獲證App的更新情況；（3）認證證書和認證標志的使用情況；（4）企業(yè)開展自評價的情況；（5）獲證App被網民舉報投訴和社會媒體曝光情況；（6）其他影響獲證App在個人信息收集、處理和使用方面持續(xù)符 合認證要求的情況。認證機構應定期對日常監(jiān)督情況進行評價，形成日常監(jiān)督報告。 4.7.3專項監(jiān)督當出現如下情形，認證機構應啟動專項監(jiān)督：（1） 網民舉報投訴、媒體曝光、行業(yè)通報等涉及獲證 App存在個 人信息安全方面的問題，并經查實獲證 App運營者負有責任時；（2）獲證App運營者因組織架構、服務模式等發(fā)生重大變更，或 發(fā)生破產并購等可能影響App認證特性符合性時

10、；（3）認證機構根據日常監(jiān)督結果，對獲證 App與本規(guī)則中規(guī)定的標準要求的符合性提出具體質疑時。專項監(jiān)督應對上述情形進行深入調查，并對獲證 App持續(xù)符合性 全面審核，必要時還可進行技術驗證。認證機構可采取事先不通知的方式對獲證 App運營者實施專項監(jiān) 督。4.7.4監(jiān)督結果的處理獲證后監(jiān)督中發(fā)現不符合時，認證機構應要求獲證App運營者在限 期內進行整改，并對整改結果進行驗證。未在規(guī)定期限內完成整改或 整改結果未通過驗證的，按照6.3規(guī)定處置。5認證時限認證時限是指自作出受理決定之日起至作出認證決定所實際發(fā)生 的工作日，一般為90個工作日（不包含整改時間）。6認證證書6.1證書的保持認證機構應

11、對認證證書的有效期做出規(guī)定，超過有效期的認證證 書自行失效。當認證規(guī)則要求（如標準）發(fā)生變化時，應在認證機構 確定的轉換期限內完成換證。6.2證書的變更6.2.1變更申請與通知獲證App名稱、版本發(fā)生變更； 認證范圍擴大或縮??； 獲證App運營者名稱、注冊地址發(fā)生變更； 認證機構規(guī)定的其它事項發(fā)生變更時。出現下列情況之一時，獲證 App運營者應向認證機構提出變更申 請：（1）（2）（3）（4）622變更評價和批準/或現場認證機構根據變更的內容，對提供的資料進行評價，確定是否可 以批準變更。如需重新技術驗證和現場審核，應在技術驗證和 審核通過后方能批準變更。6.3認證的暫停、撤銷和注銷6.3.1

12、暫停認證有下列情形之一的，認證機構應暫停認證，并予以公布：（1）國家有關主管部門發(fā)現獲證App存在安全問題；（2）在監(jiān)督中發(fā)現獲證App不能持續(xù)符合認證要求；（3）獲證App運營者在App發(fā)生重大變更后，未及時向認證機構報告變更情況；（4）獲證App運營者違規(guī)使用認證證書、認證標志；（5）認證標準或認證規(guī)則發(fā)生變化，獲證 App運營者未按認證機 構規(guī)定完成過渡轉換；（6）獲證App運營者主動申請暫停認證；（7）其他依法應當暫停的情形。暫停期限一般為180天。暫停期限內，獲證App運營者可提出恢復 認證的申請，認證機構經審核、批準后，方可使用該證書。在暫停認 證期間，獲證App運營者不得繼續(xù)使用

13、證書和認證標志。6.3.2撤銷認證有下列情形之一的，認證機構應撤銷認證，并予以公布：（1）獲證App運營者存在個人信息安全有關的違規(guī)違法行為；（2）暫停認證期間，獲證App運營者未采取有效整改措施；（3）發(fā)現獲證App運營者在認證過程中存在欺騙、隱瞞、違反承 諾等不當行為，影響認證有效性；（4）獲證App運營者拒絕接受獲證后監(jiān)督；（5）超過暫停期限；（6）其他依法應當撤銷的情形。撤銷認證后，獲證App運營者應交回認證證書，停止使用認證標志。6.3.3注銷認證有下列情形之一的，認證機構應注銷認證，并予以公布：（1）獲證App不再向用戶提供服務；（2）獲證App運營者申請注銷；（3）其他依法應當注銷的情形。注銷認證后，獲證App運營者應交回認證證書，停止使用認證標志。7認證證書和認證標志的使用和管理7.1認證證書的使用和管理在認證證書有效期內，獲證 App運營者可將證書在網站、工作場 所和宣傳資料中展示，但不應進行誤導性宣傳。7.2認證標志及其使用和管理721認證標志的式樣認證標志的式樣由基本圖案、認證機構識別信息組成?！?ABC D代表認證機構識別信息。7.2.2認證標志的使用和管理 認