2024APP用戶權(quán)益保護測評規(guī)范第6部分：違規(guī)收集個人信息

——第1部分：超范圍收集個人信息；——第2部分：定向推送；——第3部分：個人信息獲取行為；——第4部分：權(quán)限索取行為；——第5部分：違規(guī)使用個人信息；——第6部分：違規(guī)收集個人信息；——第7部分：欺騙誤導強迫行為；——第8部分：移動應用分發(fā)平臺管理；——第9部分：移動應用分發(fā)平臺信息展示；——第10部分：自啟動和關(guān)聯(lián)啟動行為。APP用戶權(quán)益保護測評規(guī)范第6部分：違規(guī)收集個人信息范圍本文件規(guī)定了移動應用軟件及第三方軟件開發(fā)工具包違規(guī)收集個人信息部分的檢測細則以及典型檢測場景。本文件適用于移動應用軟件提供者規(guī)范用戶收集使用個人信息處理活動，也適用于主管部門、第三方評估機構(gòu)等組織對移動應用軟件收集使用個人信息行為進行監(jiān)督、管理和評估。規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069—2022信息安全技術(shù)術(shù)語GB/T41391—2022信息安全技術(shù)移動互聯(lián)網(wǎng)應用程序(App)收集個人信息基本要求YD/T2407—2021移動智能終端安全能力技術(shù)要求YD/T4177.1—2022移動互聯(lián)網(wǎng)應用程序（APP）收集使用個人信息最小必要評估規(guī)范第1部分：總則術(shù)語和定義下列術(shù)語和定義適用于本文件。移動智能終端smartmobileterminal能夠接入移動通信網(wǎng)，具有能夠提供應用軟件開發(fā)接口的操作系統(tǒng)，具有安裝、加載和運行應用軟件能力的終端。[來源:YD/T2407—2021，3.1.1]移動互聯(lián)網(wǎng)應用程序mobileInternetapplication可安裝在移動智能終端內(nèi)，能夠利用移動智能終端操作系統(tǒng)提供的公開開發(fā)接口，實現(xiàn)某項或某幾項特定任務的應用程序。注：包含移動智能終端預置應用、小程序、快應用以及互聯(lián)網(wǎng)信息服務提供者提供的可以通過網(wǎng)站、應用商店等應用分發(fā)平臺下載、安裝、升級的應用程序，簡稱APP。收集collect獲得個人信息的活動。[來源:YD/T4177.1—2022，3.7]個人信息personalinformation以電子或者其他方式記錄的與已識別或者可識別的自然人有關(guān)的各種信息，不包括匿名化處理后的信息。[來源:《中華人民共和國個人信息保護法》]敏感個人信息sensitivepersonalinformation一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產(chǎn)安全受到危害的個人信息，包括生物識別、宗教信仰、特定身份、醫(yī)療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。[來源:《中華人民共和國個人信息保護法》]用戶user使用產(chǎn)品或服務的個人信息主體。[來源:GB/T25069—2022，3.733，有修改]同意consent個人信息主體對其個人信息進行處理自愿、明確作出授權(quán)的行為。注：包括通過積極的行為作出授權(quán)（即明示同意），或者通過個人信息主體的行為而推定其作出授權(quán)。軟件開發(fā)工具包softwaredevelopmentkit協(xié)助軟件開發(fā)的軟件庫。注：軟件工具開發(fā)包簡稱SDK，通常包括相關(guān)二進制文件、文檔、范例和工具的集合。[來源:GB/T41391—2022，3.14，有修改]縮略語下列縮略語適用于本文件。IMEI：國際移動設(shè)備識別碼（InternationalMobileEquipmentIdentity）IMSI：國際移動用戶識別碼（InternationalMobileSubscriberIdentity）MAC：媒體存取控制（MediaAccessControl）IDFA：廣告標識別符（IdentifierForAdvertising）IDFV：供應商標識符（IdentifierForVendor）OAID：匿名設(shè)備標識符（OpenAnonymousDeviceIdentifier）MEID：移動設(shè)備識別碼（MobileEquipmentIdentifier）ICCID：集成電路卡識別碼（IntegrateCircuitCardIdentity）SN：設(shè)備序列號（SerialNumber）SUCI：用戶隱藏標識符（SUbscriptionConcealedIdentifier）SUPI：用戶永久標識符（SUbscriptionPermanentIdentifier）違規(guī)收集個人信息概述違規(guī)收集個人信息的行為包括未見明示、有明示未同意、明示不清晰、未見明示SDK、明示SDK未同意、明示SDK不清晰、同意不清晰、默認同意和拒絕同意，出現(xiàn)上述任意一種行為，則判定為違規(guī)收集個人信息。未見明示未見明示具體場景包括但不限于：APP未以個人信息處理規(guī)則彈窗等形式向用戶明示個人信息處理的目的、方式和范圍，收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息；APP個人信息處理規(guī)則中未突出展示APP處理個人敏感信息的目的、方式和范圍。APP以個人信息處理規(guī)則彈窗等形式向用戶明示個人信息處理的目的、方式和范圍，未經(jīng)用戶同意，收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息。APP以個人信息處理規(guī)則彈窗等形式向用戶明示個人信息處理的目的、方式和范圍，未清晰明示處理IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息的目的、方式和范圍，用戶同意后，收集相應個人信息；未清晰明示在靜默狀態(tài)下或在后臺運行時收集個人信息的目的、方式和范圍，收集相應個人信息。SDK未見明示SDK具體場景包括但不限于：APP未以個人信息處理規(guī)則彈窗等形式向用戶明示第三方SDK處理個人信息的目的、方式和范圍，第三方SDK不應收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息；APP個人信息處理規(guī)則中應突出展示或標識第三方SDK處理個人敏感信息的目的、方式和范圍。SDKAPP以個人信息處理規(guī)則彈窗等形式向用戶明示第三方SDK處理個人信息的目的、方式和范圍，未經(jīng)用戶同意，第三方SDK收集IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息。SDKAPP以個人信息處理規(guī)則彈窗等形式向用戶明示第三方SDK處理個人信息的目的、方式和范圍，未清晰明示第三方SDK處理IMEI、IMSI、設(shè)備MAC地址、AndroidID、OAID、IDFA、IDFV、MEID、ICCID、SN、SUPI、SUCI、軟件安裝列表、位置、聯(lián)系人、通話記錄、日歷、短信、本機電話號碼、圖片、音視頻、剪切板等個人信息的目的、方式和范圍，用戶同意后，第三方SDK收集相應個人信息；未清晰明示在靜默狀態(tài)下或在后臺運行時第三方SDK收集個人信息的目的、方式和范圍，第三方SDK收集相應個人信息。注：5.5、5.6、5.7節(jié)中APP通過技術(shù)手段或從SDK獲得等方式向用戶明示可獲知的SDK處理的個人信息的目的、方式和范圍。從SDK獲得的方式中，SDK有義務向APP告知所處理的個人信息的目的、方式和范圍及變化