小程序個人信息保護規(guī)范 第1部分：申請授權(quán)行為

CCSM30電信終端產(chǎn)業(yè)協(xié)會發(fā)布IT/TAF180.1—2023前言 2規(guī)范性引用文件 3術(shù)語和定義 4要求 5小程序違規(guī)申請授權(quán)行為 5.1概述 5.2拒絕授權(quán)小程序強制退出或關(guān)閉 5.3拒絕授權(quán)小程序彈窗循環(huán) 5.4申請無關(guān)授權(quán) 5.5過度申請授權(quán) 5.6頻繁申請授權(quán) 附錄A（規(guī)范性）小程序可申請的授權(quán)及其對應(yīng)的信息范圍 4T/TAF180.1—2023本文件按照GB/T1.1—2020《標準化工作導(dǎo)則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)則起草。本文件是T/TAF180《小程序個人信息保護規(guī)范》的第1部分。T/TAF180已發(fā)布以下部分：——第1部分：申請授權(quán)行為。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。本文件由電信終端產(chǎn)業(yè)協(xié)會提出并歸口。本文件起草單位：中國信息通信研究院、泰爾認證中心有限公司、北京抖音信息服務(wù)有限公司、阿里巴巴(中國)有限公司、北京快手科技有限公司、螞蟻科技集團股份有限公司、榮耀終端有限公司、廈門美柚股份有限公司、小米通訊技術(shù)有限公司、上海兆言網(wǎng)絡(luò)科技有限公司、鄭州信大捷安信息技術(shù)股份有限公司、北京三快在線科技有限公司、華為技術(shù)有限公司、博鼎實華（北京）技術(shù)有限公司、中興通訊股份有限公司。本文件主要起草人：武林娜、宋愷、劉陶、王艷紅、王淞鶴、王宇曉、桑明臣、李可心、李京典、周飛、陳鑫愛、寧華、杜蕾、李昳婧、方強、落紅衛(wèi)、谷晨、王昕、林冠辰、趙曉娜、黃鵬華、顧澤宇、錢雷、劉獻倫、劉為華、劉瑾、王芳、李實、董霽、張宏偉。T/TAF180.1—2023隨著移動互聯(lián)網(wǎng)的發(fā)展，小程序作為常用互聯(lián)網(wǎng)服務(wù)入口，已全面滲透用戶生活，成為數(shù)字化時代不可或缺的一部分。小程序在匯聚大量用戶個人信息的同時，也存在處理個人信息方面的風(fēng)險隱患。本文件依據(jù)《中華人民共和國個人信息保護法》、《工業(yè)和信息化部關(guān)于開展縱深推進APP侵害用戶權(quán)益轉(zhuǎn)向整治行動的通知》（工信部信管[2020]164號）等法律法規(guī)及規(guī)范性文件要求，對小程序的申請授權(quán)行為進行規(guī)范，進一步提升小程序提供者的個人信息保護水平，促進移動互聯(lián)網(wǎng)行業(yè)的健康穩(wěn)定發(fā)展。T/TAF180擬由4個部分構(gòu)成：——小程序個人信息保護規(guī)范第1部分：申請授權(quán)行為；——小程序個人信息保護規(guī)范第2部分：個人信息收集行為；——小程序個人信息保護規(guī)范第3部分：全流程開發(fā)管理；——小程序個人信息保護規(guī)范第4部分：全生命周期。1T/TAF180.1—2023小程序個人信息保護規(guī)范第1部分：申請授權(quán)行為本文件規(guī)定了小程序申請授權(quán)行為部分的個人信息保護規(guī)范，包括小程序申請授權(quán)行為的典型檢測場景及檢測細則。本文件適用于小程序提供者對小程序的申請授權(quán)行為進行設(shè)計、開發(fā)和評估，也適用于主管部門、第三方評估機構(gòu)等組織對小程序的申請授權(quán)行為進行監(jiān)督、管理和評估。2規(guī)范性引用文件本文件沒有規(guī)范性引用文件。3術(shù)語和定義下列術(shù)語和定義適用于本文件。3.1框架型應(yīng)用軟件frame-basedapplicationsoftware在移動智能終端上運行，提供數(shù)據(jù)訪問控制和小程序分發(fā)等管理能力，并為在其上運行的第三方小程序提供相應(yīng)開發(fā)接口的應(yīng)用軟件。3.2小程序mini-program在框架型應(yīng)用軟件上運行的，通過框架型應(yīng)用軟件提供的功能接口，實現(xiàn)某項或某幾項特定功能的免安裝的應(yīng)用軟件。3.3授權(quán)authorization框架型應(yīng)用軟件為小程序提供的申請數(shù)據(jù)或資源的一種方式。范圍涵蓋框架型應(yīng)用所存儲的數(shù)據(jù)或資源及其從操作系統(tǒng)中獲取到的數(shù)據(jù)或資源。4基本要求小程序在申請授權(quán)時，應(yīng)滿足以下要求：a)小程序申請授權(quán)時，應(yīng)同步告知申請使用的目的，目的應(yīng)明確具體且易于理解，不包含任何欺詐、誘騙、誤導(dǎo)用戶授權(quán)的描述；2T/TAF180.1—2023b)小程序申請授權(quán)時，應(yīng)在使用對應(yīng)業(yè)務(wù)功能時提出申請，不應(yīng)以捆綁方式要求用戶一次性同意多個授權(quán)，不得默認、捆綁或使用其他手段變相欺騙、誤導(dǎo)、強迫個人信息主體授予權(quán)限；c)小程序申請授權(quán)應(yīng)為實現(xiàn)業(yè)務(wù)功能所必需，且獲得授權(quán)后收集個人信息不應(yīng)超出業(yè)務(wù)功能的最小必要范圍；d)申請授權(quán)后，應(yīng)僅訪問滿足業(yè)務(wù)功能需要的最少個人信息，且當實現(xiàn)相關(guān)功能不需要回傳個人信息則不應(yīng)回傳至后臺服務(wù)器；e)若由于業(yè)務(wù)功能更新等原因變更個人信息處理的目的、方式、范圍時，應(yīng)重新告知用戶并征得用戶同意；f)小程序應(yīng)提供便捷、有效、完整的授權(quán)撤銷渠道，可采用框架類應(yīng)用軟件提供的授權(quán)撤銷渠道；g)未經(jīng)用戶同意，不應(yīng)隨意更改用戶的授權(quán)狀態(tài)；h)小程序不應(yīng)產(chǎn)生5中違規(guī)申請授權(quán)的行為。5小程序違規(guī)申請授權(quán)行為5.1概述小程序違規(guī)申請授權(quán)的行為包括拒絕授權(quán)小程序退出或關(guān)閉、拒絕授權(quán)小程序彈窗循環(huán)、申請無關(guān)授權(quán)、過度申請授權(quán)、頻繁申請授權(quán)，出現(xiàn)上述任意一種行為，則判定為小程序違規(guī)申請授權(quán)，其中具體行為的具體定義參見本章5.2-5.6小節(jié)，申請授權(quán)的范圍參考附錄A。5.2拒絕授權(quán)小程序強制退出或關(guān)閉小程序運行時，向用戶申請授權(quán)，用戶拒絕授權(quán)后，小程序退出或關(guān)閉，或拒絕提供與申請授權(quán)無關(guān)的功能服務(wù)。5.3拒絕授權(quán)小程序彈窗循環(huán)小程序運行時，向用戶申請授權(quán)，若用戶拒絕授權(quán)后，小程序循環(huán)彈窗申請授權(quán)，使用戶無法繼續(xù)使用。5.4申請無關(guān)授權(quán)小程序向用戶申請的授權(quán)，與其提供的業(yè)務(wù)功能或服務(wù)不具備合理的相關(guān)性。5.5過度申請授權(quán)小程序過度申請授權(quán)，具體場景包括但不限于以下方式：a)小程序運行時，未見使用授權(quán)對應(yīng)的相關(guān)功能或服務(wù)，提前向用戶彈窗申請授權(quán)。b)小程序運行時，向用戶申請授權(quán)的信息范圍，超出其提供的功能或服務(wù)場景所必需的信息范圍。5.6頻繁申請授權(quán)小程序頻繁申請授權(quán)，具體場景包括但不限于以下方式：a)小程序運行時，在用戶明確拒絕授權(quán)申請后，向用戶頻繁彈窗申請與當前服務(wù)場景無關(guān)的授權(quán)，影響用戶正常使用。3T/TAF180.1—2023b)小程序在用戶明確拒絕授權(quán)申請后，退出并重新打開時，小程序向