T∕TAF 077.12-2021 APP收集使用个人信息最小必要评估规范 好友列表.pdf

I ICS 33.050 M 30 团体标准 APP 收集使用个人信息最小必要评估规范 好友列表 Application software user personal information collection and usage minimization and necessity evaluation specification Buddy list 2021 -01- 15 发布 2021 -01 - 15 实施 电信终端产业协会 发布 T/TAF 077.12-2021 T/TAF 077.12-2021 I 目 次 前言 .II 引言 . III 1 范围 .1 2 规范性引用文件 .1 3 术语和定义 .1 4 缩略语 .1 5 基本原则 .1 6 好友信息类型 .1 7 典型场景 .2 7.1 好友管理类场景 .2 7.2 即时通讯类场景 .2 7.3 资讯分享类场景 .2 7.4 单方关注类场景 .2 7.5 婚恋交友场景 .2 8 好友列表个人信息处理活动中的最小必要性评估要求 .2 8.1 授权同意 .2 8.2 收集阶段 .2 8.3 存储阶段 .3 8.4 使用阶段 .3 8.5 共享、转让阶段 .3 9 评估流程和方法 .3 T/TAF 077.12-2021 II 前 言 本文件按照 GB/T 1.1-2020标准化工作导则 第 1 部分：标准化文件的结构和起草规则的规定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由电信终端产业协会提出并归口。 本文件起草单位： 中国信息通信研究院、 上海寻梦信息技术有限公司、北京字节跳动科技有限公司、北京奇虎科技有限公司、深圳市腾讯计算机系统有限公司、蚂蚁科技集团股份有限公司。 本文件主要起草人：琭婧、田申、王宇晓、姚一楠、刘敬仁、宁华、王艳红、杜云。 T/TAF 077.12-2021 III 引 言 好友列表是 APP 在实现业务时被广泛应用的个人信息，在 GB/T 35273-2020个人信息安全规范中， 将好友列表信息列为个人敏感信息， 代表了用户的好友列表具有较高的敏感程度， 然而在一些场景，存在着对好友列表过度收集使用的情况，侵害了用户权益。 因此本文件旨在规范好友列表的收集和使用要求，为 APP 收集使用好友列表时提出相应要求和指导。 T/TAF 077.12-2021 1 APP 收集使用个人信息最小必要评估规范 好友列表 1 范围 本文件规定了移动应用软件（APP）对好友列表在收集、使用、存储、共享、转让、删除等处理活动中应遵循和参考的最小必要性评估要求，并结合典型的处理场景来说明如何落实最小必要原则。 本文件适用于APP对用户好友列表的处理活动，也适用于主管监管部门、第三方评估机构等对APP处理好友列表活动开展评估工作。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 352732020 信息安全技术 个人信息安全规范 T/TAF 077.1-2020 APP收集使用个人信息最小必要评估规范 总则 3 术语和定义 GB/T 352732020和T/TAF 077.1-2020界定的以及下列术语和定义适用于本文件。 3.1 好友列表 buddy list 指由用户在APP上添加生成的好友关系，APP可通过用户及其好友的id实现好友关系的识别。 3.2 即时通讯 instant messaging 允许两人或多人使用网络实时地进行文字、语音、视频等形式的交流。 3.3 第三方 APP third party APP 第三方APP指相对于用户生成好友关系的APP独立运营的其他APP。 4 缩略语 下列缩略语适用于本文件。 APP 移动应用软件 application 5 基本原则 应满足T/TAF 077.1-2020 APP收集使用个人信息最小必要评估规范 总则中的最小必要原则。 6 好友列表信息类型 T/TAF 077.12-2021 2 好友列表信息可能包含个人信息，如用户id等，并以此实现好友关系识别。 7 典型场景 7.1 好友管理类场景 好友管理类场景主要包括对好友信息的新增、删除和编辑，以及为好友设置权限等应用场景。 7.2 即时通讯类场景 即时通讯类场景主要包括通过APP向好友发送或接收文字、语音、图片、动画等即时消息，或与好友开展语音、视频通话。此场景包含企业即时通讯与个人即时通讯两种类型，企业即时通讯APP是指企业为开展经营活动需要专门搭建的即时通讯APP， 个人即时通讯APP是指个人为日常沟通交流使用的即时通讯APP。 7.3 资讯分享类场景 资讯分享类场景主要包括通过APP对好友列表中的指定好友、群组发送或接收指向特定网页、程序等的链接，例如音乐、视频、新闻、购物、读书信息等。 7.4 单方关注类场景 单方关注类场景是指通过APP对其他用户进行单方面关注， 优先推送被关注用户的内容更新的场景。 7.5 婚恋交友场景 婚恋交友类场景是指为实现婚恋交友等特定目的，利用APP与其他用户沟通联络，并形成好友关系的场景。 8 好友列表个人信息处理活动中的最小必要性评估要求 8.1 授权同意 APP在进行好友列表信息的处理活动前，应当向个人信息主体告知收集、使用、分享、存储个人信息的目的、方式、范围，以及更正、删除个人信息，撤回授权的流程等规则，并获得个人信息主体的明示同意。企业即时通讯APP除外。 8.2 收集阶段 a) 第三方APP获取好友列表信息时，需要经用户明示同意。 b) 经过用户事先同意，并在业务功能合理必要的情况下，第三方APP可周期性获取其他APP的好友列表，第三方APP收集好友列表频率不得超过满足业务功能所需的合理频率。 T/TAF 077.12-2021 3 c) 应允许用户在APP中手动添加好友，而不应强制读取用户在其他APP的好友列表，用户同意读取好友列表的，应当仅读取用于匹配、推荐好友的必要信息。 8.3 存储阶段 a) 存储好友列表的范围，不应超过为实现对应的业务功能合理必要的范围。 8.4 使用阶段 a) 仅按照收集的目的使用好友列表， 不应超出与收集时所声称的目的具有直接或合理关联的范围。因业务需要，确需超出上述范围的，应当再次征得用户的明示同意。 b） 未经用户同意，APP不得主动增删好友。 c）无明确合理理由，APP不得禁止用户添加、删除好友。 8.5 共享、转让阶段 a）未经个人信息主体同意，不得向任何第三方APP共享好友列表信息，因业务功能确需向第三方共享好友列表信息的，应事先告知个人信息主体共享、转让的目的、方式、范围，同时披露好友列表接收方主体信息及联系方式，并取得个人信息主体的明示同意。 b）婚恋交友类APP不得与第三方APP共享好友列表信息，法律法规规定的场景除外。 c）因企业合并导致用户好友列表信息转让的，应当在合并前明确告知用户合并的事实，用户可以在企业合并前删除好友。 9 评估流程和方法 APP收集使用好友列表信息最小必要的评估流程和方法应遵循T/TAF 077.1-2020 APP收集使用个人信息最小必要评估规范 总则中的评估流程和方法。 T/TAF 077.12-2021 电信终端产业协会团体标准 电信终端产业协会团体标准 APP 收集使用个人信息最小必要评估规范 好友列表 T/TAF 077.12-2021 * 版权所有 侵权必究 电信终端产业协会印发 地址：北京市西城区新街口外大街 28 号 电话：[phone] 电子版发行网址：