《信息安全技术 移动互联网应用程序（App）收集个人信 息基本规范》最新版征求意见稿 与0805版本的比照

全国《信息安全技术移动互联网应用程序（App）收集个人信息基本规范（草案）》于2019年8月公开向社会征求意见，得到密切关注，其中很多网友以个人身份反馈了意见建议。截止目前，编制组共收到并处理意见150余条。基于各单位和个人反馈意见以及App违法违规收集使用个人信息专项治理工作实践经验，编制组对草案版本予以补充、优化和更新。更新部分包括：

1、对原有第4章“管理要求”和“技术要求”进行合并并补充、更新内容；

2、对附录A中部分服务类型所需最小必要信息进行完善，如网络支付、金融借贷、运动健身等。

3、其他改动。

上述内容来源于App专项治理工作组官方网站，网址为http://pip.tc260.org.cn/jbxt/privacy/detail/2019102501284491099

我们详细比对了《信息安全技术移动互联网应用（App）收集个人信息基本规范（征求意见稿8.5版）》与《信息安全技术移动互联网应用程序（App）收集个人信息基本规范（征求意见稿10.24版）》，以表格的方式列出了两个版本中相应条款存在的主要区别，并以红色的字体标识。详细内容参见下表：

	8月5日版	10月24日版
文件名	《信息安全技术移动互联网应用（App）收集个人信息基本规范》	《信息安全技术移动互联网应用程序（App）收集个人信息基本规范》 将原文件中所有涉及互联网“应用”均改为“应用程序”。
规范性引用文件		新增： GB/T35273信息安全技术个人信息安全规范
移动互联网应用程序的定义	移动互联网应用： 安装、运行在移动智能终端上的应用程序，简称App。	移动互联网应用程序： 安装、运行在智能移动终端上的应用程序，简称App。
最小必要信息的名称及定义	最少信息 least（minimum） information 保障某一服务类型正常运行所必需的个人信息，包括与服务类型直接相关，一旦缺少将导致该类型服务无法实现或无法正常运行的个人信息，以及法律法规等规范性文件要求必须收集的个人信息。	最小必要信息 minimum  necessary personal information 保障某一服务类型正常运行所最少够用的个人信息，包括一旦缺少将导致该类型服务无法实现或无法正常运行的个人信息，以及法律法规要求必须收集的个人信息。
最小必要权限范围的名称及定义	最小权限范围 least（minimum） permission range 保障某一服务类型正常运行所必需的最少系统权限。	最小必要权限范围Minimum necessary permission  range 用于收集某一服务类型最小必要信息且需要个人信息主体主动授予的智能移动终端操作系统权限。
移动互联网应用程序运营者的定义	移动互联网应用运营者  mobile internet application operator 是指移动互联网应用的所有者、管理者。	移动互联网应用程序运营者 mobile internet application operator 移动互联网应用程序的所有者、管理者和移动互联网应用程序服务的提供者。
App收集个人信息基本要求	4.1 管理要求 App收集个人信息应满足以下管理要求： a） App运营者应履行个人信息保护义务，采取必要安全措施，保障用户个人信息安全。 b）当用户同意App收集某服务类型的最少信息时，App不得因用户拒绝提供最少信息之外的个人信息而拒绝提供该类型服务。 注：附录A列举了App常见的服务类型以及服务类型对应的最少信息。 c）App不得收集与所提供的服务无关的个人信息。 d）对外共享、转让个人信息前，App应事先征得用户明示同意。当用户不同意, 则不得对外共享、转让用户个人信息。 e）App不得收集不可变更的设备唯一标识（如IMEI号、MAC地址等），用于保障网络安全或运营安全的除外。 f）用户明确拒绝使用某服务类型后，App不得频繁（如每48小时超过一次）征求用户同意使用该类型服务，并保证其他服务类型正常使用。 g）App应对其使用的第三方代码、插件的个人信息收集行为负责。第三方代码、插件收集个人信息视同App收集，App应防止第三方代码、插件收集无关的个人信息。注：如第三方代码、插件自行向用户明示其收集、使用个人信息的目的、方式、范围，并征得用户同意，则第三方代码、插件独立对其个人信息收集行为承担责任。 4.2 技术要求 App收集个人信息应满足以下技术要求： a）当收集的个人信息超出服务类型的最少信息时，超出部分的个人信息，App应逐项征得用户明示同意。 b）当同一App有2种或2种以上服务类型时，App应允许用户逐项开启和退出服务类型，开启或退出的方式应易于操作。 c）当用户退出某服务类型后，App应终止该服务类型收集个人信息的活动，并对仅用于该服务的个人信息进行删除或匿名化处理。 d）当申请个人信息相关权限或要求用户输入个人信息时，App应向用户同步明示申请权限或收集信息的目的。 e）App应向用户提供实时查询已收集个人信息类型的功能；查询结果应以独立界面展示，且查询方式应易于操作。 f) 存在对外共享、转让个人信息的，App应向用户提供查询数据接收方身份的功能；查询结果应以独立界面展示，且查询方式应易于操作。 g）在技术可行且不影响终端和服务正常的情况下，App应优先在用户终端中存储、使用所收集的个人信息。 h）App应以实现服务所必需的最低合理频率向后台服务器发送个人信息。	App收集个人信息应满足以下要求： a）App运营者应履行个人信息安全保护义务，采取必要措施，保障个人信息安全； b）App应在首次运行时通过弹窗等明显方式向个人信息主体告知收集最小必要信息规则，如隐私政策的核心内容； c）App运营者不应在征得个人信息主体授权同意前，产生个人信息收集行为； d）当个人信息主体同意App收集某服务类型的最小必要信息时，App 运营者不得因个人信息主体拒绝提供最小必要信息之外的个人信息而拒绝提供该类型服务； 注：附录 A 列举了 App 常见的服务类型以及服务类型对应的最小必要信息。 e）除法律法规的强制性要求，App 运营者不得收集与所提供的服务无关的个人信息；  f）  App 运营者不得收集不可变更的设备唯一标识（如  IMEI 号、MAC 地址等），用于保障网络安全或运营安全的除外； g）个人信息主体明确拒绝使用某服务类型后，App运营者不得频繁（如每 48 小时超过一次）征求个人信息主体同意使用该类型服务，并保证其他服务的正常使用； 注：个人信息主体主动触发导致的征求同意相关提示除外。 h)在App运营者使用第三方代码或插件满足其特定功能时，如该第三方代码或插件具备个人信息收集功能且个人信息主体无法拒绝的，App运营者应确保第三方代码或插件履行个人信息安全保护义务，并防止第三方代码或插件收集无关的个人信息；注：如第三方代码或插件自行向个人信息主体明示其收集、使用个人信息的目的、方式、范围，并征得个人信息主体的授权同意，则第三方代码或插件独立对其个人信息收集行为承担责任。 i)当App运营者拟收集的个人信息超出服务类型的最小必要信息时，对于超出部分的个人信息，App 运营者应征得个人信息主体的授权同意。涉及个人敏感信息的，应逐项征得个人信息主体的明示同意； j)当同一 App 有两种或两种以上服务类型时，App 运营者应允许个人信息主体逐项开启和退出服务类型，开启或退出的方式应易于操作； k)除法律法规的强制性要求外，当个人信息主体关闭某服务类型后，App 运营者应终止该服务类型收集个人信息的活动，并对仅用于该服务的个人信息进行删除或匿名化处理； 注：关闭服务类型包括个人信息主体明确表明放弃使用该服务类型、或通过操作关闭该服务类型相关的交互式界面等。 l)当 App 申请个人信息相关权限或要求个人信息主体输入个人信息时，App 运营者应向个人信息主体同步明示申请权限或收集信息的目的； m) App 运营者应向个人信息主体提供实时查询已从该个人信息主体所收集个人信息类型的途径；查询结果应通过在App开设独立界面的方式展示，且查询方式应易于操作。 n) 存在共享、转让个人信息的，App运营者应向个人信息主体提供实时查询数据接收方身份的途径；查询结果应通过在App开设独立界面的方式展示，且查询方式应易于操作。 o)在技术可行且不影响终端和服务正常的情况下，App 运营者应优先在个人信息主体的智能终端中存储、使用所收集的个人信息。 p) App 运营者应以实现服务所必需的最低合理频率向其后台服务器发送个人信息。
附录A.4:博客论坛最小必要信息范围和使用要求		新增：在法律法规要求的个人信息类型中新增： 仅对使用信息发布功能的用户收集，包括操作时间等。使用要求为《具有舆论属性或社会动员能力的互联网信息服务安全评估规定》。
附录A.5:网络支付最小必要信息的范围和使用要求		新增：在法律法规要求的个人信息类型中新增： 身份基本信息，包括国籍、性别、职业、住址、联系方式，使用要求为《支付机构反洗钱和反恐怖融资管理办法》。
附录A.7:网上购物的功能定义、最小必要信息的范围和使用要求	为用户提供网上购买商品或服务的服务类型，包括商品展示、搜索、下单、交付等功能。 实现服务所需个人信息中收货人信息的使用要求：仅用于网上购物收货时识别收货人、送达货物和联系收货人。	为用户提供网上购买商品或服务的服务类型，包括商品展示、搜索、下单、交付、客服售后等功能。 实现服务所需个人信息中收货人信息的使用要求：仅用于网上购物收货时识别收货人、送达货物和联系收货人以及完成客服与售后需要。
附录A.10:餐饮外卖最小必要信息的使用要求	实现服务所需个人信息中联系人信息的使用要求： 仅用于商家和配送员与用户取得联系和配送员送餐，姓名可无需真实。	实现服务所需个人信息中联系人信息的使用要求： 仅用于商家和配送员与用户取得联系和配送员送餐，姓名无需保证真实。
附录A.14:金融借贷最小必要信息的范围和使用要求		新增：在法律法规要求的个人信息类型中新增： 偿付能力、贷款用途，使用要求为《小额贷款公司网络小额贷款业务风险专项整治实施方案》、《个人贷款管理暂行办法》。 在实现服务所需个人信息中将“个人征信信息”改为”个人信用信息”。
附录A.17:运动健身最小必要信息的范围和使用要求；A.18		新增：在实现服务所需的个人信息类型中新增： 基本健康资料，包括性别、年龄、身高、体重，使用要求为基本健康资料结合个人运动信息可以更好地给出运动和健康建议。医患沟通：新增过往病史
附录A.19:网页浏览器的功能定义	A.19 浏览器 为用户提供浏览网上信息资源功能的服务，包括网页浏览、文件下载、资源收藏等功能。	A.19 网页浏览器 为用户提供通过输入网址或站点导航浏览网上信息资源功能的服务，包括网页浏览、文件下载、资源收藏等功能。
附录 B: 服务类型最小必要权限范围	附录 B （规范性附录）服务类型最小权限范围列表 本附录针对Android6.0及以上的危险权限，给出了服务类型的最小权限范围。	附录B（资料性附录）服务类型最小必要权限范围列表 本附录针对 Android 6.0 及以上的可收集个人信息的权限，给出了服务类型的最小必要权限参考范围。