ICS 33.050 M 30 团体标 准 T/TAF 077.5-2020 APP收集使用个人信息最小必要评估规范 设备信息 Application software user personal information collection and usage minimization and necessity evaluation specification Device information 2020 -11 - 26发布 2020 -11 - 26实施 电信终端产业协会 发布 全国团体标准信息平台 T/TAF 077.5-2020 I 目 次 前言 ................................ ................................ ................ II 引言 ................................ ................................ ............... III 1 范围 ................................ ................................ ............... 1 2 规范性引用文件 ................................ ................................ ..... 1 3 术语和定义、缩略语 ................................ ................................ . 1 3.1 术语和定义 ................................ ................................ ..... 1 3.2 缩略语 ................................ ................................ ......... 2 4 基本原则 ................................ ................................ ........... 2 5 设备信息类型 ................................ ................................ ....... 2 6 设备信息常见收集使用场景 ................................ ........................... 2 7 个人信息处理活动各环节最小必要评估要求 ................................ ............. 3 7.1 收集阶段 ................................ ................................ ....... 3 7.2 存储阶段 ................................ ................................ ....... 3 7.3 使用阶段 ................................ ................................ ....... 3 7.4 删除阶段 ................................ ................................ ....... 3 7.5 例外情况 ................................ ................................ ....... 3 8 评估流程和方法 ................................ ................................ ..... 3 参考文献 ................................ ................................ ............. 4 全国团体标准信息平台 T/TAF 077.5-2020 II 前 言 本标准按照GB/T 1.1-2020的规定起 草。 本标准中的某些内容可能涉及专利。本标准的发布机构不承担识别这些专利的责任。 本标准由电信终端产业协会提出并归口。 本标准起草单位： 中国信息通信研究院、 北京字节跳动有限科技公司 。 本标准主要起草人： 王宇晓、李梦月、杨骁涵、安潇羽、高震、张吉、刘凯红、田申、 宁华、王艳红 。 全国团体标准信息平台 T/TAF 077.5-2020 III 引 言 随着移动移动互联网的迅速发展和日益成熟，移动智能终端功能的成熟与便利， 设备信息已成为移 动应用软件开展业务功能的重要组成部分 。按照最小必要原则收集使用 个人信息成为移动应用软件 在个 人信息处理活动中的主要目标。 本标准根据《中华人民共和国网络安全法》等相关法律要求，依据 GB/T 35273-2020《信息安全技 术 个人信息安全规范》的最小必要原则，提出移动应用软件在处理涉及个人信息设备信息的收集、存 储、使用 、删除等活动中的最小必要信息规范和评估准则，旨在对移动互联网行业收集使用用户设备信 息进行规范，落实最小、必要的原则，进一步促进移动互联网行业的健康稳定发展。 全国团体标准信息平台 T/TAF 077.5-2020 1 APP收集使用个人信息最小必要评估规范 设备信息 1 范围 本标准规定了移动应用软件在处理涉及用户个人信息 （设备信息 ）的收集、存储、使用 、删除等活 动中的最小必要 评估规范 ，并通过 设备信息在 处理活动中的典型应用场景来说明如何落实最小必要原 则。 本标准适用于移动应用软件提供者规范用户个人信息（设备信息）的处理活动，也适用于第三方评 估机构等组织对 移动应用软件 收集使用设备信息行为进行监督、管理和评估。 2 规范性引用文件 下列文件对于本 标准是必不可少 的。其中，注日期的引用文件， 仅 该日期对应的版本适用于本 标准。 不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 标准。 GB/T 25069 -2010 《信息安全技术 术语》 3 术语和定义、缩略语 3.1 术语和定义 GB/T 35273 －2020界定的以及下列术语和定义适用于本 标准。 3.1.1 移动智能终端 smart mobile terminal 能够接入移动通信网，具有能够提供应用软件开发接口的操作系统，具有安装、加载和运行应用软 件能力的终端。 3.1.2 移动应用软件 mobile application 针对移动智能终端所开发的应用程序， 包括移动智能终端预置应用软件以及互联网信息服务提供者 提供的可以通过智能终端下载、安装、升级、卸载的应用软件。 3.1.3 个人信息 personal information 个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息 ,不包括匿名 化处理后的信息。 3.1.4 个人敏感信息 personal sensitive information 全国团体标准信息平台 T/TAF 077.5-2020 2 一旦泄露或者非法使用 ,可能导致个人受到歧视或者人身、 财产安全受到严重危害的个人信息 ,包括 种族、民族、宗教信仰、个人生物特征、医疗 健康、金融账户、个人行踪等信息。 3.2 缩略语 下列缩略语适用于本 标准。 APP 应用软件 Application eSIM 嵌入式SIM卡 Embedded SIM IMEI 国际移动设备识别码 International Mobile Equipment Identity IDFA 广告标识别符 Identifier For Advertising IDFV 供应商标识符 Identifier For Vendor GAID 谷歌广告标识符 Google Advertising ID MEID 移动设备识别码 Mobile Equipment Identifier OAID 匿名设备标识符 Open Anonymous Device Identifier 4 基本原则 应满足T/TAF 077.1-2020《APP收集使用个人信息最小必要评估规范 总则》4中的最小必要原则。 5 设备信息类型 移动智能终端 的设备信息类型根据其特性主要包括 三类，基本设备信息、不可变设备标识、可变设 备标识。 基本设备信息均为设备机型 相关信息或参数，无法用于标识用户， 不针对此开展最小必要 性评估。 不可变设备标识在用户正常使用、系统设置或系统重 置等操作发生时，不会随操作发生改变，所有 应用获取到的值一致。 部分终端可生成独立的不可变设备标识符， 不可变设备标识的收集通常会受到系 统权限机