T∕TAF 077.9-2022 APP收集使用個人信息最小必要評估規(guī)范 第9部分：短信信息

ICS33.050CCSM30團體標準T/TAF077.9-2022代替T/TAF077.9-2021APP收集使用個人信息最小必要評估規(guī)范第9部分：短信信息Applicationsoftwareuserpersonalinformationcollectionandusageminimizationandnecessityevaluationspecification—Part9:SMSinformation2022-02-23發(fā)布2022-02-23實施T/TAF077.9-2022目次前言................................................................................II引言...............................................................................III1范圍...............................................................................12規(guī)范性引用文件.....................................................................13術(shù)語、定義和縮略語.................................................................13.1術(shù)語和定義.....................................................................13.2縮略語.........................................................................14基本原則...........................................................................15短信信息分類.......................................................................16典型應用場景.......................................................................27基本要求...........................................................................37.1告知同意要求...................................................................37.2權(quán)限要求.......................................................................37.3本地收集階段...................................................................57.4遠程傳輸階段...................................................................67.5存儲階段.......................................................................67.6使用階段.......................................................................78評估流程和方法.....................................................................78.1評估方法.......................................................................78.2評估步驟.......................................................................78.3評估項目.......................................................................7IT/TAF077.9-2022前言本文件按照GB/T1.1-2020《標準化工作導則第1部分：標準化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件是T/TAF077《APP收集使用個人信息最小必要評估規(guī)范》的第9部分。T/TAF077已經(jīng)發(fā)布了以下部分：——第1部分：總則；——第2部分：位置信息；——第3部分：圖片信息；——第4部分：通訊錄；——第5部分：設(shè)備信息；——第6部分：軟件列表；——第7部分：人臉信息；——第8部分：錄像信息；——第10部分：錄音信息；——第11部分：通話記錄；——第12部分：好友列表；——第13部分：傳感器信息；——第14部分：應用日志信息；——第15部分：房產(chǎn)信息；——第16部分：交易記錄；——第17部分：身份信息。本文件代替T/TAF077.9-2021《APP收集使用個人信息最小必要評估規(guī)范短信信息》，與T/TAF077.9-2021相比，除結(jié)構(gòu)調(diào)整和編輯性改動外，主要技術(shù)變化如下：a)b)c)d)增加了“基本原則”一章（見第4章）；在“典型應用場景”中增加了七類應用場景（見第6章，2021年版的4.2）；增加了“告知同意要求”一節(jié)（見7.1）；將“本地訪問必要性評估”、“收集使用最小必要評估”兩章合并為“基本要求”一章，并將2021年版的有關(guān)內(nèi)容更改后納入（見第7.2、7.3、7.4、7.5、7.6，2021版的第5章和第6章）；增加了“評估流程和方法”一章（見第8章）。e)IIT/TAF077.9-2022引言本文件根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》等相關(guān)法律要求，依據(jù)GB/T35273《信息安全技術(shù)個人信息安全規(guī)范》的最小必要原則，提出移動應用軟件在處理涉及個人短信信息的收集、存儲、使用、刪除等活動中的最小必要信息規(guī)范和評估準則，旨在對移動互聯(lián)網(wǎng)行業(yè)收集使用用戶短信信息進行規(guī)范，落實最小、必要的原則，進一步促進移動互聯(lián)網(wǎng)行業(yè)的健康穩(wěn)定發(fā)展。IIIT/TAF077.9-2022APP收集使用個人信息最小必要評估規(guī)范第9部分：短信信息1范圍本文件是APP收集使用個人信息最小必要評估規(guī)范系列標準中的短信信息部分，旨在貫徹個人信息收集使用的最小必要的原則，針對移動APP訪問、收集、存儲、使用、刪除用戶手機短信信息（含彩信、5G消息等多媒體方式）等各環(huán)節(jié)提出相應的最小必要性符合度評估項，并結(jié)合典型場景，對APP最小必要處理短信信息的進行規(guī)定。本文件適用于規(guī)范移動互聯(lián)網(wǎng)應用軟件開發(fā)者對用戶短信信息的處理，也適用于主管監(jiān)管部門、第三方評估機構(gòu)等組織對移動互聯(lián)網(wǎng)應用程序收集短信信息行為進行監(jiān)督、管理和評估。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T35273信息安全技術(shù)個人信息安全規(guī)范T/TAF077.1-2020APP收集使用個人信息最小必要評估規(guī)范總則3術(shù)語、定義和縮略語3.1術(shù)語和定義GB/T35273和T/TAF077.1-2020界定的術(shù)語和定義適用于本文件。3.2縮略語下列縮略語適用于本文件。APP：應用軟件（Application）SMS：短信（ShortMessage）MMS：彩信（MultimediaMessage）4基本原則對個人信息處理活動中短信信息收集使用的原則應滿足T/TAF077.1-2020《APP收集使用個人信息最小必要評估規(guī)范總則》中的最小必要原則。5短信信息分類1T/TAF077.9-2022本文件將短信信息包含的信息類型劃分為如下類型，如表1：——本機用戶標識：用于識別或區(qū)分短信、彩信信息所在移動終端設(shè)備用戶的的標識信息，可包括發(fā)送者的手機號等；依據(jù)短信信息的發(fā)送方，本機用戶標識可以是短信信息的發(fā)送者標識，也可以是短信信息的接收者標識?！獙Χ藰俗R：用于識別或區(qū)分短信、彩信信息所在移動終端設(shè)備用戶的的短信通信對端標識信息，包括接收者的手機號等?！绦艃?nèi)容：為短信發(fā)送者編輯并發(fā)送給接收者的各種格式的內(nèi)容。單一的短信內(nèi)容是否包含個人信息、包含的個人信息的類目數(shù)量以及包含的具體個人信息類型取決于每個短信內(nèi)容的本身?！獣r間：移動終端設(shè)備用戶接收或發(fā)送該條短信的時間。表1短信信息的信息類型短信信息本機用戶標識對端標識短信內(nèi)容時間6典型應用場景短信信息是移動終端用戶的個人通信內(nèi)容，基于多條或單條短信信息可能泄露用戶隱私，甚至危害個人的人身安全和財產(chǎn)安全，具有較高敏感性，應在合理的場景下使用。在本文件中列舉了以下場景為合理必要收集使用短信信息的場景：a)b)c)d)e)f)g)短信云備份：以數(shù)據(jù)備份為目的，APP將用戶終端上的短信信息傳輸至遠端服務器上存儲的場景。驗證碼便捷獲?。阂詤f(xié)助用戶完成登錄或支付操作為目的，APP識別短信中的驗證碼并提示用戶的場景。便捷短信查詢與服務訂閱：以便利用戶操作為目的，APP幫助用戶發(fā)送特定短信指令至特定號碼，查詢相關(guān)信息或訂閱服務的場景，如流量余額查詢。短信優(yōu)化編輯與發(fā)送：以協(xié)助用戶編輯并發(fā)送短信為目的，APP提供短信編輯功能并發(fā)送短信至用戶指定號碼的場景。短信功能體驗增強：以增強用戶短信功能體驗為目的，APP為用戶提供如短信發(fā)送商戶識別和圖形化展示等增強短信功能的場景。手機間數(shù)據(jù)互傳：以在用戶不同手機間傳輸數(shù)據(jù)為目的，將用戶一部手機中的短信信息傳輸至用戶另一部手機的場景，如換機。騷擾攔截：以幫助用戶攔截、屏蔽用戶不期望接收的短信信息為目的，APP識別并處置相關(guān)短信信息的場景。h)i)服務智能化：以改善服務智能化程度或用戶體驗為目的，APP訪問用戶短信信息的場景。已關(guān)聯(lián)設(shè)備的配套應用：通過此類應用用戶可將移動設(shè)備與已關(guān)聯(lián)設(shè)備（例如智能手表、汽車、智能家居設(shè)備等）連接起來，還能夠收發(fā)短信。j)k)跨設(shè)備同步或轉(zhuǎn)移短信：在多個設(shè)備上（例如手機和筆記本電腦之間）同步短信信息。設(shè)備自動化：用戶可讓設(shè)備根據(jù)其設(shè)置的一個或多個條件（觸發(fā)條件），在操作系統(tǒng)的多個區(qū)域自動執(zhí)行重復性操作。l)企業(yè)存檔及設(shè)備管理：企業(yè)存檔、客戶關(guān)系管理CRM和/或設(shè)備管理，如運營商通過短信上報設(shè)備信息與駐網(wǎng)狀態(tài)。2T/TAF077.9-2022m)車載免提使用和投影顯示：與駕駛/出行的核心功能（例如導航）直接相關(guān)的APPs，尤其是在用戶與設(shè)備的物理互動受到限制的情況下。n)o)呼救短信：可在發(fā)生人身安全或緊急狀況時發(fā)送報警短信。用戶數(shù)據(jù)本地備份與還原：用戶的事務性備份和還原以及企業(yè)的歸檔（限時/非連續(xù)）。7基本要求7.1告知同意要求除終端基本通信功能外的APP，若需收集處理個人信息，應遵循以下要求：a)基于用戶個人同意收集處理個人信息的：若僅在本地收集處理短信信息，APP應向用戶聲明收集處理短信信息僅在用戶設(shè)備上進行，并告知收集處理短信信息的目的，經(jīng)用戶確認后方可開始收集；若存在非本地處理的情形，APP應明確告知用戶需傳輸至遠端的短信信息類型及收集處理的目的、方式、范圍，并經(jīng)用戶選擇同意后方可收集；b)c)若短信信息的處理目的、處理方式、保存期限等發(fā)生變更，應重新告知并取得個人信息主體同意；免于同意的情形應按GB/T352735.6征得授權(quán)同意的例外要求執(zhí)行；d)APP處理的短信信息若涉及著作權(quán)、肖像權(quán)等法律問題的，應遵循國家相關(guān)規(guī)定的要求，本文件不做專門規(guī)定。7.2權(quán)限要求7.2.1權(quán)限申請最小化短信權(quán)限作為敏感權(quán)限，除終端基本通信功能外的APP在申請短信權(quán)限時應滿足如下要求：a)首次啟動時，若用戶拒絕授權(quán)短信權(quán)限，應用不應退出或關(guān)閉。b)APP應基于自身業(yè)務功能和場景，以權(quán)限申請最小化為為原則，僅在業(yè)務功能觸發(fā)時，向用戶申請必要的短信權(quán)限；典型場景下的APP可申請項如表2所示。c)當用戶拒絕短信權(quán)限時，APP不得以退出、關(guān)閉、彈窗循環(huán)、頻繁申請等方式強迫或誘導用戶授權(quán)。表2典型場景下的可申請權(quán)限可申請權(quán)限接收短信序號典型場景讀取短發(fā)送短信信寫/刪除短接收彩信信123456789短信云備份————驗證碼便捷獲取————便捷短信查詢與服務訂閱短信優(yōu)化編輯與發(fā)送短信功能體驗增強手機間數(shù)據(jù)互傳——————————騷擾攔截服務智能化已連接的設(shè)備配套應用3T/TAF077.9-2022表2典型場景下的可申請權(quán)限（續(xù)）可申請權(quán)限序號典型場景讀取短接收短寫/刪除短接收彩發(fā)送短信信信信信101112131415跨設(shè)備同步或轉(zhuǎn)移短信設(shè)備自動化企業(yè)存檔及設(shè)備管理車載免提使用和投影顯示呼救短信—————用戶數(shù)據(jù)本地備份與還原—7.2.2調(diào)用行為最小化APP在滿足業(yè)務正常開展的前提下，應以最低頻次調(diào)用相關(guān)短信權(quán)限，且僅訪問與業(yè)務目的相關(guān)的短信信息。本文件將短信權(quán)限的APP調(diào)用頻次和時機劃分為3類：a)用戶主動觸發(fā)：通過明確的用戶知悉影響的動作，如點擊APP交互界面上特定的按鈕，觸發(fā)相關(guān)行為。注：觸發(fā)后，跳轉(zhuǎn)到短信界面由用戶進行后續(xù)操作的，不需要APP申請相應的短信權(quán)限。b)c)固定周期訪問：以明示并經(jīng)用戶確認同意的固定周期調(diào)用相關(guān)權(quán)限。短/彩信到達觸發(fā)：在App已申請接收短、彩信權(quán)限時，當接收到新的短信或彩信時觸發(fā)。對于典型場景，建議的調(diào)用頻次和時機如表3所示。表3典型場景下的短信權(quán)限調(diào)用調(diào)用頻次或時機序號典型場景發(fā)送短、彩信讀取短信/彩信寫/刪除短、彩信用戶主動觸發(fā)固定周期訪問用戶主動觸發(fā)短、彩信到達觸發(fā)—用戶主動觸發(fā)固定周期訪問12云盤數(shù)據(jù)備份—驗證碼便捷獲取——34便捷短信查詢與服務訂閱短信優(yōu)化編輯與發(fā)送用戶主動觸發(fā)用戶主動觸發(fā)———用戶主動觸發(fā)短、彩信到達觸發(fā)用戶主動觸發(fā)用戶主動觸發(fā)短、彩信到達觸發(fā)固定周期訪問用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)56短信功能體驗增強手機間數(shù)據(jù)互傳———用戶主動觸發(fā)用戶主動觸發(fā)78騷擾攔截——短、彩信到達觸發(fā)服務智能化—4T/TAF077.9-2022表3典型場景下的短信權(quán)限調(diào)用（續(xù)）調(diào)用頻次或時機序號9典型場景已連接的設(shè)備配套應用跨設(shè)備同步或轉(zhuǎn)移短信設(shè)備自動化發(fā)送短、彩信用戶主動觸發(fā)讀取短信/彩信寫/刪除短、彩信用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)—用戶主動觸發(fā)用戶主動觸發(fā)固定周期訪問101112用戶主動觸發(fā)短、彩信到達觸發(fā)用戶主動觸發(fā)用戶主動觸發(fā)固定周期訪問固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)短、彩信到達觸發(fā)用戶主動觸發(fā)企業(yè)存檔及設(shè)備管理固定周期訪問固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)短、彩信到達觸發(fā)131415車載免提使用和投影顯示呼救短信固定周期訪問用戶主動觸發(fā)短、彩信到達觸發(fā)用戶主動觸發(fā)—用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶主動觸發(fā)固定周期訪問短、彩信到達觸發(fā)用戶數(shù)據(jù)本地備份與還原—7.3本地收集階段典型場景下，APP在用戶終端本地可收集短信信息類型可參考表4。表4典型場景下的可收集信息類型信息類型序號典型場景本機用戶標識對端標識短信內(nèi)容時間1云端數(shù)據(jù)備份23驗證碼便捷獲取便捷短信查詢與服務訂閱456789短信優(yōu)化編輯與發(fā)送短信功能體驗增強手機間數(shù)據(jù)互傳騷擾攔截XXXX服務智能化已連接的設(shè)備配套應用5T/TAF077.9-2022表4典型場景下的可收集信息類型（續(xù)）信息類型序號典型場景本機用戶標識對端標識短信內(nèi)容時間101112跨設(shè)備同步或轉(zhuǎn)移短信設(shè)備自動化企業(yè)存檔及設(shè)備管理車載免提使用和投影顯示131415XXXX呼救短信用戶數(shù)據(jù)本地備份與還原7.4遠程傳輸階段APP需傳輸用戶短信信息至APP遠端服務器時，應嚴格限定遠程傳輸?shù)亩绦判畔㈩愋?。典型場景下，可由APP服務器端收集的短信信息類型可參考表5。表5典型場景下的可收集信息類型信息類型序號典型場景本機用戶標識對端標識短信內(nèi)容時間12云端數(shù)據(jù)備份XXXX驗證碼便捷獲取3便捷短信查詢與服務訂閱短信優(yōu)化編輯與發(fā)送短信功能體驗增強手機間數(shù)據(jù)互傳XXXX4XXXX5XXXX6XX7騷擾攔截（垃圾短信上報）服務智能化XXXX89已連接設(shè)備的配套應用跨設(shè)備同步或轉(zhuǎn)移短信設(shè)備自動化101112131415XXXX企業(yè)存檔及設(shè)備管理車載免提使用和投影顯示呼救短信XXXXXXXX用戶數(shù)據(jù)本地備份與還原7.5存儲階段APP服務器端存儲短信信息應滿足以下要求：a)短信信息的存儲期限應為實現(xiàn)個人信息主體授權(quán)使用的目的所必需的最短時間。b)除用戶主動上報的垃圾短信外，其余場景下，應加密存儲用戶短信信息。c)在APP服務端上存儲的移動終端用戶的短信信息應不超過按7.4節(jié)要求評估后允許遠程傳輸?shù)?T/TAF077.9-2022短信信息的信息類型和收集范圍。7.6使用階段APP服務器端使用短信信息應嚴格按照收集目的使用短信信息，若需擴大使用目的，則應在使用前再次告知并經(jīng)個人信息主體同意后才能使用。8評估流程和方法8.1評估方法評估方實施APP收集使用短信信息最小必要評估的流程和方法應遵循T/TAF077.1-2020《APP收集使用個人信息最小必要評估規(guī)范總則》中的評估流程和方法。8.2評估步驟評估方在實施短信信息收集使用最小必要評估時，宜遵循以下步驟和方法：a）確定被評估對象及評估范圍；注：被評估對象可為單個APP或者APP中某項或某類功能。b)評估方根據(jù)被評估方提交的說明材料的業(yè)務場景初步判斷被評估對象是否有必要收集使用短信信息：1）若被評估對象的業(yè)務場景為本文件第6章所述的典型應用場景；2）若被評估對象的業(yè)務場景并非典型應用場景，則評估方應基于T/TAF077.1-2020《移動互聯(lián)網(wǎng)應用程序（APP）收集使用個人信息最小必要評估規(guī)范第1部分：總則》中的最小必要原則，重點評估自述材料中對短信信息的收集使用的目的、方式和范圍是否最小必要。確定評估基準?；诒疚募?章基本要求確定針對被評估對象的評估基準；c)d)APP終端側(cè)評估：1）告知同意符合性評估：基于7.1節(jié)要求，檢查被評估對象對短信信息的收集使用是否有在隱私政策中詳細說明；2）權(quán)限申請最小化評估：檢查被評估對象申請的短信權(quán)限是否遵循7.2.1節(jié)要求；3）調(diào)用行為最小化評估：檢查被評估對象申請的短信權(quán)限是否遵循7.2.2節(jié)要求；4）本地收集最小化評估：檢查被評估對象通過系統(tǒng)API收集處理的短信信息類型是否符合7.3節(jié)要求；5）遠程傳輸最小化評估：檢查被評估對象傳輸出終端側(cè)的信息類型是否遵循7.4節(jié)要求。e)APP服務器端側(cè)評估：1）存儲安全措施評估：被評估方應提供舉證材料證明短信信息的在APP服務端的存儲安全措施符合7.5節(jié)的要求；必要時，評估方可采用現(xiàn)場核查的方式；2）使用目的一致性評估：被評估方應提供舉證材料證明短信信息的在APP服務端的使用符合7.6節(jié)要求。8.3評估項目7T/TAF077.9-20228.3.1告知同意符合性測評測試編號：測試項目：短信信息的告知同意測試要求：見本文件7.1預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查APP在本地收集處理短信信息前，是否聲明收集處理短信信息僅在用戶設(shè)備上進行，并告知收集處理短信信息的目的；b)檢查APP在非本地收集處理短信信息前，是否明確告知用戶需傳輸至遠端的短信信息類型及收集處理的目的、方式、范圍；c)檢查若短信信息的處理目的、處理方式、保存期限等發(fā)生變更，APP是否重新告知并取得個人信息主體同意；d)檢查APP是否在個人同意后才進行信息收集。預期結(jié)果：若以上測試步驟結(jié)果為肯定，則測試項判定為符合，否則判定為不符合。8.3.2權(quán)限申請最小化評估測試編號：測試項目：短信信息的權(quán)限申請測試要求：見本文件7.2.1a）預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查APP在首次啟動時，當用戶拒絕授權(quán)短信權(quán)限，應用是否沒有退出或關(guān)閉。預期結(jié)果：若以上測試步驟結(jié)果為肯定，則測試項判定為符合，否則判定為不符合。測試編號：測試項目：短信信息的權(quán)限申請測試要求：見本文件7.2.1b）預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查APP是否基于自身業(yè)務功能和場景，以權(quán)限申請最小化為原則，僅在業(yè)務功能觸發(fā)時，向用戶申請必要的短信權(quán)限；b)檢查典型場景下的APP的申請權(quán)限項目是否符合表2。預期結(jié)果：若以上測試步驟結(jié)果為肯定，則測試項判定為符合，否則判定為不符合。測試編號：測試項目：短信信息的權(quán)限申請測試要求：見本文件7.2.1c）預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查當用戶拒絕短信權(quán)限時，APP是否沒有以退出、關(guān)閉、彈窗循環(huán)、頻繁申請等方式強迫或誘導用戶授權(quán)。8T/TAF077.9-2022預期結(jié)果：若以上測試步驟結(jié)果為肯定，則測試項判定為符合，否則判定為不符合。8.3.3調(diào)用行為最小化評估測試編號：測試項目：短信信息的權(quán)限申請測試要求：見本文件7.2.2預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查APP在滿足業(yè)務正常開展的前提下，是否以最低頻次調(diào)用相關(guān)短信權(quán)限，且僅訪問與業(yè)務目的相關(guān)的短信信息；b)檢查典型場景下的APP的短信權(quán)限調(diào)用頻次或時機是否符合表3。預期結(jié)果：若以上測試步驟結(jié)果為肯定，則測試項判定為符合，否則判定為不符合。8.3.4本地收集最小化評估測試編號：測試項目：短信信息的本地收集測試要求：見本文件7.3預置條件：被評估APP處于正常狀態(tài)測試步驟：a)運行APP，檢查APP在用戶終端本地收集短信信息類