小程序個(gè)人信息保護(hù)規(guī)范 第1部分：申請(qǐng)授權(quán)行為

CCSM30電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布IT/TAF180.1—2023前言 2規(guī)范性引用文件 3術(shù)語(yǔ)和定義 4要求 5小程序違規(guī)申請(qǐng)授權(quán)行為 5.1概述 5.2拒絕授權(quán)小程序強(qiáng)制退出或關(guān)閉 5.3拒絕授權(quán)小程序彈窗循環(huán) 5.4申請(qǐng)無(wú)關(guān)授權(quán) 5.5過(guò)度申請(qǐng)授權(quán) 5.6頻繁申請(qǐng)授權(quán) 附錄A（規(guī)范性）小程序可申請(qǐng)的授權(quán)及其對(duì)應(yīng)的信息范圍 4T/TAF180.1—2023本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)則起草。本文件是T/TAF180《小程序個(gè)人信息保護(hù)規(guī)范》的第1部分。T/TAF180已發(fā)布以下部分：——第1部分：申請(qǐng)授權(quán)行為。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。本文件由電信終端產(chǎn)業(yè)協(xié)會(huì)提出并歸口。本文件起草單位：中國(guó)信息通信研究院、泰爾認(rèn)證中心有限公司、北京抖音信息服務(wù)有限公司、阿里巴巴(中國(guó))有限公司、北京快手科技有限公司、螞蟻科技集團(tuán)股份有限公司、榮耀終端有限公司、廈門(mén)美柚股份有限公司、小米通訊技術(shù)有限公司、上海兆言網(wǎng)絡(luò)科技有限公司、鄭州信大捷安信息技術(shù)股份有限公司、北京三快在線科技有限公司、華為技術(shù)有限公司、博鼎實(shí)華（北京）技術(shù)有限公司、中興通訊股份有限公司。本文件主要起草人：武林娜、宋愷、劉陶、王艷紅、王淞鶴、王宇曉、桑明臣、李可心、李京典、周飛、陳鑫愛(ài)、寧華、杜蕾、李昳婧、方強(qiáng)、落紅衛(wèi)、谷晨、王昕、林冠辰、趙曉娜、黃鵬華、顧澤宇、錢(qián)雷、劉獻(xiàn)倫、劉為華、劉瑾、王芳、李實(shí)、董霽、張宏偉。T/TAF180.1—2023隨著移動(dòng)互聯(lián)網(wǎng)的發(fā)展，小程序作為常用互聯(lián)網(wǎng)服務(wù)入口，已全面滲透用戶生活，成為數(shù)字化時(shí)代不可或缺的一部分。小程序在匯聚大量用戶個(gè)人信息的同時(shí)，也存在處理個(gè)人信息方面的風(fēng)險(xiǎn)隱患。本文件依據(jù)《中華人民共和國(guó)個(gè)人信息保護(hù)法》、《工業(yè)和信息化部關(guān)于開(kāi)展縱深推進(jìn)APP侵害用戶權(quán)益轉(zhuǎn)向整治行動(dòng)的通知》（工信部信管[2020]164號(hào)）等法律法規(guī)及規(guī)范性文件要求，對(duì)小程序的申請(qǐng)授權(quán)行為進(jìn)行規(guī)范，進(jìn)一步提升小程序提供者的個(gè)人信息保護(hù)水平，促進(jìn)移動(dòng)互聯(lián)網(wǎng)行業(yè)的健康穩(wěn)定發(fā)展。T/TAF180擬由4個(gè)部分構(gòu)成：——小程序個(gè)人信息保護(hù)規(guī)范第1部分：申請(qǐng)授權(quán)行為；——小程序個(gè)人信息保護(hù)規(guī)范第2部分：個(gè)人信息收集行為；——小程序個(gè)人信息保護(hù)規(guī)范第3部分：全流程開(kāi)發(fā)管理；——小程序個(gè)人信息保護(hù)規(guī)范第4部分：全生命周期。1T/TAF180.1—2023小程序個(gè)人信息保護(hù)規(guī)范第1部分：申請(qǐng)授權(quán)行為本文件規(guī)定了小程序申請(qǐng)授權(quán)行為部分的個(gè)人信息保護(hù)規(guī)范，包括小程序申請(qǐng)授權(quán)行為的典型檢測(cè)場(chǎng)景及檢測(cè)細(xì)則。本文件適用于小程序提供者對(duì)小程序的申請(qǐng)授權(quán)行為進(jìn)行設(shè)計(jì)、開(kāi)發(fā)和評(píng)估，也適用于主管部門(mén)、第三方評(píng)估機(jī)構(gòu)等組織對(duì)小程序的申請(qǐng)授權(quán)行為進(jìn)行監(jiān)督、管理和評(píng)估。2規(guī)范性引用文件本文件沒(méi)有規(guī)范性引用文件。3術(shù)語(yǔ)和定義下列術(shù)語(yǔ)和定義適用于本文件。3.1框架型應(yīng)用軟件frame-basedapplicationsoftware在移動(dòng)智能終端上運(yùn)行，提供數(shù)據(jù)訪問(wèn)控制和小程序分發(fā)等管理能力，并為在其上運(yùn)行的第三方小程序提供相應(yīng)開(kāi)發(fā)接口的應(yīng)用軟件。3.2小程序mini-program在框架型應(yīng)用軟件上運(yùn)行的，通過(guò)框架型應(yīng)用軟件提供的功能接口，實(shí)現(xiàn)某項(xiàng)或某幾項(xiàng)特定功能的免安裝的應(yīng)用軟件。3.3授權(quán)authorization框架型應(yīng)用軟件為小程序提供的申請(qǐng)數(shù)據(jù)或資源的一種方式。范圍涵蓋框架型應(yīng)用所存儲(chǔ)的數(shù)據(jù)或資源及其從操作系統(tǒng)中獲取到的數(shù)據(jù)或資源。4基本要求小程序在申請(qǐng)授權(quán)時(shí)，應(yīng)滿足以下要求：a)小程序申請(qǐng)授權(quán)時(shí)，應(yīng)同步告知申請(qǐng)使用的目的，目的應(yīng)明確具體且易于理解，不包含任何欺詐、誘騙、誤導(dǎo)用戶授權(quán)的描述；2T/TAF180.1—2023b)小程序申請(qǐng)授權(quán)時(shí)，應(yīng)在使用對(duì)應(yīng)業(yè)務(wù)功能時(shí)提出申請(qǐng)，不應(yīng)以捆綁方式要求用戶一次性同意多個(gè)授權(quán)，不得默認(rèn)、捆綁或使用其他手段變相欺騙、誤導(dǎo)、強(qiáng)迫個(gè)人信息主體授予權(quán)限；c)小程序申請(qǐng)授權(quán)應(yīng)為實(shí)現(xiàn)業(yè)務(wù)功能所必需，且獲得授權(quán)后收集個(gè)人信息不應(yīng)超出業(yè)務(wù)功能的最小必要范圍；d)申請(qǐng)授權(quán)后，應(yīng)僅訪問(wèn)滿足業(yè)務(wù)功能需要的最少個(gè)人信息，且當(dāng)實(shí)現(xiàn)相關(guān)功能不需要回傳個(gè)人信息則不應(yīng)回傳至后臺(tái)服務(wù)器；e)若由于業(yè)務(wù)功能更新等原因變更個(gè)人信息處理的目的、方式、范圍時(shí)，應(yīng)重新告知用戶并征得用戶同意；f)小程序應(yīng)提供便捷、有效、完整的授權(quán)撤銷(xiāo)渠道，可采用框架類(lèi)應(yīng)用軟件提供的授權(quán)撤銷(xiāo)渠道；g)未經(jīng)用戶同意，不應(yīng)隨意更改用戶的授權(quán)狀態(tài)；h)小程序不應(yīng)產(chǎn)生5中違規(guī)申請(qǐng)授權(quán)的行為。5小程序違規(guī)申請(qǐng)授權(quán)行為5.1概述小程序違規(guī)申請(qǐng)授權(quán)的行為包括拒絕授權(quán)小程序退出或關(guān)閉、拒絕授權(quán)小程序彈窗循環(huán)、申請(qǐng)無(wú)關(guān)授權(quán)、過(guò)度申請(qǐng)授權(quán)、頻繁申請(qǐng)授權(quán)，出現(xiàn)上述任意一種行為，則判定為小程序違規(guī)申請(qǐng)授權(quán)，其中具體行為的具體定義參見(jiàn)本章5.2-5.6小節(jié)，申請(qǐng)授權(quán)的范圍參考附錄A。5.2拒絕授權(quán)小程序強(qiáng)制退出或關(guān)閉小程序運(yùn)行時(shí)，向用戶申請(qǐng)授權(quán)，用戶拒絕授權(quán)后，小程序退出或關(guān)閉，或拒絕提供與申請(qǐng)授權(quán)無(wú)關(guān)的功能服務(wù)。5.3拒絕授權(quán)小程序彈窗循環(huán)小程序運(yùn)行時(shí)，向用戶申請(qǐng)授權(quán)，若用戶拒絕授權(quán)后，小程序循環(huán)彈窗申請(qǐng)授權(quán)，使用戶無(wú)法繼續(xù)使用。5.4申請(qǐng)無(wú)關(guān)授權(quán)小程序向用戶申請(qǐng)的授權(quán)，與其提供的業(yè)務(wù)功能或服務(wù)不具備合理的相關(guān)性。5.5過(guò)度申請(qǐng)授權(quán)小程序過(guò)度申請(qǐng)授權(quán)，具體場(chǎng)景包括但不限于以下方式：a)小程序運(yùn)行時(shí)，未見(jiàn)使用授權(quán)對(duì)應(yīng)的相關(guān)功能或服務(wù)，提前向用戶彈窗申請(qǐng)授權(quán)。b)小程序運(yùn)行時(shí)，向用戶申請(qǐng)授權(quán)的信息范圍，超出其提供的功能或服務(wù)場(chǎng)景所必需的信息范圍。5.6頻繁申請(qǐng)授權(quán)小程序頻繁申請(qǐng)授權(quán)，具體場(chǎng)景包括但不限于以下方式：a)小程序運(yùn)行時(shí)，在用戶明確拒絕授權(quán)申請(qǐng)后，向用戶頻繁彈窗申請(qǐng)與當(dāng)前服務(wù)場(chǎng)景無(wú)關(guān)的授權(quán)，影響用戶正常使用。3T/TAF180.1—2023b)小程序在用戶明確拒絕授權(quán)申請(qǐng)后，退出并重新打開(kāi)時(shí)，小程序向