Information security technology—Basic requirements for collecting personal information in mobile internet applications
1 Scope
This document specifies the basic requirements for the collection of personal information by Apps, the necessary personal information scope and use requirements of Apps of common service types.
This document is applicable to the regulation of personal information collection activities by App operators, as well as the supervision, management and evaluation of personal information collection activities of Apps by regulatory authorities and third-party evaluation agencies.
2 Normative references
The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies.
GB/T 25069 Information security techniques—Terminology
GB/T 35273-2020 Information security technology—Personal information security specification
3 Terms and definitions
For the purposes of this document, the terms and definitions given in GB/T 25069, GB/T 35273-2020 and the following apply.
3.1
mobile internet application
applications running on smart mobile terminal
Note: Including applications and mini programs, referred to as App for short, that are preset, downloaded and installed on smart mobile terminals.
3.2
mobile internet application operator
owner, manager or provider of mobile internet application
Note: App operator for short.
3.3
mini program
a mobile internet application based on the application open interface, which may be used by users without installation.
Note: By exposing its application programming interface (API) or function, an application enables an external program to add functions on the application or use its resources without changing the source code of the application.
3.4
business function
any function that meets the specific purpose of users
Note: The business functions of App can be divided into basic business functions and extended business functions.
[Source: GB/T 35273-2020, 3.17, modified]
3.5
service type
classification of business functions provided by mobile internet applications
Note: See Annex A for common service types such as map navigation, online car hailing, instant communication, online shopping, online payment, etc.
3.6
basic business function
the business functions of mobile internet application serving the main purposes of users
3.7
extended business function
business functions other than the basic business functions provided by mobile internet application
3.8
necessary personal information
personal information necessary to ensure the normal operation of basic business functions of mobile internet application, without which, mobile internet application cannot perform basic business functions
Note 1: See B.1 in Annex B for the relationship among App, basic business function and necessary personal information.
Note 2: The scope of personal information that can be collected by App is divided into necessary personal information and non-necessary but relevant personal information. Non-necessary but relevant personal information refers to personal information related to the services provided by the App but whose collection is optional, see B.2.
3.9
user
personal information subject using mobile internet application
Note: Users usually include consumer-side users and service-supply-side users. Consumer-side users are individual consumers who use App services, while service-supply-side users are users who provide services through Apps. For example, consumer-side users of online car hailing Apps are passengers and service-supply-side users are drivers.
3.10
system permission to access personal information
system permission of operating system of smart mobile terminal which is open to the mobile internet application and with the function of collecting personal information
Note: System permission or permission for short.
3.11
unique device identifier
a code that uniquely identifies the smart mobile terminal
Note 1: It is also known as UDID, and can be divided into changeable unique device identifiers and unchangeable unique device identifiers.
Note 2: Changeable unique device identifier refers to the unique device identifier that can be reset and changed, or be used to turn off tracking by the user. Unchangeable unique device identifier refers to the hardware identifier that remains unchanged regardless of device factory reset, safe uninstallation of application or other user operations.
3.12
targeted push
based on the personal information such as the network browsing history, interests, purchasing records and habits, the information content, search results of goods or services, recommendations of products or services, news, advertisements, etc. may be displayed and provided to the personal information subject through algorithm
Note: It is also known as personalized presentation or personalized recommendation.
[Source: GB/T 35273-2020, 3.16, modified]
3.13
user profiling
process of personal characteristic model formation through analyzing or predicting the personal characteristics of a particular natural person, such as occupation, economy, health, education, personal preference, credit and behavior, on the basis of collecting, gathering, and analyzing personal information
[Source: GB/T 35273-2020, 3.8, modified]
3.14
software development kit
software library assisting in software development
Note: A software development kit usually includes a collection of related binaries, documents, examples and tools.
3.15
third-party software development kit
software development kits provided by legal entities other than mobile internet application operators
3.16
system permission request
the process by which a mobile internet application claims to the operating system of smart mobile terminal and requests authorization from user to obtain permission to access data or functions
3.17
third-party application
an application provided by a legal entity other than the mobile internet application operator that provides services to users through the mobile internet application
Note 1: The forms of third-party applications provided usually include SDK, mini programs, Web pages, etc. If SDK does not provide services directly to users, it is not a third-party application defined in this document.
Note 2: If an application provider is a legal entity different from the App operator but belongs to the same enterprise group as the App operator and complies with the same set of management system, conducting unified security and operation and maintenance management, such application is not a third-party application of the App operator. Affiliates are usually the third parties of App operators.
4 Abbreviations
For the purposes of this document, the following abbreviations apply.
API: Application Programming Interface
GPS: Global Positioning System
ICCID: Integrate Circuit Card Identity
IMEI: International Mobile Equipment Identity
IMSI: International Mobile Subscriber Identity
MAC: Media Access Control
MEID: Mobile Equipment Identifier
SDK: Software Development Kit
SN: Serial Number
WAP: Wireless Application Protocol
WEB: World Wide Web
5 App function division
The requirement for an App to collect personal information is closely related to its functions. The basic business functions and extended business functions of Apps shall be clearly divided according to the following requirements:
a) It shall be clear that the service type of the business function that realizes the main purpose of the user is the type of the App;
b) If the type of App is the common service type given in Annex A, the basic business function of the App shall be classified based on the corresponding service type in Annex A;
Note 1: Annex A provides the basic business functions and necessary personal information scope of Apps of common service types and the use requirements for necessary personal information in accordance with the Provisions on necessary personal information scope of common types of mobile internet applications. The basic business functions and necessary personal information scope of Apps of common service types in Annex A of this document are consistent with the Provisions on necessary personal information scope of common types of mobile internet applications.
c) If the type of App is not the common service type given in Annex A, the business functions that realize the main purpose of users shall be classified as the basic business functions of App, and the business functions other than the basic business functions provided by App shall be classified as extended business functions;
Note 2: If App provides various types of services, service types other than App types are called "other service types", and business functions of other service types are extended business functions. For example, the map navigation Apps also provide online shopping and online car-hailing services, so the business functions of online shopping and online car-hailing services are all extended business functions.
d) Business functions only for the purpose of improving service quality, enhancing user experience and targeted pushing of information and new product development shall be classified as extended business functions;
e) Business functions provided by external third parties or affiliates shall be classified as extended business functions, except for the basic business functions of Apps of common service types given in Annex A;
f) If there are multiple optional methods for implementing the basic business functions, the implementation methods that have a greater impact on users' personal rights and interests shall be classified as extended business functions.
Note 3: If new implementation methods of basic business functions appear due to technological development, and collect personal information more sensitive than that of the traditional methods and have a greater impact on personal rights and interests, they can be classified as extended business functions, which are usually used as optional alternatives and supplements for basic business functions. For example, new identification methods based on the development of biometric identification technology (such as face recognition, voiceprint recognition, fingerprint recognition, etc.) collect biometric information instead of passwords, which has a greater impact on personal rights and interests.
Foreword i
Introduction ii
1 Scope
2 Normative references
3 Terms and definitions
4 Abbreviations
5 App function division
6 Basic requirements for App to collect personal information
6.1 Minimum necessary collection
6.2 Necessary personal information
6.3 Specific types of personal information
6.4 Informed consent
6.5 System permission
6.6 Third party access management
6.7 Other requirements
Annex A (Nominative)
A.1 Map navigation Apps
A.2 Online car hailing Apps
A.3 Instant communication Apps
A.4 Online community Apps
A.5 Online payment Apps
A.6 Online shopping Apps
A.7 Food delivery Apps
A.8 Express mail delivery Apps
A.9 Transportation ticketing Apps
A.10 Online dating Apps
A.11 Recruitment Apps
Annex B (Informative) Explanation of concepts such as App, business functions and necessary personal information
Annex C (Nominative) Collection requirements for specific types of personal information
Annex D (Informative) Scope of system permission to access personal information
Annex E (Informative) Android system permissions of low relevance to common service types
Annex F (Informative) Common unchangeable unique device identifiers
信息安全技術 移動互聯網應用程序(App)
收集個人信息基本要求
1 范圍
本文件規定了App收集個人信息的基本要求，給出了常見服務類型App必要個人信息范圍和使用要求。
本文件適用于App運營者規范其個人信息收集活動，也適用于監管部門、第三方評估機構等對App個人信息收集活動進行監督、管理和評估。
2 規范性引用文件
下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。
GB／T 25069 信息安全技術 術語
GB／T 35273-2020信息安全技術 個人信息安全規范
3 術語和定義
GB／T 25069、GB／T 35273-2020界定的以及下列術語和定義適用于本文件。
3.1
移動互聯網應用程序 mobile internet application
運行在移動智能終端上的應用程序。
注：包括移動智能終端預置、下載安裝的應用程序和小程序，簡稱App。
3.2
移動互聯|網應用程序運營者 mobile internet application operator
移動互聯網應用程序的所有者、管理者或提供者。
注：簡稱App運營者。
3.3
小程序 mini program
基于應用程序開放接口實現的，用戶無需安裝即可使用的移動互聯網應用程序。
注：應用程序通過公開其應用程序編程接口(API)或函數，使外部的程序可以增加該應用程序的功能或使用該應用程序的資源，而不需要更改該應用程序的源代碼。
3.4
業務功能 business function
滿足用戶具體使用目的的功能。
注：App的業務功能，可分為基本業務功能和擴展業務功能。
[來源：GB／T 35273-2020，3.17，有修改]
3.5
服務類型 service type
移動互聯網應用程序提供的業務功能分類。
注：常見服務類型如地圖導航、網絡約車、即時通信、網上購物、網絡支付等，見附錄A。
3.6
基本業務功能 basic business function
移動互聯網應用程序實現用戶主要使用目的的業務功能。
3.7
擴展業務功能 extended business function
移動互聯網應用程序所提供的基本業務功能之外的其他業務功能。
3.8
必要個人信息 necessary personal information
保障移動互聯網應用程序基本業務功能正常運行所必需的個人信息，缺少該信息移動互聯網應用程序即無法實現基本業務功能。
注1：App、基本業務功能、必要個人信息之間的關系，見附錄B中B.1。
注2：App可收集的個人信息范圍，分為必要個人信息非必要但有關聯個人信息。非必要但有關聯個人信息是指與App所提供服務相關但可選收集的個人信息，見B.2。
3.9
用戶 user
使用移動互聯網應用程序的個人信息主體。
注：用戶通常包括消費側用戶和服務供給側用戶，消費側用戶是使用App服務的個人消費者，服務供給側用戶是通過App提供服務的用戶，例如網絡約車類App的消費側用戶是乘客，服務供給側用戶是駕駛員。
3.10
可收集個人信息權限 system permission to access personal information
移動智能終端操作系統向移動互聯網應用程序開放的，具有收集個人信息功能的系統權限。
注：簡稱系統權限或權限。
3.11
唯一設備識別碼 unique device identifier
可唯一標識移動智能終端的編碼。
注1：也稱設備唯一標識符，可分為可變更的唯一設備識別碼和不可變更的唯一設備識別碼。
注2：可變更的唯一設備識別碼，是指用戶可重置、變更或關閉追蹤的唯一設備識別碼。不可變更的唯一設備識別碼，是指不因設備恢復出廠設置、應用安全卸載或用戶操作而改變的硬件標識符。
3.12
定向推送 targeted push
基于某一個人信息主體的網絡瀏覽歷史、興趣愛好、消費記錄和習慣等個人信息，利用算法向該個人信息主體展示信息內容、提供商品或服務的搜索結果、推薦產品或服務、推送新聞信息、廣告營銷等活動。
注：也稱為個性化展示或個性化推薦。
[來源：GB／T 35273-2020，3.16，有修改]
3.13
用戶畫像 user profiling
通過收集、匯聚、分析個人信息，對某一自然人個人特征，如職業、經濟、健康、教育、個人喜好、信用、行為等方面進行分析或預測，形成其個人特征模型的過程。
[來源：GB／T 35273-2020，3.8，有修改]
3.14
軟件開發工具包 software development kit
協助軟件開發的軟件庫。
注：軟件開發工具包通常包括相關二進制文件、文檔、范例和工具的集合。
3.15
第三方軟件開發工具包 third-party software development kit
由移動互聯網應用程序運營者之外的其他法人實體提供的軟件開發工具包。
3.16
權限申請 system permission request
移動互聯網應用程序向移動智能終端操作系統聲明，并向用戶請求授權，以獲得訪問數據或功能的許可的過程。
3.17
第三方應用 third-party application
由移動互聯網應用程序運營者之外的其他法人實體提供，通過移動互聯網應用程序面向用戶提供服務的應用程序。
注1：第三方應用提供的形式，通常包括SDK、小程序、Web頁面等。如果SDK沒有直接向用戶提供服務，則不屬于本文件所稱的第三方應用。
注2：雖與App運營者屬于不同法人實體，但與App運營者屬于同一企業集團，且遵守同一套管理制度、統一進行安全和運維管理的，不屬于App運營者的第三方。關聯公司通常屬于App運營者的第三方。
4 縮略語
下列縮略語適用于本文件。
API：應用程序編程接口(Application Programming Interface)
GPS：全球定位系統(Global Positioning System)
ICCID：集成電路卡識別碼(Integrate Circuit Card Identity)
IMEI：國際移動設備識別碼(International Mobile Equipment Identity)
IMSI：國際移動用戶識別碼(International Mobile Subscriber Identity)
MAC：媒體訪問控制(Media Access Control)
MEID：移動設備識別碼(Mobile Equipment Identifier)
SDK：軟件開發工具包(Software Development Kit)
SN：設備序列號(Serial Number)
WAP：無線應用協議(Wireless Application Protocol)
Web：全球廣域網(World Wide Web)
5 App功能劃分
App收集個人信息要求與其功能密切相關，應首先按照以下要求明確劃分App的基本業務功能和擴展業務功能：
a) 應明確實現用戶主要使用目的的業務功能所屬的服務類型為該App的類型；
b) 當App類型屬于附錄A給出的常見服務類型時，應按照附錄A中所對應的服務類型劃分App的基本業務功能；
注1：附錄A按照《常見類型移動互聯網應用程序必要個人信息范圍規定》，給出了常見服務類型App的基本業務功能和必要個人信息范圍，以及必要個人信息的使用要求。其中，常見服務類型App的基本業務功能、必要個人信息范圍，均與《常見類型移動互聯網應用程序必要個人信息范圍規定》保持一致。
c) 當App類型不屬于附錄A給出的常見服務類型時，應將實現用戶主要使用目的的業務功能劃分為App的基本業務功能，將App提供的基本業務功能之外的業務功能劃分為擴展業務功能；
注2：如App提供多種類型服務，App類型之外的服務類型稱為“其他服務類型”，其他服務類型的業務功能屬于擴展業務功能。例如地圖導航類App還提供網上購物、網絡約車類服務，則網上購物、網絡約車服務的業務功能均屬于擴展業務功能。
d) 僅為實現改善服務質量、提升使用體驗、定向推送信息研發新產品等目的的業務功能，應劃分為擴展業務功能；
e) 外部第三方或關聯公司提供的業務功能應劃分為擴展業務功能，附錄A給出的常見服務類型App的基本業務功能除外；
f) 如基本業務功能有多種可選的實現方式，對用戶個人權益影響更大的實現方式應劃分為擴展業務功能。
注3：基本業務功能因技術發展而出現的新實現方式，如果新方式相較傳統方式收集更為敏感的個人信息、對個人權益影響更大的，可視為擴展業務功能，通常作為基本業務功能的可選替代、補充使用。例如因生物特征識別技術發展出現的身份鑒別新方式(例如人臉識別、聲紋識別、指紋識別等)，收集生物識別信息替代口令，對個人權益影響更大。
6 App收集個人信息基本要求
6.1 最小必要收集
App收集個人信息應在滿足GB／T 35273-2020中5.1、5.2要求的基礎上，遵守以下要求：
a) 收集的個人信息應具有明確、合理、具體的個人信息處理目的；
b) 收集的個人信息應限于實現處理目的所必要的最小范圍；
注1：范圍通常涉及收集個人信息的類型、頻率、數量、精度等。
c) 應采取對個人權益影響最小的方式收集個人信息；
注2：個人權益影響通常與個人信息的敏感程度相關，個人信息越敏感其處理活動對個人權益影響越大，權益影響評價見GB／T 39335-2020。
注3：當收集一般個人信息或敏感個人信息均能滿足App服務目的時，收集一般個人信息屬于對個人權益影響較小的方式。
d) 收集的個人信息應與處理目的直接相關；
e) 應僅在用戶使用業務功能期間，收集該業務功能所需的個人信息。
注4：用戶使用業務功能期間，通常是從用戶點擊觸發該業務功能或切換到業務功能頁面開始，用戶在前臺操作業務功能或業務功能在后臺提供必要服務，到業務功能目的完成或用戶主動關閉、退出該業務功能時結束。
6.2 必要個人信息
App應確定必要個人信息范圍，滿足以下要求：
a) 當App類型屬于附錄A給出的常見服務類型時，應按照附錄A中所對應的服務類型確定App的必要個人信息范圍，必要個人信息的使用應符合附錄A要求；
注：附錄A的必要個人信息范圍，主要指消費側用戶個人信息，不包括服務供給側用戶個人信息。
b) 當App類型不屬于附錄A給出的常見服務類型時，應先按照第5章劃分基本業務功能和擴展業務功能，再將保障App基本業務功能正常運行所必需的個人信息確定為必要個人信息；
c) 要求用戶必須提供的個人信息不應超出必要個人信息范圍；
d) 當無須收集用戶個人信息即可提供App基本業務功能時，應確保用戶在不提供個人信息的情況下可正常使用App基本業務功能。
6.3 特定類型個人信息
App收集特定類型個人信息，應滿足附錄C的要求。
6.4 告知同意
6.4.1 通用要求
App收集個人信息應在滿足GB／T 35273-2020中5.3、5.4、5.5要求的基礎上，還應滿足以下告知同意要求：
a) 應采用顯著方式(如彈窗、圖文、動畫等)向用戶告知個人信息保護政策的核心內容(如所提供的基本業務功能、必要個人信息等)，提示用戶閱讀個人信息保護政策，并取得用戶明示同意；
b) 應向用戶明示App基本業務功能、擴展業務功能和必要個人信息范圍，并顯著區分必要和非必要個人信息；
注1：本文件所稱“非必要個人信息”是指“非必要但有關聯個人信息”，見附錄B。
c) 應拆分App的必要個人信息和非必要個人信息的同意；
d) 當用戶同意收集 App必要個人信息時，應保障用戶可拒絕或撤回同意收集非必要個人信息，且不應因用戶拒絕或撤回同意提供非必要個人信息，而拒絕用戶使用該App的基本業務功能；
注2：例如提供“退出”“上一步”“關閉”“取消”的按鈕等方式供用戶拒絕個人信息收集。
e) 擴展業務功能應由用戶自主選擇開啟，如用戶拒絕使用.關閉或退出擴展業務功能，不應影響用戶使用基本業務功能；
注3：用戶自主作出的開啟動作屬于自主選擇開啟，如主動點擊、勾選、填寫等。
不應通過捆綁不同類型服務、捆綁基本業務功能和擴展業務功能、批量申請授權等方式，誘導、強迫用戶一次性同意個人信息收集請求；
g) 因法律法規規定收集個人信息，應明示依據的法律法規具體規定，并僅用于法律法規所規定的用途；
h) 應向用戶提供已收集其個人信息類型的查詢方法，查詢宜通過App獨立界面等方式展示；
i) 對于以間接獲取方式收集的個人信息，宜向用戶提供個人信息獲取來源的查詢方法。
6.4.2 敏感個人信息告知同意
App收集敏感個人信息，應滿足以下告知同意要求。
a) 收集生物識別宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等敏感個人信息時，應同步告知用戶收集使用目的，目的描述應明確具體、通俗易懂，并取得用戶單獨同意。
b) 收集不滿14周歲未成年人個人信息，應制定專門的個人信息處理規則，內容應包括但不限于：
1) App運營者的名稱或者姓名和聯系方式；
2) 未成年人個人信息的處理目的、處理方式；
3) 處理的未成年人個人信息種類、保存期限；
4) 用戶行使個人信息權利的方式和程序；
5) 處理未成年人個人信息的必要性；
6) 對未成年人個人權益的影響。
c) 收集不滿14周歲未成年人個人信息，應取得未成年人的父母或者其他監護人的單獨同意。
6.4.3 多種服務類型告知同意
當App提供多種類型服務時，App收集個人信息應滿足以下告知同意要求。
a) 應按照服務 類型制定個人信息保護政策，明示各類服務處理個人信息的目的、方式、范圍等。
注1：各類服務的個人信息保護政策，可以是各類服務制定單獨的個人信息保護政策，也可以是按照服務類型匯總的個人信息收集使用規則。
b) 應按照服務類型分別向用戶申請處理個人信息的同意。
c) App類型之外的其他服務類型，宜由用戶自主選擇啟用。當用戶首次使用時，宜采用增強式告知方式明示該服務類型的個人信息處理規則，并取得用戶明示同意。
注2：增強式告知通常用于幫助用戶理解特定個人信息處理規則，采用專門頁面或單獨步驟等用戶不易繞過的方式向用戶告知，具體可參照個人信息告知同意相關標準。
d) 如App提供的其他服務類型屬于附錄A給出的常見服務類型，其他服務類型應按照附錄A確定相應類型的基本業務功能和必要個人信息范圍，同時滿足6.4.1d)和e)的要求。
6.4.4 用戶拒絕或撤回同意
當用戶拒絕或撤回App個人信息收集、權限申請或業務功能使用的同意時，App應滿足以下要求。
a) 不應強制退出或者關閉App。
b) 不應拒絕提供App基本業務功能或影響其他無關的業務功能使用，除非用戶拒絕同意App必要個人信息或基本業務功能。
c) 不應頻繁申請授權干擾用戶正常使用，除非由用戶主動觸發業務功能，且沒有該個人信息或權限參與此業務功能無法實現。“頻繁”的形式包括但不限于：
1) 單個場景在用戶拒絕授權后，48h內彈窗提示用戶打開權限的次數超過1次；
2) 每當用戶重新打開App或使用無關的業務功能時，都會再次向用戶索要授權或提示用戶缺少相關授權。
6.5 系統權限
6.5.1 權限申請
App申請可收集個人信息權限，應滿足以下要求：
a) 應僅聲明和申請實現App服務目的最小范圍的系統權限，不應申請與App業務功能無關的系統權限；
注1：聲明，是指在應用程序清單文件(如安卓的AndroidManifest. xml文件、iOS的Info. plist等)中向操作系統說明所需的系統權限。
注2：可收集個人信息權限范圍見附錄D，表D.1及表D.2的“可訪問的個人信息”給出了通過權限可能訪問的個人信息范圍，表D.1的“業務功能示例”給出了需要申請權限的業務功能示例。
注3：附錄E給出了與常見服務類型相關程度較低的安卓系統權限。
b) 在用戶未使用相關業務功能時，不應提前申請與當前業務功能無關的權限；
c) 申請權限時應同步告知用戶權限申請目的，目的應明確具體且易于理解，不包含任何欺詐、誘騙、誤導用戶授權的描述；
d) 不應以捆綁方式要求用戶一次性同意打開多個系統權限；
注4：安卓App的目標API等級低于23(targetSdk Version＜23)屬于捆綁授權的常見情形。
e) 如操作系統支持，申請相機、位置、麥克風等可收集個人信息權限應向用戶提供單次授權的選項；
f) 如用戶拒絕或撤回同意系統權限授權，宜為用戶提供無需系統權限亦可實現業務功能的替代解決方案。
注5：替代解決方案，例如當用戶拒絕位置權限，仍可以通過自主輸入地址的方式使用相關服務。
6.5.2 權限使用
App使用可收集個人信息權限，應滿足以下要求。
a) 未經用戶同意，不應更改用戶的系統權限和業務功能設置。
注1：私自更改情形，例如在App更新升級后，未經用戶同意將用戶設置的可收集個人信息權限恢復到默認狀態，或打開用戶已關閉的可收集個人信息的業務功能。
b) 權限申請授權后收集個人信息的頻率應在實現App業務功能所必需的最低合理頻度范圍內。
c) 權限申請授權后應僅訪問滿足業務功能需要的最少個人信息，且當實現相關功能不需要回傳個人信息則不應回傳至后臺服務器。
注2：例如讀取通訊錄時，若實現相關業務功能僅需讀取特定聯系人則不應讀取所有聯系人。
d) 如權限的使用目的、使用場景發生變化，應重新告知用戶并取得同意。
e) App通過權限獲得的個人信息和能力，不應在未經用戶同意的情況下提供給App接入的第三方應用或嵌入的第三方SDK使用。
f) 以下操作應由用戶主動觸發，且應在用戶知情的情況下執行：
1) 執行撥打電話.發送短信等操作；
2) 打開或關閉藍牙、定位、無線局域網，以及獲取無線局域網內其他設備的信息等；
3) 拍攝、錄音、截屏、錄屏等；
4) 讀寫用戶短信、聯系人、相冊等個人信息。
g) 申請使用設備管理器、輔助功能、監聽通知欄、懸浮窗權限等權限，應具有明確的業務功能需求，向用戶詳細說明申請目的，并取得用戶單獨同意。
注3：設備管理器.輔助功能、監聽通知欄、懸浮窗權限等權限，涉及設備、系統、其他App的安全和用戶體驗，一旦被惡意App獲取可能侵犯用戶隱私或設備安全，通常只有少數App在特定場景下申請，申請此類權限通常需要提供單獨管理界面詳細說明申請目的，并適當增加障礙設計避免用戶誤操作。
6.6 第三方收集管理
6.6.1 App接入第三方應用
App接入可收集個人信息的第三方應用，應對第三方應用收集個人信息進行安全管理，滿足以下要求。
a) 第三方應用接入管理應符合GB／T 35273-2020中9.7的要求。
b) 應與第三方應用明確雙方的個人信息處理規則和保護責任，包括：
1) 第三方應用收集個人信息的目的、方式、范圍；
2) 第三方應用申請的系統權限和申請目的；
3) App提供給第三方應用的個人信息種類、保存期限、停止接入后的個人信息處理方式；
4) 雙方的個人信息安全責任和保護措施；
5) 第三方應用協助App響應用戶個人信息權利請求的措施。
c) 應為用戶提供第三方應用授權管理的功能或渠道，確保用戶可便捷地關閉或撤回對第三方應用可收集個人信息權限的授權，以及向第三方應用提供個人信息的授權，第三方應用提供該App基本業務功能的除外。
d) 應提醒用戶關注第三方應用的個人信息處理規則，未經用戶同意不應私自截留用戶僅同意向第三方應用提供的個人信息。
注：例如信息查詢類App，在用戶僅同意向第三方應用提供相關個人信息時，App未經用戶同意截留用戶個人信息并上傳至其后臺服務器的行為屬于私自截留個人信息。
6.6.2 App嵌入第三方SDK
App嵌入可收集個人信息的第三方SDK，應對第三方SDK收集個人信息進行安全管理，滿足以下要求。
a) 應僅嵌入滿足App業務功能需要的最少數量的SDK，App向第三方SDK提供的個人信息應限于實現處理目的所必要的最小范圍。
b) 應在嵌入第三方SDK前，對SDK是否存在違法違規收集使用個人信息行為、個人信息出境行為進行評估。
c) 應與第三方SDK明確雙方的個人信息處理規則和保護責任，包括：
1) SDK收集個人信息的目的、方式、范圍；
2) SDK申請的系統權限和申請目的；
3) SDK收集個人信息的保存期限停止嵌入后的個人信息處理方式；
4) 個人信息安全責任和保護措施；
5) SDK是否存在熱更新機制；
6) SDK是否存在自啟動、關聯啟動；
7) SDK收集個人信息是否涉及向境外提供；
8) SDK協助App響應用戶個人信息權利請求的措施。
d) 應向用戶告知嵌入的第三方SDK名稱、SDK收集的個人信息種類、使用目的及申請的系統權限、申請目的等，并取得用戶同意。
e) 應對SDK申請使用權限進行審核，確保其申請的權限具有明確、合理的使用目的，并監督SDK的個人信息收集行為是否超出約定或用戶同意的范圍。
f) 如第三方SDK存在熱更新機制，App應要求SDK：
1) 在熱更新推送前向App運營者告知本次熱更新的具體內容及可能造成的影響；
2) 如熱更新內容涉及個人信息處理目的、方式和范圍的變更，應通過郵件、電話等逐一送達方式告知App運營者。
g) 停止使用某SDK時，應及時從代碼中移除該SDK的相關代碼。
6.7 其他要求
App收集個人信息還應滿足以下要求：
a) 定向推送信息和用戶畫像場景采用唯一設備識別碼標識用戶時，應使用可變更的唯一設備識別碼，且不應將其與用戶身份信息或不可變更的唯一設備識別碼關聯；
注1：常見不可變更的唯一設備識別碼，如IMEI、IMSI、MEID，MAC地址等，見附錄F.經隨機化處理后的MAC地址不屬于不可變更的唯一設備識別碼。
b) 如存在讀取剪切板或公共存儲區的行為，應告知用戶讀取的信息范圍和使用目的，不應在未取得用戶同意的情況下，收集剪切板中包含的個人信息和公共存儲區中的個人信息；
c) 當App在靜默狀態或在后臺運行，且未向用戶提供服務時，不應收集用戶個人信息；
d) 在非服務所必需或者無合理場景下，不應自啟動或者關聯啟動其他App；
注2：關聯啟動是指其他程序喚醒的啟動。
e) 不應通過積分.獎勵、優惠、紅包等方式，欺騙誤導用戶提供與App業務功能無關的個人信息或權限；
f) 當拍攝 、錄音、錄屏、定位時，應采用顯著方式提示用戶；
g) 應參考有關國家標準在App設計、開發階段考慮最小必要等個人信息保護原則，同步規劃和建設App個人信息保護措施。
