TAF077.8—2020APP收集使用个人信息最小必要评估规范录像信息.docxVIP

ICS33.050

M30

团 体 标 准

T/TAF077.8-2020

APP收集使用个人信息最小必要评估规范录像信息

Applicationsoftwareuserpersonalinformationcollectionandusageminimizationandnecessityevaluationspecification

Videoinformation

2020-11-26发布 2020-11-26实施

电信终端产业协会发布

T/TAF

T/TAF077.8-2020

PAGE\*ROMAN

PAGE\*ROMANIII

目 次

前言 II

引言 III

范围 1

规范性引用文件 1

术语和定义 1

典型场景 1

主动上传类场景 1

视频通讯类场景 1

录像加工类场景 1

服务所需类场景 1

录像信息最小必要规范 2

授权同意 2

收集 2

使用 2

对外提供 2

存储、删除 3

前 言

本标准按照GB/T1.1-2020给出的规则起草。

本标准中的某些内容可能涉及专利。本标准的发布机构不承担识别这些专利的责任。本标准由电信终端产业协会提出并归口。

本标准起草单位：中国信息通信研究院、北京小桔科技有限公司。

本标准主要起草人：秦齐祺、张娜、高星照、宁华、王艳红、杜云、陈鑫爱、武林娜、周飞。

引 言

随着移动通信技术的快速发展，移动互联网应用正逐渐渗透到人们生活、工作的各个领域，个人信息安全问题成各方关注的重点。越来越多移动应用软件使用录像进行展示、通讯、加工、提供服务，录像信息是个人信息主体个人信息的重要部分。

目前行业中尚未有从APP收集使用录像信息必要性出发的最小化评估规范，缺乏统一的标准。基于上述考虑，提出本标准，旨在对移动互联网行业收集使用个人信息主体录像信息进行规范，落实最小、必要的原则，进一步促进移动互联网行业的健康稳定发展。

T/TAF

T/TAF077.8-2020

PAGE

PAGE1

APP收集使用个人信息最小必要评估规范录像信息

范围

本标准规定了移动应用软件对录像信息的收集、使用、存储、删除等活动中的最小必要规范和评估方法，并通过个人信息处理活动中的典型应用场景来说明如何落实最小必要原则。

本标准适用于移动互联网应用软件提供者规范个人信息主体个人信息中的录像信息的处理活动，也适用于主管监管部门、第三方评估机构等组织对移动互联网应用程序收集录像信息行为进行监督、管理和评估。

规范性引用文件

下列文件对于本标准的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本标准。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本标准。

GB/T35273－2020信息安全技术个人信息安全规范

术语和定义

GB/T35273－2020界定的以及下列术语和定义适用于本标准。

3.1

录像信息videoinformation

通过视频采集设备录制的直接含有自然人个人信息或者能够反映自然人活动情况的视频信息及其衍生数据。

注：衍生数据包括从视频中提取的图像、声音等。

典型场景

主动上传类场景

主动上传类场景，指个人信息主体通过APP主动上传录像用以向自身或者他人展示的场景。

视频通讯类场景

视频通讯类场景，指个人信息主体通过实时录像与其他方进行通讯的场景。

录像加工类场景

录像加工类场景，指为个人信息主体提供提取录像内容、加工合成录像等服务的场景。

服务所需类场景

服务所需类场景，指APP需要收集相关录像以为个人信息主体提供相关服务的场景。

录像信息最小必要规范

授权同意

对录像信息的授权同意要求包括：

APP收集录像信息前，应向使用APP的个人信息主体告知收集、使用录像信息的目的、方式、范围等，并获个人信息主体的授权同意。

收集录像需要调用设备权限的，宜在录像功能启动时动态申请权限。

个人信息主体拒绝录像相关权限申请后，APP不应拒绝为个人信息主体提供服务，录像信息作为服务的最小必要信息的除外。

个人信息主体拒绝录像相关权限申请后，APP宜间隔48小时以上再进行重新申请，不应频繁请求权限干扰个人信息主体正常使用APP其他功能，个人信息主体主动开启相关功能的除外。

APP不应擅自更改个人信息主体原有的录像权限设置。如需更改，应重新获得个人信息主体授权。

不得欺骗误导个人信息主体同意收集录像信息，不得隐蔽收集录像信息。

征得授权同意的例外参照GB/T35273-2020第5.6条“征得授权同意的例外”条款执行。

收集

对录像信息的收集要求包括：

主动上传类场景、视频通讯类场景、录像加工类场景