信息安全技术 移动智能终端个人信息保护技术要求
Information security technology–Technology requirements for personal information protection of smart mobile terminal
（征求意见稿）
××××-××-××发布××××-××-××实施
中 华 人 民共和 国 国 家质量 监 督 检验检 疫 总 局发 布
中国国家标准化管理委员会
目次
前言
引言
1范围
2规范性引用文件
3术语、定义和缩略语
4移动智能终端个人信息分类
4.1概述
4.2个人信息分类
5移动智能终端个人信息保护原则
6移动智能终端个人信息保护技术
6.1概述
6.2个人信息的收集
6.3个人信息的加工
6.4个人信息的转移
6.5个人信息的删除
参 考 文 献
前言
本标准按照GB/T 1.1-2009的规则起草。
本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。
本标准起草单位：浙江长天信息技术有限公司、成都网安科技发展有限公司、中国软件评测中心、工业和信息化部电子工业标准化研究院、中国信息安全测评中心。
本标准主要起草人：高洁原、高炽扬、罗锋盈、高子鹏、王坤、张华熊、刘法旺、刘陶、杨建军、郭颖。
引言
随着移动互联网的快速发展和移动智能终端的广泛应用，移动智能终端个人信息在人们的社会、经济活动中的地位日益凸显，滥用个人信息的现象也随之出现，给社会秩序和个人切身利益带来了危害。为促进移动智能终端个人信息的合理利用，指导和规范利用移动智能终端处理个人信息的活动，制定本标准。
信息安全技术 移动智能终端个人信息保护技术要求
1范围
本标准规范了全部或部分通过移动智能终端进行个人信息处理的过程，为移动智能终端中个人信息处理不同阶段的个人信息保护提供指导。
本标准适用于指导公共及商业用途的移动智能终端进行个人信息的处理，其他有关各方也可参照使用。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/Z 28828 信息安全技术 公共及商用服务信息系统个人信息保护指南
YD/T 2407移动智能终端安全能力技术要求
3术语、定义和缩略语
3.1术语和定义
下列术语和定义适用于本文件。
3.1.1
移动智能终端smart mobile terminal
能够接入移动通信网，具有能够提供应用程序开发接口的开放操作系统，并能够安装和运行第三方应用软件的移动终端。
3.1.2
移动智能终端应用程序smart mobile terminal application
安装在移动智能终端设备上，能够利用移动智能终端设备上操作系统提供的开发接口，实现某项或某几项特定任务的计算机程序。
3.1.3
移动智能终端个人信息smart mobile terminal personal information
可为移动智能终端中操作系统或应用软件所处理、与移动智能终端使用者相关，且能够单独或通过与其他信息相结合，从而识别该移动智能终端使用者的数据信息。
3.1.4
个人信息主体 subject of personal information
个人信息指向的自然人。
3.1.5
明示同意 expressed consent
个人信息主体明确授权同意，并保留证据。
3.2缩略语
下列缩略语适用于本文件。
API应用程序编程接口Application Programming Interface
IMEI国际移动设备身份码International Mobile Equipment Identity
UDID唯一设备识别符Unique Device Identifier
4移动智能终端个人信息分类
4.1概述
移动智能终端个人信息主要包含通信信息、日志信息、账户信息、金融支付信息、传感采集信息、设备信息和文件信息共七大类别，涉及了包括移动智能终端设备系统固有、用户存储及应用程序生成等各类个人信息数据。
4.2个人信息分类
4.2.1通信信息是指移动智能终端用户用于发起或接受通信以及在通信过程中所产生的数据信息。包括通讯录、通讯记录、短信、彩信、邮件、即时通信消息等。
4.2.2日志信息是指移动智能终端使用者通过使用应用程序而记录的与时间相关的事件信息，或由应用程序产生的以时间为检索条件的使用记录或缓存数据。
4.2.3账户信息是指移动智能终端应用程序在注册或登录时需要填写的信息，以及移动智能终端中各应用程序所存储的个人账号相关信息。
4.2.4金融支付信息是指移动智能终端用户借助终端参与金融交易或支付活动而产生的数据信息。包括交易验证码、动态口令等。
4.2.5传感采集信息是指利用移动智能终端传感器设备所采集到的、能反映移动智能终端设备使用者的周边环境和身份特征的数据信息。包括地理位置信息、指纹信息等。
4.2.6设备信息是指可标识移动智能终端唯一性的数据信息。包括 IMEI、UDID 等。
4.2.7文件信息是指存储在移动智能终端设备存储介质中的数据信息。包括照片、音频、视频、文本等各种类型文件数据。
5移动智能终端个人信息保护原则
在对移动智能终端个人信息进行处理时，一般应按GB/Z 28828-2012中4.2的要求，遵循其目的明确、最少够用、公开告知、个人同意、质量保证、安全保障、诚信履行和责任明确八项原则合理的利用个人信息。
6移动智能终端个人信息保护技术
6.1概述
在移动智能终端个人信息的处理过程中可分为收集、加工、转移和删除四个主要环节。对个人信息的保护贯穿于四个阶段中：
a)收集阶段是指移动智能终端系统和应用程序对设备中个人信息的提取和记录。
b)加工阶段是指移动智能终端系统和应用程序对收集到的个人信息进行的操作处理，如录入、存储、修改、标注等。
c)转移阶段是指移动智能终端系统和应用程序对收集和处理的个人信息进行发送和传输，从而将个人信息转移复制到其他信息系统。
d)删除阶段指使移动智能终端个人信息在收集、加工处理和传输存储过程结束后，个人信息不再可用时应删除相应数据。
6.2个人信息的收集
6.2.1移动智能终端操作系统应对系统资源的调用进行监控、保护和提醒，确保涉及收集个人信息的行为总是在受控的状态下，不会造成出现用户不可控的行为的执行。
6.2.2移动智能终端系统和应用程序，在通过调用操作系统或其他安装的第三方软件系统提供的 API 接口收集个人信息时，应告知用户，让用户知晓当前操作会收集个人信息的种类，以及收集的个人信息的用途。
6.2.3在收集个人信息过程中，移动智能终端系统和应用程序只应收集能够达到已告知目的的最少信息。
6.2.4持续收集个人信息时，应允许移动智能终端使用者配置、调整或关闭个人信息收集功能。
6.2.5移动智能终端系统和应用程序不应该采取隐蔽手段或以间接方式收集个人信息。
6.2.6收集涉及个人敏感信息和身份特征的个人信息数据时应采用明示同意的告知许可方式。
6.2.7收集阶段的“告知”提醒，应明确一个时间有效期，包括一段时间或长期等。
注：在个人信息收集过程中，“告知和许可”的管理方式可针对于程序类型做适当调整。如：游戏类程序在收集设备号等信息时，应告知用户此操作用于进行前端活动分析统计，视为合理行为；而系统管理和安全防护类的程序在收集设备特征或者通讯方式时应首先声明告知当前收集个人信息的目的是否明确以及合理。
6.3个人信息的加工
6.3.1移动智能终端系统和应用程序在对个人信息进行加工处理时，应告知加工目的、方法或手段。
6.3.2不对收集阶段告知范围以外的个人信息数据进行加工处理。
6.3.3保证个人信息在加工处理过程中的安全性，在整个过程中个人信息不应被三方无关人员或组织获知，过程数据和结果数据都应加密处理，且加密处理方式和强度应符合公共或商用标准。
6.3.4移动智能终端系统和应用程序对个人信息进行加工处理时，应保证系统稳定运行，不造成个人信息的损毁、泄露和丢失等，加工过程完毕时应进行数据完整性和正确性检查。
6.3.5移动智能终端中个人信息加工处理过程应可控，移动智能终端设备使用者可配置、调整或关闭加工过程。
6.3.6移动智能终端系统和应用程序的设计者或开发者不应该在加工过程中采取隐蔽手段挖掘和分析归纳用户的身份特征数据。
6.4个人信息的转移
6.4.1移动智能终端系统和应用程序在进行个人信息数据传输转移时，应告知移动智能终端设备使用者当前个人信息转移的目的、转移信息的获得者、转移数据的使用范围。
6.4.2不对收集阶段告知范围以外的个人信息数据进行转移处理。
6.4.3基于最少够用的原则，对于在本地加工处理能满足功能需求的个人信息数据，则不需要进行数据的传输转移。
6.4.4通讯数据和环境数据类等涉及个人敏感信息或身份特征的个人信息，经移动智能终端设备使用者同意授权后才可转移。
6.4.5个人信息的数据转移过程应保证所转移数据的安全性、完整性及正确性，转移或转存的个人信息数据其过程和结果都应进行加密处理，且加密处理方式和强度应符合公共或商用标准。
6.4.6个人信息数据的转移过程应可控，移动智能终端设备使用者可对当前转移操作进行配置、调整或关闭操作。
6.5个人信息的删除
6.5.1移动智能终端系统和应用程序对收集、加工、转移阶段所使用的个人信息的缓存数据，应该提供自动删除或者手动删除功能。
6.5.2移动智能终端系统和应用程序提供的删除功能应该具备数据彻底删除能力，以保证被删除的个人信息数据不可被恢复。
6.5.3移动智能终端设备遗失或被盗时，移动智能终端系统和应用程序应确保原设备中的个人信息数据可以被远程销毁。
参考文献
[1] GB/Z 28828-2012 信息安全技术 公共及商用服务信息系统个人信息保护指南[2] YD/T 2407-2013 移动智能终端安全能力技术要求