1、ICS 33.050M 30團體標準T/TAF 077.11-2021APP 收集使用個人信息最小必要評估規范通話記錄Application software user personal information collection and usage minimization and necessity evaluation specificationCall log2021-01-08 發布2021-01- 08 實施電信終端產業協會 發布T/TAF 077.11-2021 PAGE * ROMAN III目次 HYPERLINK l _bookmark0 前言II HYPERLINK l

2、 _bookmark1 引言III HYPERLINK l _bookmark2 范圍1 HYPERLINK l _bookmark3 規范性引用文件1 HYPERLINK l _bookmark4 術語、定義和縮略語1 HYPERLINK l _bookmark5 術語和定義1 HYPERLINK l _bookmark6 縮略語1 HYPERLINK l _bookmark7 基本原則2 HYPERLINK l _bookmark8 通話記錄典型應用場景2 HYPERLINK l _bookmark9 權限申請最小必要規范2 HYPERLINK l _bookmark10 讀通話記錄2 H

3、YPERLINK l _bookmark11 寫通話記錄2 HYPERLINK l _bookmark12 收集使用最小必要規范2 HYPERLINK l _bookmark13 收集2 HYPERLINK l _bookmark14 使用2 HYPERLINK l _bookmark15 存儲3 HYPERLINK l _bookmark16 刪除3 HYPERLINK l _bookmark17 評估流程和方法3前言本文件按照 GB/T 1.1-2020標準化工作導則 第 1 部分：標準化文件的結構和起草規則的規定起草。請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責

4、任。本文件由電信終端產業協會提出并歸口。本文件起草單位：中國信息通信研究院、北京奇虎科技有限公司、北京字節跳動科技有限公司、華為技術有限公司、維沃移動通信有限公司、OPPO 廣東移動通信有限公司、中國移動通信集團終端有限公司。本文件主要起草人：姚一楠、劉奇明、張屹、寧嬌、王宇曉、衣強、賈科、李騰、寧華、王艷紅、于樂。引言通話記錄信息是APP在實現業務時被廣泛應用的個人信息，在我國國家標準GB/T 35273-2020中，將通話記錄信息列為個人敏感信息，代表了用戶的通話記錄信息具有較高的敏感程度，然而在一些場景， 存在著對通話記錄過度收集使用的情況，侵害了用戶權益。因此本文件旨在規范通話記錄信息

5、的收集和使用要求，為APP收集使用通話記錄信息時提出相應要求和指導。T/TAF 077.11-2021 PAGE 3APP 收集使用個人信息最小必要評估規范 通話記錄范圍本文件規定了移動應用軟件收集使用終端產生的通話記錄信息的最小必要原則及安全要求。本文件適用于移動應用軟件提供者規范用戶個人信息（通話記錄）的處理活動，也適用于主管監管部門、第三方評估機構等組織對移動應用軟件收集使用通話記錄行為進行監督、管理和評估。規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件， 僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改

6、單）適用于本文件。GB/T 352732020 信息安全技術 個人信息安全規范T/TAF 077.12020 APP收集使用個人信息最小必要評估規范 總則術語、定義和縮略語術語和定義GB/T 352732020和T/TAF 077.12020界定的以及下列術語和定義適用于本文件。3.1.1通話記錄 call log指移動智能終端用戶發起的主叫通話、被叫通話等通話行為后在終端設備內記錄的信息。注：通常包括通話姓名、通話號碼、通話日期、通話時長、通話類別、標記等信息。3.1.2個人信息主體 personal information subject個人信息所標識或者關聯的自然人。來源: GB/T 3

7、5273-2020,3.33.1.3個人信息控制者 personal information controller 有能力決定個人信息處理目的、方式等的組織或個人。來源: GB/T 35273-2020,3.4縮略語下列縮略語適用于本文件。 APP 移動應用軟件 Application基本原則應滿足T/TAF 077.1-2020APP收集使用個人信息最小必要評估規范 總則中的最小必要原則。通話記錄典型應用場景通話記錄信息具有較高的敏感程度，應在合理的場景下使用，以下給出APP允許收集使用通話記錄信息的典型場景：安全類：實現騷擾電話檢測、標記、屏蔽等；通訊類：實現通話功能（如語音通話，視頻通話

8、等），操作本設備或關聯設備（如配對手表、汽車等）進行通訊活動等；管理類：實現信息備份/恢復，歸類管理等；共享類：配合手表、電腦、汽車等智能設備進行跨設備間通話信息轉移等；驗證類：APP 通過撥打電話進行業務驗證，讀通話記錄中有無相應號碼確定是否接到來電。權限申請最小必要規范讀通話記錄若 APP 需要通過申請操作系統權限收集通話記錄信息，則應在采集行為發生前申請讀通話記錄權限，并應確保個人信息主體對于申請的授權是其在完全知情的基礎上自主給出的、清晰明確的意愿表示。APP 申請讀通話記錄權限的典型場景包括本文件第 5 章定義的安全類、通訊類、管理類、共享類、驗證類場景。寫通話記錄若 APP 需要通

9、過申請操作系統權限編輯通話記錄信息，則應在編輯行為發生前申請寫通話記錄權限，并應確保個人信息主體對于申請的授權是其在完全知情的基礎上自主給出的、清晰明確的意愿表示。APP 申請寫通話記錄權限的典型場景包括本文件第 5 章定義的安全類、通訊類、管理類場景。收集使用最小必要規范收集APP服務器端收集通話記錄信息應滿足以下要求：應在收集通話記錄前明確告知個人信息主體收集的目的、方式、范圍，經個人信息主體同意后才能收集。應按照滿足服務需要的最小范圍收集通話記錄信息，如電話驗證場景應僅收集驗證開始時間以后，且和主叫號碼相同的通話記錄信息。應按照滿足服務需要的最低頻率收集通話記錄信息。使用APP服務器端使

10、用通話記錄信息應滿足以下要求：應盡可能在 APP 客戶端側加工處理通話記錄信息，如需傳輸到 APP 服務器端，則應在隱私政策中說明使用的目的、方式、范圍。應嚴格按照使用目的使用通話記錄信息，若需擴大使用目的，則應在使用前再次告知并經個人信息主體同意后才能使用。存儲APP服務器端存儲通話記錄信息應滿足以下要求：通話記錄信息的存儲期限應為實現個人信息主體授權使用的目的所必需的最短時間。除備份/恢復及騷擾電話標記等安全類場景外，其余場景宜僅在 APP 客戶端側本地存儲或不存儲通話記錄信息。刪除APP服務器端刪除通話記錄信息應滿足以下要求：超出約定的存儲期限后，個人信息控制者應及時刪除或匿名化通話記錄信息。當個人信息主體主動申請注銷服務后，個人信息控制者應在承諾期限內刪除或匿名化通話記錄信息。當個人信息控制者停止運營其收集使用通話記錄信息的服務時，應停止繼續收集通話記錄信息，并及時刪除或匿名化通話記錄信息。評估流程和方法APP 收集使用通話記錄最小必要的評估流程和方法應遵循 T/TAF 077.1-2020 APP 收集使用個人信息