國家標準化管理委員會I前言 Ⅲ 12規(guī)范性引用文件 13術語和定義 14縮略語 25概述 25.1即時通信服務業(yè)務組成 25.2即時通信服務數據范圍 36基本要求 37數據收集 37.1收集用戶信息 37.2申請系統(tǒng)權限 47.3告知同意 48數據存儲和傳輸 48.1數據存儲 48.2數據傳輸 49數據使用和加工 59.1數據展示 59.2數據加工 510數據提供和公開 511數據刪除 612數據出境 613個人信息主體權利 613.1個人信息查閱和更正 613.2個人和組織信息刪除 613.3個人撤回同意 614即時通信服務特殊場景 714.1未成年人保護 714.2防范網絡詐騙的保護措施 7附錄A(資料性)即時通信服務數據處理活動及安全風險 8附錄B(資料性)即時通信服務重要數據識別參考規(guī)則及數據分類示例 9附錄C(資料性)個人即時通信服務常見擴展業(yè)務功能收集個人信息范圍 附錄D(資料性)即時通信服務App相關系統(tǒng)權限申請范圍及使用要求 參考文獻 Ⅲ司、華為技術有限公司、鄭州信大捷安信息技術股份有限公司、北京天融信網絡安全技術有限公司、1信息安全技術即時通信服務數據安全要求安全要求。本文件適用于即時通信服務提供者規(guī)范數據處理活動，也可為監(jiān)管部門、第三方評估機構對即時通信服務數據處理活動進行監(jiān)督、管理、評估提供參考。2規(guī)范性引用文件下列文件中的內容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于GB/T25069信息安全技術術語GB/T35273—2020信息安全技術個人信息安全規(guī)范GB/T37964信息安全技術個人信息去標識化指南GB/T37988信息安全技術數據安全能力成熟度模型GB/T39335信息安全技術個人信息安全影響評估指南GB/T41391—2022信息安全技術移動互聯(lián)網應用程序(App)收集個人信息基本要求GB/T41479信息安全技術網絡數據處理安全要求3術語和定義GB/T25069和GB/T35273—2020界定的以及下列術語和定義適用于本文件。即時通信服務instantmessagingservice個人即時通信服務consumerinstantmessagingservice面向個人用戶的即時通信服務。組織即時通信服務organizationinstantmessagingservice面向組織(例如企業(yè)、政務機關等)辦公場景的即時通信服務。2SDK:軟件開發(fā)工具包(SoftwareDea)個人即時通信服務：個人即時通信服務的參與相關方包括個人用戶、即時通信服務提供者3即時通信服務數據處理活動及安全風險見附錄A。5.2即時通信服務數據范圍本文件中即時通信服務數據范圍包括以下內容。a)用戶數據：即時通信服務提供者在提供即時通信服務過程中收集和產生的個人和組織用戶數b)業(yè)務數據：即時通信服務提供者在提供即時通信服務過程中處理的除用戶數據外的其他數據，6基本要求即時通信服務提供者數據安全的基本要求如下：a)數據處理活動應遵守GB/T41479中的要求；b)個人信息處理活動應遵守GB/T35273—2020中的要求，即時通信App的個人信息收集活動應遵守GB/T41391—2022中的要求；c)應按照有關要求和標準進行數據分類分級保護，識別即時通信服務涉及的核心數據、重要數d)應識別即時通信服務涉及的一般個人信息、敏感個人信息，對個人信息進行分類管理；e)應履行互聯(lián)網平臺運營者義務，如個人信息保護獨立監(jiān)督、制定公平公正的平臺規(guī)則、隱私政策披露、平臺內經營者管理、發(fā)布個人信息保護社會責任報告等；f)即時通信服務提供者的數據安全能力應至少符合GB/T37988二級能力要求；g)應結合數據處理活動的實際情況，按照有關國家標準定期開展數據安全風險評估；h)應在開展對個人權益有重大影響的個人信息處理活動前，按照GB/T39335進行個人信息保護影響評估；i)應按照有關國家標準，在即時通信服務平臺規(guī)劃建設時開展個人信息安全工程實踐，同步規(guī)j)即時通信服務平臺應符合國家網絡安全等級保護相關標準要求。7.1收集用戶信息即時通信服務提供者應在遵守GB/T35273—2020中5.1、5.2、5.3的要求基礎上，遵守以下要求：a)通過即時通信App收集用戶必要個人信息應符合GB/T41391—2022中A.3的規(guī)定；b)通過即時通信App社區(qū)功能要求用戶必須提供的個人信息，不應超出GB/T41391—2022中A.4規(guī)定的必要個人信息范圍；c)擴展業(yè)務功能收集的個人信息均應由用戶可選提供或者用戶公開信息，且應限于實現處理目的的最小范圍；4即時通信App不應申請與App業(yè)務功能無關的系統(tǒng)權限，系統(tǒng)權限申請范圍及使用要求見附a)組織即時通信服務提供者宜提示組織用戶通過組織文件等方式告知組織員工個人信息收集8.1數據存儲個人即時通信服務提供者開展數據存儲活動時，應在遵守GB/T35273—2020中第6章的要求基a)即時通信服務個人信息存儲期限應為實現個人信息處理目的所必需的最短時間，超出存儲期a)應對敏感個人信息提供安全加密存儲和保護；c)宜依據組織歸檔處理管理制度銷毀或者存儲歸檔組織即時通信信息。5個人即時通信服務提供者對個人信息的展示，應在遵守GB/T35273—2020中7.2的要求基礎上，a)應對如登錄口令等涉及賬號安全的敏感個人信息采取GB/T37964中的方法進行脫敏展示，c)宜向組織用戶提供設置水印等保護組織數據的功能。d)通過自動化決策方式向個人進行廣告推送、商業(yè)營銷，應當同時提供不針對其個人特征的選即時通信服務提供者向第三方提供數據，應在遵守GB/T35273—2020中9.1至9.5的要求基礎b)在使用第三方SDK,將收集的數據委托給外部機構處6即時通信服務提供者向用戶提供個人信息刪除，應在遵守GB/T35273—2020中8.3的要求基礎即時通信服務提供者向用戶提供個人信息撤回同意，應在遵守GB/T35273—2020中8.4的要求7d)提供撤回全部或部分向其他應用的關系鏈授權a)收集不滿14周歲未成年人個人信息，應制定專門的個人信息處理規(guī)則，并取得未成年人的父c)青少年模式應在通過口令等方式驗證后才可退出；f)宜在用戶注冊時提示未滿14周歲的用戶填寫個人生日信息；2)出現異常登錄或好友發(fā)起異常轉賬等非常規(guī)行為時進行安全提示；8(資料性)即時通信服務數據處理活動及安全風險A.1即時通信服務數據處理活動即時通信服務數據處理活動示意圖如圖A.1所示。=應用集成存儲平臺或服務提供者提供和公開使用和加工組織用戶個人用戶M戶匹第三方刪除圖A.1即時通信服務數據處理活動及相關角色和服務功能示意圖A.2即時通信服務數據安全風險即時通信服務提供者主要面臨如下數據安全風險：a)在數據收集活動中，過度收集個人信息或者過度索取移動智能終端權限的風險；b)收集數據時，未能有效識別未成年人或未能征得未成年人監(jiān)護人的有效同意，導致無法有效提供未成年人保護措施；c)在數據傳輸、存儲活動中，未采取充分安全保護措施，因鏈路監(jiān)聽、攻擊拖庫和權限不數據泄露、損壞和濫用風險，尤其是關系鏈信息泄露造成的網絡詐騙等風險；d)辦公場景下，即時通信服務數據除了用戶個人信息外，還包含組織數據，同時還面臨組織數據e)在數據使用活動中，數據展示和加工處理環(huán)節(jié)可能存在對用戶個人信息的濫用風險，尤其是在好友匹配、廣告推薦、資訊推薦等個性化場景中，以f)在數據提供活動中，如在支持用戶通過授權服務開通第三方應用賬號、使用第三方完善服務、第三方辦公應用接入、第三方廣告和內容創(chuàng)作等場景中，可能存在對用戶信息的過度共享，以及第三方濫用和泄露用戶個人信息的風險。9(資料性)即時通信服務重要數據識別參考規(guī)則及數據分類示例B.1即時通信服務重要數據識別參考規(guī)則即時通信服務重要數據識別參考規(guī)則如下：a)按照國家和即時通信服務行業(yè)的重要數據目錄，識別涉及的重要數據；b)相關目錄不明確時，按照重要數據識別相關規(guī)定、國家或行業(yè)標準識別重要數據；c)相關目錄、規(guī)定和標準均不明確時，將一旦被泄露或篡改、損運行、社會穩(wěn)定、公共健康和安全的數據識別為重要數據。B.2即時通信服務數據分類示例即時通信服務數據分類示例見表B.1。表B.1即時通信服務數據分類示例數據類別范圍址、昵稱、頭像、興趣愛好等；2)個人身份信息，包括身份證、護照、駕駛證等；3)個人生物識別信息，包括面部識別特征、聲紋等；4)網絡身份標識信息，包括會員賬號或會員名、昵稱、互聯(lián)網協(xié)議(InternetProtocol,IP)地址等；5)個人即時通信信息，包括發(fā)送、接收、轉發(fā)、離線推送消息等；6)聯(lián)系人信息，包括好友、昵稱、備注、頭像、聯(lián)系方式、關聯(lián)群組、分組等；7)個人群組管理信息，包括群成員信息、公告信息、群昵稱、群設置等；8)個人常用設備信息，包括硬件序列號、設備媒體訪問控制(MediaAccessControl,MAC)地址、軟件列表、唯一設備識別碼(如國際移動設備識別碼)等個人常用設備基本情況的信息；9)個人位置信息，包括粗略定位信息、精準定位信息、設備登錄位置等；10)其他信息，包括用戶偏好、訂閱瀏覽記錄、用戶網絡行為等1)組織基本資料，包括組織全稱、組織地址、官方網址、證件類型、營業(yè)執(zhí)照復印件、統(tǒng)一社會信用代碼、組織名稱、地址、法人代表姓名、法人代表身份證號、認證公函等；2)組織辦公通訊錄，包括組織架構、員工手機號、1)業(yè)務統(tǒng)計數據，包括用戶數、新增用戶數、用戶活躍度(日、周、月)、用戶留存率等；2)業(yè)務經營數據，包括廣告點擊量、點贊量、上架應用數量等；3)業(yè)務技術數據，包括算法模型、技術指標參數(資料性)個人即時通信服務常見擴展業(yè)務功能收集個人信息范圍個人即時通信服務常見擴展業(yè)務功能收集個人信息范圍見表C.1。表C.1個人即時通信服務常見擴展業(yè)務功能收集的個人信息范圍個人信息收集范圍生日、性別、職業(yè)、愛好、家鄉(xiāng)、公司、地域位置、個性簽名匹配好友位置、性別、職業(yè)、愛好、年齡、家鄉(xiāng)、公司、個性簽名應急聯(lián)系注：表中僅列舉了較為典型的個人即時通信服務常見擴展業(yè)務功能，各即時通信服務提供者務功能可能會有所差別，本表未予明確的擴展業(yè)務功能服務，根據需要實現的服務目的(資料性)即時通信服務App相關系統(tǒng)權限申請范圍及使用要求D.1即時通信服務AndroidApp(Android11及以下版本)相關系統(tǒng)權限申請范圍及使用要求表D.1即時通信服務AndroidApp相關系統(tǒng)權限申請范圍及使用要求ACCESS_FINE_LOCATION訪問精ACCESS_COARSE_LOCATION訪問粗略ACCESS_BACKGROUND_LOCATION支READ_CONTACTS讀取通訊錄READ_EXTERNAL_STORAGE讀取外置僅用于即時通信信息備份恢復、不同終端即時通性信息展示、二維碼掃描或識別除用戶主動使用云端存儲外，讀取后不應回傳WRITE_EXTERNAL_STORAGE寫入外RECORD_AUDIO錄音READ_PH