移动互联网应用程序(App)个人信息安全测试

能力验证报告CNCA-20-18FinalReportofProficiencyTestingProgramofPersonalInformationSecurityTestingofMobileInternetApplication中国网络安全审查技术与认证中心编制2020年9月I目录1.
前言.
12.
计划概述.
12.
1.
项目简介.
12.
2.
参加机构概况.
22.
3.
方案设计.
33.
结果评价原则.
84.
结果统计和能力评价.
84.
1.
评价结果汇总.
84.
2.
评价结果统计.
115.
技术分析和建议.
116.
总结.
126.
1.
本次能力验证计划的特点.
126.
2.
建议.
137.
能力验证组织者、协调者.
147.
1.
计划组织者.
147.
2.
专家顾问组.
147.
3.
计划协调者.
147.
4.
计划实施人员.
158.
附录.
16附录A检测项目描述和评价细则.
16附录B检测项目描述和评价结果统计.
26附录C作业指导书.
3111.
前言近年来,我国已全面进入移动互联网时代,据不完全统计,近9亿网民中手机上网比列高达99.
1%.
移动互联网应用程序(以下简称"App")的广泛应用,在促进经济社会发展、服务民生等方面发挥着不可替代的作用.
与此同时,App隐瞒收集、强制授权、超范围收集和未经用户同意收集个人信息等不规范行为屡见不鲜,违法违规收集使用个人信息的问题十分突出.
为贯彻落实《网络安全法》,加强个人信息安全保护,维护广大网民的合法权益,2019年1月,中央网信办、工业和信息化部、公安部、市场监管总局四部门联合发布《关于开展APP违法违规收集使用个人信息专项治理的公告》,同年3月,市场监管总局和中央网信办联合发布《关于开展App安全认证工作的公告》.
检验检测机构作为App安全认证和App专项治理工作重要的支撑队伍,其技术能力决定了检测结果的一致性、科学性和客观性.
2.
计划概述2.
1.
项目简介为规范检验检测市场,提升检验检测机构技术能力,根据《检验检测机构资质认定管理办法》《实验室能力验证实施办法》等有关规定,市场监管总局决定在社会重点关注的部分检验检测领域,组织开展2020年国家级检验检测机构能力验证工作,并于2020年3月发布《市场监管总局办公厅关于开展2020年国家级检验检测机构能力验证工作的通知》(以下简称《通知》).
根据《通知》规定,"CNCA-20-18移动互联网应用程序(App)个人信息安全测试"能力验证项目由中国网络安全审查技术与认证中心实施完成.
本次能力验证项目定制开发"简气象(安卓版)"作为能力验证样品,依据GB/T35273-2020《信息安全技术个人信息安全规范》开展检测工作.
检测项目为个人信息的收集,检测内容覆盖收集个人信息的合法性、收集个人信息的最小必要、收集个人信息时的授权同意、个人隐私政策、个人敏感信息的传输和个人信息主体注销账户等关键指标.
22.
2.
参加机构概况根据《通知》要求,由市场监管总局(认监委)颁发检验检测机构资质认定证书,且授权范围包含国标GB/T35273"个人信息的收集"检测项目的国家产品质检中心和检验检测机构应当参加本能力验证项目,其他机构可自愿参加.
实施机构向100余家机构发出邀请函,共计来自全国62家机构报名参加.
其中,按照《通知》要求应参加的3家机构全部报名,自愿参加机构59家,占参加总数的95%,主要包括App专项治理工作支撑机构以及国内知名互联网企业.
应当参加及自愿参加机构占比图详见图1.
参加机构分布在全国16个省、自治区、直辖市,主要集中于北京、上海、广东等经济发达地区.
参加机构地域分布情况详见图2.
图1应当参加及自愿参加机构占比图图2参加机构地区分布图32.
3.
方案设计2.
3.
1.
样品设计和制备实施机构提出能力验证样品制备方案,综合考虑熟悉GB/T35273-2020《信息安全技术个人信息安全规范》、掌握移动安全技术、拥有相关资质证书和确保完成时限等因素,选择国内知名安全厂商定制开发能力验证样品.
能力验证样品为简气象(安卓版),样品形态为软件,共制备3套水平一致的样品:A样、B样、C样(备样).
能力验证样品中预置了与检测项目相关的缺陷.
缺陷设计以GB/T35273-2020《信息安全技术个人信息安全规范》重点关注、具有代表性和检测薄弱点的检测指标为原则,同时确保3套样品预置缺陷的检测难度相当,检测指标的均匀分布.
2.
3.
2.
样品稳定性测试样品制备完成后,实施机构进行了多轮一致性和稳定性测试,验证样品的各项指标是否达到样品制备方案的设计要求.
2.
3.
3.
样品发放实施机构给各参加机构赋予唯一性代码,并将62家机构平均分成A、B组两组,单号代码为A组,双号代码为B组.
向A组发送样品A,向B组发送样品B.
样品发放前一周,实施机构以邮件的方式向参加机构发送预通知,通知参加机构合理规划时间,提前做好测试准备工作.
样品采用邮件同步分发的方式.
分发内容包括:《能力验证作业指导书》及1套、待测能力验证样品安装包1个.
参加机构在收到样品后,对样品完好性进行确认,填写《国家级能力验证计划测试样品发送-接收确认单》,并将扫描件以邮件的方式反馈给实施机构.
如发现样品存在问题,需在2小时之内与实施机构取得联系.
如超时未反馈,视为样品接收状态正常.
2.
3.
4.
检测说明2.
3.
4.
1.
检测依据本项目要求按照GB/T35273-2020《信息安全技术个人信息安全规范》和4作业指导书的相关要求对能力验证样品进行检测.
2.
3.
4.
2.
检测项目检测项目为个人信息的收集,检测内容覆盖收集个人信息的合法性、收集个人信息的最小必要、个人信息保护政策等关键检测指标,检测内容详见下表.
表1检测项目描述序号检测项目作业指导书章节号/名称检测要求12.
2.
1.
1.
收集个人信息的合法性a)不应以欺诈、诱骗、误导的方式收集个人信息;b)不应隐瞒产品或服务所具有的收集个人信息的功能.
22.
2.
1.
2.
收集个人信息的最小必要a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联;直接关联是指没有上述个人信息的参与,产品或服务的功能无法实现;b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率.
32.
2.
1.
3多项业务功能的自主选择a)不应通过捆绑产品或服务各项业务功能的方式,要求个人信息主体一次性接受并授权同意其未申请或使用的业务功能收集个人信息的请求;b)应把个人信息主体自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件.
个人信息控制者应仅在个人信息主体开启该业务功能后,开始收集个人信息;c)个人信息主体不授权同意使用、关闭或退出特定业务功能的,不应频繁征求个人信息主体的授权同意;d)不得仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为由,强制要求个人信息主体同意收集个人信息.
42.
2.
1.
4.
收集个人信息时的授权同意a)收集个人信息,应向个人信息主体告知收集、使用个人信息的目的、方式和范围等规则,并获得个人信息主体的授权同意;b)收集个人敏感信息前,应征得个人信息主体的明示同意,并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;c)收集年满14周岁未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意.
5序号检测项目作业指导书章节号/名称检测要求52.
2.
1.
5.
个人信息保护政策a)应制定个人信息保护政策,内容应包括但不限于:1)个人信息控制者的基本情况,包括主体身份、联系方式;2)收集、使用个人信息的业务功能,以及各业务功能分别收集的个人信息类型.
涉及个人敏感信息的,需明确标识或突出显示;3)个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则;4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及各自的安全和法律责任;5)个人信息主体的权利和实现机制,如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等;6)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;7)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施,必要时可公开数据安全和个人信息保护相关的合规证明;8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式.
b)个人信息保护政策应公开发布且易于访问,例如,在网站主页、移动互联网应用程序安装页、GB/T35273-2020附录C中的交互界面或设计等显著位置设置链接.
62.
2.
1.
6.
征得授权同意的例外以下情形中,个人信息控制者收集、使用个人信息不必征得个人信息主体的授权同意:a)与个人信息控制者履行法律法规规定的义务相关的;b)与国家安全、国防安全直接相关的;c)与公共安全、公共卫生、重大公共利益直接相关的;d)与刑事侦查、起诉、审判和判决执行等直接相关的;e)出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的;f)所涉及的个人信息是个人信息主体自行向社会公众公开的;g)根据个人信息主体要求签订和履行合同所必需的;h)从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;i)维护所提供产品或服务的安全稳定运行所必需的,如发现、处置产品或服务的故障;j)个人信息控制者为新闻单位,且其开展合法的新闻报道所必需;k)个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且其对外提供学术研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的.
6序号检测项目作业指导书章节号/名称检测要求72.
2.
2.
个人敏感信息的传输对个人信息控制者的要求:传输个人敏感信息时,应采用加密等安全措施.
82.
2.
3.
个人信息主体注销账户a)通过注册账户提供产品或服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且方法简便易操作;b)注销过程如需进行身份核验,要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型;c)注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务,如注销单个账户视同注销多个产品或服务,要求个人信息主体填写精确的历史操作记录作为注销的必要条件等;d)注销账户的过程需收集个人敏感信息核验身份时,应明确对收集个人敏感信息后的处理措施,如达成目的后立即删除或匿名化处理等;e)个人信息主体注销账户后,应及时删除其个人信息或匿名化处理.
因法律规规定需要留存个人信息的,不能再次将其用于日常业务活动中.
2.
3.
4.
3.
结果反馈(1)参加机构完成对能力验证样品的测试后,应将《能力验证计划报名表》、《国家级能力验证计划测试样品发送-接收确认单》、《能力验证结果报告单》以及对该样品测试的主要过程文档(至少包括:检测记录和相关证明材料)的电子版和纸质版一起提交至实施机构,提交清单详见《结果提交清单》.
(2)参加机构自行确定测试过程文档的格式.
测试记录要足以支撑结果判定,并附以相关证明性材料(例如:截图、录屏等),证明材料命名方式为:章节号-条款号-截图描述,如"2.
2.
1.
1-a)-文字描述".
(3)参加机构应给出每个检测项目对应的检测结果,无论结果为符合或不符合,均需充分说明判定理由.
最终检测结果填写在《能力验证结果报告单》.
检测结果内容必须描述明确,出现模糊描述(如:部分、等等)将影响本次能力验证评价结果.
(4)参加机构提交的《能力验证结果报告单》的内容要与检测记录、证明7材料等过程性文档相一致,同时确保电子版和纸质版的一致性,实施机构将根据《能力验证结果报告单》和其他记录一起确认检测结果.
(5)能力验证结果提交分电子邮件和线下邮寄两种方式:电子邮件:参加机构仅将《能力验证结果报告单》盖章扫描版在2020年7月17日12:00之前邮件发送至联系邮箱.
标识格式为"CNCA-20-18结果报告单-N",N为2位的代码.
例如:参加机构的代码为"01",则标识为"CNCA-20-18结果报告单-01".
线下邮寄:所报送文档需有电子和纸质两种介质,将电子版文档压缩刻录光盘,与纸质文档一同快递至实施机构.
光盘上加以标识,标识格式为"CNCA-20-18检测结果-N",N为2位的机构代码.
截止时间为2020年7月20日(以收件时间为准).
如逾期未提交文档,将被列入迟到结果,不纳入数据统计,结果按"不满意(不合格)"计.
2.
3.
5.
保密措施为确保能力验证结果的客观真实,项目在实施过程中,严禁参加机构相互串通结果.
实施机构对每个参加机构赋予唯一性代码,样品发送、结果报告等均以代码标识.
此外,还采取以下保密措施:(1)样品外观一致.
A样品和B样品安装包命名一致,基本业务功能及界面设计基本一致,参加机构无法从App基本业务功能上辨别样品的分组和差别.
(2)最短时间原则.
要求参加机构在规定时间内完成测试,未按时提交将列入迟到结果,不纳入数据统计,评价结果按"不满意(不合格)"计.
(3)最小接触原则.
整个项目实施周期,仅有项目组成员接触本项目相关信息,减少信息泄露的风险.
(4)签署保密申明.
参与统计分析和结果评价的技术专家与参加机构不存在任何利益、利害关系,并签有保密声明.
(5)《能力验证作业指导书》中明确要求"测试过程中使用的个人信息采用模拟数据",以防止被越权攻击后,获取参加机构的信息.
82.
3.
6.
日程安排表2能力验证计划日程安排序号时间工作安排1.
2020年4月30日前成立工作组,制定《能力验证计划设计方案》;检测项目及预置问题等进行确认;2.
2020年5月31日前完成能力验证报名工作;3.
2020年7月25日前完成《能力验证作业指导书》编制、样品制备和稳定性测试;向机构发放样品,回收测试结果;4.
2020年8月30日前数据统计分析及结果评价;5.
2020年9月30日前能力验证项目报告编制;6.
2020年10月30日前专家总结验收;7.
2020年11月30日前上报总结报告和相关信息.
3.
结果评价原则本次能力验证项目依据样品预置缺陷和稳定性测试结果确定评价细则,采用专家公议的方式确定合格分数线.
技术专家根据参加机构提交的检测结果和相关证明材料,从检测结果的正确性和检测证据的充分性两个方面考虑,对每个检测指标给出评分.
结果评价总分为100分,参加机构得分≥50,评价结果为合格,参加机构得分<50,评价结果为不合格.
检测项目描述和评价细则详见附录A.
4.
结果统计和能力评价4.
1.
评价结果汇总本次能力验证项目共有62家机构参加.
在规定时间内,61家机构按要求提交检测结果,1家机构未提交.
未提交结果的机构,将不纳入评价结果统计.
最终47家机构评价结果为合格,合格率达77%,14家机构评价结果为不合格.
其中,应参加机构有3家,2家机构评价结果为合格,1家机构评价结果为不合格.
能力评价结果情况详见下表.
9表3评价结果汇总-应参加机构参加机构代码分数评价结果1946不合格2164合格4859合格表4评价结果汇总-自愿参加机构参加机构代码分数评价结果0164合格0261合格0389合格0450合格0534不合格0650合格0762合格0864合格0941不合格1037不合格1169合格1287合格1380合格1442不合格1580合格1654合格1740不合格1868合格2067合格2365合格2443不合格2578合格10参加机构代码分数评价结果2669合格2764合格2889合格2977合格3037不合格3174合格3244不合格3373合格3476合格3552合格3650合格3756合格3867合格3969合格4089合格4175合格4263合格4343不合格4429不合格4576合格4661合格4790合格4962合格5088合格5179合格5236不合格5369合格5462合格11参加机构代码分数评价结果5586合格5627不合格5752合格5867合格5982合格6045不合格6167合格6269合格4.
2.
评价结果统计表5评价结果统计单位:家机构类别机构数量合格机构数量合格率不合格机构数量所占比例应参加机构3267%133%自愿参加机构584578%1322%整体情况614777%1423%为了便于参加机构能够详细了解本次能力验证试验的结果,本报告给出了对应的检测项目描述和评价结果统计,详见附录B.
5.
技术分析和建议建议参加机构在检测过程中对检测人员、检测工具、检测环境、检测方法等关键要素进行核查,确保检测质量得到合理有效的控制.
通过对本次能力验证提交的《能力验证结果报告单》、检测记录和相关证明材料进行汇总统计,并对得分率较低的问题进行分析,建议参加机构重点关注以下问题:1)未按作业指导书依据标准进行测试部分参加机构测试过程中依据或参考了其他行业标准,未按照本项目给出的12依据标准对检测结果进行判定,导致判定结果不准确.
2)对标准理解不够透彻GB/T35273-2020《信息安全技术个人信息安全规范》明确指出:"如果产品或服务的提供者提供工具供个人信息主体使用,提供者不对个人信息进行访问的,则不属于本标准所称的收集.
",而部分参加机构将App在终端对个人信息的频繁访问,作为App进行个人信息收集的直接证据.
3)检测用例覆盖不全面,未能准确定位样品中的预置缺陷部分参加机构在进行检测用例设计时,对测试场景的分析不足,导致检测用例设计覆盖不全面,未能准确定位样品预置缺陷.
如:未发现App存在隐瞒收集的问题,具体问题为用户拒绝地理位置权限后,App仍能够通过IP地址定位用户所在城市信息.
4)未对自动化检测工具的结果进行人工分析,支撑检测结果不充分部分参加机构采用第三方自动化检测工具进行测试,但是未对自动化生成的报告进行人工分析,不足以支撑检测结果.
建议对第三方自动化检测工具出具的结果进行人工分析,提炼出支撑检测结果的直接证据.
5)检测结果无法溯源部分参加机构提交的《能力验证结果报告单》与测试过程文档的相关检测结论不一致,导致结果无法溯源.
作业指导书中明确要求"《能力验证结果报告单》的内容要与检测记录、证明材料等过程性文档相一致,同时确保电子版和纸质版的一致性,实施机构将根据《能力验证结果报告单》和其他记录一起确认检测结果.
"针对无法溯源的检测结果,结果评价时均按照零分计算.
6.
总结6.
1.
本次能力验证计划的特点1)关注社会热点话题,为主管部门提供有力支撑本次能力验证项目,关注社会热点话题App违法违规收集个人信息.
通过本次能力验证活动,掌握了检验检测机构对App个人信息的收集整体的检测能力水平,为相关主管部门掌握检验检测机构的技术能力提供了数据支撑.
2)积极响应国家防疫号召,探索能力验证新模式13为积极响应国家防疫号召,实施机构探索能力验证新模式,摒弃传统发样模式,采用线上会议和线上发样的方式,节约会议和发样成本,减少人员接触,防止疫情蔓延,同时也缩短实施周期.
3)参加机构数量创历史新高,网络安全领域能力验证活动关注度显著提升本次能力验证项目共计有62家机构报名,同比增长180%.
参加机构数量在网络安全领域能力验证项目中创历史新高.
其中,自愿参加机构占95%,包括网络安全检验检测机构和国内知名网络安全企业.
4)结果评价过程规范、评价方法科学本次能力验证项目根据网络安全领域检验检测行业特点,采用定性的方式对检测结果进行评价,通过以下方式保证结果评价方法的科学性,避免评价过程人为因素的干扰,客观评价参加机构对该App个人信息收集的检测能力:评价规则和合格分数线采用专家公议的方式确定;结果评价输入要素包括《能力验证结果报告单》、《检测记录》以及相关证明材料;结果评价专家组采用盲评方式评审.
5)技术分析和建议详尽,有助于提高参加机构检测和管理水平本报告针对检测项目给出了详尽的技术分析和建议,有助于参加机构采取有效整改措施,促进参加机构对检测过程、检测工具及人员培训等影响因素进行全面监控,确保检测结果的准确可靠,提升技术能力和管理水平.
6.
2.
建议随着App广泛使用,社会对App的依赖度越来越大,已成为人民日常生活不可或缺的重要组成部分.
同时由于App开发和运营的不规范,导致个人信息的违法违规收集层出不穷,已成为国家、社会、行业各方面所重点关注的问题.
检验检测机构作为检测评估工作的执行者,其技术能力水平决定了评价的科学性、客观性和一致性.
同时据《App违法违规收集使用个人信息专项治理报告2019》显示,由于个人信息检测评估工作开展时间比较短,现阶段具备足够技术能力的检验检测机构远达不到当前数百万量级App检测评估的需求.
建议持续开展网络安全领域能力验证活动,促进能力验证活动在网络安全领域的发展,推动网络安全检验检测机14构的技术研究和社会化服务,壮大网络安全检验检测队伍.
建议加大宣传力度.
网络安全领域能力验证工作起步较晚,检验检测机构在观念意识和主动性方面与传统领域存在一定差距.
项目实施过程中,出现部分机构不了解能力验证工作的情况,也有应当参加机构不明确是否需要参加此次能力验证的情况.
建议加大宣传力度,确保检验检测机构成为协助监管部门开展监管工作的有力保障.
建议加强资源支撑保障.
网络安全领域产品形态和检测技术发展速度快,导致能力验证技术研发投入产出不成比例.
建议加强对能力验证提供者资源支撑保障,保障能力验证样品制备、稳定性测试、结果评价等重点工作任务开展.
7.
能力验证组织者、协调者7.
1.
计划组织者市场监管总局认可检测司7.
2.
专家顾问组郭栋市场监管总局认可检测司樊华中国网络安全审查技术与认证中心胡影中国电子技术标准化研究院7.
3.
计划协调者实施机构:中国网络安全审查技术与认证中心地址:北京市朝阳区朝外大街甲10号中认大厦邮编:100020负责人:严妍联系电话:010-65994479邮箱:yany@isccc.
gov.
cn联系人:田晴云联系电话:010-65994639邮箱:tianqy@isccc.
gov.
cn157.
4.
计划实施人员严妍中国网络安全审查技术与认证中心田晴云中国网络安全审查技术与认证中心辛建峰中国网络安全审查技术与认证中心陈淑娟中国网络安全审查技术与认证中心袁翠红中国网络安全审查技术与认证中心郝伟博中国网络安全审查技术与认证中心胡石中国网络安全审查技术与认证中心本报告完…168.
附录附录A检测项目描述和评价细则表6样品A检测项目描述和评价细则序号检测项目评分评价细则作业指导书章节号/名称检测要求12.
2.
1.
1.
收集个人信息的合法性a)不应以欺诈、诱骗、误导的方式收集个人信息;5检测结果发现:以提升使用体验(兴趣爱好、擅长的运动)、密码保护(密保邮箱)等理由收集个人信息得5分,否则得0分.
b)不应隐瞒产品或服务所具有的收集个人信息的功能.
10(1)检测结果发现:未明示或征得用户同意,通过IP地址获取所在城市位置信息得5分,否则得0分.
(2)检测结果发现:隐瞒收集设备信息(IP、MAC等)得5分,否则得0分.
22.
2.
1.
2.
收集个人信息的最小必要a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联;直接关联是指没有上述个人信息的参与,产品或服务的功能无法实现;10(1)检测结果发现:注册时需输入与实现产品或服务的业务功能无直接关联的个人信息,如生日、性别得5分,否则得0分.
(2)检测结果发现:弹窗提醒收集与产品或服务的业务功能无直接关联的个人信息,如兴趣爱好、擅长的运动得5分,否则得0分.
b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率.
6(1)检测结果发现:自动采集个人信息,如IP、MAC、IMEI等得3分,否则得0分.
(2)检测结果量化了自动采集个人信息的具体频率(参考值:3秒~7秒)得3分,否则得0分.
32.
2.
1.
3.
多项业务功能的自主选择a)不应通过捆绑产品或服务各项业务功能的方式,要求个人信息主体一次性接受并授权同意其未申请或使用的业务功能收集个人信息的请求;5检测结果以targetsdkversion值判定是否存在捆绑行为得5分,否则得0分.
17序号检测项目评分评价细则作业指导书章节号/名称检测要求b)应把个人信息主体自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件.
个人信息控制者应仅在个人信息主体开启该业务功能后,开始收集个人信息;3检测结果发现:未经用户同意即开始收集个人信息,如IP、MAC等得3分,否则得0分.
c)个人信息主体不授权同意使用、关闭或退出特定业务功能的,不应频繁征求个人信息主体的授权同意;10(1)检测结果发现:频繁征求用户同意观看"天气小常识"得5分,否则得0分.
(2)检测结果发现:用户选择取消填写兴趣爱好及喜欢的运动,或拒绝了申请的系统权限重新打开APP时均会再次征求个人信息主体的同意得5分,否则得0分.
d)不得仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为由,强制要求个人信息主体同意收集个人信息.
5检测结果发现:注册时以增强安全性为由强制要求用户输入密保邮箱得5分,否则得0分.
42.
2.
1.
4.
收集个人信息时的授权同意a)收集个人信息,应向个人信息主体告知收集、使用个人信息的目的、方式和范围等规则,并获得个人信息主体的授权同意;5检测结果发现:收集个人信息,如生日、性别、IP地址、设备信息、位置信息,未以隐私政策或自定义申请权限弹窗等形式告知用户收集、使用个人信息的目的、方式和范围等规则,并征得用户授权同意得5分,否则得0分.
b)收集个人敏感信息前,应征得个人信息主体的明示同意,并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;3检测结果发现:收集精确地理位置信息前未征得个人信息主体的明示同意得3分,否则得0分.
c)收集年满14周岁未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意;5(1)检测结果发现:隐私政策中包含12周岁以下未包含12-14周岁,不满足标准要求的"不满14周岁的,应征得其监护人的明示同意"得3分,否则得0分.
(2)测试验证:未满12周岁或未满14周岁用户使用APP时,未经监护人明示同意得2分,否则得0分.
18序号检测项目评分评价细则作业指导书章节号/名称检测要求52.
2.
1.
5.
个人信息保护政策a)应制定个人信息保护政策,内容应包括但不限于:1)个人信息控制者的基本情况,包括主体身份、联系方式;2)收集、使用个人信息的业务功能,以及各业务功能分别收集的个人信息类型.
涉及个人敏感信息的,需明确标识或突出显示;3)个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则;4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及各自的安全和法律责任;5)个人信息主体的权利和实现机制,如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等;6)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;7)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施,必要时可公开数据安全和个人信息保护相关的合规证明;8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式.
10(1)检测结果发现个人信息保护政策的不符合情况:无个人信息控制者基本情况,未显著标识敏感信息得5分,否则得0分.
(2)检测结果发现个人信息保护政策的不符合情况:无对外共享、转让、公开披露个人信息的具体描述,无处理个人信息主体询问、投诉的渠道和机制得5分,否则得0分.
19序号检测项目评分评价细则作业指导书章节号/名称检测要求62.
2.
1.
6.
征得授权同意的例外a)与个人信息控制者履行法律法规规定的义务相关的;b)与国家安全、国防安全直接相关的;c)与公共安全、公共卫生、重大公共利益直接相关的;d)与刑事侦查、起诉、审判和判决执行等直接相关的;e)出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的;f)所涉及的个人信息是个人信息主体自行向社会公众公开的;g)根据个人信息主体要求签订和履行合同所必需的;h)从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;i)维护所提供产品或服务的安全稳定运行所必需的,如发现、处置产品或服务的故障;j)个人信息控制者为新闻单位,且其开展合法的新闻报道所必需的;k)个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且其对外提供学术研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的.
5检测结果发现个人信息保护政策存在不合理征得授权同意例外的内容:合法的新闻报道所必需的(缺少个人信息控制者为新闻单位),涉及商业秘密的情况,为优化APP功能的情况得5分,否则得0分.
72.
2.
2.
个人敏感信息的传输对个人信息控制者的要求:传输个人敏感信息时,应采用加密等安全措施.
6(1)检测结果发现:传输个人敏感信息时,采用了https协议的安全措施得3分,否则0分.
(2)检测过程包含通过解析https协议,发现传输了个人敏感信息得3分,否则0分.
20序号检测项目评分评价细则作业指导书章节号/名称检测要求82.
2.
3.
个人信息主体注销账户a)通过注册账户提供产品或服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且方法简便易操作;12检测结果描述了该APP提供了注销账户的方法且方法简便易操作,得3分,否则得0分.
b)注销过程如需进行身份核验,要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型;d)注销账户的过程需收集个人敏感信息核验身份时,应明确对收集个人敏感信息后的处理措施,如达成目的后立即删除或匿名化处理等;检测结果描述了注销过程未要求用户提供多注册、使用等服务环节收集个人信息的类型,也未收集个人敏感信息核验身份得3分,否则得0分.
c)注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务,如注销单个账户视同注销多个产品或服务,要求个人信息主体填写精确的历史操作记录作为注销的必要条件等;检测结果描述了注销过程未设置不合理的条件,也未提出额外要求增加个人信息主体义务得3分,否则得0分.
e)个人信息主体注销账户后,应及时删除其个人信息或匿名化处理.
因法律规规定需要留存个人信息的,不能再次将其用于日常业务活动中.
检查结果发现个人信息主体注销账户后,未及时删除其个人信息;执行了注销后的手机号不能再注册操作得3分,否则得0分.
21表7样品B检测项目描述和评价细则序号检测项目评分评价细则作业指导书章节号/名称检测要求12.
2.
1.
1.
收集个人信息的合法性a)不应以欺诈、诱骗、误导的方式收集个人信息5检测结果发现:以推送与个人健康相关的天气资讯(是否有呼吸系统疾病史、是否有皮肤病史、是否有家庭病史)、密码保护(密保邮箱)等理由收集个人信息得5分,否则得0分.
b)不应隐瞒产品或服务所具有的收集个人信息的功能10(1)检测结果发现:未明示或征得用户同意,通过IP地址获取所在城市位置信息得5分,否则得0分.
(2)检测结果发现:隐瞒收集设备信息(IP、MAC等)得5分,否则得0分.
22.
2.
1.
2.
收集个人信息的最小必要a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联;直接关联是指没有上述个人信息的参与,产品或服务的功能无法实现10(1)检测结果发现:注册时需输入与实现产品或服务的业务功能无直接关联的个人信息如生日、业余爱好、体重得5分,否则得0分.
(2)检测结果发现:弹窗提醒收集与产品或服务的业务功能无直接关联的个人信息,如是否有呼吸系统疾病史、是否有皮肤病史、是否有家庭病史得5分,否则得0分.
b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率6(1)检测结果发现:自动采集了个人信息,如IP、MAC、IMEI等得3分,否则得0分.
(2)检测结果量化了自动采集个人信息的具体频率(参考值:3秒~7秒)得3分,否则得0分.
32.
2.
1.
3.
多项业务功能的自主选择a)不应通过捆绑产品或服务各项业务功能的方式,要求个人信息主体一次性接受并授权同意其未申请或使用的业务功能收集个人信息的请求5检测结果以targetsdkversion值判定是否存在捆绑行为得5分,否则得0分.
22序号检测项目评分评价细则作业指导书章节号/名称检测要求b)应把个人信息主体自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件.
个人信息控制者应仅在个人信息主体开启该业务功能后,开始收集个人信息3检测结果发现:未经用户同意即开始收集个人信息,如IP、MAC等得3分,否则得0分.
c)个人信息主体不授权同意使用、关闭或退出特定业务功能的,不应频繁征求个人信息主体的授权同意;10(1)检测结果发现:频繁征求用户同意观看"天气小常识"得5分,否则得0分.
(2)检测结果发现:用户不同意收集个人健康信息或拒绝了申请的系统权限重新打开APP时均会再次征求个人信息主体的同意得5分,否则得0分.
d)不得仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为由,强制要求个人信息主体同意收集个人信息.
5检测结果发现:注册时以增强安全性为由强制要求用户输入密保邮箱得5分,否则得0分.
42.
2.
1.
4.
收集个人信息时的授权同意a)收集个人信息,应向个人信息主体告知收集、使用个人信息的目的、方式和范围等规则,并获得个人信息主体的授权同意5检测结果发现:收集个人信息,如生日、业余爱好、体重、IP地址、设备信息、位置信息、真实姓名、身份证号,未以隐私政策或自定义申请权限弹窗等形式告知用户收集、使用个人信息的目的、方式和范围等规则,并征得用户授权同意得5分,否则得0分.
b)收集个人敏感信息前,应征得个人信息主体的明示同意,并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;3检测结果发现:收集精确地理位置信息前未征得个人信息主体的明示同意得3分,否则得0分.
c)收集年满14周岁未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意5(1)检测结果描述了隐私政策中提及的年龄在16周岁以下,满足标准要求的"不满14周岁的,应征得其监护人的明示同意",得3分,否则0分.
(2)检测验证了未满14周岁或未满16周岁用户使用APP时,未经监护人明示同意得2分,否则得0分.
23序号检测项目评分评价细则作业指导书章节号/名称检测要求52.
2.
1.
5.
个人信息保护政策a)应制定个人信息保护政策,内容应包括但不限于:1)个人信息控制者的基本情况,包括主体身份、联系方式;2)收集、使用个人信息的业务功能,以及各业务功能分别收集的个人信息类型.
涉及个人敏感信息的,需明确标识或突出显示;3)个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则;4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及各自的安全和法律责任;5)个人信息主体的权利和实现机制,如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等;6)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;7)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施,必要时可公开数据安全和个人信息保护相关的合规证明;8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式.
10(1)检测结果发现个人信息保护政策的不符合情况:无个人信息控制者基本情况(除网址外无未提供其它联系方式),未显著标识敏感信息,未明确具体的存储期限,未说明对外共享转让公开披露个人信息的类型,无个人信息主体更正的方法,未提供个人信息撤回的方法得5分,否则得0分.
(2)检测结果发现个人信息保护政策的不符合情况:收集IP、MAC、身份证信息、个人健康信息等未在隐私政策中告知;未明确处理个人信息主体询问、投诉的渠道和机制;未说明提供个人信息后的安全风险得5分,否则得0分.
24序号检测项目评分评价细则作业指导书章节号/名称检测要求62.
2.
1.
6.
征得授权同意的例外a)与个人信息控制者履行法律法规规定的义务相关的;b)与国家安全、国防安全直接相关的;c)与公共安全、公共卫生、重大公共利益直接相关的;d)与刑事侦查、起诉、审判和判决执行等直接相关的;e)出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的;f)所涉及的个人信息是个人信息主体自行向社会公众公开的;g)根据个人信息主体要求签订和履行合同所必需的;h)从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;i)维护所提供产品或服务的安全稳定运行所必需的,如发现、处置产品或服务的故障;j)个人信息控制者为新闻单位,且其开展合法的新闻报道所必需的;k)个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且其对外提供学术研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的.
5检测结果发现个人信息保护政策存在不合理征得授权同意例外的内容:有充分证据表明个人信息主体存在主观恶意或滥用权利的情况,响应您的请求将导致您或其他个人、组织的合法权益受到严重损害的情况,涉及商业秘密的情况得5分,否则得0分.
72.
2.
2.
个人敏感信息的传输对个人信息控制者的要求:传输个人敏感信息时,应采用加密等安全措施.
6(1)检测结果发现:传输个人敏感信息时,采用了https协议的安全措施得3分,否则0分.
(2)检测过程包含通过解析https协议,发现传输了个人敏感信息得3分,否则0分.
25序号检测项目评分评价细则作业指导书章节号/名称检测要求82.
2.
3.
个人信息主体注销账户a)通过注册账户提供产品或服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且方法简便易操作;12检测结果描述了APP提供了注销账户的方法且方法简便易操作,得3分,否则得0分.
b)注销过程如需进行身份核验,要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型;d)注销账户的过程需收集个人敏感信息核验身份时,应明确对收集个人敏感信息后的处理措施,如达成目的后立即删除或匿名化处理等;检测结果发现:注销过程收集真实姓名、身份证号,多于注册、使用等服务环节收集的个人信息类型,且未明确注销过程收集个人敏感信息后的处理措施得3分,否则得0分.
c)注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务,如注销单个账户视同注销多个产品或服务,要求个人信息主体填写精确的历史操作记录作为注销的必要条件等;检测结果发现:注销过程设置了不合理条件,如要求提供真实姓名、身份证号信息作为注销的必要条件得3分,否则得0分.
e)个人信息主体注销账户后,应及时删除其个人信息或匿名化处理.
因法律规规定需要留存个人信息的,不能再次将其用于日常业务活动中.
检测结果描述了注销账号后获得注销成功提示信息,进行了重新注册、重新登录等验证操作得3分,否则得0分.
26附录B检测项目描述和评价结果统计表8检测项目描述和评价结果统计注:检测结果描述正确是指该项结果描述全部正确,不包含部分正确.
序号检测项目检测结果描述正确情况统计作业指导书章节号/名称检测要求检测结果描述正确机构代码数量所占比列12.
2.
1.
1.
收集个人信息的合法性a)不应以欺诈、诱骗、误导的方式收集个人信息;03、13、15、21、25、27、29、33、37、39、41、45、51、53、55、57、59、61、02、06、08、10、12、16、18、26、28、34、36、38、40、42、46、50、54、56、60、623862%b)不应隐瞒产品或服务所具有的收集个人信息的功能.
4712%22.
2.
1.
2.
收集个人信息的最小必要a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联;直接关联是指没有上述个人信息的参与,产品或服务的功能无法实现;03、11、25、29、31、33、39、41、47、51、53、55、57、59、02、12、16、18、28、32、34、40、42、50、58、622643%b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率.
01、07、09、11、13、15、19、21、23、27、29、31、37、39、41、45、47、49、51、55、59、61、08、12、16、18、24、26、28、32、34、38、40、46、48、50、52、54、56、58、624167%32.
2.
1.
3.
多项业务功能的自主选择a)不应通过捆绑产品或服务各项业务功能的方式,要求个人信息主体一次性接受并授权同意其未申请或使用的业务功能收集个人信息的请求;03、25、41、45、47、55、57、04、06、12、26、28、34、36、40、50、54、601830%27序号检测项目检测结果描述正确情况统计作业指导书章节号/名称检测要求检测结果描述正确机构代码数量所占比列b)应把个人信息主体自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件.
个人信息控制者应仅在个人信息主体开启该业务功能后,开始收集个人信息;01、03、07、13、15、19、25、29、31、43、49、61、12、20、26、32、34、36、38、40、46、50、542338%c)个人信息主体不授权同意使用、关闭或退出特定业务功能的,不应频繁征求个人信息主体的授权同意;01、03、11、13、15、21、33、35、43、45、47、51、55、59、02、12、20、28、34、38、40、42、48、50、622541%d)不得仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为由,强制要求个人信息主体同意收集个人信息.
01、03、13、15、21、23、25、31、35、39、41、43、45、47、51、53、55、57、59、61、04、06、10、12、14、20、28、34、36、38、40、42、44、50、54、58、603761%42.
2.
1.
4.
收集个人信息时的授权同意a)收集个人信息,应向个人信息主体告知收集、使用个人信息的目的、方式和范围等规则,并获得个人信息主体的授权同意;01、03、07、11、13、15、23、25、27、29、31、33、35、39、41、45、47、49、51、53、55、59、61、02、06、08、10、14、16、18、20、24、26、28、32、34、36、38、40、42、46、48、50、54、58、60、624777%b)收集个人敏感信息前,应征得个人信息主体的明示同意,并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;03、07、11、13、15、23、25、33、47、53、59、24、28、48、50、54、581728%28序号检测项目检测结果描述正确情况统计作业指导书章节号/名称检测要求检测结果描述正确机构代码数量所占比列c)收集年满14周岁未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意.
01、03、07、11、13、15、21、27、29、31、33、51、59、04、08、12、26、28、30、34、40、462236%52.
2.
1.
5.
个人信息保护政策a)应制定个人信息保护政策,内容应包括但不限于:1)个人信息控制者的基本情况,包括主体身份、联系方式;2)收集、使用个人信息的业务功能,以及各业务功能分别收集的个人信息类型.
涉及个人敏感信息的,需明确标识或突出显示;3)个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则;4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及各自的安全和法律责任;5)个人信息主体的权利和实现机制,如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等;6)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;7)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施,必要时可公开数据安全和个人信息保护相关的合规证明;8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构及联络方式.
01、03、05、09、11、13、15、17、19、21、23、25、27、29、31、33、35、37、39、41、43、45、47、49、51、53、55、59、61、02、04、08、12、14、16、18、20、24、26、28、30、40、42、46、48、50、624777%29序号检测项目检测结果描述正确情况统计作业指导书章节号/名称检测要求检测结果描述正确机构代码数量所占比列62.
2.
1.
6.
征得授权同意的例外a)与个人信息控制者履行法律法规规定的义务相关的;b)与国家安全、国防安全直接相关的;c)与公共安全、公共卫生、重大公共利益直接相关的;d)与刑事侦查、起诉、审判和判决执行等直接相关的;e)出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的;f)所涉及的个人信息是个人信息主体自行向社会公众公开的;g)根据个人信息主体要求签订和履行合同所必需的;h)从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;i)维护所提供产品或服务的安全稳定运行所必需的,如发现、处置产品或服务的故障;j)个人信息控制者为新闻单位,且其开展合法的新闻报道所必需的;k)个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且其对外提供学术研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的.
03、07、09、11、13、15、17、21、23、25、27、29、31、33、39、41、45、47、49、53、55、59、61、04、12、18、28、40、48、583049%72.
2.
2.
个人敏感信息的传输对个人信息控制者的要求:传输个人敏感信息时,应采用加密等安全措施.
03、07、13、15、21、23、27、29、37、45、47、51、53、55、59、61、02、08、12、16、18、20、26、28、34、38、40、50、582948%30序号检测项目检测结果描述正确情况统计作业指导书章节号/名称检测要求检测结果描述正确机构代码数量所占比列82.
2.
3.
个人信息主体注销账户a)通过注册账户提供产品或服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且方法简便易操作;01、03、05、09、11、13、15、17、19、21、23、25、27、29、31、33、35、37、39、41、43、45、47、49、51、53、55、57、59、61、02、04、06、08、10、12、14、16、18、20、24、26、28、30、32、34、36、38、40、42、44、46、48、50、52、54、58、60、625997%b)注销过程如需进行身份核验,要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型;d)注销账户的过程需收集个人敏感信息核验身份时,应明确对收集个人敏感信息后的处理措施,如达成目的后立即删除或匿名化处理等;01、03、05、07、09、11、13、15、17、19、21、23、25、27、29、31、33、35、37、39、41、43、45、47、49、51、53、55、57、59、61、02、04、06、08、10、12、14、16、18、20、24、26、28、30、32、34、36、38、40、42、44、46、48、50、52、54、56、58、60、6261100%c)注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务,如注销单个账户视同注销多个产品或服务,要求个人信息主体填写精确的历史操作记录作为注销的必要条件等;01、03、05、07、09、11、13、15、17、19、21、23、25、27、29、31、33、35、37、39、41、43、45、47、49、51、53、55、57、59、61、08、12、18、20、30、38、42、50、624066%e)个人信息主体注销账户后,应及时删除其个人信息或匿名化处理.
因法律规规定需要留存个人信息的,不能再次将其用于日常业务活动中.
01、03、05、07、09、11、13、15、17、19、21、23、25、27、29、31、33、35、37、39、41、45、47、49、51、53、55、57、59、02、04、08、12、16、20、26、28、32、40、42、46、48、50、52、54、58、60、624879%第1页共6页附录C作业指导书移动互联网应用程序(App)个人信息安全测试能力验证作业指导书各参加实验室:首先,感谢贵实验室参加本次能力验证计划.
"移动互联网应用程序(App)个人信息安全测试能力验证"是国家市场监管总局组织,中国网络安全审查技术与认证中心承担的能力验证计划(项目编号为:CNCA-20-18,等同编号:CCRC/PT-2020-001).
在本次能力验证计划中,贵实验室的代码为________为保证本次能力验证工作顺利进行,特作如下说明:1.
样品说明1.
1本次能力验证样品为简气象(安卓版),样品将以邮件的方式发送至各参加实验室,其中内容包括:本作业指导书及1套;待测能力验证样品安装包1个.
1.
2各实验室收到样品后,首先对样品状态进行确认,填写《国家级能力验证计划测试样品发送-接收确认单》,并将扫描件以邮件的方式发送至联系人邮箱.
如发现样品存在问题,请在2小时之内与我中心项目联系人取得联系.
如超时未反馈,视为样品接收状态正常.
中国网络安全审查技术与认证中心第2页共6页2.
检测说明2.
1.
检测依据本次能力验证计划要求按照GB/T35273-2020《信息安全技术个人信息安全规范》对能力验证样品进行检测,检测项目详见2.
2.
2.
2.
检测项目2.
2.
1.
个人信息的收集2.
2.
1.
1.
收集个人信息的合法性对个人信息控制者的要求包括:a)不应以欺诈、诱骗、误导的方式收集个人信息;b)不应隐瞒产品或服务所具有的收集个人信息的功能.
2.
2.
1.
2.
收集个人信息的最小必要对个人信息控制者的要求包括:a)收集的个人信息的类型应与实现产品或服务的业务功能有直接关联;直接关联是指没有上述个人信息的参与,产品或服务的功能无法实现;b)自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率.
2.
2.
1.
3.
多项业务功能的自主选择当产品或服务提供多项需收集个人信息的业务功能时,个人信息控制者不应违背个人信息主体的自主意愿,强迫个人信息主体接受产品或服务所提供的业务功能及相应的个人信息收集请求.
对个人信息控制者的要求包括:a)不应通过捆绑产品或服务各项业务功能的方式,要求个人信息主体一次性接受并授权同意其未申请或使用的业务功能收集个人信息的请求;b)应把个人信息主体自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件.
个人信息控制者应仅在个人信息主体开启该业务功能后,开始收集个人信息;c)个人信息主体不授权同意使用、关闭或退出特定业务功能的,不应频繁征求个人信息主体的授权同意;d)不得仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为第3页共6页由,强制要求个人信息主体同意收集个人信息.
2.
2.
1.
4.
收集个人信息时的授权同意对个人信息控制者的要求包括:a)收集个人信息,应向个人信息主体告知收集、使用个人信息的目的、方式和范围等规则,并获得个人信息主体的授权同意;b)收集个人敏感信息前,应征得个人信息主体的明示同意,并应确保个人信息主体的明示同意是其在完全知情的基础上自主给出的、具体的、清晰明确的意愿表示;c)收集年满14周岁未成年人的个人信息前,应征得未成年人或其监护人的明示同意;不满14周岁的,应征得其监护人的明示同意.
2.
2.
1.
5.
个人信息保护政策本能力验证样品将个人信息保护政策命名为"隐私政策".
对个人信息控制者的要求包括:a)应制定个人信息保护政策,内容应包括但不限于:1)个人信息控制者的基本情况,包括主体身份、联系方式;2)收集、使用个人信息的业务功能,以及各业务功能分别收集的个人信息类型.
涉及个人敏感信息的,需明确标识或突出显示;3)个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则;4)对外共享、转让、公开披露个人信息的目的、涉及的个人信息类型、接收个人信息的第三方类型,以及各自的安全和法律责任;5)个人信息主体的权利和实现机制,如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等;6)提供个人信息后可能存在的安全风险,及不提供个人信息可能产生的影响;7)遵循的个人信息安全基本原则,具备的数据安全能力,以及采取的个人信息安全保护措施,必要时可公开数据安全和个人信息保护相关的合规证明;8)处理个人信息主体询问、投诉的渠道和机制,以及外部纠纷解决机构第4页共6页及联络方式.
b)个人信息保护政策应公开发布且易于访问,例如,在网站主页、移动互联网应用程序安装页、GB/T35273-2020附录C中的交互界面或设计等显著位置设置链接.
2.
2.
1.
6.
征得授权同意的例外以下情形中,个人信息控制者收集、使用个人信息不必征得个人信息主体的授权同意:a)与个人信息控制者履行法律法规规定的义务相关的;b)与国家安全、国防安全直接相关的;c)与公共安全、公共卫生、重大公共利益直接相关的;d)与刑事侦查、起诉、审判和判决执行等直接相关的;e)出于维护个人信息主体或其他个人的生命、财产等重大合法权益但又很难得到本人授权同意的;f)所涉及的个人信息是个人信息主体自行向社会公众公开的;g)根据个人信息主体要求签订和履行合同所必需的;h)从合法公开披露的信息中收集个人信息的,如合法的新闻报道、政府信息公开等渠道;i)维护所提供产品或服务的安全稳定运行所必需的,如发现、处置产品或服务的故障;j)个人信息控制者为新闻单位,且其开展合法的新闻报道所必需的;k)个人信息控制者为学术研究机构,出于公共利益开展统计或学术研究所必要,且其对外提供学术研究或描述的结果时,对结果中所包含的个人信息进行去标识化处理的.
2.
2.
2.
个人敏感信息的传输对个人信息控制者的要求:传输个人敏感信息时,应采用加密等安全措施.
2.
2.
3.
个人信息主体注销账户对个人信息控制者的要求包括:第5页共6页a)通过注册账户提供产品或服务的个人信息控制者,应向个人信息主体提供注销账户的方法,且方法简便易操作;b)注销过程如需进行身份核验,要求个人信息主体再次提供的个人信息类型不应多于注册、使用等服务环节收集的个人信息类型;c)注销过程不应设置不合理的条件或提出额外要求增加个人信息主体义务,如注销单个账户视同注销多个产品或服务,要求个人信息主体填写精确的历史操作记录作为注销的必要条件等;d)注销账户的过程需收集个人敏感信息核验身份时,应明确对收集个人敏感信息后的处理措施,如达成目的后立即删除或匿名化处理等;e)个人信息主体注销账户后,应及时删除其个人信息或匿名化处理.
因法律规规定需要留存个人信息的,不能再次将其用于日常业务活动中.
2.
3.
测试说明1)建议测试过程中使用的个人信息采用模拟数据,以防止个人信息的泄露.
2)建议采用市场上主流品牌厂商的安卓手机,并确保系统为安卓6.
0以上版本.
3.
结果反馈说明1)各参加实验室完成对能力验证样品的测试后,应将《能力验证计划报名表》、《国家级能力验证计划测试样品发送-接收确认单》、《能力验证结果报告单》以及实验室对该样品测试的主要过程文档(至少包括:检测记录和相关证明材料)的电子版和纸质版一起提交至我中心,提交清单详见《结果提交清单》.
2)各参加实验室自行确定测试过程文档的格式.
测试记录要足以支撑结果判定,并附以相关证明性材料(例如:截图、录屏等),证明材料命名方式为:章节号-条款号-截图描述,如"2.
2.
1.
1-a)-文字描述".
3)各参加实验室应根据每个检测项目给出对应的检测结果,无论结果为符合或不符合,均需充分说明判定理由.
最终检测结果填写在《能力验证结果报告单》.
检测结果内容必须明确描述,出现模糊描述(如:部分、等等)将影响本次能力验证评价结果.
4)各参加实验室提交的《能力验证结果报告单》的内容要与检测记录、证第6页共6页明材料等过程性文档相一致,同时确保电子版和纸质版的一致性,我中心将根据《能力验证结果报告单》和其他记录一起确认检测结果.
5)本次能力验证结果提交分电子邮件和线下邮寄两种方式:电子邮件:各参加实验室仅将《能力验证结果报告单》盖章扫描版在2020年7月17日12:00之前邮件发送至联系邮箱.
标识格式为"CNCA-20-18结果报告单-N",N为2位的实验室代码.
例如:实验室的代码为"01",则标识为"CNCA-20-18结果报告单-01".
线下邮寄:所报送文档需有电子和纸质两种介质,将电子版文档压缩刻录光盘,与纸质文档一同快递到我中心.
光盘上加以标识,标识格式为"CNCA-20-18检测结果-N",N为2位的实验室代码.
截止时间为2020年7月20日(以收件时间为准).
如逾期未提交文档,将被列入迟到结果,不纳入数据统计,结果按"不满意(不合格)"计.
4.
保密说明在本次能力验证计划实施过程中,严禁实验室相互串通结果,一经发现,国家市场监管总局将撤销相关项目的资质.
我中心将对各参加实验室的有关信息保密,各实验室均以代码表示,能力验证结果信息将由国家市场监管总局统一对外汇总发布.
5.
联系方式联系人:田晴云电话:010-65994639严妍电话:010-65994479地址:北京市朝阳区朝外大街甲10号中认大厦邮编:100020传真:010-65994273联系邮箱:ccrcptp@isccc.
gov.
cn;1:国家级能力验证计划测试样品发送-接收确认单项目编号:CNCA-20-18实验室代码:能力验证项目名称移动互联网应用程序(App)个人信息安全测试组织机构市场监管总局认可检测司实施机构中国网络安全审查技术与认证中心地址北京市朝阳区朝外大街甲10号中认大厦邮编电话传真联系人发送日期样品名称份数样品状态发送人以下内容由参加能力验证的实验室填写:接收实验室名称地址/邮编联系电话/传真联系人接收人签名接收时,被测物品状态是否完好:是否接收日期年月日注(此栏适用于分发被测物品的方式):1.
于2020年7月17日12:00前完成测试,并将相关测试结果文件提交至中国网络安全审查技术与认证中心;2.
如被测样品发生损坏,请在接收后两小时内与实施机构取得联系,实施机构确定被测样品损坏时,将为您重新发送被测样品.
中国网络安全审查技术与认证中心信息安全基准实验室CCRC/PT-4210-2015/第1次修订第1页共4页2:CNCA-20-18移动互联网应用程序(App)个人信息安全测试能力验证结果报告单一、基本信息实验室名称实验室代码地址认可注册号资质认定证书编号注:认可注册号和资质认定证书编号栏,未获认可的实验室可不填写.
二、检测信息检测时间检测人员2020年0x月xx日检测工具序号工具名称版本号序号工具名称版本号123456中国网络安全审查技术与认证中心信息安全基准实验室CCRC/PT-4210-2015/第1次修订第2页共4页三、检测结果序号检测项目(作业指导书对应的章节号/名称)检测结果章节号名称章节号判定结果检测情况描述12.
2.
1.
1收集个人信息的合法性2.
2.
1.
1a)符合不符合2.
2.
1.
1b)符合不符合22.
2.
1.
2收集个人信息的最小必要2.
2.
1.
2a)符合不符合2.
2.
1.
2b)符合不符合32.
2.
1.
3多项业务功能的自主选择2.
2.
1.
3a)符合不符合2.
2.
1.
3b)符合不符合2.
2.
1.
3c)符合不符合2.
2.
1.
3d)符合不符合中国网络安全审查技术与认证中心信息安全基准实验室CCRC/PT-4210-2015/第1次修订第3页共4页序号检测项目(作业指导书对应的章节号/名称)检测结果章节号名称章节号判定结果检测情况描述42.
2.
1.
4收集个人信息时的授权同意2.
2.
1.
4a)符合不符合2.
2.
1.
4b)符合不符合2.
2.
1.
4c)符合不符合52.
2.
1.
5个人信息保护政策2.
2.
1.
5a)符合不符合2.
2.
1.
5b)符合不符合62.
2.
1.
6征得授权同意的例外符合不符合72.
2.
2个人敏感信息的传输符合不符合中国网络安全审查技术与认证中心信息安全基准实验室CCRC/PT-4210-2015/第1次修订第4页共4页序号检测项目(作业指导书对应的章节号/名称)检测结果章节号名称章节号判定结果检测情况描述82.
2.
3个人信息主体注销账户2.
2.
3a)符合不符合2.
2.
3b)符合不符合2.
2.
3c)符合不符合2.
2.
3d)符合不符合2.
2.
3e)符合不符合检测人(签字):审核人(签字):备注:实验室负责人(签字):实验室(盖章):年月日中国网络安全审查技术与认证中心信息安全基准实验室CCRC/PT-4211-2018/修改记录:第0次3:CNCA-20-18移动互联网应用程序(App)个人信息安全测试能力验证结果提交清单能力验证计划报名表盖章版原件(纸质)国家级能力验证计划测试样品发送-接收确认单(电子、纸质)测试过程文档与结果资料:能力验证结果报告单(电子、纸质)测试记录(电子、纸质)证明材料(电子)其他(请说明)