酷应用

热点追踪 | App收集的最小必要信息有哪些？-手机银行、效率办公、实用工具、健康码

百家作者：甜橙安全应急响应中心 2020-11-24 11:59:17

本文转自@App个人信息举报

标准名称

《信息安全技术移动互联网应用（App）收集个人信息基本规范》（报批稿），该国家标准由全国信息安全标准化技术委员会归口并组织编制。

适用范围

标准针对App存在的超范围收集个人信息、过度或强制索权、捆绑授权等突出问题，提出了App相关的38种常见服务类型的最小必要个人信息范围。标准适用于移动互联网应用提供者规范个人信息收集活动，也适用于主管监管部门、第三方评估机构等组织对移动互联网应用收集个人信息行为进行监督、管理和评估。

投票目的

为进一步验证标准内容合理性，保障标准在评估App等方面实施的效果，App专项治理工作组联合全国信安标委秘书处，每批将对（3-5类）服务类型收集的最小必要信息范围以投票形式进行社会调研，同时，还可直接向pip-jbz@tc260.org.cn邮箱反馈意见。

核心概念

01 丨服务类型

App所提供的满足用户具体使用需求、不同性质的业务功能类别。如地图导航、网络约车、即时通信等。

02 丨最小必要个人信息

保障某一服务类型正常运行最少够用的个人信息，一旦缺少将导致该服务类型基本业务功能无法实现或无法正常运行。

35

手机银行类

为用户提供在线音视频服务，包括浏览、展示、搜索、播放、下载音视频等功能。
	最小必要个人信息	使用要求
1	账号信息（含账号、口令）	用于标识手机银行用户、保障账号信息安全。
2	手机号码	用于用户注册，满足注册用户实名认证要求。
3	身份证件信息（含姓名、身份证件种类、身份证件号码、身份证件有效期限、身份证件复印件或影印件）	用于对手机银行用户进行身份识别和认证，满足相关法律法规要求。
4	银行卡信息（含银行卡号码、银行卡密码）	用于用户注册、添加银行卡或找回账号口令服务。
5	他行银行卡信息（含开户行名称、银行卡号码、银行预留手机号码）	用于绑定他行银行卡。
6	收款人信息（含收款人姓名、收款人卡号、收款人开户行）	用于境内转账汇款服务。
7	交易身份验证信息（含静态口令、数字证书、电子签名、动态口令）	用于对用户真实身份进行验证，以确保用户账户与资金安全。可任选一种，在高风险场景下可能选择多种。
8	仅对使用信用卡申请服务的用户收集：职业信息教育程度婚姻状况住房信息财产信息	用于信用卡申请。

36

效率办公类

为用户提供通过邮箱、云盘、笔记、日程待办、文档处理、备份同步、扫描、名片管理等功能的服务。
	最小必要个人信息	使用要求
1	仅对使用邮箱、云盘、笔记、备份同步等依赖云存储空间的功能的用户收集：账号信息（含账号、口令）	用于标识效率办公用户和保障账号信息安全。
2	仅对使用邮箱、云盘、信息发布功能的用户收集：手机号码	用于对使用邮箱、云盘、信息发布功能的用户进行实名认证。
3	仅对使用邮箱管理功能的用户收集：邮箱账号	用于实现邮箱账号管理功能。
4	订单记录	用于用户订单查询、客服售后等，保障用户权益。
5	第三方支付信息	用于用户使用第三方支付方式对效率办公各类订单付款，第三方支付信息通常包括支付时间、支付金额、支付渠道等。

37

实用工具类

为用户提供实用工具服务，包括日历、天气、词典翻译、计算器、遥控器、手电筒、指南针、时钟闹钟、播放器、文件传输、文件管理、壁纸铃声、截图录屏、录音等。
	最小必要个人信息	使用要求
1	无	无

注：实用工具通常不需要收集用户个人信息，当用户使用基于用户实时位置的天气、录音信息文字转化等服务时，可能需要收集用户的位置信息、录音信息等，应告知用户并获取用户明示同意。

38

健康码类

功能。为用户提供健康码服务，包括健康码申领、查询、亮码、扫码等。
	最小必要个人信息	使用要求
1	实名身份信息（含姓名、身份证件种类、身份证件号码）	用于确认个人身份和查询相关数据。
2	健康状况（含当前体温、有无发烧、咳嗽等症状）	用于确认个人身体状况和以往接触史。
3	旅居和接触史：近期（如近一个月、14天）有无重点疫区经停、重点疫区人员接触史等	用于确认个人身体状况和以往接触史。
4	仅对涉及境外返回人员场景收集：个人基本信息（手机号，目前居住地，身份类型：留学生、陪同家长、游客）	用于确认个人身份类型和联系个人。
5	仅对涉及境外返回人员场景收集：入境基本信息（含入境口岸，航班信息：航班号、航班日期、座位号，入境目的地，境内联系人）	用于查询密切接触者等相关数据以及进行通知。