本文件规定了依据GB/T 35273—2020开展移动互联网应用程序个人信息安全测评的测评流程以及对各项安全要求进行测评的方法。 本文件适用于指导第三方测评机构对移动互联网应用程序个人信息安全进行测评，以及主管监管部门对移动互联网应用程序个人信息安全进行监督管理，移动互联网应用程序运营者开展个人信息安全自评时参照执行。

ICS35.030
CCSL80
中华人民共和国国家标准
GB/T42582—2023
信息安全技术
移动互联网应用程序
（App）个人信息安全测评规范wwW.bzxz.Net
Information security technology-Personal information security testing andevaluation specificationinmobileinternetapplications(App）2023-05-23发布
国家市场监督管理总局
国家标准化管理委员会
2023-12-01实施
GB/T42582—2023
规范性引用文件
术语和定义
缩略语
测评流程与方式
测评流程
测评方式
测评环境和工具
测评实施内容
个人信息收集的测评
个人信息存储的测评
个人信息使用的测评
个人信息主体权利的测评
个人信息的委托处理、共享、转让、公开披露的测评6.5
6.6个人信息安全事件处置的测评6.7
组织个人信息安全管理要求的测评结果判定
报告编制
附录A（资料性）
附录B（资料性）
附录C（资料性）
附录D（资料性）
附录E（资料性）
附录F（资料性）
参考文献
App运营者基本信息采集表
测评单元编号说明
App欺诈、诱骗、误导方式收集个人信息行为举例不同场景下App收集个人信息的频率参考App申请特定类型系统权限或收集特定类型系统信息时的额外告知参考仅针对App进行测评时适用的测评单元18
GB/T42582—2023
本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。本文件起草单位：中国电子技术标准化研究院、中国网络安全审查技术与认证中心、公安部第一研究所、北京信息安全测评中心、中国电子科技集团公司第十五研究所、国家计算机网络应急技术处理协调中心、北京百度网讯科技有限公司、北京郴邦安全科技有限公司、中国信息通信研究院、北京指掌易科技有限公司、中国人民银行数字货币研究所、中国移动通信集团有限公司、奇安信网神信息技术（北京）股份有限公司、北京汉华飞天信安科技有限公司、北京奇虎科技有限公司、陕西省网络与信息安全测评中心、中国科学院信息工程研究所、国家信息技术安全研究中心、北京银联金卡科技有限公司、北京交通大学、西安交通大学、中国汽车工程研究院股份有限公司、北京抖音信息服务有限公司、每日互动股份有限公司、启明星辰信息技术集团股份有限公司、OPPO广东移动通信有限公司、深圳市腾讯计算机系统有限公司、北京智游网安科技有限公司、全知科技（杭州）有限责任公司、江苏通付盾信息安全技术有限公司、中科锐眼（天津）科技有限公司。本文件主要起草人：胡影、刘行、范博、姚相振、高超、严妍、辛建峰、韩煜、范红、李媛、刘健、董晶晶、林星辰、王一宇、李晓雪、王海棠、邓婷、方宁、王丹辉、李彪、宋玲妮、邱勤、赵帅、彭根、姚一楠、杨京、杜丹、吴冬宇、李宇、王伟、范铭、李光平、杨涵、董霖、史景、李腾、徐永太、韩云、王思、汪德嘉、赵洪宇。
1范围
信息安全技术移动互联网应用程序（App）个人信息安全测评规范
GB/T42582—2023
本文件规定了依据GB/T352732020开展移动互联网应用程序个人信息安全测评的测评流程以及对各项安全要求进行测评的方法本文件适用于指导第三方测评机构对移动互联网应用程序个人信息安全进行测评，以及主管监管部门对移动互联网应用程序个人信息安全进行监督管理，移动互联网应用程序运营者开展个人信息安全自评时参照执行。
规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T25069—2022
GB/T35273—2020
GB/T41391—2022
术语和定义
信息安全技术术语
信息安全技术个人信息安全规范信息安全技术移动互联网应用程序（App）收集个人信息基本要求GB/T25069—2022、GB/T35273—2020和GB/T41391—2022界定的以及下列术语和定义适用于本文件。
mobileinternetapplication;App移动互联网应用程序
运行在移动智能终端上的应用程序。注：包括移动智能终端预置、下载安装的应用程序和小程序。3.2
mobileinternetapplicationoperatorApp运营者
移动互联网应用程序所有者、管理者或提供者。3.3
softwaredevelopmentkit;SDK
软件开发工具包
协助软件开发的软件库。
注：软件开发工具包通常包括相关二进制文件、文档、范例和工其的集合3.4
个人信息保护政策
personal information protection policyprivacypolicy
隐私政策
说明移动互联网应用程序处理个人信息规则的文本。注：个人信息保护政策包含的内容见GB/T35273-2020中5.51
GB/T42582—2023
targetof testing andevaluation测评对象
移动互联网应用程序个人信息安全测评流程中不同测评方式作用的对象注：主要涉及App运营者、App、App服务端、相关文档资料等。3.6
testingandevaluationunit
测评单元
对测评流程进行划分的最小独立单元。注：每个测评单元包括指标要求、测评对象、测评方式、测评步骤、单元判定等5项内容，可独立验证符合性。3.7
小程序
miniprogram
基于应用程序开放接口实现的，用户无需安装即可使用的移动互联网应用程序，注：应用程序通过公开其应用程序编程接口（API）或函数，使外部的程序可以增加该应用程序的功能或使用该应用程序的资源，而不需要更改该应用程序的源代码。3.8
用户user
使用移动互联网应用程序的个人信息主体。注：用户通常包括消费侧用户和服务供给侧用户，消费侧用户是使用移动互联网应用程序服务的个人消费者，服务供给侧用户是通过移动互联网应用程序提供服务的用户，例如网络约车类移动互联网应用程序的消费侧用户是乘客，服务供给侧用户是驾驶员。3.9
第三方应用
third-party application
由移动互联网应用程序运营者之外的其他法人实体提供，通过移动互联网应用程序直接面向用户提供服务的应用程序。
注1：第三方应用的提供形式，通常包括SDK，小程序，Web页面等，如果SDK没有直接向用户提供服务，则不属于本文件所称的第三方应用。
注2：虽与App运营者属于不同法人实体，但与ApP运营者属于同一企业集团，且遵守同一套管理制度、统一进行安全和运维管理的，不属于App运营者的第三方。关联公司通常属于ApP运营者的第三方。3.10
服务端
server
与运行在用户移动智能终端上的App相对应，支撑App运营的整个后端系统，3.11
可收集个人信息权限
systempermissiontoaccesspersonal information移动智能终端操作系统向移动互联网应用程序开放的，具有收集个人信息功能的系统权限。注：简称系统权限或权限。
缩略语
下列缩略语适用手本文件。
API：应用程序编程接口（ApplicationProgrammingInterface）ICCID：集成电路卡识别码（IntegrateCircuitCardIDentity）IDFA：广告标识符（IDentifierForAdvertising）IMEI：国际移动设备识别码（InternationalMobileEquipmentIdentity）2
IMSl：国际移动用户识别码（InternationalMobileSubscriberIdentity）MAC：媒体访问控制（MediaAccessControl）SDK：软件开发工具包（SoftwareDevelopmentKit)）5测评流程与方式
5.1概述
GB/T42582—2023
App个人信息安全测评主要针对App运营者、App服务端、App和相关文档资料等测评对象开展，测评流程包含测评准备、测评实施、测评结果判定和测评报告编写4个阶段，根据测评目标需要，也可以包含被测对象的整改与复测阶段，见图1。测评开始
5.2测评流程
5.2.1测评准备
谢评对紧和测伴单元确定
工具和
农单推备
测计准备
制及确
测评实施环蟑推备
冰拟理版级秒箱录
谢评实施
结米酶认皮资科出还
果州定
禁体测
结米判定
评结论
潮计结果判定
图1App个人信息安全测评流程图测评准备阶段的主要内容及要求如下。整
测讲报
告锅马
测评结束
App运营者基本信息的收集。测评人员应收集被测评App运营者提供的被测App样本、App功能说明、App收集使用个人信息情况说明等材料（提交材料内容见附录A）。为提高测评结果的准确性，对于有特殊登录需求的ApP，测评人员应要求被测APP运营者提供对应登录账号。
测评对象和测评单元确定。测评人员应根据对APp运营者基本信息的分析，确定测评工作的具体测评对象和适用的测评单元，例如需验证的APP功能范围、查看的制度文档、核查的服务端系统、访谈的人员岗位等。
测评工具和测评表单准备。测评人员应根据确定的测评对象和测评单元，初步确定测评工作中所使用的测评工具和测评记录表。测评方案编制与确认。测评人员应编制ApP个人信息安全测评方案，方案内容应涵盖测评对d)
象、测评依据、测评内容、测评方法、测评工具、测评计划等。测评方案编制过程中，根据具体情况，测评人员还需要ApP运营者提供额外的信息材料或进行现场调研。测评方案编制完成后·测评人员应针对方案内容与APP运营者进行确认·避免测评对生产环境带来次生风险。5.2.2测评实施
测评实施阶段的主要工作包括如下内容。3
GB/T42582-2023
测评实施环境准备。开始实施测评时，测评人员应进行技术检测工具的部署、调试和状态确a)
认，保障技术检测工具输出结果的可靠性。工具和人工测评及结果导出和记录。测评人员按照第6章规定的测评方法实施测评，并将测b)
评流程中获取的证据进行详细、准确的导出、记录结果确认及资料归还。测评实施阶段完成时，测评人员应与被测ApP运营者确认测评实施阶c)
段全部完成且形成了对应的测评记录·并确认测评实施阶段记录的证据的准确性。确认测评实施动作完成后，测评人员应归还被测评APP的相关资料、移交相关权限和账号，5.2.3结果判定
测评结果判定阶段的主要工作包括如下内容a)
测评单元结果判定。测评人员通过证据分析，给出每一个测评单元的判定结果。b）
整体测评结果判定，测评人员根据测评单元的判定结果确定APP个人信息安全测评的整体结果。
e）输出测评结论。测评人员根据整体测评结果给出App个人信息安全测评的结论。5.2.4整改与复测
根据测评目标需要，APp个人信息安全测评可以添加整改与复测阶段。整改与复测阶段的主要工作包括如下内容。
a）输出整改建议，测评人员根据测评记录和结果判定，针对单元判定结果为不符合的测评单元，给出App个人信息安全整改建议。实施整改。被测App运营者根据整改建议实施整改b）
整改结果复测。App运营者整改完成后，测评人员再次对初次测评时判定为不符合的测评单e)
元进行测评，并给出复测的结果判定。如果整改措施对其他测评单元产生影响，则还需对被影响的其他测评单位进行复测。
5.2.5报告编写
测评报告编写阶段，测评人员根据APP个人信息安全测评记录和结果判定，编制测评报告并加盖相关的印章。测评报告内容应准确、清晰、明确、客观，文字表达应简明、确切、符合逻辑，避免产生不易理解或不同理解的可能性，排版应规范，5.3测评方式
APp个人信息安全测评实施过程中，测评人员可采用的基本测评方式包括但不限于以下五种。文档审查：指测评人员查看ApP运营者的个人信息保护相关文档资料，分析App现有的或计a
划采取的个人信息保护措施。文档资料包括但不限于：1）策略文档，例如政策法规、部门规章、规范性文件、组织管理制度等：系统文档，例如用户手册、管理员手册、系统设计和需求文档、接口文档等：2）
个人信息安全相关文档，例如个人信息保护影响评估报告、个人信息保护合规审计报告、3）
个人信息安全测试报告、个人信息安全应急预案、个人信息委托处理合同、个人信息对外提供合同、个人信息处理记录等b）
服务端核查：指测评人员核查APP服务端个人信息安全相关配置情况和个人信息处理活动情况，核实APP运营者的个人信息保护制度和个人信息安全策略落实情况，核实ApP服务端是否在用户同意范围内处理个人信息、功能验证：指测评人员以用户身份操作使用App，依据与App的交互过程，验证App收集使c）
用个人信息和保障用户个人权利的情况GB/T42582—2023
技术检测：指测评人员通过App个人信息安全检测工具获得App未在交互界面显示的个人信息收集使用情况，并进行分析以帮助测评人员获取证据。人员访谈：指测评人员与被测评App运营者的管理、技术人员进行沟通。根据对测评人员所e)
提问题的回答，测评人员为测评获得相应信息，并验证收集到的证据测评环境和工具
App个人信息安全测评环境和工具应满足以下基本要求：a)
保障硬件平台、网络环境、操作系统、测评软件等自身安全性，不因测试环境降低APP安全性：b）
最小化对App运行状态的影响·能够运行APp完整的业务功能并进行检测：e
能够解析ApP基本属性信息，包括但不限于App名称、包名、版本号、大小、摘要值、签名信息、权限声明等；
能够识别和记录App运行时收集个人信息的行为，包含收集个人信息行为的时间、频次、范d)
围、类型、精度、使用的权限、调用的API等；e
能够监测和记录ApP网络数据传输行为，包括传输时间、网络协议、传输内容、目标IP、目标端口及目标IP所在地区等：
宜提供多种方式（如截图、视频、调用栈等）支撑检测记录有效性；g）
宜采用真机测评环境对APP进行检测，提高测评结果准确性：h）
宜具备API调用栈及输入参数、返回值的跟踪，本地文件访尚记录，本地SSL代理，界面元系识别和自动点击等功能：
宜支持对采用加固（加壳）技术保护的ApP的识别和检测：能够记录测评人员和测评过程，并限制未授权人员查看测评记录测评实施内容
6.1个人信息收集的测评
6.1.1收集个人信息合法性的测评6.1.1.1
测评单元（PIC-01）
本测评单元针对GB/T35273—2020中5.1a）.测评方法如下。注1：测评单元的编号规则见附录Ba)
指标要求：App中不应存在以欺诈，诱骗、误导的方式收集个人信息的情况。测评对象：文档资料、App
测评方式：文档审查、功能验证、技术检测。测评步骤：
查看APP运营者的个人信息安全相关管理制度，是否明确要求APp不应以欺诈、诱骗、误导的方式收集个人信息；
查看A个人信息保护政策·是否存在以欺诈、诱骗、误导的方式描述个人信息收集行为的情况；
通过功能验证、技术检测查看APP是否存在以欺诈、诱骗、误导的方式收集个人信息的行为。
注2：欺诈、诱骗、误导的行为见附录C。单元判定：如果1)为肯定，2）、3)为否定，则符合本测评单元指标要求，否则不符合本测评单元e)
GB/T42582-2023
指标要求。
测评单元（PIC-02）
本测评单元针对GB/T35273—2020中5.1b)，测评方法如下。指标要求：APP不应隐購自身所具有的收集个人信息的业务功能。a)
测评对象：文档资料、App。
测评方式：文档审查、功能验证、技术检测。测评步骤：
1）查看并记录App个人信息保护政策等文件中告知的收集个人信息的业务功能及其对应个人信息收集情况：
通过功能验证、技术检测，查看APP实际收集个人信息的业务功能及其对应个人信息收集情况；
比较App告知的和实际存在的业务功能和收集个人信息情况，判断App是否存在隐瞒收3）
集个人信息的业务功能。
单元判定：如果3为否定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。e
测评单元（PIC-03）
本测评单元针对GB/T35273—2020中5.1c)，测评方法如下。a)
指标要求：App运营者不应从非法渠道获取个人信息测评对象：文档资料、App服务端、App。测评方式：文档审查、功能验证、技术检测、服务端核查、人员访谈。测评步骤：
查看APP运营者的个人信息安全相关管理制度，是否明确要求不应从非法渠道获取个人信息：
访谈App运营相关人员，询问获取个人信息的渠道，判断App运营者获取个人信息的渠道是否合法：
随机选择几类个人信息，查看ApP运营者是否能证明这些个人信息来源的合法性；3）
通过功能验证、技术检测、服务端核查，查看是否存在被监管部门认定为存在违法违规收集个人信息行为且未进行整改的情况。单元判定：如果1）、2）、3）为背定，4）为否定，则符合本测评单元指标要求，否则不符合本测评e)
单元指标要求。
收集个人信息最小必要的测评
测评单元（PIC-04）
本测评单元针对GB/T35273—2020中5.2a），测评方法如下a)
指标要求：APP必须收集的个人信息应是保障其基本业务功能正常运行最少够用的个人信息。测评对象：App。
测评方式：功能验证、技术检测。测评步骤：
通过功能验证查看App提供的基本业务功能，结合功能验证、技术检测查看ApP是否强制收集必要个人信息范围外的其他个人信息：注：服务类型正常运行最少够用的个人信息及相关要求见GB/T41391-2022中附录A。2）通过功能验证、技术检测查看APP是否强制用户打开非必要权限。GB/T42582—2023
单元判定：如果1）、2）均为否定，则符合本测评单元指标要求，否则不符合本测评单元指标e)
要求。
测评单元（PIC-05）
本测评单元针对GB/T35273—2020中5.2a），测评方法如下。a)
指标要求：APpP收集的个人信息的类型应与实现其业务功能有直接关联测评对象：文档资料、App。
测评方式：文档审查、功能验证、技术检测。测评步骤：
查看App个人信息保护政策中描述的App收集的个人信息是否与业务功能有直接关联；2)
通过技术检测查看App是否在配置文件中声明与App的所有业务功能均没有直接关联的权限；
通过功能验证，技术检测查看APP申请的可收集个人信息的权限是否与业务功能有直接关联；
通过功能验证、技术检测查看APP实际收集的个人信息是否与业务功能有直接关联。4）
注1：直接关联是指没有该个人信息的参与，与之相对应的服务功能无法实现。注2：特定类型个人信息收集要求见GB/T41391-2022中附录C单元判定：如果1）、3）、4）均为肯定且2）为否定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
测评单元（PIC-06）
本测评单元针对GB/T35273—2020中5.2a），测评方法如下。a)
指标要求：用户未使用App特定功能时，不应提前要求用户授权该功能需要的权限或要求用户填写该功能需要的个人信息
测评对象：App。
测评方式：功能验证。
测评步骤：
通过功能验证查看APP是否提前要求用户授权当前未使用的特定功能所需的权限或要求用户填写当前未使用的特定功能需要的个人信息。注：用户未使用App特定功能时要求用户授权相应权限的行为，例如用户进人客服功能时，在未使用拍照和语音功能的情况下，要求用户授权摄像头和麦克风权限e
单元判定：如果1）为否定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。测评单元（PIC-07）
本测评单元针对GB/T35273—2020中5.2b）.测评方法如下。a)
指标要求：App自动采集个人信息的频率应是实现App的业务功能所必需的最低频率测评对象：文档资料、App
测评方式：文档审查、技术检测。测评步骤：
通过技术检测查看APP及其嵌人的第三方SDK和接人的第三方应用在前台、后台和静D
默运行时自动收集个人信息的频率，结合App运营者提供的证明材料，判断App自动收集个人信息的频率是否是实现App的业务功能所必需的最低频率。7
GB/T42582-2023
注1：ApP自动收集个人信息的频率可参考其调用可读取个人信息的API的频率或发送包含个人信息的网络数据包的频率。
注2：不同场最下APP采集个人信息的合理频率和相应的检测环境参考附录D。e）
单元判定：如果1）为背定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。6.1.2.5
测评单元（PIC-08）
本测评单元针对GB/T352732020中5.2c），测评方法如下。a)
指标要求：App间接获取个人信息的数量应是实现App业务功能所必需的最少数量。b)
测评对象：文档资料、App服务端、App。e)
测评方式：文档审查、服务端核查、功能验证、技术检测、人员访谈。测评步骤：
通过查看App的个人信息保护政策和功能验证查看ApP是否存在间接获取个人信息的行为：
访谈App运营者，询问是否存在间接获取个人信息的行为；3）
查看APP运营者的个人信息安全相关管理制度，是否明确要求间接获取个人信息的数量应是实现ApP业务功能所必需的最少数量；通过功能验证、技术检测查看App间接获取的个人信息是否为实现ApP业务功能所必需4）
的最少数量；
查看在间接获取的场录景下是否有获取个人信息的协议，协议中是否规定了获取个人信息5）
的类型、数据量以及与业务功能的关联关系，判断APP间接获取个人信息的数量是否是App业务功能所必需的最少数量。注：APP间接获取个人信息的行为包括第三方账号登录时获取用户的昵称、头像·内第三方购物平台时聚合展示用户在不同第三方购物平台的订单信息，获取用户的第三方信用评分，获取用户的第三方用户画像等。
e）单元判定：如果1）、2)为否定，则本测评单元为不适用：如果1)～5)为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。多项业务功能自主选择的测评
6.1.3.1测评单元（PIC-09）
本测评单元针对GB/T35273—2020中5.3a），测评方法如下。指标要求：APP不应通过捆绑多项业务功能的方式，要求用户一次性授权同意其未使用的业a)
务功能收集个人信息的请求。
测评对象：App。
测评方式：功能验证，技术检测。测评步骤：
1）通过功能验证查看App是否在安装时要求用户一次性授权其申请的全部权限：通过功能验证查看ApP是否在首次启动时一次性连续弹窗要求用户授权当前还未使用2）
的业务功能所需的权限；
通过功能验证查看ApP是否在首次启动时要求用户填写当前未使用的业务功能所需的3）
个人信息：
通过功能验证查看App是否在用户注册、登录账号时，强制要求用户授权该账号关联的4）
其他App收集的个人信息；
通过功能验证查看App提供多项业务功能时，是否明确列出各项业务功能，并就每个业5）
务功能收集个人信息的请求分别征求用户同意。GB/T42582—2023
单元判定：如果1）～4）为否定且5）为肯定，则符合本测评单元指标要求，否则不符合本测评单e)
元指标要求。
测评单元（PIC-10）
本测评单元针对GB/T35273—2020中5.3b），测评方法如下。指标要求：ApP应把用户自主作出的肯定性动作，如主动点击、勾选、填写等，作为产品或服务a)
的特定业务功能的开启条件。
测评对象：App。
测评方式：功能验证
测评步骤：
通过功能验证查看ApP提供的业务功能类型，如地图导航、网络约车、网络支付等。查看1）
ApPP是否在首次启动时默认开启除基本业务功能外其他涉及收集个人信息的业务功能：查看用户打开APp后是否能通过自主选择的方式开启特定业务功能，如通过主动点击、2）
勾选、填写等方式。
单元判定：如果1）为否定且2）为肯定，则符合本测评单元指标要求，否则不符合本测评单元指e)
标要求，
测评单元（PIC-11）
本测评单元针对GB/T35273-2020中5.3b）.测评方法如下。指标要求：ApP应仅在用户开启业务功能后，才开始收集该业务功能需要的个人信息。a）
测评对象：App。
测评方式：功能验证、技术检测。测评步骤：
1）通过功能验证、技术检测查看App是否在首次启动时默认开启App基本业务功能外的其他业务功能，并开始收集基本业务功能最小必要个人信息范围外的其他个人信息：通过功能验证、技术检测查看ApP是否在用户开启特定业务功能后才开始收集对应业务2）
功能需要的个人信息或申请打开业务功能需要的权限。单元判定：如果1）为否定且2）为背定，则符合本测评单元指标要求，否则不符合本测评单元指e）
标要求。
测评单元（PIC-12）
本测评单元针对GB/T35273—2020中5.3b）.测评方法如下指标要求：App在未向用户告知或未经用户同意，或无合理的使用场景时，不应自启动或关联a）
启动其他App并收集个人信息。
测评对象：文档资料、App。
测评方式：文档审查、功能验证、技术检测。测评步骤：
通过技术检测查看APP是否存在自启动并在自启动后收集个人信息的行为：通过技术检测查看APpP在使用或静默状态是否存在关联启动其他ApP并收集个人信息2）
的行为；
查看App的个人信息保护政策中是否说明App具有自启动或关联启动其他App并收集3）
个人信息的行为：
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。