来这里找志同道合的小伙伴！
随着数字经济时代到来，移动应用产业得到飞速发展，移动应用已经深入到人们日常工作与生活的方方面面。在使用App过程中，各类App大量采集用户的个人信息，人信息被过度收集、泄露等个人信息安全问题频发，也引起各监管部门高度重视。为切实加强用户个人信息隐私保护，国家市场监督管理总局、国家标准化管理委员会在2023年5月23日发布了GB/T 42582-2023 《移动互联网应用程序（App）个人信息安全测评规范》 （以下简称GB/T 42582-2023），并已于2023年12月1日正式实施。本文将针对GB/T 42582-2023标准中的“6.1.3 多项业务功能自主选择的测评”进行解读。
6.1.3 多项业务功能自主选择的测评 |
||
6.1.3.1 |
App 不应通过捆绑多项业务功能的方式,要求用户一次性授权同意其未使用的业务功能收集个人信息的请求。 |
条款解析： App 提供多项业务功能时，应明确列出各项业务功能,并就每个业务功能收集个人信息的请求分别征求用户同意，不应一次性批量申请超出与当前业务功能相关的授权请求。 |
6.1.3.2 |
App 应把用户自主作出的肯定性动作,如主动点击、勾选、填写等,作为产品或服务的特定业务功能的开启条件。 |
条款解析： 用户打开App 后能通过主动点击、勾选、填写等方式开启特定业务功能。 |
6.1.3.3 |
App 应仅在用户开启业务功能后,才开始收集该业务功能需要的个人信息。 |
条款解析： 用户在开启特定业务功能后App才能开始收集对应业务功能需要的个人信息或申请打开业务功能需要的权限。 |
6.1.3.4 |
App 在未向用户告知或未经用户同意,或无合理的使用场景时,不应自启动或关联启动其他 App 并收集个人信息。 |
条款解析： App应通过隐私政策、弹窗等方式，应说明自启动或关联启动其他 App 并收集个人信息的行为。且App在静默状态下，不应关联启动其他 App 并收集个人信息。 |
6.1.3.5 |
App 关闭或退出业务功能的途径或方式应与用户选择使用业务功能的途径或方式同样方便。 |
条款解析： App 应向用户提供便捷的自主选择关闭或退出特定业务功能的途径或方式。 |
6.1.3.6 |
用户选择关闭或退出特定业务功能后,App 应停止该业务功能的个人信息收集活动。 |
条款解析： 用户在关闭或退出业务功能后,个人信息处理者应停止对该业务功能的个人信息收集。 |
6.1.3.7 |
用户不授权同意使用、关闭或退出特定业务功能的,App 不应频繁征求用户的授权同意。 |
条款解析： 用户关闭或退出特定业务功能后,在未使用该特定业务功能时，App不应再次询问用户打开特定业务功能。（注：再次询问的表现方式包括但不限于弹窗、提示文本、图片、滚动字幕或链接等中断或干扰用户正常操作的行为） |
6.1.3.8 |
用户不授权同意使用、关闭或退出特定业务功能,App 不应暂停用户自主选择使用其他的业务功能,或降低其他业务功能的服务质量。 |
条款解析： 用户关闭或退出特定业务功能，App 不应妨碍其他业务功能继续正常使用或故意设置障碍影响用户体验。 |
6.1.3.9 |
App 新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，不应拒绝提供原有业务功能。 |
条款解析： App若因新增业务功能超出原用户同意授权范围，应更新隐私政策并提示用户阅读；若用户不同意新增业务功能所收集的个人信息或拒绝相关权限申请所收集的权限，不应拒绝或妨碍原有业务功能。 |
6.1.3.10 |
App 不应仅以改善服务质量、提升使用体验、研发新产品、增强安全性等为由,强制要求用户同意收集个人信息。 |
条款解析： 当用户拒绝App以改善服务质量、提升使用体验研发新产品、增强安全性等为由所收集的个人信息时，App不能因此拒绝提供各项服务。 |
GB/T 42582-2023为了使测评机构、App开发者/运营者充分了解如何让用户能够自主选择业务功能，将主要从以下几个点进行解析：
隐私政策：
1、说明自启动或关联启动其他 App 并收集个人信息的行为；
2、说明新增业务功能申请收集的个人信息；
3、提供多项业务功能时，应明确列出各项业务功能；
业务功能：
1、通过主动点击、勾选、填写等方式开启特定业务功能；
2、提供便捷的自主选择关闭或退出特定业务功能的途径或方式；
证明材料：
1、让App开发者/运营者提供证明合理的自启动或关联启动的材料；
1、检查App 是否通过捆绑多项业务功能的方式，要求用户一次性授权同意其未使用的业务功能收集个人信息的请求。
（1）App首次启动时不应一次性连续弹窗要求用户授权当前还未使用的业务功能所需的权限。示例如下：
一次性连续权限申请弹窗示例图
（2）应采取最小必要原则，当使用某项业务功能时，再申请与使用业务功能相关权限的机制，例如：当用户使用相机时，App再向用户申请授权相机权限。示例如下：
针对用户使用功能的权限申请示例图
（3）App在用户注册、登录账号时，不应强制要求用户授权该账号关联的其他 App 收集的个人信息。应采取让用户自主选择是否授权该账号关联的其他 App 收集的个人信息的机制。示例如下：
用户自主选择授权示例图
2、App 应把用户自主作出的肯定性动作，如主动点击、勾选、填写等，作为产品或服务的特定业务功能的开启条件
App应采取用户通过主动点击、勾选、填写等方式开启特定业务功能的机制。示例如下：
用户主动勾选特定业务功能示例图
3、App 应仅在用户开启业务功能后,才开始收集该业务功能需要的个人信息。
App只能在用户开启特定业务功能后才开始收集对应业务功能需要的个人信息或申请打开业务功能需要的权限。例如：用户开启“摇一摇”功能，App才能向用户申请授权“摇一摇”的位置权限。示例如下：
用户开启业务功能后权限申请示例图
4、App 关闭或退出业务功能的途径或方式应与用户选择使用业务功能的途径或方式同样方便。
App应向用户提供便捷的自主选择关闭或退出特定业务功能的途径或方式，例如：一键关闭或退出特定业务功能的按钮或途径。示例如下：
一键关闭业务功能示例图
5、App 在未向用户告知或未经用户同意,或无合理的使用场景时,不应自启动或关联启动其他 App 并收集个人信息。
App的个人信息保护政策中应说明App具有自启动或关联启动其他App并收集个人信息的行为，示例如下：
隐私政策的自启动与关联启动示例图
本文献适用于指导监管部门、第三方测评机构的相关测评人员对App的个人信息安全进行隐私合规检测评估。当App在向用户提供多项业务功能时，开发者/运营者应遵循用户的自主意愿，不强迫用户接受App产品或服务所提供的业务功能及相应的个人信息收集请求。GB/T 42582-2023在GB/T 35273—2020《信息安全技术 个人信息安全规范》的基础上进一步明确了App个人信息安全测评过程中的测评指标、测评对象、测评步骤和测评方式，为测评机构、监管机构在对App的个人信息安全进行测评时提供判定依据。
对于App开发者/运营者而言，可通过参考《移动互联网应用程序（App）个人信息安全测评规范》，将保障App个人信息安全工作落实到日常运营过程中，另外用户也需要加强个人隐私安全保护意识，养成“非必要不提供”的良好习惯，确保我们的个人信息隐私安全。
嘉佑安科
网络安全服务商