来这里找志同道合的小伙伴！
为了更好地保护用户的个人信息权益，切实加强用户个人信息隐私保护，国家市场监督管理总局、国家标准化管理委员会在2023年5月23日发布了GB/T 42582-2023《移动互联网应用程序（App）个人信息安全测评规范》（以下简称GB/T 42582-2023），并已于2023年12月1日正式实施。本文是对个人信息保护中容易忽略的点“撤回授权同意”的解析：通过对GB/T 42582-2023标准中“6.4.4用户撤回授权同意的测评”进行解读，并结合GB/T 42574-2023中相对应的内容进行总结归纳，从而全面的给出关于“撤回授权同意”的实践指南。
6.4.4用户撤回授权同意的测评 |
||
6.4.4.1 |
App应在个人信息保护政策或功能界面中告知用户撤回收集、使用个人信息的授权同意的有效途径和方式,且撤回授权同意后,App 运营者后续不应再处理相应的个人信息。 |
条款解析： ①App需要在隐私政策或者功能页面中告知用户撤回同意的有效途径和方式； ②用户在撤回授权同意后，App运营者应采用删除、匿名化等方式处理用户的个人信息，并不再采集、共享和处理相关个人信息 |
6.4.4.2 |
App 应在个人信息保护政策或功能界面提供基于个人信息推送广告的拒绝途径或关闭选项。 |
条款解析： ①若App存在基于个人信息推送广告的行为，应在隐私政策或功能页面中提供有关于拒绝或关闭推送广告的说明与途径； ②在功能页面中要有具体的拒绝或关闭选项（如：关闭按钮等） |
6.4.4.3 |
App 应在个人信息保护政策或功能界面中向用户提供针对对外共享、转让、公开披露个人信息撤回授权同意的途径和方式。 |
条款解析： 若App存在对外共享、转让、公开披露个人信息等行为，应在隐私政策或功能界面中提供撤回用户授权同意的路径和方式，并确保撤回途径和方式有效。 |
GB/T 42582-2023为了使测评机构、App开发者/运营者充分了解如何让用户实现授权同意的撤回权利，将主要从以下几个方面进行解析：
隐私政策：
1、需要先在隐私政策中说明“撤回同意”在不同业务功能下的方式和途径；
2、撤回同意后，隐私政策要说明个人信息处理者对相应个人信息的处理方式。
业务功能：
1、在基于个人信息推送广告场景下，提供拒绝或关闭的选项；
2、在基于对外共享、转让、公开披露个人信息场景下，提供撤回授权同意的功能。
证明材料：
让App开发者/运营者提供撤回同意后的处理逻辑证明材料。
注：证明个人信息在后台的处理是否删除或匿名化。
1、查看 App 个人信息保护政策或功能界面中是否告知用户撤回收集、使用其个人信息的授权同意的方法。
隐私政策中对撤回同意方法的说明
2、业务功能：基于个人信息的商业广告推送行为。
（1）通过功能验证查看个人信息保护政策或功能界面中是否提供基于个人信息推送广告的拒绝途径或关闭选项。
功能页面提供个性化广告关闭按钮
（2）查看拒绝或关闭定向广告推送后,App 是否停止推送定向广告信息。
①在开启广告个性化后，选择感兴趣的标签“美食烹饪”；会发现开始推送一些美食或者食物的科普文章。
开启广告个性化效果
②随后关闭推送广告按钮，发现美食类的文章就消失了。
关闭广告个性化的效果
3、业务功能：基于对外共享、转让、公开披露个人信息的行为。
（1）撤回对外共享授权的场景1：对第三方获取账号信息的授权
第三方申请获取账号信息
（2）撤回对外共享授权的场景2：对小程序获取地理位置等权限的授权
小程序获取位置信息授权
（3）撤回对外共享授权的场景3：对免密支付和自动支付等的授权
对免密支付/自动扣款的撤回同意
通过对GB/T 42582中撤回同意的测评，可以很清晰地知道其阐述主要思路是隐私政策中概念方式的描述+常用业务场景的运用；而去年12月1日生效的GB/T 42574-2023又对撤回同意的机制和实施等进行了细化规定，并通过注释列举了详细的实施要求，为个人信息的撤回同意提供了更细化的指引。它的实施机制由四个方面构成：
①个人信息撤回的便捷性；
②撤回同意机制的颗粒度；
③撤回同意的操作和影响；
④撤回同意的删除和保留。
1、个人信息撤回的便捷性
个人信息的撤回应采取和同意过程类似的方法设置撤回同意的机制。例如：在设置权限处撤回相机权限，与同意权限时是类似的。
同意相机权限与撤回相机权限的设置方式
2、撤回同意机制的颗粒度
个人信息处理者可从个人的实际需求和产品或服务的特点出发，合理设置撤回同意机制的颗粒度。
（1）个人通过撤回某个处理个人信息的业务功能来行使撤回同意权利。
通过业务功能聊天、搜索进行撤回的例子
（2）个人通过直接撤回处理某类个人信息的同意来行使撤回同意权利。
直接撤回个人信息（位置信息）
（3）如因客观条件限制、撤回后对个人使用产品或服务的安全性等造成严重影响等情形，宜向个人详细说明无法直接撤回同意的理由，并提供可替代撤回同意的操作方式。
撤回同意存在限制的示例
3、撤回同意的操作和影响
需在隐私政策中告知用户撤回同意的具体场景和操作方法，对于用户个人权益影响重大的撤回同意，应在具体的撤回场景中向用户提示对于个人权益的影响。
告知撤回同意的个人权益影响示例
4、撤回同意的删除和保留
个人撤回同意后,宜设计删除或匿名化相关个人信息的机制，并向个人主动告知相关机制，以供个人作出是否保留个人信息的选择。
存在两种情况：①若该个人信息用作其它已同意的处理目的，技术满足的情况下应提供直接删除的选项；②若技术不满足的应采取相应限制将无法删除的个人信息不再用于被撤回同意的处理目的。
结合GB/T 42582-2023与GB/T 42574-2023中对撤回同意的解析，使得个人信息处理者能够从不同的视角深入理解撤回同意的具体要义与实施重点，帮助企业能更加高效地完成对用户个人信息的处理，从而达到保护用户的个人信息权益的目的。
保护个人信息安全，人人有责。当企业做到自我约束时，用户也需要具备一定的信息安全意识，了解自己的个人信息权益，以及如何合法、有效地保护自己的个人信息。同时，政府和相关监管机构也需要加强监管力度，对于违反法律法规的行为进行严厉打击，维护市场的公平竞争和用户的合法权益。多方共同守护个人信息安全，我们才能真正享受移动应用带来的便利和福利，同时也能保障个人隐私和安全的权益，进而创造健康良序发展的移动应用市场。
嘉佑安科
网络安全服务商