ICS35. 030 CCS L70 YD 中华人民共和国通信行业标准 YD/T XXXX—XXXX 移动互联网未成年人个人信息保护 技术规范 Technical requirements for protection of personal information of minors in mobile internet （报批稿） XXXX -XX-XX 发布 XXXX-XX- XX 实施 中华人民共和国工业和信息化部 发布 YD/T XXXX-XXXX 目 次 前言 II 1范围 2规范性引用文件 3术语和定义 4缩略语 5未成年人个人信息处理基本原则 2 6未成年人个人信息处理规则规范性要求 6.1通用要求 6.2儿童个人信息处理规则规范性要求 7未成年人个人信息保护要求 7.1收集个人信息时的授权同意 7.2个人信息的安全保护 7.3个人信息的查阅、复制、更正、补充 3 7.4个人信息的共享、转让、公开披露 7.5个人信息的删除， 8儿童个人信息保护要求 8.1收集个人信息时的授权同意 8.2个人信息的删除， 9管理与保障 9.1个人信息保护影响评估 9.2注销账户 9.3安全事件预案及处理 YD/T XXXX-XXXX 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、泰尔认证中心有限公司、北京快手科技有限公司、华为终 端有限公司、博鼎实华（北京）技术有限公司、阿里巴巴（中国）有限公司、中国科学院信息工程研究 所、北京三星通信技术研究有限公司、高通无线通信技术（中国）有限公司、北京奇虎科技有限公司、 中兴通讯股份有限公司、广州视睿电子科技有限公司、中国移动通信集团有限公司、郑州信大捷安信息 技术股份有限公司、OPPO广东移动通信有限公司、北京抖音信息服务有限公司、维沃移动通信有限公 司、北京微梦创科网络技术有限公司、厦门美柚股份有限公司、上海荣耀智慧科技开发有限公司、蚂蚁 科技集团股份有限公司、每日互动股份有限公司、北京百度网讯科技有限公司、四川长虹电子控股集团 有限公司、上海兆言网络科技有限公司、陕西省信息化工程研究院。 本文件主要起草人：傅山、王嘉义、冯金金、贾宝国、刘陶、杜云、魏凡星、陈逸舟、王淞鹤、周 飞、李可心、宁华、钱康、常琳、谷晨、宜静、落红卫、李实、衣强、董雾、黄天宁、彭骏涛、张妍、 李经纬、吴越、王江胜、姚一楠、张宏伟、黄晓珊、丁雪莲、刘献伦、付艳艳、刘文园、李梦月、杜蕾、 李肤婧、贾科、张、任资政、邹庆、王天、黄鹏华、赵晓娜、李辰淑、林冠辰、石玉珍、李颖莹、董 霖、郭建领、赵艺、黄德俊、钱雷、彭琴。 II YD/T XXXX-XXXX 移动互联网未成年人个人信息保护技术规范 1范围 本文件规定了移动互联网未成年人个人信息保护技术要求，包括开展未成年人个人信息处理活动应 遵循的基本原则、处理规则规范性要求、保护要求等。 本文件适用于可能影响未成年人权益、需要对未成年人提供保护的移动互联网个人信息处理者，指 导其在识别出用户为未成年人后，处理未成年人个人信息的设计、开发、评估。 2规范性引用文件 2 下列文件对于本标准的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本标准。 凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本标准。 GB/T43697-2024数据安全技术数据分级分类原则 术语和定义 3 下列术语和定义适用于本文件。 3. 1 未成年人minors 未满十八周岁的公民。 3. 2 儿童 children 不满十四周岁的未成年人。 3. 3 监护人guardian 对无民事行为能力人和限制民事行为能力人的人身、财产和其他一切合法权益负有监护职责的人， 3. 4 敏感个人信息 personalsensitiveinformation 一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人 信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周 岁未成年人的个人信息。 1 YD/T XXXX-XXXX [来源：《个人信息保护法》第二十八条] 4缩略语 下列缩略语适用于本文件。 APP：移动互联网应用程序（Application） 5未成年人个人信息处理基本原则 移动互联网未成年人个人信息处理应遵循合法、正当、必要、诚信的原则，应满足以下原则： a) 目的明确一具有明确、清晰、具体的未成年人个人信息处理目的； b) 最小必要一遵循未成年人个人信息收集使用的最小必要原则； c) 选择同意一向未成年人或其监护人明示未成年人个人信息处理的目的、方式、范围等规则，以 同意作为合法性基础的，应征求用户的明示同意； (p 公开透明一处理未成年人敏感个人信息，应具有特定的目的和充分必要性，并依法告知处理未 成年人敏感个人信息的必要性以及对个人权益的影响； e） 分级保护一根据GB/T43697的数据分级规则，未成年人个人信息分为一般数据和重要数据（不 涉及核心数据），应围绕数据共享、转让、公开披露、删除等环节，采取“就高原则”进行分 级保护； f) 确保安全一采取足够的管理措施和技术手段，保护未成年人个人信息的安全。 。未成年人个人信息处理规则规范性要求 6.1通用要求 未成年人个人信息处理规则应满足以下规范性要求： a）在个人信息处理规则中设置专门的未成年人个人信息保护的条款； b) 对于专门以儿童为服务对象、适应儿童身心健康发展规律和特点的网络产品和服务（如青少年 模式、儿童专区等），应制定并公开专门的儿童个人信息保护规则，应告知儿童监护人收集、 使用儿童个人信息的情况。 6.2儿童个人信息处理规则规范性要求 个人信息处理者在处理儿童个人信息前，应在满足本文件6.1要求的基础上，制定并公开单独成文 的儿童个人信息保护规则，内容应包括但不限于： a）儿童个人信息的处理目的、处理方式； b) 收集、使用儿童个人信息的业务功能，以及业务功能分别收集的儿童个人信息类型； c) 儿童及监护人行使个人信息权利的方式。 7未成年人个人信息保护要求 7.1收集个人信息时的授权同意 个人信息处理者在收集未成年人个人信息时，应满足以下要求： 2 YD/T XXXX-XXXX a）收集、使用年满十四周岁未成年人个人信息的，应以显著、清晰的方式告知未成年人，并征得 未成年人的明示同意： b）当所处理年满十四周岁未成年人个人信息的目的、方式和范围发生变化时，应再次取得未成年 人的明示同意。 7.2个人信息的安全保护 个人信息处理者应提供如下安全保护能力： a) 应采用访问控制或加密等合理技术手段保护未成年人个人信息的安全存储； 应以最小授权为原则，严格设置未成年个人信息访问控制措施： c） 应设置完整的未成年人个人信息访问审批流程，规范工作人员访问未成年人个人信息的行为， 并记录访问情况； (p 应对具有未成年人个人信息访问权限的工作人员进行安全管理； e） 在征得未成年人同意或其监护人（在未成年人未满十四周岁时）单独同意后才可开启会影响未 成年人个人信息权益的功能（如敏感个人信息公开展示），不应默认打开，不应默认勾选同意。 7.3个人信息的查阅、复制、更正、补充 当未成年人或者其监护人依法请求查阅、复制、更正、补充未成年人个人信息时，个人信息处理者 应满足以下要求： a）应提供便捷的支持未成年人或者其监护人查阅未成年人个人信息种类、数量等的方法和途径， 不得对未成年人或者其监护人的合理请求进行限制； b) 应提供便捷的支持未成年人或者其监护人复制、更正、补充未成年人个人信息的功能，不得设 置不合理条件； c） 及时受理并处理未成年人或者其监护人查阅、复制、更正、补充未成年人个人信息的申请，拒 绝未成年人或者其监护人行使权利请求的，应书面告知申请人并说明理由。 7.4个人信息的共享、转让、公开披露 个人信息处理者在共享、转让、公开披露未成年人个人信息时，应满足以下要求： a）原则上不应向他人提供其处理的儿童人个人信息，确有必要向他人提供的，应事前进行个人信 息保护影响评估，依法向儿童的监护人告知接收方的名称或者姓名、联系方式、处理目的、处 理方式和个人信息的种类，并取得监护人的单独同意： b) 原则上不应公开披露未成年人个人信息。个人信息处理者经法律授权或具备合理事由需要公开 披露时，应征得未成年人同意或其监护人（在未成年人未满十四周岁时）单独同意，并符合GB/T 35273中个人信息公开披露的要求。 7.5个人信息的删除 个人信息处理者应及时受理并处理未成年人或者其监护人删除未成年人个人信息的申请，拒绝未成 年人或者其监护人行使权利请求的，应书面告知申请人并说明理由。 除法律法规另有规定外，符合以下情形时，个人信息处理者应删除或匿名化未成年人个人信息，不 得设置不合理条件： a）不再是实现处理目的必要个人信息； 个人信息处理者停止提供产品或者服务； c) 保存期限已届满； (p 未成年人或其监护人撤回授权同意；