ICS 33.030 CCS M21 YD 中华人民共和国通信行业标准 YD/T 4177. 7—202X 移动互联网应用程序（APP）收集使用个人 信息最小必要评估规范 第7部分：人脸信息 Application personal information collection and usage minimization and necessity evaluation specification Part 7: Face information （报批稿） XXXX - XX - XX 发布 XXXX-XX-XX 实施 发布 中华人民共和国工业和信息化部 YD/T 4177.7-202X 目 次 前言 II 引言 III 1范围 2规范性引用文件 3术语和定义 4缩略语 5基本原则， 6典型应用场景 6.1智能体验类.. 6.2本地核身类. 6.3远程核身类.. 6.4远程图像处理类 7最小必要处理活动 7.1收集阶段 7.2存储阶段 7.3使用阶段 7.4删除阶段. 8评估方法 8.1收集阶段评估方法 8.2存储阶段评估方法 8.3使用阶段评估方法 8.4删除阶段评估方法 10 参考文献. 12 YD/T4177.7-202X 前言 本文件按照GB/T1.1-2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起 草。 本文件是YD/T4177《移动互联网应用程序（APP）收集使用个人信息最小必要评估规范》的第7部 分。YD/T4177已经发布了以下部分： 第1部分：总则； 一第2部分：位置信息； 第3部分：图片信息； 第5部分：设备信息； 第8部分：录像信息； 第10部分：通话记录； - 第11部分：短信信息。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、泰尔认证中心有限公司、OPPO广东移动通信有限公司、蚂 蚁科技集团股份有限公司、北京字节跳动科技有限公司、阿里巴巴（中国)有限公司、华为技术有限公司、 维移动通信有限公司、北京快手科技有限公司、北京三星通信技术研究有限公司、高通无线通信技术 （中国）有限公司、荣耀终端有限公司、北京奇虎科技有限公司。 本文件主要起草人：傅山、王嘉义、宋恺、魏凡星、刘陶、王艳红、杜云、宁华、李腾、彭晋、林 冠辰、杨骁涵、黄天宁、衣强、李实、徐曼、贾科、落红卫、王昕、吴越、王江胜、赵晓娜、曾勇波、 姚一楠。 YD/T 4177.7-202X 引言 本文件根据《中华人民共和国网络安全法》等相关法律要求，依据GB/T35273-2020《信息安全技 术个人信息安全规范》的最小必要原则，提出移动应用软件在处理涉及剪切板中个人信息的收集、存 储、使用、加工、传输、提供、公开等活动中的最小必要信息规范和评估准则，旨在对移动互联网行业 收集使用用户个人信息进行规范，落实最小、必要的原则，进一步促进移动互联网行业的健康稳定发展。 YD/T4177《移动互联网应用程序（APP）收集使用个人信息最小必要评估规范》规定了APP收集使 用个人信息的基本原则、评估要求、评估方法及评估流程，由17个部分构成，其中每个部分给出针对具 体个人信息类别、在个人信息处理各阶段的最小必要实施要求及评估方法。 （APP）收集使用个人信息最小必要评估规范第1部分：总则； 收集使用， 最小必要评估规范第2部分：位置信息； 信息最小必要评估规范第3部分：图片信息： 移动互联网 息最小必要评估规范第4部分：终端通讯录； 收集使用个 收集使用个人信息最小必要评估规范第5部分：设备信息； 移动联网应 移动互联网应用 收集使用个人信息最小必要评估规范第6部分：软件列表； 移动互联网应用程 收集使用个 小必要评估规范第8部分：录像信息； 平估规范第9部分：录音信息； 必要评估规范第10部分：通话记录； 移动互 评估规范第11部分：短信信息； 信息最小必要评估规范第12部分：好友列表； 移动互联网应 APP）收集使用个人信 言息最小必要评估规范第13部分：传感器信息： （APP）收集使用个人信息最小必要评估规范第14部分：应用日志信息； （APP）收集使用个人信息最小必要评估规范第15部分：身份信息； 移动互联网应用程序 （APP）收集使用个人信息最小必要评估规范第16部分：剪切板信息 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第17部分：交易信息 II YD/T 4177.7-202X 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范 第7部分：人脸信息 1范围 本文件规定了移动互联网应用程序（APP）对人脸信息的收集、使用、存储、删除等活动中的最小 必要规范和评估方法，并通过个人信息处理活动中的典型应用场景来说明如何落实最小必要原则。 本文件适用于移动互联网应用程序提供者规范用户个人信息中的人脸信息的处理活动，也适用于主 管监管部门、第三方评估机构等组织对移动互联网应用程序收集人脸信息行为进行监督、管理和评估。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 YD/T4177.1-2022移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第1部分： 总则 3术语和定义 YD/T4177.1-2022界定的以及下列术语和定义适用于本文件。 3. 1 人脸识别facerecognition 基于个体的人脸特征，对个体进行识别的过程。 3. 2 人脸特征facecharacteristic 可以从个体的人脸信息中提取出的有区别的、可重复的特征信息，从而达到个体自动识别的目的 注：人脸特征可包括：人脸面部的解剖学特征、五官形态特征、特殊标记特征及人脸部因为手术或整容等人为形成 的其他特征等。 3. 3 人脸信息faceinformation 对自然人的人脸特征进行技术处理得到的、能够单独或者与其他信息结合识别该自然人身份的个人 信息。本文件指处于任何处理阶段的人脸样本、人脸参考、人脸特征项的通称。 3. 4 人脸样本face sample 从人脸采集装置获得的模拟的或数字的人脸特征的表示。 1 YD/T 4177.7202X 3.5 人脸特征项facefeature 从人脸样本中提取的，用于比对的数值或标记。 3. 6 人脸特性faceproperty 自动从人脸特征样本中估计的或获得的用户的描述性属性。 注：人脸特性可包括对年龄和性别的估计。 3. 7 人脸模板facetemplate 参考的人脸特征项的集合，已存储的人脸特征项的集合。 3. 8 人脸参考face reference 用于比对的、属于用户的一个或多个已存储的人脸样本、人脸模板或人脸识别模型等。 3. 9 身份鉴别identityauthentication 在计算机及计算机网络系统中确认操作者身份真实性的过程，在本文件中指以人为主体的人脸特征 身份鉴别。包括在实体可以在域中进行注册和识别之前，确定所声称身份真实性的信任程度的过程。 3. 10 人脸探针faceprobe 输入到算法的、与人脸参考进行比对的人脸信息 3.11 收集collect 获取个人信息的活动。 3.12 比对comparison 估算、计算或测量人脸探针与人脸参考之间的相似度和相异度， 3.13 删除 delete 在实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态。 3.14 匿名化anonymization 通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原 的过程。个人信息经匿名化处理后所得的信息不属于个人信息， 2