ICS 33.180.10 CCS M33 YD 中华人民共和国通信行业标准 YD/TXXXXXXXXX 移动智能终端及应用软件个人信息分类分 级规范 information categorization and gradation specification (报批稿） XXXX - XX - XX 发布 XXXX - XX - XX 实施 发布 中华人民共和国工业和信息化部 YD/TXXXXXXXXX 目 次 前 言 II 引 言 ..III 1范围... 2规范性引用文件， 3术语和定义 4缩略语... 5个人信息分类要求 6个人信息分级要求 7评估方法， 附录A（资料性） 统一个人信息类目定义与编码 参考 文 献. YD/T XXXXXXXXX 前 言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、维沃移动通信有限公司、泰尔认证中心有限公司、华 为技术有限公司、OPPO广东移动通信有限公司、荣耀终端有限公司、北京字节跳动科技有限公司、阿 里巴巴（中国）有限公司、北京奇虎科技有限公司、北京快手科技有限公司、高通无线通信技术（中 国）有限公司、北京三星通信技术研究有限公司、中兴通讯股份有限公司、郑州信大捷安信息技术 股份有限公司、百度在线网络技术（北京）有限公司。 本文件主要起草人：贾科、徐曼、王艳红、杜云、凌大兵、陈思宇、刘陶、宁华、李腾、落红 卫、姚一楠、衣强、黄天宁、赵晓娜、王江胜、吴越、王宇晓、张宏伟、李跌婧、刘为华、刘献伦、 郭建领、邓婷 I YD/TXXXXX-XXXX 引言 越紧密。在移动智能终端及应用软件带给人们的工作和生活带来便利的同时，滥采和滥用个人信息的现 象也随之出现，给用户的切身权益带来了危害。 本文件旨在提出用户个人信息的分类原则和方法，聚焦于端侧原生个人信息，并基于不同种类个人 机制。 Ⅲ YD/T XXXXXXXXX 移动智能终端及应用软件个人信息分类分级规范 1范围 本文件规定了移动智能终端与应用软件个人信息分类原则、类别划分、个人信息分级要求以及相应 的测试方法。 本文件适用于移动智能终端厂商及应用软件开发者对个人信息的分类分级管理。 2规范性引用文件 2 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T25069-2022信息安全技术术语 3 术语和定义 GB/T25069-2022界定的和下列术语和定义适用于本文件。 3. 1 端侧原生个人信息UEoriginated personalinformation 用户移动智能终端上独有的，或产生自用户的移动智能终端设备系统（及其上的应用软件），或伴 随用户对移动智能终端的使用过程不断衍变的，或由用户智能终端临近网络环境（如二层网络连接或同 一局域网范围内）处采集的原始个人信息。 注：满足以下特点之一的个人信息可视为端侧原生个人信息： 一一该类个人信息的赋值与终端设备绑定 一一由用户的终端设备系统或应用软件生成的 一随用户使用终端设备（及其上应用软件）过程而发生变化的 一由用户智能终端临近网络环境（如二层网络连接或同一局域网范围内）处采集的 4缩略语 下列缩略语适用于本文件。 GNSS：全球导航卫星系统（GlobalNavigationSatelliteSystem） IMEI：国际移动设备识别码（InternationalMobileEquipmentIdentity） IMSI：国际移动用户识别码（InternationalMobileSubscriberIdentity） MAC：媒体访问控制地址（MediaAccessControlAddress） SIM：用户身份识别卡（SubscriberIdentificationModule） 1 YD/T XXXXXXXXX 5个人信息分类要求 5.1个人信息分类原则 5.1.1类目划分 本文件对移动智能终端及应用软件的个人信息类目划分遵循以下原则： a）系统性：将选定的第一层级与第二层级类目分类对象的特征（或特性）按其内在规律系统化进 行排列，形成一个逻辑层次清晰、类目明确的、业务类型全覆盖的树状分类架构。 b）稳定性：依据分类的类目选择分类对象最稳定的本质特性作为第一层级与第二层级类目分类的 基础和依据，以确保分类结果最稳定。 c）可扩展性：类目划分应预留空间，以支持多样化的场景和粒度的类目定义的扩展需求。 d）适当聚焦：类目划分应聚焦于端侧原生个人信息，对端侧原生个人信息进行较细粒度划分，非 端侧原生个人信息进行较粗粒度划分。 5.1.2类目命名 本文件在对个人信息类别进行命名时应遵循以下原则： 一明确性原则：类目名称应避免重名或近似含义 一一通俗易懂原则：应优先保证类目名称直观可理解， 一一既有习惯优先原则：应优先使用在社会已有广泛认同的名称命名。 5.1.3类目编码 本文件将移动智能终端及应用软件上处理的个人信息分类采用阿拉伯数字进行统一编码，并使用小 数点分隔区分分类的层级和粒度。其中： 一一个人信息类目编码为多层级设计，一级类目以英文字母PI并接2位阿拉伯数字区分一级类目， 如PI01，进而用小数点区分类别的层级和粒度，每个小数点后接2位阿拉伯数字。 一一每层级类别采用2位阿拉伯数字作为该层级的类别编码，类目编码最多五个层级。如 PI01.02.03.04.05。 注：附录A中类目编码最包含四个层级，依据编码使用情况至多可扩展至五个层级。 5.2个人信息类别统一定义 移动智能终端及应用软件在展示和处理个人信息时，应对个人信息类别进行统一定义与编码，本文 件定义的统一个人信息类目定义与编码参见附录A。 6个人信息分级要求 6.1等级划分 本文件从保护用户权益出发，以用户对个人信息的敏感度以及个人信息的泄露和滥用对用户造成的 影响程度，来划分移动智能终端及应用软件上个人信息类目的等级。 6.2等级定义 本文件将移动智能终端及应用软件涉及的个人信息划分为4个等级，见表1。其中1级最低，4级最高。 2