ICS33.050
CCS M 30团体标准
T/TAF077.3-2022代替T/TAF077.3-2020
APP收集使用个人信息最小必要评估规范第3部分：图片信息
Application software user personal information col lection and usage minimization and necessity evaluation specification-
Part 3：Image file
2022-02-23发布2022-02-23实施
电信终端产业协会发布
1范围
本文件规定了在移动应用软件在处理涉及个人信息主体个人信息相关图片信息的收集、存储、使用、删除等活动中的最小必要信息规范和评估方法，并通过对在个人信息处理活动中的典型应用场景来说明如何落实最小必要原则。
本文件适用于移动互联网应用软件提供者规范个人信息主体个人信息（图片信息）的处理活动，也适用于主管监管部门、第三方评估机构等组织对移动互联网应用程序收集图片信息行为进行监督、管理和评估。
2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T25069信息安全技术术语GB/T35273信息安全技术个人信息安全规范T/TAF077.1APP收集使用个人信息最小必要评估规范总则3术语和定义
GB/T35273、T/TAF077.1和T/TAF077.7界定的术语和定义适用于本文件。
4缩略语下列缩略语适用于本文件。
APP：应用软件（Application）
GNSS：全球卫星导航系统（Global Navigation Satellite System）
5基本原则应满足T/TAF077.1《APP收集使用个人信息最小必要评估规范总则》中的最小必要原则。
6图片信息分类1
图片可以通过拍照、屏幕截图以及对图片的再加工的方式生成。根据图片信息中包含的内容，可将
图片信息分为以下三类：
）图片基本信息：指图片的基本特征信息，包括图片内容信息（原始的和编码后的二进制码）、图片格式、大小、分辨率； b）图片附加信息：拍照时间、拍照设备、拍照参数、图片名称等可关联出个人的图片信息； c）
图片位置信息：指拍摄图片时的精准定位信息。例如安卓系统可通过GpsLocationProvider来获取精确位置信息。
7图片信息典型使用场景图片信息的收集使用包括但不限于以下场景：
）社交类个人信息主体通过APP发送固定数量的图片到明确的一个或多个好友或朋友圈限定范围的场景。
b）媒体发布类：个人信息主体出于图片公开的目的将图片通过APP发布到媒体平台的场景。
C）图片加工类：个人信息主体通过APP对图片进行编辑生成新的图片的场景。
d）图像识别类：个人信息主体通过APP对图片或扫一扫生成的缓存图片进行识别的场景。
e）云盘备份类：通过APP将本地图片备份到云盘的场景。
f）客服/售后类：个人信息主体在APP中因某种诉求发送图片到客服或售后的场景。
8图片信息的最小必要评估要求
APP收集图片信息主要通过调用移动智能终端的拍照或屏幕截图功能生成图片信息，或是通过读取、写入等方式访问移动智能终端上的图片信息时，应征得个人信息主体对相应权限的授权同意。APP首次使用，在媒体库中生成图片或访问图片时需要通过权限授权，在个人信息主体同意授权之前，不应生成或访问图片信息。以下表1列出了生成或访问图片时所必须的权限，非必要权限应在业务场景发生前向个人信息主体申请对应的权限。