2024年移动互联网服务能力提升任务书

一、重点任务

（一）进一步加强个人信息保护

1．坚持合法正当必要原则。从事个人信息处理活动，应具有明确合理的目的，并限于实现其收集目的的最小范围，不得仅以服务体验、产品研发、算法推荐、风险控制等为由，强制要求用户同意超范围或者与服务场景无关的个人信息处理行为。用户拒绝提供非当前服务所必需的个人信息时，不得影响用户使用该服务的基本功能。

2．确保用户知情同意。向用户推荐下载APP应遵循公开、透明原则，真实、准确、完整地明示开发运营者、产品功能、隐私政策、权限列表等必要信息，并同步提供明显的取消选项，经用户确认同意后方可下载安装，切实保障用户知情权、选择权。告知内容涉及身份证、采集人脸图像、银行卡等敏感个人信息的，应通过明确标识或突出显示等方式标注处理敏感个人信息相关的告知内容，以提醒个人予以重点关注。

3．明示个人信息处理规则。通过简洁、清晰、易懂的方式告知用户个人信息处理规则，如发生变动，应及时告知用户最新情况。处理不满十四周岁未成年人个人信息的，应制定专门的个人信息处理规则。涉及敏感个人信息的应采用文字加粗、字号增大等方式突出显示敏感个人信息。建立已收集个人信息清单、第三方共享个人信息清单，并在APP二级菜单中展示，方便用户查询，不得采用默认勾选、缩小文字、冗长文本等方式诱导用户同意个人信息处理规则。

4．合理申请使用权限。在对应业务功能启动时，动态申请所需权限，不得要求用户一揽子同意多个非本业务功能的必要权限。在调用终端相册、通讯录、位置等权限时，同步告知用户申请该权限的目的。未经用户同意，不得更改用户未授权权限状态。

（二）进一步优化服务体验。

5．窗口关闭用户可选。APP内广告具有可识别性。清晰、显著标明“广告”字样，与其他非广告信息相区别，不得含有虚假或引人误解的内容。开屏和弹窗信息窗口提供清晰有效的关闭按钮，保证用户可以便捷关闭；不得频繁弹窗干扰用户正常使用，或利用“全屏热力图”、高灵敏度“摇一摇”等易造成误触发的方式诱导用户操作。

6．启动运行场景合理。APP在静默状态下或在后台运行时，未经用户同意，不得私自启动、下载、安装等行为。在非服务所必需或无合理场景下，不得自启动和关联启动其它APP，或进行唤醒、调用、更新等行为。

7．提供查询修改更正渠道。提供有效地查询、更正、删除个人信息及注销账号功能。不得为更正、删除个人信息或注销用户账号设置不必要或不合理条件。

（三）进一步落实APP开发运营者主体责任。

8．完善内部管理机制。明确用户服务和权益保护的牵头管理部门和负责人，落实数据分类分级管理，建立全生命周期个人信息保护机制，建立全生命周期个人信息保护机制，健全考核问责制度，提升合规监督评估效能，将相关法规政策要求落实到产品研发、推广和运营各环节，不断提高合规水平。

9．提升安全技术手段。采取访问控制、技术加密、去标识化等安全技术措施，加强前端和后端安全防护。主动监测发现个人信息泄露、窃取、篡改、毁损、丢失、非法使用等风险威胁，及时响应处置。

10．增强安全事件响应能力。建立个人信息安全事件应急响应机制，并根据个人信息安全计划的变化而及时调整，确保个人信息安全事件得到及时有效处置。定期举行个人信息应急培训和应急演练，并定期对原应急预案进行重新评估、完善。定期对个人信息保护措施及执行情况等进行合规审计，有效防范风险隐患。

11．加强软件开发工具（SDK）使用管理。使用SDK前对其进行个人信息保护能力评估，通过合同等形式明确约定各方权利和义务，确保个人信息处理依法合规。集中展示并及时更新嵌入的SDK名称、功能及其处理个人信息的规则。共同处理用户个人信息，侵害用户权益造成损害的，依法承担相应责任。

（四）进一步规范SDK应用服务

12．建立信息公示机制。公开明示SDK名称、开发者、版本号、主要功能、使用说明等基本信息，以及个人信息处理规则。SDK独立采集、传输、存储个人信息的，应当单独作出说明。鼓励发挥SDK管理服务平台作用，引导APP开发运营者使用合规的SDK。

13．优化功能配置。遵循最小必要原则，根据不同应用场景或用途，明确SDK功能和对应的个人信息收集范围，并向APP开发运营者提供功能模块及个人信息收集的配置选项，不得一揽子过度收集个人信息。

14．加强服务协同。在产品使用全生命周期过程中，通过明确易懂的方式主动向APP开发运营者提供合规使用指南，引导APP开发运营者正确合理使用，共同提高合规水平。当个人信息处理规则变更或发现风险时，及时更新并告知APP开发运营者。

15．规范体系制度建设。建立个人信息管理制度体系，包括但不限于安全策略、管理制度、操作规程、记录表单等。对服务端存储的个人信息进行分类分级管理，采取不同级别的安全保障措施，并定期开展个人信息保护能力评估。

（五）进一步强化平台分发管理

16．严格应用上架审核。准确登记并核验APP（小程序）开发运营者的真实身份和联系方式、APP的主要功能及用途等基本信息，并对拟上架APP（小程序）进行技术检测。相关审核应明确负责人，并留存审核日志记录，不符合要求的不予上架。全量公示在架APP（小程序），并在显著位置标明名称及功能、开发运营者、版本号、备案号、所需获取的用户终端权限列表及用途、个人信息处理规则等信息。尚未建立分发明示界面的，应将APP下载链接到应用商店，引导用户从正规渠道下载所分发的APP。

17．强化在架应用巡查。加强对APP（小程序）的动态巡查，确保公示信息真实准确。对APP（小程序）应进行跟踪监测或定期抽测，对与公示信息不一致，或采用“热更新、热切换”等方式擅自更改APP（小程序）主要功能、申请的权限、个人信息收集使用的场景和范围等违规APP（小程序），应及时采取处置措施。

18．完善分发管理机制。建立APP（小程序）开发运营者信用评价、风险提示等机制，鼓励对分发APP进行电子签名认证，实现上架应用、分发行为全流程可溯源。加强与面向移动互联网应用程序的检测及认证公共服务平台联动，做好信息上报、监测溯源、信息共享、响应处置工作。

（六）进一步筑牢终端安全防线

19．强化APP运行管理。为用户提供APP自启动和关联启动的关闭功能，以及便捷的相关设备识别码重置选项，加强对APP静默下载、热更新的监测，防范未经用户同意私自启动、下载、安装等行为。儿童专用移动智能终端生产企业要严格落实电信设备进网要求，强化技术检测，对不合规的产品，要立即停止销售并落实整改，切实维护未成年人权益。

20．加强APP行为记录提醒。增强对权限调用行为的记录能力，为用户查询权限调用情况提供便利。建立通讯录、麦克风、相机、位置、剪切板等权限在用状态的明显提示机制，保障用户及时准确了解个人信息收集状态。

21．提高APP风险预警能力。推动开展APP电子签名认证，并向用户进行预警提示，提高对仿冒、不良、违规等风险APP的识别能力。

（七）进一步夯实接入企业责任

22．准确登记信息。在为APP、SDK提供网络接入服务时，登记并核验APP、SDK开发运营者的真实身份、联系方式等信息，提高溯源能力。