YDT 6412-2025 移動互聯網應用未成年人個人信息保護技術要求標準立項發展報告

移動互聯網應用未成年人個人信息保護技術要求標準立項發展報告StandardizationDevelopmentReport:TechnicalRequirementsforProtectionofMinors'PersonalInformationinMobileInternetApplications摘要隨著移動互聯網應用的飛速發展，未成年人在網絡空間的個人信息保護問題日益凸顯。為貫徹落實《中華人民共和國個人信息保護法》《中華人民共和國未成年人保護法》及相關法律法規要求，工業和信息化部組織制定了郵電通信行業標準YD/T6412-2025《移動互聯網應用未成年人個人信息保護技術要求》。本標準于2025年4月10日發布，2025年8月1日正式實施，填補了我國移動互聯網應用領域未成年人個人信息保護專項技術標準的空白。本報告系統梳理了該標準的立項背景、編制原則、主要技術內容和預期實施效果，分析了其對完善我國個人信息保護標準體系、強化未成年人網絡權益保障、引導行業合規發展的重要意義。標準明確了移動互聯網應用在處理未成年人個人信息時的技術框架與合規要求，涵蓋收集、存儲、使用、加工、傳輸、公開、刪除等全生命周期管理環節，為應用開發者、運營者及監管機構提供了統一、可操作的技術依據。關鍵詞：移動互聯網應用；未成年人；個人信息保護；技術標準；郵電通信行業；合規要求Keywords:MobileInternetApplications;Minors;PersonalInformationProtection;TechnicalStandards;PostsandTelecommunicationsIndustry;ComplianceRequirements一、引言1.1研究背景隨著數字經濟的蓬勃發展和智能移動終端的全面普及，移動互聯網應用（APP）已成為未成年人學習、社交、娛樂的重要載體。據中國互聯網絡信息中心（CNNIC）發布的數據顯示，我國未成年網民規模持續增長，互聯網使用率已超過97%。與此同時，未成年人個人信息被過度收集、違規使用、非法交易等亂象頻發，對未成年人的身心健康和合法權益構成嚴重威脅。近年來，國家先后出臺了一系列法律法規和政策文件，對未成年人個人信息保護提出了明確要求。《中華人民共和國個人信息保護法》第二十八條將不滿十四周歲未成年人的個人信息列為敏感個人信息，要求取得監護人單獨同意并制定專門的處理規則，并設置專條予以特別保護；《中華人民共和國未成年人保護法》增設“網絡保護”專章，明確規定網絡服務提供者應當針對未成年人使用其服務設置相應的時間管理、權限管理、消費管理等功能。2023年國務院公布的《未成年人網絡保護條例》進一步細化了相關規定，為未成年人個人信息保護提供了更為具體的制度框架。然而，現有法律法規對未成年人個人信息保護的規定以原則性和制度性要求為主，缺乏針對移動互聯網應用的技術實施標準和具體操作指引。行業亟需制定統一、細化的技術標準，將法律原則轉化為可執行、可檢測、可評估的技術要求。1.2標準立項必要性在YD/T6412-2025發布之前，我國尚無專門針對移動互聯網應用未成年人個人信息保護的國家標準或行業標準。現行個人信息保護相關標準多面向一般個人信息處理場景，未能充分體現未成年人個人信息保護的特殊性要求——如監護人同意機制、最小必要原則的嚴格適用、未成年人識別技術、信息分類分級管理等。這一標準空白導致了三個突出問題：1.監管依據不足：監管部門在執法過程中缺乏具體的技術判定標準；2.企業合規困難：應用開發者缺乏清晰的技術指引，合規成本高、效果參差不齊；3.用戶權益保障缺位：未成年人及其監護人難以有效行使知情權、刪除權等法定權利。基于上述背景，制定《移動互聯網應用未成年人個人信息保護技術要求》行業標準具有迫切的現實需求和重要的戰略意義。二、標準編制概況2.1編制原則本標準編制遵循以下原則：（1）合法性原則。嚴格遵循《中華人民共和國個人信息保護法》《中華人民共和國未成年人保護法》《未成年人網絡保護條例》等法律法規的規定，確保標準內容與上位法保持一致。（2）科學性原則。充分考慮未成年人認知能力、身心發展特點及移動互聯網應用的技術實現可能性，合理設定各項技術要求。（3）可操作性原則。技術指標和檢測方法應明確具體，便于企業和檢測機構實施與評估，避免模糊性表述。（4）協調性原則。與既有個人信息保護標準體系相銜接，注重與GB/T35273《信息安全技術個人信息安全規范》等國家標準協調配套，避免標準間沖突。（5）前瞻性原則。兼顧技術發展態勢，為人工智能、大數據等新技術在未成年人保護領域的應用預留空間。2.2編制過程本標準的編制經過深入調研、草案起草、征求意見、技術審查等階段。標準編制組廣泛收集了國內外相關法律法規、技術標準和實踐經驗，包括歐盟《通用數據保護條例》（GDPR）中關于兒童數據保護的有關規定、英國《適齡設計規范》（AgeAppropriateDesignCode）等技術文件，結合我國移動互聯網行業發展現狀，經過多輪研討和修改完善，最終形成標準送審稿并通過專家審查。2.3標準框架本標準在結構上涵蓋范圍、規范性引用文件、術語和定義、縮略語、總體要求、個人信息處理的技術要求、未成年人身份識別技術要求、未成年人個人信息安全事件應急處理及輿情應對、未成年人個人信息保護成效評估等章節，形成了較為完整的技術規范體系。三、標準主要技術內容3.1范圍與定位本標準規定了移動互聯網應用處理未成年人個人信息應遵循的技術要求和檢測評價方法，適用于移動互聯網應用的開發設計、運營維護、產品更新等各階段，為應用提供者的合規自評估、第三方檢測機構的檢測評估以及監管部門的監督檢查提供技術依據。3.2術語與定義標準明確界定了“移動互聯網應用”“未成年人”“未成年人個人信息”“監護人”“匿名化”“去標識化”“用戶畫像”等核心術語。值得關注的是，標準中的“未成年人”指不滿十八周歲的自然人，與《中華人民共和國未成年人保護法》的規定保持一致。同時，標準參考《個人信息保護法》的規定，對不滿十四周歲未成年人的個人信息給予更高保護級別，并進行了專門規定。3.3總體要求標準提出了移動互聯網應用處理未成年人個人信息的總體要求，包括：合法正當、最小必要、公開透明、準確完整、安全保障五大原則。明確要求移動互聯網應用提供者應設置未成年人個人信息保護的專門負責人（或指定專人），建立未成年人個人信息安全事件應急預案；應定期開展未成年人個人信息保護合規審計，審計頻次不低于每年一次；應在上線前及重大版本更新時進行個人信息保護影響評估。3.4個人信息處理的技術要求標準對未成年人個人信息的收集、存儲、使用、加工、傳輸、公開、刪除等處理活動分別提出了具體技術要求。在收集環節，標準明確要求應用提供者遵循最小必要原則，僅可收集與所提供服務直接相關的未成年人個人信息，禁止以改善服務質量、提升用戶體驗等為由超范圍收集。對于不滿十四周歲未成年人個人信息的收集，須取得監護人明確同意，并提供顯著、清晰的專門告知。標準特別對場景化告知方式作出技術性規定——告知內容應包含處理目的、處理方式、信息種類、存儲期限等核心要素，且告知語言和呈現方式應適應未成年人認知水平。在收集頻次方面，標準明確要求除非業務功能所必需，不得頻繁觸發個人信息收集行為。在存儲環節，標準要求對未成年人個人信息進行加密存儲，加密強度應不低于國家密碼管理部門規定的商用密碼算法要求；應將未成年人個人信息與一般用戶個人信息實施分類存儲和物理或邏輯隔離；明確個人信息存儲期限為實現處理目的所必需的最短時間，超過期限應予以刪除或匿名化處理。在使用和加工環節，標準要求不得出于向未成年人進行商業營銷或用戶畫像等目的處理未成年人個人信息；不得將未成年人個人信息用于個性化推薦、定向廣告等商業用途，除非取得監護人單獨同意；利用未成年人個人信息進行自動化決策時，應保證決策結果的公平公正，不得對未成年人的身心健康和權益產生顯著影響。在傳輸和公開環節，標準明確要求向第三方提供未成年人個人信息前應進行安全評估并取得監護人單獨同意，傳輸過程應使用安全通道并采取加密措施；原則上不得公開披露未成年人個人信息，確需公開的應符合法律法規規定并采取去標識化等措施。在刪除環節，標準要求當處理目的已實現、無法實現或者為實現處理目的不再必要，或監護人撤回同意、未成年人本人提出合理請求時，應提供便捷的刪除渠道。應用提供者應在收到刪除請求后十五個工作日內完成刪除或匿名化處理，并停止除存儲和采取必要安全保護措施之外的處理。3.5未成年人身份識別技術要求準確識別用戶是否為未成年人，是落實未成年人個人信息特殊保護規則的前提。標準提出了以下技術路徑：應用提供者應綜合運用實名認證、行為特征分析、設備信息研判等技術手段識別未成年人用戶；對于明確聲明不滿十四周歲的用戶，應啟動敏感個人信息處理規則；鼓勵應用提供者利用人工智能技術優化未成年人識別模型，提高識別準確率。此外，標準要求應用提供者不得以未成年人識別為由收集與識別目的無關的個人信息，識別過程中收集的信息僅可用于未成年人保護目的。3.6未成年人個人信息安全事件應急處理及輿情應對標準要求移動互聯網應用提供者建立未成年人個人信息安全事件應急響應機制，明確應急組織架構及職責分工，制定應急預案并定期開展演練（每年至少組織一次）。發生或可能發生未成年人個人信息泄露、篡改、丟失安全事件時，應立即啟動應急預案，采取補救措施防止危害擴大，并按照法律法規要求履行通知和報告義務。同時，標準對輿情監測和應對也提出了要求，明確應建立7×24小時輿情監測機制，及時掌握涉及未成年人個人信息安全的輿情動態并在發現后4小時內啟動應對流程，及時發布權威信息、回應社會關切、消除不良影響，并向監管機構報告相關情況。3.7未成年人個人信息保護成效評估標準建立了未成年人個人信息保護成效評估框架，從組織制度保障、技術防護能力、處理活動合規性、安全事件發生情況及處置效果、用戶滿意度等維度進行評估。明確要求移動互聯網應用提供者應定期（至少每年一次）開展保護成效自評估，也可委托第三方機構實施獨立評估。評估結果應向監管部門報告，并作為持續改進未成年人個人信息保護工作的依據。四、主要編寫單位本標準由中國信息通信研究院牽頭起草，聯合國內主要移動互聯網企業、網絡安全企業、科研院所和高校共同編制。中國信息通信研究院中國信息通信研究院（以下簡稱“中國信通院”）是工業和信息化部直屬科研事業單位，是國家在信息通信領域最重要的智庫和專業技術支撐機構。中國信通院始建于1957年，前身為郵電部郵電科學研究院，經過六十余年的發展，已形成以互聯網、通信、信息化、網絡安全為核心的綜合研究能力。在個人信息保護領域，中國信通院深度參與了《中華人民共和國個人信息保護法》《未成年人網絡保護條例》等法律法規的立法支撐工作，承擔了大量國家標準和行業標準的制定任務，在個人信息保護技術研究、標準制定、檢測認證、合規評估等方面積累了豐富經驗。中國信通院設立了專門的個人信息保護研究團隊，長期追蹤國內外個人信息保護立法動態和技術發展趨勢，建設了專業的技術驗證和檢測評估環境，具備從標準研制到檢測評估的全鏈條技術能力。除中國信通院外，參與本標準編制的單位還包括國內頭部移動互聯網應用企業，為標準的技術可行性和行業適用性提供了實踐支撐。五、標準實施意義與展望5.1實施意義YD/T6412-2025的發布實施，對我國移動互聯網未成年人個人信息保護工作具有多方面的重要意義：填補標準空白。本標準是電信和互聯網領域首項專門針對未成年人個人信息保護的技術標準，填補了該領域的標準空白，完善了個人信息保護標準體系，使法律法規的原則性要求落地為可執行的技術規范。提供合規指引。為移動互聯網應用提供者開展未成年人個人信息保護工作提供了明確、可操作的技術指引，有助于企業降低成本、提高合規效率，也有助于統一行業實踐、促進公平競爭。支撐監管執法。為電信主管部門和其他監管部門開展監督檢查、執法認定提供了技術依據和判定標準，有助于提升監管的科學性和精準性。強化權益保障。通過技術手段切實加強對未成年人個人信息的保護力度，有助于降低未成年人個人信息安全風險，保障未成年人合法權益，營造有利于未成年人健康成長的網絡環境。5.2未來展望隨著云計算、大數據、人工智能等新一代信息技術的快速發展，未成年人個人信息保護面臨著新的挑戰和機遇。未來需要持續跟進技術演進趨勢，適時開展標準修訂和配套標準制定，進一步完善未成年人個人信息保護技術標準體系。重點方向包括：面向智能推薦、生成式人工智能等新場景的保護技術要求；未成年人個人信息保護的自動化檢測與評估技術標準；未成年人個人信息保護能力成熟度評估模型等。同時，應加強標準的宣貫推廣和國際交流合作，推動我國在未成年人網絡保護領域的實踐經驗和技術方案為國際社會貢獻中國智慧。六、結論YD/T6412-2025《移動互聯網應用未成年人個人信息保護技術要求》的發布實施，是我國未成年人個人信息保護標準化工作的重要里程碑。該標準以法律法規為依據，以技術實現為路徑，以未成年人權益保障為核心目標，構建了覆蓋未成年人個人信息全生命周期處理活動的技術規范體系。標準既充分考慮了中國移動互聯網產業的發展實際，又積極借鑒了國際先進經驗，體現了科學性、前瞻性和可操作性的有機統一。展望未來