ICS 33.030 YD CCS M21 中华人民共和国通信行业标准 YD/T 4177.9—2024 移动互联网应用程序（APP） 收集使用个人信息最小必要评估规范 第9部分：录音信息 Application software user personal information collection and usage minimization and necessity evaluation specification Part9: Audio information 2024-12-10 发布 2025-04-01实施 中华人民共和国工业和信息化部 发布 YD/T 4177.9—2024 目 次 前言 I 引言 III 1范围. 2 规范性引用文件 3术语和定义. 4 基本原则..…. 信息分类.. 5 6 典型场景 6..1录音类.. 6.2 声效处理类 6.3 语音识别类（非声纹识别) 6.4声纹识别类.. 最小必要处理活动.. 7.1 APP不同场景下处理录音信息的最小必要要求 7.2 权限要求. 7.3 告知同意要求 7.4 收集要求.. 7.5 存储要求. 7.6 使用、加工要求 7.7 提供要求... 7.8 公开要求..… 4 7.9 删除要求... 7.10 委托处理要求 8 评估流程和方法. 8.1 评估流程 8.2 评估方法. YD/T 4177.9—2024 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件是YD/T4177《移动互联网应用程序（APP）收集使用个人信息最小必要评估规范》的第9 部分。YD/T4177已经发布了以下部分： 一第1部分：总则； 一第2部分：位置信息； —一第3部分：图片信息； 一第5部分：设备信息； 一第8部分：录像信息； 一第10部分：通话记录； 一第11部分：短信信息。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、北京小桔科技有限公司、OPPO广东移动通信有限公司、 华为技术有限公司、北京奇虎科技有限公司、高通无线通信技术（中国）有限公司、北京字节跳动科技 有限公司、北京三星通信技术研究有限公司、深圳荣耀智能机器有限公司、北京快手科技有限公司。 本文件主要起草人：张娜、王艳红、李腾、杨明慧、宁华、常新苗、刘陶、武林娜、付艳艳、杜云、 毛欣怡、王江胜、衣强、姚一楠、王宇晓、苏翔、杨骁涵、吴越、赵晓娜、落红卫、刘林汶、游苏英、 安潇羽、宋恺、卜英华。 II YD/T 4177.9—2024 引言 随着移动通信技术的快速发展，移动互联网应用正逐渐渗透到人们生活、工作的各个领域，个人信 息安全问题成各方关注的重点。越来越多移动应用软件利用录音功能进行语音识别或进行实现场景体验。 录音信息作为个人信息主体个人信息的重要部分，目前行业中尚未有从APP收集使用录音信息必 要性出发的最小化评估规范，缺乏统一的标准。基于上述考虑，提出本文件，旨在对移动互联网行业收 集使用个人信息主体录音信息进行规范，落实最小、必要的原则，进一步促进移动互联网行业的健康稳 定发展。 本文是APP收集使用个人信息最小必要评估规范系列标准中的录音信息部分，旨在对移动互联网 行业收集处理用户录音信息进行规范，落实最小必要原则，进一步促进移动互联网行业的健康稳定发展。 YD/T4177拟由16个部分构成： 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第1部分：总则； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第2部分：位置信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第3部分：图片信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第4部分：终端通讯录； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第5部分：设备信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第6部分：软件列表； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第7部分：人脸信息； 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第8部分：录像信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第9部分：录音信息； 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第10部分：通话记录； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第11部分：短信信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第12部分：好友列表； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第13部分：传感器信息： 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第14部分：应用日志信息； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第15部分：身份信息； 一一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第16部分：剪切板信息。 ⅢI YD/T4177.9—2024 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范 第9部分：录音信息 1范围 本文件规定了移动互联网应用程序对录音信息的收集、使用、存储、删除等活动中的最小必要规范 和评估方法，并通过个人信息处理活动中的典型应用场景来说明如何落实最小必要原则。 本文件适用于移动互联网应用程序提供者规范用户个人信息中的录音信息的处理活动，也适用于主 管监管部门、第三方评估机构等组织对移动互联网应用程序收集录音信息行为进行监督、管理和评估。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T35273一2020信息安全技术个人信息安全规范 JR/T0164一2018移动金融基于声纹识别的安全应用技术规范 YD/T4177.1一2022移动互联网应用程序（APP)收集使用个人信息最小必要评估规范第1部分： 总则 3术语和定义 GB/T35273一2020和YD/T4177.1一2022界定的以及下列术语和定义适用于本文件。 3.1 录音信息audio information 通过音频采集设备录制的直接含有自然人个人信息或者能够反映自然人活动情况的音频信息。 3.2 声纹voiceprint 对语音中所蕴含的、能表征和标识说话人的语音特征，以及基于这些特征（参数）所建立的语音模 型的总称。 YD/T4177.9—2024 3.3 声纹识别voiceprintrecognition 根据待识别语音的声纹特征识别该段语音所对应的说话人的过程。 3.4 声纹特征voiceprintfeature 从说话人的语音中所提取出来的、可以表征该说话人语音的个性特征的参数。 注：常用的特征参数包括频谱（spectrum）、倒频谱（cepstrum）、线性预测系数（LPC）、音高（pitch）、声调（tone）、 共振峰（formant）、音质（voicequality）、声韵（prosody）、习语（phoneme/wordidiolect）等各种层次的信息。 [来源：JR/T0164—2018，3.3] 4基本原则 APP进行录音信息处理时应遵循以下最小必要原则，即处理个人信息应当具有明确、合理的目的 并应当限于实现处理目的的最小范围，不得进行与处理目的无关的个人信息处理。 5信息分类 录音信息需要通过手机等APP终端的麦克风进行采集、而后由编码器进行编码得以生成，根据录 音信息生成的阶段不同，可以将之分为以下3类： 一录音基本信息：通过手机等APP终端的麦克风采集的物理声源经过编码后生成的二进制数据； 一语音内容信息：通过手机等APP终端的麦克风采集的，从人的发音器官发出的表示一定意义 的声音经过编码后生成的二进制数据，即从录音基本信息提取出的内容信息； 一一录音衍生信息：对录音基本信息、语音录音信息进行加工、分析、融合而生成的其他类型或形 式的个人信息。如声纹信息，通过录音基本信息、语音内容信息识别出的用户的年龄、性别、 口音、情感、健康信息等。 6典型场景 6.1录音类 无需对录音信息的内容进行识别、分析、加工，仅需通过对录音信息的收集、传输、存储即可达到 处理目的场景，如录音、云盘、语音通讯、语音留言等场景。 6.2声效处理类 无需对录音信息中的个人信息进行识别、分析、加工，以提升声音质量、改变声效为处理目的的场 景。如声效优化、变音、语音合成等场景。 2 YD/T4177.92024 6.3语音识别类（非声纹识别） 将语音样本未用于识别数据主体身份的场景，如语音唤醒、智能语音系统交互、语音翻译、歌曲识 别、根据语音样本识别数据主体的年龄、性别、口音、情感、健康信息，网约车类APP为了保障司机 乘客安全、处理司机乘客纠纷的目的，收集、存储车内录音信息等。 6.4声纹识别类 根据待识别语音的声纹特征识别该段语音所对应的说话人的场景，包括声纹辨认，即给定一段语音 和一组候选说话人的声纹模型，判断该段语音是哪位说话人所说的声纹识别方式；声纹确认，给定一段 只含一名说话人的语音和一个说话人的声纹模型，判断该段语音是否是该说话人所说的声纹识别方式。 7最小必要处理活动 7.1APP不同场景下处理录音信息的最小必要要求 APP不同场景下处理录音信