飞书 · 与第三方共享个人信息清单

本次飞书《与第三方共享个人信息清单》的更新属于实质性调整，整体方向为扩展和细化共享的个人信息范围。关键变化包括：在设备传感器信息中新增“重力传感器”，在位置信息中明确WLAN接入点包含SSID和BSSID，并删除了设备MAC地址字段。这些调整反映了对《个人信息保护法》第6条“最小必要原则”的进一步落实，同时与《App违法违规收集使用个人信息行为认定方法》中关于“收集个人信息与业务功能直接相关”的要求对齐。在同业中，飞书此次更新处于领先水位，主动细化字段有助于降低合规风险，但需注意新增字段可能触发用户重新同意义务。

1. 附录一 SDK清单 - 第1项（第三方SDK名称：字节跳动SDK）

旧版：涉及个人信息：设备标识符（如AndroidID、OAID）IP 地址，位置信息（如GPS、WLAN接入点、蓝牙和基站）、设备传感器信息（如加速度传感器）

新版：涉及个人信息：设备标识符（如AndroidID、OAID）、IP 地址，位置信息（如GPS、WLAN接入点（如SSID、BSSID）、蓝牙和基站）、设备传感器信息（如加速度传感器、重力传感器）

合规影响

此变更属于实质性变化。首先，新增“重力传感器”扩展了设备传感器信息的收集范围，可能涉及《个人信息保护法》第6条的最小必要原则，需评估该传感器是否为实现SDK功能所必需。其次，明确WLAN接入点包含SSID和BSSID，属于对位置信息的细化，根据《个人信息保护法》第13条，需取得用户单独同意。此外，新增字段可能触发《App违法违规收集使用个人信息行为认定方法》中关于“未经用户同意收集个人信息”的风险。企业需更新隐私政策中的个人信息清单，并确保在首次运行时弹窗告知用户，否则可能面临行政处罚。

借鉴价值

网易类似政策（如游戏SDK清单）可以借鉴此处对WLAN接入点字段的细化表述，例如“WLAN接入点（如SSID、BSSID）”，以明确告知用户收集的具体信息类型。同时，应避免直接复制“重力传感器”等非必要字段，除非能证明其与业务功能直接相关，否则可能违反最小必要原则。

2. 附录一 SDK清单 - 第2项（第三方SDK名称：字节跳动SDK）

旧版：涉及个人信息：设备标识符（如IDFV），设备MAC地址，IP 地址，位置信息（如GPS、WLAN接入点、蓝牙和基站）、设备传感器信息（如加速传感器）

新版：涉及个人信息：设备标识符（如IDFV），IP 地址，位置信息（如GPS、WLAN接入点（如SSID、BSSID）、蓝牙和基站）、设备传感器信息（如加速传感器）

合规影响

此变更删除了“设备MAC地址”字段，属于实质性收紧。根据《个人信息保护法》第6条，删除非必要字段符合最小必要原则，降低了企业合规风险。同时，新增WLAN接入点细化描述（SSID、BSSID）扩展了位置信息范围，需重新评估是否超出必要范围。此外，删除MAC地址可能减少与《关于侵害用户权益行为的APP通报》中“强制收集非必要信息”相关的风险。企业需同步更新隐私政策中的个人信息清单，并确保删除字段后不再收集。

借鉴价值

网易类似政策可以借鉴此处删除MAC地址的做法，主动移除非必要字段以降低合规风险。同时，对于WLAN接入点的细化，建议在隐私政策中明确说明收集目的，例如“用于提供基于位置的服务”，以增强透明度。

3. 附录一 SDK清单 - 第3项（第三方SDK名称：抖音开放平台SDK）

旧版：合作方隐私政策：https://developer.open-douyin.com/platform/micro-app/live/open#/agreement/e52ba847-282f-4a88-983e-cedbaec91855.html?title=%E6%8A%96%E9%9F%B3%E5%BC%80%E6%94%BE%E5%B9%B3%E5%8F%B0SDK%E9%9A%90%E7%AF%87

新版：合作方隐私政策：https://developer.open-douyin.com/platform/micro-app/live/open#/agreement/e52ba847-282f-4a88-983e-cedbaec91855.html?title=%E6%8A%96%E9%9F%B3%E5%BC%80%E6%94%BE%E5%B9%B3%E5%8F%B0SDK%E9%9A%90%E7%AF%87

合规影响

此变更属于形式性调整，仅更新了合作方隐私政策的URL链接。根据《个人信息保护法》第23条，向第三方提供个人信息时，应告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类。更新链接确保用户能够访问最新的隐私政策，属于履行告知义务的体现。但若链接内容未实质变化，则合规影响有限。企业需定期检查链接有效性，避免死链导致告知义务履行不完整。

借鉴价值

网易类似政策（如SDK清单中的合作方链接）应定期检查并更新URL，确保用户可访问。建议在隐私政策中注明“合作方隐私政策可能更新，请以最新版本为准”，并设置自动跳转或定期人工核查机制。

此次更新整体合规启示有三：一是细化个人信息字段有助于满足透明度要求，但需同步评估最小必要性；二是删除非必要字段（如MAC地址）是降低合规风险的积极举措；三是合作方链接更新是形式合规的常见操作，但需确保长期有效。与监管最新口径（如《个人信息保护法》第6条、第23条）高度契合，行业基准定位属于领先水平，头部互联网企业普遍已开始细化字段描述。法务团队接下来30天内需：1）复审所有SDK清单，确保新增字段（如重力传感器）有明确业务目的；2）更新隐私政策中的个人信息收集清单，并评估是否需要弹窗重新获取同意；3）建立合作方隐私政策链接定期核查机制，至少每季度一次。