本文来源：信息安全研究中心
近年来，移动互联网应用程序（App）得到广泛应用，同时App存在的强制索权、过度收集个人信息等问题，给用户个人信息安全带来严重隐患。7月30日，中国电子技术标准化研究院在“新一代信息技术产业标准化论坛”上正式发布上线了“个人信息保护合规评估工具”（PC端访问网址：zcpt.cesidsat.com，移动端访问网址：zcpt.cesidsat.com/mobile/index）。该工具依据个人信息保护相关法律法规和标准的要求设计，为企业免费提供App隐私条款评估、个人信息保护合规问题自查等在线自评服务，旨在帮助企业提高App个人信息保护水平。
根据评估数据统计，总结提炼出当前App个人信息保护合规十大常见问题以及相应的处置策略，以便于App企业了解和重视相关问题，从而更有针对性地进行改进和完善。
一、十大常见问题及处置策略
问题1：权限申请目的不明
情形一：未告知申请目的。App申请系统权限时未说明权限的申请目的，例如仅通过操作系统弹窗向用户申请系统权限，未通过App额外弹窗提示或在系统弹窗中编辑目的等方式，告知用户权限申请目的。
情形二：目的告知不明确。例如将目的描述为“需要您开启存储权限，以保证存储相关功能的正常使用”，未说明具体明确的权限申请目的。
处置策略：Android版App可在系统弹窗前或用户拒绝权限后，通过App弹窗说明系统权限具体明确的申请目的；iOS版App可在系统弹窗中编辑具体明确的申请目的。
问题2：超范围收集
情形一：强制收集非必要信息。首先，App存在强制收集情况（网民通常所反映的“不给就不能用”），即用户在打开App后或当使用到某项功能时，必须提供特定的个人信息/系统权限，否则无法正常进入App或无法正常使用该功能；其次，App所强制收集的个人信息/系统权限并非其正常运行或实现相关功能所必需。例如在线视频App强制索要位置权限，用户拒绝提供位置权限则无法使用App任何功能。
情形二：过度收集无关信息。部分所收集个人信息与App功能不相关，即不收集该个人信息，App也能够正常实现相应的功能。例如浏览器App申请短信权限。
处置策略：原则上应杜绝强制收集行为，如果确因业务所需不得不收集，应充分具体地说明其必要性，并征得用户同意；不向用户索取与所提供功能无关的个人信息/系统权限（即使用户可选择拒绝）。
问题3：无法注销账号或设置不合理条件
情形一：无法注销或注销机制无效。例如：未提供注销功能；邮件、客服提交注销申请后迟迟未完成注销；注销成功后，未对其个人信息进行删除或匿名化处理等。
情形二：设置不合理注销条件。例如：提供手持身份证照片；绑定银行卡；提供写有“当天日期、账号名、我自愿注销XX账号”字条的正脸照片等。
处置策略：提供便捷的在线注销功能，不设置不合理的注销条件，注销成功后对其个人信息进行删除或匿名化处理。
问题4：捆绑授权
情形一：必须同意开启App申请的所有权限，否则无法安装。在用户安装App时，以捆绑打包形式申请其向操作系统声明的所有权限，用户不同意则无法安装，安装完成后申请的所有权限默认打开（Android版App设置targetSdkVersion小于23所致）。
情形二：必须同意开启所有功能，否则无法使用。仅以提供附加功能、个性化服务、提升用户体验等为由收集某些个人信息/系统权限（此类信息并非实现App基本功能所必要），同时将该类信息与实现App基本功能所必要的信息相捆绑，要求用户一并同意，用户不同意则无法使用App基本功能或所有功能。
处置策略：Android版App设置targetSdkVersion值不小于23。区分App基本功能与附加功能，对于仅为实现附加功能、个性化服务、提升用户体验，同时又并非App实现基本功能所必要的个人信息，可单独征得用户同意，并保障用户可拒绝的权利。用户拒绝此类信息后不影响其正常使用App基本功能。
问题5：无隐私政策
未制定或未在App中公开隐私政策。例如App界面中无法找到隐私政策，隐私政策链接无效或文本不能正常显示，隐私政策未告知收集使用个人信息规则等。
处置策略：制定单独隐私政策，公开所收集个人信息的类型、收集目的、使用规则等，确保隐私政策链接正常有效。
问题6：默认勾选同意
App存在默认勾选同意、诱导用户略过隐私政策的情况。例如App在注册/登录界面下方“我已阅读并同意服务许可协议及隐私政策”前的勾选框中提前替用户打钩，或以缩小字号、减淡颜色等方式诱导用户略过隐私政策链接。
处置策略：为用户提供主动选择同意、或显著提醒用户阅读后同意隐私政策的选项，对于通过勾选框形式征得同意的，不默认勾选同意。
问题7：频繁索权
对于用户可选提供的系统权限，在用户拒绝后，每当其重新打开App或进入相应界面，都会再次向用户索要或以弹窗等形式提示用户缺少相关权限，干扰用户正常使用，属于一种变相的强制索权。
处置策略：对于非必要系统权限，首先应确保其与所提供业务功能相关，其次把握申请时机和频率，避免频繁申请干扰正常使用。除非该系统权限是用户主动触发的功能所必要，否则不应频繁向用户提示。
问题8：隐私政策内容与实际不符
隐私政策所声明收集的个人信息/系统权限以及提供的业务功能等，与实际情况不一致，存在隐瞒、冗余、偏差、错误或内容不属实等问题。包括：实际收集个人信息超出隐私政策所述范围，即未完整告知所收集个人信息类型以及用于实现的功能或目的；实际收集个人信息少于隐私政策所述范围，即声明了实际并未收集的个人信息或实际并未提供的功能；以及隐私政策所述与实际情况存在明显偏差、错误，甚至出现大篇幅抄袭现象等。
处置策略：从App实际收集使用个人信息的情况出发，告知所收集的所有个人信息，以及每项个人信息所用于实现的功能或目的，保证隐私政策的真实、准确、完整性。
问题9：隐瞒第三方SDK收集行为
App嵌入了收集用户个人信息的第三方SDK，但未通过隐私政策或其他显著方式向用户明示第三方SDK的个人信息收集行为。
处置策略：对嵌入的收集用户个人信息的第三方SDK进行披露，告知第三方SDK所收集的个人信息类型、收集目的与用途。
问题10：未充分明示个人敏感信息使用规则
收集身份证号码、银行卡号、生物特征识别信息等个人敏感信息时，未以显著方式同步告知收集目的、使用规则、安全保护措施等。如App收集人脸信息前未展示单独协议或进行显著特殊说明，在用户点击“继续”后，App在无任何提示的情况下便开始采集用户的人脸信息。
处置策略：在收集个人敏感信息时，建议以弹窗、文字备注、单独协议征得同意等显著方式，同步告知个人敏感信息的收集目的、使用规则、安全保护措施等。
二、工具主要功能介绍
个人信息保护合规评估工具主要提供两项免费在线自评服务，分别为隐私条款评估服务与个人信息保护合规问题自查服务。
图1 自查评估服务选择页面
隐私条款评估服务涉及7大类评估项。企业可针对App隐私条款进行评估，找到隐私条款在收集、保存、使用、对外提供等方面及相关实现机制存在的不足。
图2 隐私条款评估结果示例
个人信息保护合规问题自查服务涉及5类典型问题。企业可针对App进行自查，发现App在告知同意、收集必要性、用户权利保障等方面存在的合规问题。
图3 个人信息保护合规问题自查结果示例
PC端访问网址：zcpt.cesidsat.com
移动端访问网址：zcpt.cesidsat.com/mobile/index
原文地址：http://www.cesi.cn/201910/5697.html