App个人信息保护合规十大常见问题及处置策略

本文来源:信息安全研究中心

近年来,移动互联网应用程序(App)得到广泛应用,同时App存在的强制索权、过度收集个人信息等问题,给用户个人信息安全带来严重隐患。7月30日,中国电子技术标准化研究院在“新一代信息技术产业标准化论坛”上正式发布上线了“个人信息保护合规评估工具”(PC端访问网址:zcpt.cesidsat.com,移动端访问网址:zcpt.cesidsat.com/mobile/index)。该工具依据个人信息保护相关法律法规和标准的要求设计,为企业免费提供App隐私条款评估、个人信息保护合规问题自查等在线自评服务,旨在帮助企业提高App个人信息保护水平。

根据评估数据统计,总结提炼出当前App个人信息保护合规十大常见问题以及相应的处置策略,以便于App企业了解和重视相关问题,从而更有针对性地进行改进和完善。

一、十大常见问题及处置策略

问题1:权限申请目的不明

情形一:未告知申请目的。App申请系统权限时未说明权限的申请目的,例如仅通过操作系统弹窗向用户申请系统权限,未通过App额外弹窗提示或在系统弹窗中编辑目的等方式,告知用户权限申请目的。

情形二:目的告知不明确。例如将目的描述为“需要您开启存储权限,以保证存储相关功能的正常使用”,未说明具体明确的权限申请目的。

处置策略:Android版App可在系统弹窗前或用户拒绝权限后,通过App弹窗说明系统权限具体明确的申请目的;iOS版App可在系统弹窗中编辑具体明确的申请目的。

问题2:超范围收集

情形一:强制收集非必要信息。首先,App存在强制收集情况(网民通常所反映的“不给就不能用”),即用户在打开App后或当使用到某项功能时,必须提供特定的个人信息/系统权限,否则无法正常进入App或无法正常使用该功能;其次,App所强制收集的个人信息/系统权限并非其正常运行或实现相关功能所必需。例如在线视频App强制索要位置权限,用户拒绝提供位置权限则无法使用App任何功能。

情形二:过度收集无关信息。部分所收集个人信息与App功能不相关,即不收集该个人信息,App也能够正常实现相应的功能。例如浏览器App申请短信权限。

处置策略:原则上应杜绝强制收集行为,如果确因业务所需不得不收集,应充分具体地说明其必要性,并征得用户同意;不向用户索取与所提供功能无关的个人信息/系统权限(即使用户可选择拒绝)。

问题3:无法注销账号或设置不合理条件

情形一:无法注销或注销机制无效。例如:未提供注销功能;邮件、客服提交注销申请后迟迟未完成注销;注销成功后,未对其个人信息进行删除或匿名化处理等。

情形二:设置不合理注销条件。例如:提供手持身份证照片;绑定银行卡;提供写有“当天日期、账号名、我自愿注销XX账号”字条的正脸照片等。

处置策略:提供便捷的在线注销功能,不设置不合理的注销条件,注销成功后对其个人信息进行删除或匿名化处理。

问题4:捆绑授权

情形一:必须同意开启App申请的所有权限,否则无法安装。在用户安装App时,以捆绑打包形式申请其向操作系统声明的所有权限,用户不同意则无法安装,安装完成后申请的所有权限默认打开(Android版App设置targetSdkVersion小于23所致)。

情形二:必须同意开启所有功能,否则无法使用。仅以提供附加功能、个性化服务、提升用户体验等为由收集某些个人信息/系统权限(此类信息并非实现App基本功能所必要),同时将该类信息与实现App基本功能所必要的信息相捆绑,要求用户一并同意,用户不同意则无法使用App基本功能或所有功能。

处置策略:Android版App设置targetSdkVersion值不小于23。区分App基本功能与附加功能,对于仅为实现附加功能、个性化服务、提升用户体验,同时又并非App实现基本功能所必要的个人信息,可单独征得用户同意,并保障用户可拒绝的权利。用户拒绝此类信息后不影响其正常使用App基本功能。

问题5:无隐私政策

未制定或未在App中公开隐私政策。例如App界面中无法找到隐私政策,隐私政策链接无效或文本不能正常显示,隐私政策未告知收集使用个人信息规则等。

处置策略:制定单独隐私政策,公开所收集个人信息的类型、收集目的、使用规则等,确保隐私政策链接正常有效。

问题6:默认勾选同意

App存在默认勾选同意、诱导用户略过隐私政策的情况。例如App在注册/登录界面下方“我已阅读并同意服务许可协议及隐私政策”前的勾选框中提前替用户打钩,或以缩小字号、减淡颜色等方式诱导用户略过隐私政策链接。

处置策略:为用户提供主动选择同意、或显著提醒用户阅读后同意隐私政策的选项,对于通过勾选框形式征得同意的,不默认勾选同意。

问题7:频繁索权

对于用户可选提供的系统权限,在用户拒绝后,每当其重新打开App或进入相应界面,都会再次向用户索要或以弹窗等形式提示用户缺少相关权限,干扰用户正常使用,属于一种变相的强制索权。

处置策略:对于非必要系统权限,首先应确保其与所提供业务功能相关,其次把握申请时机和频率,避免频繁申请干扰正常使用。除非该系统权限是用户主动触发的功能所必要,否则不应频繁向用户提示。

问题8:隐私政策内容与实际不符

隐私政策所声明收集的个人信息/系统权限以及提供的业务功能等,与实际情况不一致,存在隐瞒、冗余、偏差、错误或内容不属实等问题。包括:实际收集个人信息超出隐私政策所述范围,即未完整告知所收集个人信息类型以及用于实现的功能或目的;实际收集个人信息少于隐私政策所述范围,即声明了实际并未收集的个人信息或实际并未提供的功能;以及隐私政策所述与实际情况存在明显偏差、错误,甚至出现大篇幅抄袭现象等。

处置策略:从App实际收集使用个人信息的情况出发,告知所收集的所有个人信息,以及每项个人信息所用于实现的功能或目的,保证隐私政策的真实、准确、完整性。

问题9:隐瞒第三方SDK收集行为

App嵌入了收集用户个人信息的第三方SDK,但未通过隐私政策或其他显著方式向用户明示第三方SDK的个人信息收集行为。

处置策略:对嵌入的收集用户个人信息的第三方SDK进行披露,告知第三方SDK所收集的个人信息类型、收集目的与用途。

问题10:未充分明示个人敏感信息使用规则

收集身份证号码、银行卡号、生物特征识别信息等个人敏感信息时,未以显著方式同步告知收集目的、使用规则、安全保护措施等。如App收集人脸信息前未展示单独协议或进行显著特殊说明,在用户点击“继续”后,App在无任何提示的情况下便开始采集用户的人脸信息。

处置策略:在收集个人敏感信息时,建议以弹窗、文字备注、单独协议征得同意等显著方式,同步告知个人敏感信息的收集目的、使用规则、安全保护措施等。

二、工具主要功能介绍

个人信息保护合规评估工具主要提供两项免费在线自评服务,分别为隐私条款评估服务与个人信息保护合规问题自查服务。


图1 自查评估服务选择页面

隐私条款评估服务涉及7大类评估项。企业可针对App隐私条款进行评估,找到隐私条款在收集、保存、使用、对外提供等方面及相关实现机制存在的不足。


图2 隐私条款评估结果示例  

个人信息保护合规问题自查服务涉及5类典型问题。企业可针对App进行自查,发现App在告知同意、收集必要性、用户权利保障等方面存在的合规问题。


图3 个人信息保护合规问题自查结果示例  

PC端访问网址:zcpt.cesidsat.com

移动端访问网址:zcpt.cesidsat.com/mobile/index

原文地址:http://www.cesi.cn/201910/5697.html