APP信息保护合规审核

原则：收集个人信息要公开透明的原则
协议–权限–行为–保障

用户信息收集、使用规则拨测

• “收集、使用个人信息”的公示情况：（单独成文、显著标示、主动授权、易读性）
• “收集、使用个人信息”的目的方式内容的明示情况：（完整度、合理性、霸王条款、超范围约定）
• 功能与声明的“收集、使用个人信息”内容是否一致：（明示程度、超范围收集动作）
• “个人信息安全保护措施和能力”（数据加密、访问控制、恶意代码规范）

应用敏感权限过度申请拨测

• APP所使用的SDK目标API级别（一揽子强制授权、规避安全机制）
• APP所申请敏感权限授权方式及对应功能（敏感权限过度申请、个人信息违规收集）
• 用户申诉渠道和反馈机制：（投诉渠道、申诉结果）
• 用户权利保障机制：（个性化推荐退订、用户信息查询删除、账户注销、授权撤回）

APP侵权行为

APP信息保护合规审核判定规则细读

一、以下行为可被认定为“未公开收集使用规则”

1. 在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则；
2. 在App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策等收集使用规则；
3. 隐私政策等收集使用规则难以访问，如进入App主界面后，需多于4次点击等操作才能访问到
   APP提供的隐私政策应方便用户查找、阅读
   以下认定为违规：
   1. 应用内未提供隐私政策，通过官网、客服咨询才能查看到隐私政策
   2. 隐私政策访问路径设置过深，多余4次点击操作访问到
      

      例：

      通过，“我的–设置–关于我们–协议条款–隐私政策”

      不通过，“我的–设置–关于我们–帮助–协议条款–隐私政策”

   3. 仅首次运行时，通过弹窗的方式提供了隐私政策，进入应用后无法再次查看
   4. 注册登录后在应用内找不到隐私政策
4. 隐私政策等收集使用规则难以阅读，如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。

PS. 隐私政策中应包含哪些内容

1. 个人信息控制着的基本信息：主体信息（全称）、联系方式。
2. 各业务功能收集个人信息的目录、方式、范围。
3. 是否涉及个人信息数据出境、个人信息存储期限、超期处理方式。
4. 对外共享、转让、公开披露个人信息的目的、方式、范围。
5. 查询、更正、删除个人信息、撤回授权信息、注销账号的方式等。
6. 个人信息的安全保障能力。【个人信息传输过程中要加密处理】
7. 提供个人信息后可能存在的安全风险，及不提供个人信息可能产生的影响。
8. 处理个人信息主体询问、投诉的渠道和机制，注意承诺期限不应超过15个工作日。

二、以下行为可被认定为“未明示收集使用个人信息的目的、方式和范围”

1. 未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等；
   以下认定为违规：

   1. 未完整列出收集个人信息的类型、目的
   2. 未逐一说明申请电话、存储、通讯录、短信、位置、日历、相机、麦克风等权限的目的
   3. 存在第三方SDK收集使用个人信息的行为，但未在隐私政策中明确告知

2. 收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读等；

3. 在申请打开可收集个人信息的权限，或申请收集用户身份证号、银行账号、行踪轨迹等个人敏感信息时，未同步告知用户其目的，或者目的不明确、难以理解；
   【主动申请权限、收集个人敏感信息时未同步告知目的：APP主动申请权限、收集个人敏感信息时应同步告知目的、收集使用规则】
   以下认定为违规：

   1. APP在主动申请电话、存储、相机、麦克风、通讯录、短信、日历、位置等敏感权限之前或拒绝之后未明确告知目的
   2. 申请敏感权限时虽同步告知目的，但告知目的不明确
   3. 在收集个人身份证、个人声明信息的界面未同步告知收集该类个人信息的目的、使用规则等

   示例：
   
   

4. 有关收集使用规则的内容晦涩难懂、冗长繁琐，用户难以理解，如使用大量专业术语等。

三、以下行为可被认定为“未经用户同意收集使用个人信息”

1. 征得用户同意前就开始收集个人信息或打开可收集个人信息的权限

   【反例如：配置第三方SDK不规范，一打开应用第三方SDK就去读取 / 授权请求个人信息 --整改–》把第三方SDK的初始化放到同意隐私政策之后】

   【APP首次启动时，应通过明显方式提醒用户阅读隐私政策，并在授权同意前不应有任何收集个人信息或申请开启权限的行为】
   以下认定为违规：

   1. 在用户授权同意隐私政策前申请开启权限
   2. 用户授权同意隐私政策前，收集用户个人信息
   3. 用户阅读隐私政策的过程中已经开始收集个人信息

   反例：
   

   

2. 用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用
   以下认定为违规：

   1. 启动时，不给权限APP弹窗循环
   2. 运行时APP弹窗循环
   3. 重新运行时频繁申请权限
      反例：
      1. 拒绝权限后再次切回到这个页面的时候还会弹出权限弹窗（再次拒绝，再次切回到这个页面还会弹）
      2. 或者：杀掉进程再次进入还会弹窗的

3. 实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围

4. 以默认选择同意隐私政策等非明示方式征求用户同意【可改成不同意隐私政策就退出APP】
   以下认定为违规：

   1. 启动弹窗仅提供了“好的”“我知道”等选项，未提供不同意选项
   2. 注册界面、登录界面等征求同意的环节存在默认同意的行为
      反例：
      

5. 未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态

6. 利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项
   以下认定为违规：

   1. 隐私政策中明确说明存在个性化推送功能，但应用中未提供个性化功能（单独关闭不算，必须是一次性关闭）
      例子：
      

7. 以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的

8. 未向用户提供撤回同意收集个人信息的途径、方式

9. 违反其所声明的收集使用规则，收集使用个人信息。

四、以下行为可被认定为“违反必要原则，收集与其提供的服务无关的个人信息”

1. 收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；
   以下认定为违规：
   1. 未提供业务对应的功能，仍申请敏感权限
   2. 未使用权限对应的功能时，提前开启权限
      反例：
      
2. 因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；
   以下认定为违规：
   1. 启动时，不给权限不让用【指的非必要权限，如：一键登录功能需要imei和MAC地址作为唯一标识符，需要imei号需要申请电话权限。拒绝后如何避免违规行为：不拿imei号，只拿MAC】
   2. 运行时，不给权限不让用
3. App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；
4. 收集个人信息的频度等超出业务功能实际需要；
   以下认定为违规：
   1. 隐私政策未告知、也未经用户授权同意
   2. 隐私政策中未说明第三方SDK收集通讯录、短信、通话记录的目的，也未经用户授权同意
   3. 运行过程中，切换功能界面或每点击一次某功能时，频繁上传设备信息、位置信息等
   4. 运行过程中，切换功能界面或每点击一次某功能时，第三方SDK频繁上传设备信息、位置信息等
   5. 静置在某个功能界面，存在按照一定规律频繁收集个人信息的行为
   6. 静默或后台运行时超范围收集
   7. SDK静默后台超频次收集
5. 仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；
6. 要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

五、以下行为可被认定为“未经同意向他人提供个人信息”

1. 既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；
2. 既未经用户同意，也未做匿名化处理，数据传输至App后台服务器后，向第三方提供其收集的个人信息；【这个一般检测不到，但自身要做好】
3. App接入第三方应用，未经用户同意，向第三方应用提供个人信息。
   【未经用户授权同意将个人信息共享给第三方SDK、小程序等】
   以下认定为违规：
   1. 隐私政策中未告知用户对外提供、转让个人信息的目的、类型及接收方身份，且数据未经处理即通过客户端或嵌入的SDK等代码、插件将个人信息提供给了第三方
   2. 隐私政策中明确告知第三方SDK收集个人信息的目的和范围，但在用户授权同意隐私政策前将个人信息提供给了第三方
   3. 隐私政策中未告知用户个人信息出境情形，存在将数据传输至境外
   4. 未告知也未经用户同意，将个人信息直接提供给接入的小程序、公众号、服务应用等第三方主体

六、以下行为可被认定为“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息”

1. 未提供有效的更正、删除个人信息及注销用户账号功能
   以下认定为违规：
   1. APP未提供注销账号的功能
   2. APP提供的注销功能不可用
2. 为更正、删除个人信息或注销用户账号设置不必要或不合理条件
   原则：不能提供多余注册时提供的信息，要注销方便便捷
   以下认定为违规：
   1. 注销需核验身份信息，重新提供的个人信息不应多于注册、使用等服务环节收集的个人信息
      注销时，要求用户提供手持身份证正反面照片，更正个人信息时要求提供人脸认证信息等个人敏感信息
   2. 不应要求用户填写精准的历史操作记录作为必要注销条件
   3. 不应仅提示存在积分、参与活动、授权登陆解绑等影响权利行使的问题，而不提供解决具体问题的通道
   4. 设置注销单个账户视同多个产品或服务的应当在注销前向用户进行详细说明
3. 虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户相应操作，需人工处理的，未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理
   【注销账号需人工审核处理】
   以下认定为违规：
   1. 虽提供了更正、删除个人信息及注销用户账号功能，但未及时响应用户响应操作，需人工处理的，未在承诺时限内（承诺时限不超过15个工作日，无承诺时限的，以15个工作日为限）完成稽查和处理
4. 更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的
5. 未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的。
   以下认定为违规：
   1. 未提供任何投诉、反馈的渠道
   2. 虽提供了相关渠道，但渠道不可用，无人响应、无回复等
   3. 提供的相关渠道未在规定期限内响应用户请求、完成处理、承诺期限超过15个工作日

七、未保障用户个人信息安全及权益

1. 传输和存储个人敏感信息时未采取加密等安全措施
   以下认定为违规：
   1. 明文传输用户身份证、账号密码等个人敏感信息
2. 欺骗误导用户下载APP
   以下认定为违规：
   1. 广告页面、开屏广告、主屏等功能页面无APP下载提示
   2. 广告页面、开屏广告、主屏等功能页面以“是否立即开始游戏”、“领取红包”等方式欺骗误导
   3. 用户自动下载非用户所自愿下载APP
   4. 广告页面、开屏广告、主屏等功能页面推广的应用与宣传不符

问答

1. 频繁弹窗的判定：超过3次（包含3次）就算频繁弹窗
2. 没有的功能，在隐私政策中不能多写
3. 首页商品个性化显示，算个性化推送
4. 短信推送、根据用户浏览习惯推送感兴趣的内容，都算个性化推送
5. 提供用户信息修改次数可以限制次数，但不能没有这个功能
6. 接入的广告归类于推广广告，因为不是基于用户喜好的就不是个性化推送
7. 某一功能需要某一权限，每次用这个功能都弹出授权弹窗，不属于频繁弹窗

相关链接：

• 关于印发《App违法违规收集使用个人信息行为认定方法》的通知（2019.12.30）http://www.cac.gov.cn/2019-12/27/c_1578986455686625.htm
• 关于印发《常见类型移动互联网应用程序必要个人信息范围规定》的通知（2021.03.22）http://www.cac.gov.cn/2021-03/22/c_1617990997054277.htm
• 工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知（2020.07.22） http://www.gov.cn/zhengce/zhengceku/2020-08/02/content_5531975.htm
• 厦门市互联网统一备案监管平台 http://ga.xm.gov.cn/wa/login
• 检测网站：
  • 应用宝
  • 全国APP技术检测平台（APP公共服务系统）https://app.caict.ac.cn/#/login?redirect=%2Fsystem%2Fdetection

开发者自检

原文

排查弹出隐私条款前是否有上报敏感信息

1. 安装俩app

   1. 使用 VirtualXposed 在手机上安装一下虚拟系统
   2. 再安装 HookLoginDemo

2. 安装自己的app

3. 打开VirtualXposed进行操作并记录日志

   1. “添加应用”》选中HookLoginDemo和自己的app

      

   2. 打开Xposed的“设置”页面，选择“模块管理”，勾选HookLogin，退出到“设置”页面点“重启”

      

   3. 退出“设置”页面，向上滑动（应用页面）点击 HookLogin 进行启动，启动完毕退到后台。还是这个 Xposed的应用页面点击自己的app进行启动

      

   4. 查看日志：“设置”》“模块管理”》左上角按钮，日志

      如果保存到文件，本地日志路径/storage/emulated/0/Android/data/de.robv.android.xposed.installer/files/xposed_error_xxx.log

      

App信息保护合规审核（个人信息保护政策）相关推荐

1. App个人信息保护合规十大常见问题及处置策略

   近年来,移动互联网应用程序(App)得到广泛应用,同时App存在的强制索权.过度收集个人信息等问题,给用户个人信息安全带来严重隐患.7月30日,中国电子技术标准化研究院在"新一代信息技术产业 ...

2. 个人信息保护合规建设桔皮书

   声明 本文是学习个人信息保护合规建设桔皮书. 下载地址而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们 个人信息保护建设思考 识别监管要求聚焦安全保护重点 1. 个人信息处理原则合 ...

3. Umeng App监管执法合规自查通知

   近期观察到不少APP的「关于」或者「设置」模块里面多了很多内容,例如:[隐私政策].[用户服务条款].[儿童信息保护].[个人信息收集清单].[应用权限说明].[第三方信息数据共享].[账号注销]等内 ...

4. 顶象端加固保障App安全与合规

   随着数字化的普及,各类App的功能愈加丰富,相关的风险事件和违规现象也越来越多.监管部门对保障App用户合法权益非常重视,自2019年来,联合开展App专项整治工作,与App治理相关的法律文件也相继出 ...

5. 超全整理｜《App/小程序合规指南》

   7月22日,中央网信办.工业和信息化部.公安部.国家市场监管总局四部门在京召开会议,启动2020年App违法违规收集使用个人信息治理工作.会议强调,2020年治理工作将在去年基础上,进一步加大整治工作 ...

6. 如何准备HIPAA合规审核

   如何准备HIPAA合规审核 HIPAA合规审核 如果您的公司在1996年健康保险携带性和责任法案(HIPAA)的规定之下运作,您将定期进行审核.这些都是很严肃的事情,不要轻视.2014年,民政事务局概 ...

7. App监管执法合规自查通知

   App监管执法合规自查通知 1.升级友盟+SDK到最新版本 2.在隐私政策中向用户告知使用友盟SDK 3.延迟配置 友盟SDK地址 问题1 项目中支持的分享SDK是6.9.4的,之前采取的是手动将ja ...

8. 信息安全等级合规测评

   合规,简而言之就是要符合法律.法规.政策及相关规则.标准的约定.在信息安全领域内,等级保护.分级保护.塞班斯法案.计算机安全产品销售许可.密码管理等,是典型的合规性要求. 信息安全合规测评是国家强制要 ...

9. 世平信息数据安全合规检测实践论文入选中文核心期刊

   近日,由世平信息CEO助理张翠博士与高级副总裁张亮联合撰写的<数据安全法与数据安全合规检测最佳实践>通过行业资深专家评审和推荐,作为优秀论文在中文核心期刊.中国科技核心期刊--<计算 ...

最新文章

1. 1118 实验三 有限自动机的构造与识别
2. C#生成二维码（含解码）
3. 手把手教你制作好看实用的可视化驾驶舱
4. 万字长文 ｜ 淘宝 10年架构演进
5. 文本分类模型_多标签文本分类、情感倾向分析、文本实体抽取模型如何定制？...
6. c语言 进程调度 短作业,帮忙编写一个操作系统中进程调度的短作业优先算发的程序,感谢!该怎么解决...
7. 【路由器】Breed 介绍、刷入和使用
8. python出入库_基于Python对Excel数据入库的处理
9. ncbi查找目的基因序列_如何用NCBI和uniprot数据库查找目的蛋白的氨基酸序列或目的基因的碱基序列...
10. 2021腾讯前端笔试实习生
11. 2020计算机保研经历（南航、南理工、重大、北交、华科）
12. dell灵越笔记本后盖怎么拆_如何拆卸Dell Inspiron 15 5570笔记本电脑并安装M.2 SSD
13. Python使用cairosvg将SVG转PNG设置dpi无效
14. 2020-03-03学习日结
15. 联通数据采集交换平台BDE的配置
16. 表格查询（去除重复数据）
17. 漫威超级争霸战怎么用电脑玩 漫威超级争霸战模拟器教程
18. pdo mysql 教程_PDO入门教程
19. 【oracle】oracle创建表、创建索引、创建自增id
20. 抖音电商主播考核绩效直播运营KPI方案

热门文章

1. [USACO3.2]香甜的黄油 Sweet Butter
2. 【软件相关】如何用PS调整图片的亮度
3. 初级前端如何突破瓶颈（瓶颈期怎么办）
4. OPPOR9PlusmA 官方原厂售后线刷包救砖包解账户锁屏幕锁
5. flutter图片资源管理
6. 【Linux C】简易群聊 聊天室1.0
7. 处女座与复读机(dp)
8. 金蝶云星空与四化智造MES（API）对接集成逐个单据查询打通新增职员
9. WMS、MES与ERP的集成案例分享(连载一：系统端的智能集成)
10. JMeter从入门到精通