APP隐私合规介绍和实施⽅案
前⾔：近期咨询app隐私合规的⼈有点多，正好借这个机会把相关内容整理⼀下供⼤家学习参考。
⼀、背景
⽬前，⼤量的移动app在使⽤过程中，涉及个⼈隐私信息和敏感信息。在个⼈信息处理、共享、转让、公开披露过程中，管理流程和技术⼿段不规范造成个⼈信息泄露的安全事件层出不穷。
中央⽹信办、⼯信部、公安部、市场监管总局指导成⽴App违法违规收集使⽤个⼈信息专项治理⼯作组（App专项治理⼯作组），组织开展的App收集使⽤个⼈信息评估⼯作，收到举报信息超过3480条，其中实名举报1040余条，涉及1300余款App。被举报App主要集中在⾦融借贷、社区社交、⽹上购物、短视频与直播、即时通讯等领域。
26%的App没有隐私条款或未在隐私条款中明确收集个⼈信息的⽬的、⽅式、范围；
31%的App在申请打开收集个⼈信息相关权限时，未明确告知⽤户；
20%的App收集与业务功能⽆关的个⼈信息，如⾦融借贷App收集⽤户通信录；
19%的App未经⽤户同意，向他⼈提供设备ID、应⽤程序列表等个⼈信息；
13%的App强制索要与业务功能⽆关的权限，如计算器、⼿电筒App强制要求打开地理位置权限。
从以上数据可以看出，个⼈信息保护还需要技术加强。
好消息的是，APP专项治理⼯作组发布了《App违法违规收集使⽤个⼈信息⾏为认定⽅法》，细化了判定app违法违规使⽤个⼈信息的⽅法。后⾯将以此作为判定，法律法规约束处罚。
⼆、法律法规和其他规范要求《消费者权益保护法》
第⼆⼗九条
经营者收集、使⽤消费者个⼈信息，应当遵循合法、正当、必要的原则，明⽰收集、使⽤信息的⽬的、⽅式和范围，并经消费者同意。经营者收集、使⽤消费者个⼈信息，应当公开其收集、使⽤规则，不得违反法律、法规的规定和双⽅的约定收集、使⽤信息。
经营者及其⼯作⼈员对收集的消费者个⼈信息必须严格保密，不得泄露、出售或者⾮法向他⼈提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防⽌消费者个⼈信息泄露、丢失。在发⽣或者可能发⽣信息泄露、丢失的情况时，应当⽴即采取补救措施。
经营者未经消费者同意或者请求，或者消费者明确表⽰拒绝的，不得向其发送商业性信息。
处罚条款
第五⼗六条第九款
侵害消费者⼈格尊严、侵犯消费者⼈⾝⾃由或者侵害消费者个⼈信息依法得到保护的权利的，除承担相应的民事责任外，其他有关法律、法规对处罚机关和处罚⽅式有规定的，依照法律、法规的规定执⾏；法律、法规未作规定的，由⼯商⾏政管理部门或者其他有关⾏政部门责令改正，可以根据情节单处或者并处警告、没收违法所得、处以违法所得⼀倍以上⼗倍以下的，没有违法所得的，处以五⼗万元以下的；情节严重的，责令停业整顿、吊销营业执照：
《中华⼈民共和国⽹络安全法》
第⼆⼗⼆条第三款
⽹络产品、服务具有收集⽤户信息功能的，其提供者应当向⽤户明⽰并取得同意；涉及⽤户个⼈信息的，还应当遵守本法和有关法律、⾏政法规关于个⼈信息保护的规定。
第三⼗七条
关键信息基础设施的运营者在中华⼈民共和国境内运营中收集和产⽣的个⼈信息和重要数据应当在境内
存储。因业务需要，确需向提供的，应当按照国家⽹信部门会同国务院有关部门制定的办法进⾏安全评估；法律、⾏政法规另有规定的，依照其规定。
第四⼗⼀条
⽹络运营者收集、使⽤个⼈信息，应当遵循合法、正当、必要的原则，公开收集、使⽤规则，明⽰收集、使⽤信息的⽬的、⽅式和范围，并经被收集者同意。
⽹络运营者不得收集与其提供的服务⽆关的个⼈信息，不得违反法律、⾏政法规的规定和双⽅的约定收集、使⽤个⼈信息，并应当依照法律、⾏政法规的规定和与⽤户的约定，处理其保存的个⼈信息。
第四⼗⼆条
⽹络运营者不得泄露、篡改、毁损其收集的个⼈信息；未经被收集者同意，不得向他⼈提供个⼈信息。但是，经过处理⽆法识别特定个⼈且不能复原的除外。
⽹络运营者应当采取技术措施和其他必要措施，确保其收集的个⼈信息安全，防⽌信息泄露、毁损、丢失。在发⽣或者可能发⽣个⼈信息泄露、毁损、丢失的情况时，应当⽴即采取补救措施，按照规定及时告知⽤户并向有关主管部门报告。
第四⼗三条
个⼈发现⽹络运营者违反法律、⾏政法规的规定或者双⽅的约定收集、使⽤其个⼈信息的，有权要求⽹络运营者删除其个⼈信息；发现⽹络运营者收集、存储的其个⼈信息有错误的，有权要求⽹络运营者予以更正。⽹络运营者应当采取措施予以删除或者更正。
第四⼗四条
任何个⼈和组织不得窃取或者以其他⾮法⽅式获取个⼈信息，不得⾮法出售或者⾮法向他⼈提供个⼈信息。
第四⼗五条
依法负有⽹络安全监督管理职责的部门及其⼯作⼈员，必须对在履⾏职责中知悉的个⼈信息、隐私和商业秘密严格保密，不得泄露、出售或者⾮法向他⼈提供。
处罚条款
第六⼗四条
⽹络运营者、⽹络产品或者服务的提供者违反本法第⼆⼗⼆条第三款、第四⼗⼀条⾄第四⼗三条规定，侵害个⼈信息依法得到保护的权利的，由有关主管部门责令改正，可以根据情节单处或者并处警告、没
收违法所得、处违法所得⼀倍以上⼗倍以下，没有违法所得的，处⼀百万元以下，对直接负责的主管⼈员和其他直接责任⼈员处⼀万元以上⼗万元以下；情节严重的，并可以责令暂停相关业务、停业整顿、关闭⽹站、吊销相关业务许可证或者吊销营业执照。
违反本法第四⼗四条规定，窃取或者以其他⾮法⽅式获取、⾮法出售或者⾮法向他⼈提供个⼈信息，尚不构成犯罪的，由公安机关没收违法所得，并处违法所得⼀倍以上⼗倍以下，没有违法所得的，处⼀百万元以下。
网页app
《GB/T-2020-35273 信息安全技术-个⼈信息安全规范》
今年3⽉份刚发布的，详细说明了针对个⼈信息的相关要求。
今年3⽉份刚发布的，详细说明了针对个⼈信息的相关要求。
《App违法违规收集使⽤个⼈信息⾏为认定⽅法》
1）未公开收集使⽤规则
2）未明⽰收集使⽤个⼈信息的⽬的、⽅式和范围
3）未经⽤户同意收集使⽤个⼈信息
4）违反必要原则，收集与其提供的服务⽆关的个⼈信息
5）未经同意向他⼈提供个⼈信息
6）未按法律规定提供删除或更正个⼈信息功能”或“未公布投诉、举报⽅式等信息
三、APP隐私合规怎么做
使⽤《App违法违规收集使⽤个⼈信息⾃评估指南》开展⾃评估。内容如下：
1）、隐私政策⽂本
评估项 1：隐私政策的独⽴性、易读性
评估点评估标准 1. 是否有隐私政策在App界⾯中能够到隐私政策，包括通过弹窗、⽂本链接、常见问题（FAQs）等形式。 2. 隐私政策是否单独成⽂隐私政策以单独成⽂的形式发布，⽽不是作为⽤户协议、⽤户说明等⽂件中的⼀部分存在。 3. 隐私政策是否易于访问进⼊ App 主功能界⾯后，通过 4 次以内的点击，能够访问到隐私政策，且隐私政策链接位置突出、⽆遮挡。 4. 隐私政策是否易于阅读隐私政策⽂本⽂字显⽰⽅式（字号、颜⾊、⾏间距等）不会造成阅读困难。
评估项 2：清晰说明各项业务功能及所收集个⼈信息类型
评估点评估标准 5.是否明⽰收集个⼈信息的业务功能隐私政策中应当将收集个⼈信息的业务功能逐项列举，不应使
⽤“等、例如”字样。注：业务功能是指 App ⾯向个⼈⽤户所提供的⼀类完整的服务，如地图导航、⽹络约车、即时通讯、社区社交、⽹络⽀付、新闻资讯、⽹上购物、短视频、快递配送、餐饮外卖、交通票务等；。 6. 业务功能与所收集个⼈信息类型是否⼀⼀对应隐私政策中对每个业务功能都应说明其所收集的个⼈信息类型，不应出现多个业务功能对应⼀类个⼈信息的情况。 7. 是否明⽰各项业务功能所收集的个⼈信息类型每个业务功能在说明其所收集的个⼈信息类型时，应在隐私政策中逐项列举，不应使⽤“等、例如”等⽅式概括说明。 8. 是否显著标识个⼈敏感信息类型隐私政策应对个⼈敏感信息类型进⾏显著标识（如字体加粗、标星号、下划线、斜体、颜⾊等）。注：个⼈敏感信息包括***件号码、个⼈⽣物识别信息、银⾏账号、通信记录和内容、财产信息、征信信息、⾏踪轨迹、住宿信息、健康⽣理信息、交易信息、14 岁以下（含）未成年⼈的个⼈信息等。（该定义见 GB/T 35273《个⼈信息安全规范》3.2 节）
评估项 3：清晰说明个⼈信息处理规则及⽤户权益保障
评估点评估标准 9.App 运营者的基本情况隐私政策应对 App 运营者基本情况进⾏描述，⾄少包括： 1、公司名称；2、注册地址； 3、个⼈信息保护相关负责⼈联系⽅式。 10. 个⼈信息存储和超期处理⽅式隐
私政策应对个⼈信息存放地域（国内、国外）；存储期限（法律规定范围内最短期限或明确的期限）、超期处理⽅式进⾏明确说明。 11. 个⼈信息的使⽤规则如果 App 运营者将个⼈信息⽤于⽤户画像、个性化展⽰等，隐私政策中应说明其应⽤场景和可能对⽤户产⽣的影响。 12.个⼈信息出境情况如果存在个⼈信息出境情况，隐私政策中应将出境个⼈信息类型逐项列出并显著标识（如字体加粗、标星号、下划线、斜体、颜⾊等）。 13. 个⼈信息安全保护措施和能⼒隐私政策中应对 App 运营者在个⼈信息保护⽅⾯采取的措施和具备的能⼒进⾏说明，如⾝份鉴别、数据加密、访问控制、恶意代码防范、安全审计等。 14.对外共享、转让、公开披露个⼈信息规则如果存在个⼈信息对外共享、转让、公开披露等情况，隐私政策中应明确以下内容： 1、对外共享、转让、公开披露个⼈信息的⽬的； 2、涉及的个⼈信息类型； 3、接收⽅类型或⾝份。
15.⽤户权利保障机制隐私政策中应对以下⽤户操作⽅法提供明确说明： 1、个⼈信息查询； 2、个⼈信息更正； 3、个⼈信息删除； 4、⽤户账户注销； 5、撤回已同意的授权。 16. ⽤户申诉渠道和反馈机制隐私政策中⾄少提供以下⼀种投诉渠道： 1、电⼦邮件； 2、电话； 3、传真； 4、； 5、在线表格。 17.隐私政策时效应明确标识隐私政策发布、⽣效或更新⽇期。 18.隐私政策更新如果发⽣业务功能变更、个⼈信息出境情况变更、使⽤⽬的变更、个⼈信息保护相关负责⼈联络⽅式变更等情形时，隐私政策应进⾏相应修订，并通过电⼦邮件、信函、电话、推送通知等⽅式及时告知⽤户。
时告知⽤户。
评估项 4：不应在隐私政策等⽂件中设置不合理条款
评估点评估标准 19. 隐私政策等⽂件是否存在免责等不合理条款 App 运营者不应在⽤户协议、服务协议、隐私政策等⽂件中出现免除⾃⾝责任、加重⽤户责任、排除⽤户主要权利条款。注：免除⾃⾝责任是指 App 运营者免除其依照法律规定应当负有的强制性法定义务；加重⽤户责任是指 App 运营者要求⽤户在法律规定的义务范围之外承担责任或损失；排除⽤户主要权利是指 App 运营者排除⽤户依照法律规定或者依照合同的性质通常应当享有的主要权利。 2）、App 收集使⽤个⼈信息⾏为
评估项 5：收集个⼈信息应明⽰收集⽬的、⽅式、范围
评估点评估标准 20.是否向⽤户明⽰收集、使⽤个⼈信息的⽬的、⽅式、范围 1、在⽤户安装、注册或⾸次开启 App 时，应主动提醒⽤户阅读隐私政策。。 2、当 App 打开系统权限时（不包括⽤户⾃⾏在系统设置中打开权限的情况），App 应当说明该权限将收集个⼈信息的⽬的。 3、收集个⼈敏感信息时，App 应通过弹窗提⽰等显著⽅式向⽤户明⽰收集、使⽤个⼈信息的⽬的、⽅式、范围。 21.若使⽤ Cookie 及其同类技术收集个⼈信息，是否向⽤户明⽰当使⽤ Cookie 等同类技术（包括脚本、Clickstream、Web 信标、Flash Cookie、内嵌 Web 链接、sdk 等）收集个⼈信息时，应向⽤户明⽰所收集个⼈信息的⽬的、类型。 22.若存在嵌⼊第三⽅代码插件收集个⼈信息的功能，是否向⽤户明⽰如果通过嵌⼊第三⽅代码、插件等⽅式将个⼈信息传输⾄第三⽅服务器，应通过弹窗提⽰等⽅式明确告知⽤户。
评估项 6：收集使⽤个⼈信息应经⽤户⾃主选择同意，不应存在强制捆绑授权⾏为
评估点评估标准 23．收集个⼈信息前是否征得⽤户⾃主选择同意 App 收集个⼈信息前应提供由⽤户主动选择同意或不同意的选项，不同意应仅影响与所拒绝提供个⼈信息相关的业务功能。 24.是否存在将多项业务功能和权限打包，要求⽤户⼀揽⼦接受的情形 1、不应通过捆绑 App 多项业务功能的⽅式，要求⽤户⼀次性接受并授权同意多项业务功能收集个⼈信息的请求。 2、根据⽤户主动填写、点击、勾选等⾃主⾏为，作为产品或服务的业务功能开启或开始收集个⼈信息的条件。
评估项 7：收集个⼈信息应满⾜必要性要求
评估点评估标准 25. 实际收集的个⼈信息类型是否超出隐私政策所述范围各业务功能实际收集的个⼈信息类型应与隐私政策所描述内容⼀致，不应超出隐私政策所述范围。 26. 收集与业务功能有关的⾮必要信息，是否经⽤户⾃主选择同意当 App 运营者收集的个⼈信息超出必要信息范围时，应向⽤户明⽰所收集个⼈信息⽬的并经⽤户⾃主选择同意。注1：必要信息指与基本业务功能直接相关，缺少该信息则基本业务功能⽆法实现的信息。注 2：⾃主选择同意是指个⼈信息主体通过书⾯声明或主动做出肯定性动作，对其个⼈信息进⾏特定处理做出明确授权的⾏为。肯定性动作包括个⼈信息主体主动作出声明（电⼦或纸质形式）、主动勾选、主动点击“同意”“注册”“发送” “拨打”、主动填写或提供等。 27.是否收集与业务功能⽆关的个⼈信息 App 不应收集与业务功能⽆任何关系的个⼈信息。 28. 是否在⽤户明确拒绝后
继续索要权限、打扰⽤户对于⽤户明确拒绝使⽤、关闭或退出的特定业务功能，App 不应再次询问⽤户是否打开该业务功能或相关系统权限。 29.App更新是否更改系统权限设置 App 更新升级后，不应更改原有的系统权限设置。 3）、App 运营者对⽤户权利的保障
评估项 8：⽀持⽤户注销账号、更正或删除个⼈信息
评估点评估标准 30. 是否⽀持⽤户注销账号 App 应提供注销账号的途径（如在线功能界⾯、等），并在⽤户注销账号后，及时删除其个⼈信息或进⾏匿名化处理。 31.是否⽀持⽤户查询、更正或删除个⼈信息 App 应提供查询、更正、删除个⼈信息的途径。
评估项 9：及时反馈⽤户申诉
评估点评估标准 32.是否及时反馈⽤户申诉 App 运营者应妥善受理并及时反馈⽤户申诉，原则上在 15 天内回复处理意见或结果。
上述⾃评估实施最好让第三⽅做或者内部审计部门做，不然⾃⼰⼜当运动员⼜当裁判，会影响判断标准。
最后依据⾃评估结果，针对性做整改即可。
四、总结
1、关注app专项治理⼯作组的动态，掌握最新⼯作要求指⽰。
2、对现有的app都要开展⾃评估，以免因违规被处罚。
3、针对违法违规收集个⼈信息的app，app投诉渠道。
附录个⼈信息举例个⼈基本资料个⼈姓名、⽣⽇、性别、民族、国籍、家庭关系、住址、个⼈电话号码、电⼦邮件地址等个⼈⾝份信息 ***、***、**、***、***、出⼊证、社保卡、居住证等个⼈⽣物识别信息个⼈基因、指纹、声纹、掌纹、⽿廓、虹膜、⾯部识别特征等⽹络⾝份标识信息个⼈信息主体账号、IP 地址、个⼈数字证书等个⼈健康⽣理信息个⼈因⽣病医治等产⽣的相关记录，如病症、住院志、医嘱单、检验报告、⼿术及⿇醉记录、护理记录、⽤药记录、药物⾷物过敏信息、⽣育信息、以往病史、诊治情况、家族病史、现病史、传染病史等，以及与个⼈⾝体健康状况相关的信息，如体重、⾝⾼、肺活量等个⼈教育⼯作信息个⼈职业、职位、⼯作单位、学历、学位、教育经历、⼯作经历、培训记录、成绩单等个⼈财产信息银⾏账户、鉴别信息(⼝令)、存款信息（包括资⾦数量、⽀付收款记录等）、房产信息、信贷记录、征信信息、交易和消费记录、流⽔记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息个⼈通信信息通信记录和内容、短信、彩信、电⼦邮件，以及描述个⼈通信的数据（通常称为元数据）等联系⼈信息通讯录、好友列表、列表、电⼦邮件地址列表等个⼈上⽹记录指通过⽇志储存的个⼈信息主体操作记录，包括⽹站浏览记录、软件使⽤记录、点击记录、收藏列表等个⼈常⽤
设备信息指包括硬件序列号、设备 MAC 地址、软件列表、唯⼀设备识别码（如IMEI/Android ID/IDFA/OpenUDID/GUID/SIM 卡 IMSI 信息等）等在内的描述个⼈常⽤设备基本情况的信息个⼈位置信息包括⾏踪轨迹、精准定位信息、住宿信息、经纬度等其他信息婚史、宗教信仰、性取向、未公开的违法犯罪记录等个⼈敏感信息举例个⼈财产信息银⾏账户、鉴别信息(⼝令)、存款信息（包括资⾦数量、⽀付收款记录等）、房产信息、信贷记录、征信信息、交易和消费记录、流⽔记录等，以及虚拟货币、虚拟交易、游戏类兑换码等虚拟财产信息个⼈健康⽣理信息个⼈因⽣病医治等产⽣的相关记录，如病症、住院志、医嘱单、检验报告、⼿术及⿇醉记录、护理记录、⽤药记录、药物⾷物过敏信息、⽣育信息、以往病史、诊治情况、家族病史、现病史、传染病史等个⼈⽣物识别信息个⼈基因、指纹、声纹、掌纹、⽿廓、虹膜、⾯部识别特征等个⼈⾝份信息 ***、***、**、***、***、社保卡、居住证等其他信息性取向、婚史、宗教信仰、未公开的违法犯罪记录、通信记录和内容、通讯录、好友列表、组列表、⾏踪轨迹、⽹页浏览记录、住宿信息、精准定位信息等
*本⽂作者：***************，转载请注明来⾃FreeBuf.COM

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。