《APP违法违规收集使用个人信息行为认定方法》以下简称《认定方法》
《APP违法违规收集使用个人信息自评估指南》以下简称《自评估指南》
针对上一篇的总结（隐私合规 | 关于工信部《App违法违规收集使用个人信息行为认定方法》的评估），这周总结更新如下：
在参考文献方面
评估时还应该加上《APP违法违规收集使用个人信息自评估指南》，企业在编辑隐私政策的时候，除了应该注意《认定方法》中提到的检测点之外，还有：
- 隐私政策关于APP运营者的基本情况描述应该包括公司名称、注册地址、个人信息保护相关负责人联系方式。
- 个人信息存储地域、存放期限、超期处理方式的说明。
- 个人信息出境情况，处境信息需要显著标识。
- 保护个人信息安全的能力说明。
- 如果存在个人信息对外共享、转让、公开披露等情况，隐私政策中应明确目的、涉及的个人信息类型、接收方类型或身份。
- 应对以下用户个人信息查询、更正、删除、账户注销、撤回已同意的授权进行说明。
- 隐私政策时效
- 注意检查免责申明，不得出现免除自身责任、加重用户责任、排除用户主要权利的条款。
《认定方法》评估的更新如下：
1.1在App中没有隐私政策，或者隐私政策中没有收集使用个人信息规则
（在《APP违规违法自评估指南》中评估点2：隐私政策是否单独成文。这一点在我们实际评估中是不检查的。只要有隐私政策，就算是和用户协议在一起也算。）
2.1未逐一列出App(包括委托的第三方或嵌入的第三方代码、插件)收集使用个人信息的目的、方式、范围等
（在《自评估指南》中，评估点5指出，需要注意在业务功能的说明中要注意“等、例如”字样。且评估点8提出应该把个人敏感信息进行加粗等显著标识，这一点在当前评估中也未实行）
2.2收集使用个人信息的目的、方式、范围发生变化时，未以适当方式通知用户，适当方式包括更新隐私政策等收集使用规则并提醒用户阅读
（《自评估指南》中给出电子邮件、信函、电话、推送通知等方式。在业务功能变更、使用变更、负责人联络方式变更、出境情况变更时，隐私政策应该变更）
3.1征得用户同意前就开始收集个人信息或打开可收集个人信息的权限;
3.3 实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围
上一篇留了一个问题，如果3.1不合规，那么属于3.3的违规吗？
属于。
我认为3.3的不合规情况有
①静默状态下有收集行为
②有隐私政策和权限申请弹窗中，没有提及过的权限使用情况
③动态行为检测报告中有“尝试打开未申请权限—危险权限”
3.4以默认选择同意隐私政策等非明示方式征求用户同意；
（明示方式一般有：用户主动填写、点击、勾选等自主行为）
3.5 未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；
（如果APP没有更新，只检查在使用过程中权限是否被自动修改就好了）
4.4 收集个人信息的频度等超出业务功能实际需要
上一篇有提到，如果3.1不合规，那么4.4也是不合规的
总结4.4的不合规主要是两个方面：静默状态下是否有收集个人信息的行为（3.1）+动态时单位时间内是否超高频
5.1 既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息
上一篇有说到，在APP向其他应用分享时可以抓到IMEI，向QQ分享时能抓到QQ号。这些情况算不算违规
咨询了一下：结果–>分享功能涉及到的IMEI，只要在隐私政策中说了，就算合规。QQ号也是。这项的检查应该在静默状态下进行 （其实我还是不太清楚，主要是不太清楚APP与其他应用交互的时候是怎么实现的）
6、“未按法律规定提供删除或更正个人信息功能”或“未公布投诉、举报方式等信息
？？？？如果APP不需要注册账户就能使用，例如相机，那这一点是判为合规还是不适用？？？？
6.2 为更正、删除个人信息或注销用户账号设置不必要或不合理条件
之前在做评估的时候，如果APP没有提供用户注销的有效途径，则此项判为未评估。
但此项的主要目的是“不合理条件”。
所以我觉得在没有有效注销途径的情况下
①隐私政策中对注销进行了描述但是没有提到其他条件的，此项就属于合规。例如“把需要注销的账号发送到XX邮箱，工作人员在15天内进行注销处理“
②如果隐私政策说明了需要其他不合理条件才能注销，则不合规
③如果隐私政策中没有提到关于注销的任何内容，则不合规。
6.4 更正、删除个人信息或注销用户账号等用户操作已执行完毕，但App后台并未完成的；
上一篇说了，其实在评估过程中，我们是无法确定后台到底删没删除个人信息的。那么我认为，在删除、更正、注销部分，隐私政策中只要提到“用户删除或注销后，虽然不会立即在备份系统删除，但是会在更新时删除“就算合规
6.5 未建立并公布个人信息安全投诉、举报渠道，或未在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理的
《自评估指南》中建议至少提供电子邮件、电话、传真、在线客服、在线表格等一种方式
其他
- 有些APP经常会有使用“检测当前运行的应用程序”权限的行为。这种权限一般只有手机管家、应用商城等APP使用，或者有分享到第三方的APP也会用到？例如分享到朋友圈的时候需要检查微信是否正在运行
来源：freebuf.com 2020-11-10 16:47:28 by: t1996ys
请登录后发表评论
注册