轉(zhuǎn)載自：https://blog.csdn.net/t1996ys/article/details/109121933

APP認定方法評估主要依據(jù)191號文《App違法違規(guī)收集使用個人信息行為認定方法》(規(guī)定了什么行為被認定為337中的違規(guī))、337號文《工業(yè)和信息化部關(guān)于開展APP侵害用戶權(quán)益專項整治工作的通知》(定義了某種違規(guī)的含義)。

其中，專業(yè)術(shù)語可以參考《個人信息安全規(guī)范》(規(guī)范個人信息控制者在收集、存儲、使用、共享、轉(zhuǎn)讓、公開披露等信息處理環(huán)節(jié)中的相關(guān)行為)、APP權(quán)限問題可以參考《信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范-最新征求意見稿》(附錄中規(guī)定了30種APP的最小必要權(quán)限及個人信息)、《網(wǎng)信辦-個人信息相關(guān)權(quán)限26項》(說明了涉及個人信息權(quán)限的種類)。

191號文條例原文及評估注意事項
1、未公開收集使用個人信息規(guī)則

1.1在App中沒有隱私政策，或者隱私政策中沒有收集使用個人信息規(guī)則（檢查APP所有地方，只要沒有隱私政策的相關(guān)內(nèi)容就算。隱私政策的存在不一定是單獨一個文件，也可以是用戶協(xié)議的一部分。合規(guī)條件一定是隱私政策+收集使用規(guī)則）

1.2在App首次運行時未通過彈窗等明顯方式提示用戶閱讀隱私政策等收集使用規(guī)則（現(xiàn)在較為通用的明顯方式有彈窗、特殊字體和顏色等，明顯不合規(guī)的方式有使用灰色字體、小字號、遮擋、與背景色相近等）

1.3隱私政策等收集使用規(guī)則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到

1.4隱私政策等收集使用規(guī)則難以閱讀，如文字過小過密、顏色過淡、模糊不清，或未提供簡體中文版等

2.未明示收集使用個人信息的目的、方式和范圍

2.1未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個人信息的目的、方式、范圍等(“逐一”很重要，《個人信息安全規(guī)范》的附錄中給了隱私政策模板，很少有APP能達到此項要求。在已使用過APP的情況下，查看APP的動態(tài)行為過程，檢查是否有第三方SDK等使用權(quán)限收集個人信息。隱私政策要與行為一致。)

2.2收集使用個人信息的目的、方式、范圍發(fā)生變化時，未以適當(dāng)方式通知用戶，適當(dāng)方式包括更新隱私政策等收集使用規(guī)則并提醒用戶閱讀(在隱私政策中必須寫明什么方式，明顯方式一般包括彈窗、郵件、公告。一般在評估過程中不會碰到更新的情況，此時報告需要寫明，雖然合規(guī)但是無法驗證通知方式)2.3在申請打開可收集個人信息的權(quán)限，或申請收集用戶身份證號、銀行賬號、行蹤軌跡等個人敏感信息時，未同步告知用戶其目的，或者目的不明確、難以理解2.4有關(guān)收集使用規(guī)則的內(nèi)容晦澀難懂、冗長繁瑣，用戶難以理解，如使用大量專業(yè)術(shù)語等(一些能成為用戶理解障礙的話)

3、未經(jīng)用戶同意收集使用個人信息

3.1征得用戶同意前就開始收集個人信息或打開可收集個人信息的權(quán)限;(“征得用戶同意”一般需要在首次打開APP不做任何操作的情況下，拉取APP行為數(shù)據(jù)。如果發(fā)現(xiàn)APP有采集用戶個人信息的行為則不合規(guī)，或在權(quán)限全部關(guān)閉的情況下，私自打開也不合規(guī)。安卓系統(tǒng)會默認打開權(quán)限，應(yīng)該在首次運行APP前在手機設(shè)置中關(guān)閉此APP的權(quán)限。個人信息的定義和范圍參考《個人信息安全規(guī)范》)

3.2 用戶明確表示不同意后，仍收集個人信息或打開可收集個人信息的權(quán)限，或頻繁征求用戶同意、干擾用戶正常使用；(在拒絕某項權(quán)限或拒絕提供某個人信息后，APP在運行時仍然打開了缺陷或者收集了此項個人信息則不合規(guī)。如果頻繁彈出此彈窗影響用戶使用也不合規(guī))3.3 實際收集的個人信息或打開的可收集個人信息權(quán)限超出用戶授權(quán)范圍(發(fā)生了3.1的情況，屬不屬于3.3？獲取APP動態(tài)行為數(shù)據(jù)，查看收集情況在隱私政策中是否有說明，沒有或內(nèi)容不一致則不合規(guī)。打開的權(quán)限是否均是用戶同意過的)3.4以默認選擇同意隱私政策等非明示方式征求用戶同意；(一般存在的默認同意方式有：已閱的勾選框默認勾選，只有同意按鈕，有登錄注冊則代表同意等類似表達)3.5 未經(jīng)用戶同意更改其設(shè)置的可收集個人信息權(quán)限狀態(tài)，如App更新時自動將用戶設(shè)置的權(quán)限恢復(fù)到默認狀態(tài)；(除了示例情況，還有選擇關(guān)閉的權(quán)限，打開APP后自動開啟了)3.6 利用用戶個人信息和算法定向推送信息，未提供非定向推送信息的選項(查看功能和隱私政策，只要能實現(xiàn)關(guān)閉定向推送，則合規(guī)。有些APP是沒有定向推送功能的。如果APP內(nèi)置文檔中沒有關(guān)于推送的描述，在使用APP過程中需要自行判斷是否有此功能)3.7以欺詐、誘騙等不正當(dāng)方式誤導(dǎo)用戶同意收集個人信息或打開可收集個人信息的權(quán)限，如故意欺瞞、掩飾收集使用個人信息的真實目的；(還沒遇見過，可以著重關(guān)注推送的廣告是否誘導(dǎo)打開權(quán)限，提現(xiàn)功能是否有欺詐等行為)3.8未向用戶提供撤回同意收集個人信息的途徑、方式(隱私政策或功能中要有實現(xiàn)撤回的辦法。撤回之后不能影響APP的使用)3.9違反其所聲明的收集使用規(guī)則，收集使用個人信息(行為要與隱私政策一致，根據(jù)隱私政策檢查。與2.1的區(qū)別就是，2.1是根據(jù)APP功能檢查)

4、違反必要原則，收集與其提供的服務(wù)無關(guān)的個人信息

4.1 收集的個人信息類型或打開的可收集個人信息權(quán)限與現(xiàn)有業(yè)務(wù)功能無關(guān)(需要評估人員自己衡量是否無關(guān))

4.2因用戶不同意收集非必要個人信息或打開非必要權(quán)限，拒絕提供業(yè)務(wù)功能(非必要的判斷一個可以參考所涉及的業(yè)務(wù)功能，一個可以參考《信息安全技術(shù) 移動互聯(lián)網(wǎng)應(yīng)用（App）收集個人信息基本規(guī)范-最新征求意見稿》中規(guī)定的最小權(quán)限和信息)4.3 App新增業(yè)務(wù)功能申請收集的個人信息超出用戶原有同意范圍，若用戶不同意，則拒絕提供原有業(yè)務(wù)功能，新增業(yè)務(wù)功能取代原有業(yè)務(wù)功能的除外(一般評估時期不會碰到這個問題，無法評估)4.4 收集個人信息的頻度等超出業(yè)務(wù)功能實際需要(頻度是否超出的根據(jù)使用時間和其他收集行為的頻度來判斷。若只打開APP，則頻度上百基本算超過。若使用了APP，頻度上千基本算超過。如果3.1不合規(guī)，也屬于4。4的不合規(guī))4.5 僅以改善服務(wù)質(zhì)量、提升用戶體驗、定向推送信息、研發(fā)新產(chǎn)品等為由，強制要求用戶同意收集個人信息；(“強制”的情況一般是頻繁彈窗影響使用，或不確定就不讓用。還需要注意，此項是專門針對“改善服務(wù)、提升體驗”等為目的的。與3.2區(qū)分開來)4.6 要求用戶一次性同意打開多個可收集個人信息的權(quán)限，用戶不同意則無法使用。(官方文件明確表明targerSDKversion>23合規(guī)，23到底包不包含還需要去確定，已經(jīng)此項代表什么含義也還需要學(xué)習(xí)，或存在此類彈窗，但這種情況比較少)

5、未經(jīng)同意向他人提供個人信息

5.1 既未經(jīng)用戶同意，也未做匿名化處理，App客戶端直接向第三方提供個人信息，包括通過客戶端嵌入的第三方代碼、插件等方式向第三方提供個人信息(需要向第三方提供個人信息時，應(yīng)在隱私政策中寫明，如果寫了，抓包看看一些信息是否匿名化，例如IMEI\密碼等。一般評估只能評估出是不是明文傳輸，無法評估是否匿名化，這里需要區(qū)分匿名化和去標(biāo)志化的概念。《個人信息安全規(guī)范》中說匿名化是不能被復(fù)原的，匿名化處理后的信息不屬于個人信息。去標(biāo)志化的定義就屬于我們?nèi)粘＠斫獾募用艿姆懂?（例如分享到QQ，抓包能看見QQ號，算不算違規(guī)呢？如果技術(shù)上非明文賬號也能實現(xiàn)功能，那么Q號明文傳輸就不合規(guī)。但是這個怎么判斷？）

5.2 既未經(jīng)用戶同意，也未做匿名化處理，數(shù)據(jù)傳輸至App后臺服務(wù)器后，向第三方提供其收集的個人信息(不能訪問服務(wù)器，這條如何評估呢)5.3 App接入第三方應(yīng)用，未經(jīng)用戶同意，向第三方應(yīng)用提供個人信息。(第三方登錄不算接入第三方。需要注冊登錄才能使用的第三方。需要抓包分析，這個從一大堆消息包中找到隱私政策中所沒有的，有點難)

6、“未按法律規(guī)定提供刪除或更正個人信息功能”或“未公布投訴、舉報方式等信息

6.1未提供有效的更正、刪除個人信息及注銷用戶賬號功能(按照方法注銷后，賬戶仍可以使用，不合規(guī))

6.2 為更正、刪除個人信息或注銷用戶賬號設(shè)置不必要或不合理條件(需要額外信息才能注銷、虛擬貨幣需要清空、非必要的人證合一要求等為不合理障礙，金融理財軟件需要特殊的界限)6.3雖提供了更正、刪除個人信息及注銷用戶賬號功能，但未及時響應(yīng)用戶相應(yīng)操作，需人工處理的，未在承諾時限內(nèi)（承諾時限不得超過15個工作日，無承諾時限的，以15個工作日為限）完成核查和處理；(在《個人信息安全規(guī)范》中是30日內(nèi)，移動端更注重時效)6.4 更正、刪除個人信息或注銷用戶賬號等用戶操作已執(zhí)行完畢，但App后臺并未完成的；(后臺未完成如何判斷，與6.1中注銷后仍然能使用是否相同。我的觀點是，不檢查后臺數(shù)據(jù)庫是無法評估的)（還有一個現(xiàn)象。賬號M在A,B設(shè)備登陸使用過，現(xiàn)在在A設(shè)備注銷后，在A設(shè)備再次登陸時發(fā)現(xiàn)無法登錄；但使用B設(shè)備，仍然可以以此賬號M來使用應(yīng)用，只要退出登錄操作后才不能以M身份使用。我的觀點是，這個情況屬于不合規(guī)，在賬號注銷后，B設(shè)備上使用時應(yīng)該直接踢出登錄。如果是不合規(guī)，那屬于哪一條？如果合規(guī)，為什么？）6.5 未建立并公布個人信息安全投訴、舉報渠道，或未在承諾時限內(nèi)（承諾時限不得超過15個工作日，無承諾時限的，以15個工作日為限）受理并處理的

總結(jié)
首先仔細閱讀條例原文，對實在不理解、不清楚的地方不要死磕，標(biāo)注出問題。
再閱讀評估步驟、報告模板/示例，了解評估的具體流程
動手去做，嘗試完成整個評估，輸出初稿
最后再閱讀條例原文，特別是對判定結(jié)果模糊、表達方式不確定的地方進行修改
如果還有不確定的地方，再一起商討

分清權(quán)限和個人信息的關(guān)系：

權(quán)限：應(yīng)用通過這個權(quán)限來自動采集個人信息（通過位置信息權(quán)限，自動采集用戶個人的位置信息的內(nèi)容）個人信息：應(yīng)用所能收集的個人信息來源包括自動采集或者用戶填寫。

總結(jié)

以上是生活随笔為你收集整理的工信部191号文《App违法违规收集使用个人信息行为认定方法》的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。