App隐私合规简论

阅读量    103392 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

0x00. 引言

2020年,个人信息保护与信息安全领域的法律法规及行业标准呈爆发式发布。而App隐私合规依旧是老生畅谈的话题,延续2019年,2020年有关部门针对App个人信息侵权专项治理成立专项治理工作组,对三十万余App进行检测,对涉及违规 APP 通过通报、约谈、整改、下架等处罚形式,通过深度治理与曝光形式,达到改善 APP 的个人信息安全问题。

工信部副部长刘烈宏2020年11月27日在工信部召开的全国App个人信息保护监管会上表示“工信部将加大力度,从2021年初继续开展为期半年的专项整治,对有令不行、整改不彻底、反复出现问题、搞技术对抗的企业和App严厉处置。

2021年的执法力度将更加深入,SDK的具体技术实现将成为纵深检查点,行政执法方式将从专项治理式转为常态化。更加狠抓严查App侵害用户权益行为,紧盯反复出现问题被点名通报的重点企业。

同时推动App及SDK开发运营者、应用分发平台、第三方服务提供者、设备厂商、安全厂商自觉履行社会责任。”

那么作为App运营者在面对诸多监管和检查标准时应怎么处理和应对呢?本文将梳理部分在App隐私合规工作上的一些经验供大家参考。

 

0x01. App隐私合规要点

本文将从一个App从首次安装,账号注册,账号登录,功能使用,问题范围,账号注销这6个环节进行阐述。

1、首次安装

关键动作:同意《隐私政策》

A、交互形式

给予用户2个选择,“同意”或“拒绝”。

* 用户可以选择“拒绝”,若用户选择拒绝,可以提示将退出App;

* 仅在用户选择“同意”时,方可收集用户交互数据。

B、内容

方式一:简要说明同意文件的内容,说明要点即可;

方式二:内嵌点击同意动作相关文件的全文。

* 此部分可以参考产品经理或用户体验设计师的想法

C、数据交互:在用户点击“同意”或其他明示同意意思的按键前,禁止任何的数据采集。

* 检查方式:通过第三方工具进行抓包,可以选择外部工具采买、Github寻求开源方案或内部团队自研。

D、参考

2、账号注册

1)注、登一体登录方式

一般为验证码登录方式,前置判断输入手机号是否已生成帐号,如已有帐号则正常获取验证码输入验证码登录;

如未生成帐号,则在进入登录状态前,需单独签署《隐私政策》及其他用户协议内容,签署形式可为弹窗、手动Check Box勾选等。

2)单一注册方式

需单独签署《隐私政策》及其他用户协议内容,签署形式可为弹窗、手动Check Box勾选等。

* 需要注意,以上场景均不可以默认勾选或同意《隐私政策》,需用户自主勾选。

3、账号密码登录

常见做法,可以使用帐号密码登录的用户均已有帐号,并可以登录。可不附加协议。

也可根据各家法务小伙伴要求,是否签署协议等。

4、功能使用

1)信息收集

常见为表单填写,比如:意向用户线索收集。

2)权限申请

A、目的声明

发起权限申请前,应以弹窗的形式提前说明申请权限的场景(即业务场景)、目的、将会收集的信息。

形式:常见以弹框说明,其他形式亦可,需要注意提示时机。

B、 用户交互

a.当用户选择:同意,方开始收集对应权限的信息或行使对应权限功能;

b.当用户选择:拒绝,则在本次使用App时,如用户未主动触发功能则不应再次主动发起,或于48小时后再发起;

c.当用户选择:拒绝且不再提醒,则在App场景内将再不可发起授权,而是提供用户系统设置页面开启。

* 任何权限的拒绝均应仅影响该权限对应的业务功能,不应影响其它与该权限无关的功能;同时,拒绝权限不应闪退退出App。

C、参考

5、隐私中心

1)《隐私政策》查看

当用户进入App后,应提供《隐私政策》查看路径,且路径长度不应超过4步。

常见放置:我的或个人中心 – 设置 – 隐私设置或隐私政策。

2)隐私设置

隐私设置分为2部分。

其一,罗列App所需的所有权限,并根据实际授权状态标识为“已授权”“未授权”“去设置”,其中“去设置”应跳转至系统设置;此处的权限需要说明授权目的以所关联的业务场景。

其二,若为多个App关联,即A类App可以通过选择第三方登录方式,调用第三方App B进行登录。则B类App的隐私设置需设立“授权管理”以确保用户可以取消B类App对于其他业务的授权。

* 参考

 

6、账号注销

1)帐号可以注册则要提供注销功能,同时根据《电子商务法》的要求,不得给用户帐号注销设置障碍。比如:浏览器帐号注销需要提供帐号用户本人照片。

2)帐号注销的同时需要删除用户的个人信息,法律法规另有要求除外。

 

0x02. 其他说明

1、隐私政策完整性

隐私政策应清晰、准确、完整地描述个人信息控制者的个人信息处理行为。隐私政策模版可参考《GB/T35273-2020 信息安全技术 个人信息安全规范》附录D。

隐私政策中应明确App所使用的第三方SDK清单,并注明来源、使用目的及收集的个人信息。

* 请注意与企业实际业务开展情况进行编写。

2、用户权利响应

1)知情权

在App中表现形式为:隐私政策签署告知、用户提示、申请目的告知、用户信息采集告知。

2)访问权

在App中表现形式为:个人中心个人信息查看。

3)被遗忘权

在App中表现形式为:帐号注销功能实现。

4)更正权

在App中表现形式为:个人信息修改功能实现。

5)限制处理权

在App中表现形式为:隐私中心功能实现。

6)数据可携带权

在App中表现形式为:个人信息下载。

7)撤回同意

在App 中表现形式为:隐私中心功能实现或帐号注销功能。

* 以上所有功能,如非通过App自有功能实现,而是通过隐私政策明确的反馈路径,如:邮箱。则负责维护邮箱的同学应定期进行用户反馈回复。时间不得超过15个工作日。

 

0x03. 写在最后

在经过持续2年的专项治理之后,2021年将更加深入地开展工作。笔者认为后续应关注:第三方SDK的告知及安全性,App本身的安全性。包括但不限于:

1、引入前的安全评估,使用过程中的持续监督;

2、以明确的方式告知用户,App中嵌入的SDK及可能收集的信息;

3、提供用户第三方SDK授权开关。

隐私合规之路任重而道远,吾往矣。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多