收起左侧

App收集个人信息基本规范:网络支付类最小权限范围无存储权限

0
回复
400
查看
[复制链接]

尚未签到

518

主题

518

帖子

0

积分

冒泡

Rank: 1

积分
0
 楼主| 发表于 2020-1-22 17:11:56 | 显示全部楼层 |阅读模式
近日,全国信息安全标准化技术委员会对外发布新一版国家标准《信息安全技术 移动互联网应用(App)收集个人信息基本规范》征求意见稿。
相较于早前的草案版,隐私护卫队发现,新版征求意见稿增加九种常用服务类型App最小必要信息及最小必要权限范围作出规定,涉及网络游戏、在线影音、网络直播等。
·· 1 ··
如今,App涉及人们生活的方方面面,它们在服务民生、方便用户的同时,App过度索权、超范围收集个人信息的现象大量存在。比如,有手电筒、天气预报等功能单一的App要求访问用户的通讯录。
为规范App收集个人信息的行为,2019年8月,全国信安标委对外发布《信息安全技术 移动互联网(App)收集个人信息基本规范(草案)》征求意见稿,对21种常用服务类型App的“最少信息”收集范围进行规定,涉及地图导航、网络约车、即时通讯、网络支付、金融借贷等。
近日,全国信安标委发布新版征求意见稿,在旧版基础上,增加九种常用服务类型App,包括网络游戏、在线影音、网络直播、儿童教育等,对总计30种类型App的最小必要信息(同旧版中的“最少信息”)范围及最小必要权限范围作出规定。
比如,实现网络游戏类App正常运行所需要的最小必要信息包括网络访问日志、(用户)身份证件信息、账号信息、第三方支付信息;收集上述信息时,用户并不需要主动授予任何权限。
此外,新版征求意见稿规定,App应在首次运行时,通过弹窗等明显方式告知用户收集最小必要信息规则;超出服务类型的最小必要信息时,对于超出部分,App应征得用户的授权同意,涉及敏感信息的,应逐项征得用户的明示同意;在征得用户同意前,App不得产生个人信息收集行为。
·· 2 ··
地图导航等10类App的最小必要权限中删去存储权限
2019年5月,App治理工作组发布文章《存储权限,到底是不是必须的?》。
文章指出,用户在微博和朋友圈上传图片、视频应用缓存视频时,App需要获取存储权限。
可见,实现某些功能,App确实需要获取存储权限。但令人担忧的是,一旦授权App存储权限,用户可能面临个人信息泄露。
文章表示,手机拍摄的照片、视频、蓝牙分享接收的文件、各种下载的文件等默认存储在公共区域。当用户同意App获取存储权限时,App则具备了读写公共存储区的能力。理论上,获取App可读写上述所有内容。
隐私护卫队发现,文章表示,受测的近百款App都获取了存储权限。
难道说App必须获取存储权限吗?文章强调,获取存储权限确实支撑了App的很多功能,但App真正意义上是否需要该权限,需根据实际情况分析。
隐私护卫队注意到,在新版征求意见稿中,地图导航、金融借贷、婚恋相亲等10种类型App的最小必要权限中删除了存储权限,这意味着,上述10种类型App为获取最小必要信息时,并不需要获取存储权限。
·· 3 ··
为提升开发效率,绝大多数App在开发时,会嵌入第三方集成的SDK等代码。值得注意的是,除App本身收集个人信息外,嵌入在App里面的SDK等第三方代码,也会收集个人信息。
2019年9月,南都个人信息保护研究中心发布的《常用第三方SDK收集使用个人信息测评报告》指出,平均每款App使用19.3个SDK,并且,有的SDK涉嫌隐瞒收集用户个人信息,不仅用户不知情,连App也被蒙在鼓里。
新版征求意见稿增加规定,App在引入第三方代码或插件时,若该第三方代码或插件具备个人信息收集功能且用户无法拒绝的,App应确保第三方代码或插件履行个人信息安全保护义务,并防止第三方代码或插件收集无关的个人信息。
当App通过间接方式收集个人信息的,其应向用户提供查询数据提供方身份的途径,并开设独立界面显示查询结果。
文/南都个人信息保护研究中心研究员 尤一炜

免责声明:如果侵犯了您的权益,请联系站长,我们会及时删除侵权内容,谢谢合作!
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

扫描微信二维码

查看官方公众号

了解更多详情

2241998733

在线客服(服务时间 9:00~18:00)

在线QQ客服
地址:成都市锦江区通汇街342号
电邮:wxcydz#qq.com(#换成@)
微信:2241998733

无限创意电子仅提供平台服务,如有贷款产品及展示信息均为互联网采集。贷款属于借贷行为,本社区不提供任何代办服务。借款有风险,申请需谨慎,风险自理,责任自担。 © 2018-现在 VIP团队( 蜀ICP备17006511号-1 )