APP个人信息收集检测教学文档

一、政策法规背景

1.1 主要法律法规依据

• 《网络安全法》
• 《消费者权益保护法》
• 《APP违法违规收集使用个人信息行为认定方法》
• 《App违法违规收集使用个人信息自评估指南》
• 《信息安全技术移动互联网应用(App)收集个人信息基本规范(草案)》

1.2 监管机构

• 国家互联网信息办公室
• 工业和信息化部
• 公安部
• 市场监管总局

二、检测依据与方法

2.1 基于《APP违法违规收集使用个人信息行为认定方法》的检测

2.1.1 六大核心检测方面

1. 未公开收集使用规则
2. 未明示收集使用个人信息的目的、方式和范围
3. 未经用户同意收集使用个人信息
4. 违反必要原则，收集与其提供的服务无关的个人信息
5. 未经同意向他人提供个人信息
6. 未按法律规定提供删除或更正个人信息功能

2.1.2 10大评估项与43项评估点

评估项1：隐私政策的独立性、易读性

• 检测要点：
  • 隐私政策是否存在
  • 是否单独成文
  • 是否易于访问
  • 是否易于阅读

评估项2：各项业务功能及所收集个人信息类型

• 检测要点：
  • 各项业务功能及所收集个人信息类型是否详细列举
  • 个人敏感信息类型是否有显著标识
  • 常见问题：部分APP提及个人敏感信息但未显著标识

评估项3：个人信息处理规则及用户权益保障

• 检测要点：
  • APP运营者详细情况描述
  • 个人信息存储期限描述
  • 加密传输声明与实际是否一致（需抓包验证）
  • 常见问题：声明SSL加密但实际明文传输

评估项4：隐私政策等文件中设置不合理条款

• 检测要点：
  • 检查隐私政策、用户协议、服务协议、使用手册
  • 是否存在不合理免责条款
  • 常见问题：隐私政策承诺责任但其他文件包含免责声明

评估项5：明确收集个人信息的目的、方式和范围

• 检测要点：
  • 隐私政策是否明确说明
  • 实际操作中数据收集行为（需抓包验证）
  • 系统权限功能模块是否存在

评估项6：未经同意向他人提供个人信息

• 检测要点：
  • 隐私政策中第三方共享说明
  • 实际客户端和服务器端是否向第三方明文传输个人信息

评估项7：强制捆绑授权

• 检测要点：
  • 是否存在捆绑授权行为
  • 是否收集不可变更的唯一标识（如MAC地址、手机序列号）
  • 常见问题：隐私政策提及收集设备信息包含唯一标识符

评估项8：收集个人信息满足的必要要求

• 检测要点：
  • 收集信息是否为基本业务功能必需
  • targetSdkVersion是否小于23（涉及默认授权问题）
  • 检测方法：通过buildTools里的aapt工具查看

评估项9：支持账户注销、删除和更正

• 检测要点：
  • 账户注销功能是否存在
  • 删除/注销后后台数据是否同步删除
  • 测试方法：实际删除后重新注册验证

评估项10：及时反馈用户申诉

• 检测要点：
  • 投诉举报渠道是否明显
  • 反馈是否及时
  • 是否有申诉流程进展查看功能
  • 常见问题：仅设置客服电话和邮箱但反馈不及时

2.2 基于《移动互联网应用(App)收集个人信息规范》的检测

2.2.1 APP收集个人信息基本要求

• 技术要求：

  • 优先在用户终端中存储、使用收集的个人信息
  • 以最低合理频率向后台发送个人信息
  • 检测方法：
    • 安卓终端：需root权限后查看/data/data/目录
    • 发送频率：需访谈运营商了解业务需求

• 管理要求：

  • 较为笼统，可作为补充检测项

2.2.2 常见服务类型的最少信息收集

• 定义：保障服务正常运行所需的个人信息，缺少将导致服务无法实现或运行
• 21种常见服务类型（以新闻资讯类为例）：
  • 允许收集：
    • 发布信息用户的手机号、账号
    • 操作事件、操作类型
    • 网络源地址和目标地址、网络源端口
    • 客户端硬件特征
    • 用户发布信息记录
    • 公众账号信息发布的***号
  • 检测方法：
    • 对比实际收集信息与规范允许范围
    • 与运营方商定仅收集业务必需信息

2.2.3 常用服务类型的最小权限获取

• 定义：保障服务正常运行所必需的最少系统权限
• 新闻资讯类示例：
  • 规范允许：无（理论上不应获取任何权限）
  • 实际检测：
    • 允许：网络状态等必要权限
    • 禁止：非必要权限（如通讯录、位置等）
  • 检测工具：Androidkiller等反编译工具
  • 处理原则：仅获取业务必需最小权限

三、检测工具与方法

3.1 静态检测

• 隐私政策文本分析
• 反编译分析（Androidkiller等工具）
• aapt工具查看targetSdkVersion

3.2 动态检测

• 抓包分析（验证加密声明与实际传输）
• 实际功能测试（账户注销、重新注册等）
• 权限使用监控

3.3 访谈沟通

• 与运营方确认业务需求
• 商定信息收集最小化原则

四、常见违规行为总结

1. 隐私政策问题：

   • 缺失或不易访问
   • 内容不完整或不准确
   • 不合理条款

2. 信息收集问题：

   • 收集非必要信息
   • 未显著标识敏感信息
   • 实际收集超出声明范围

3. 权限问题：

   • 获取非必要权限
   • targetSdkVersion过低导致默认授权

4. 用户权利问题：

   • 缺乏账户注销功能
   • 删除后数据未同步清除
   • 投诉渠道不畅

5. 数据传输问题：

   • 声明加密但实际明文传输
   • 未经同意向第三方传输

五、检测报告要点

1. 检测依据的法律法规
2. 检测范围和方法
3. 发现的问题及违规条款
4. 整改建议
5. 合规示范案例

六、持续关注方向

1. 政策法规更新
2. 新型违规手段
3. 自动化检测工具发展
4. 行业最佳实践

七、附录

7.1 相关法规原文要点

（此处可摘录关键条款）

7.2 检测工具列表

• 静态分析工具
• 动态分析工具
• 抓包工具

7.3 常见服务类型最少信息收集表

（按21类服务类型整理）

7.4 最小权限获取参考表

（按服务类型整理）