手機(jī)銀行App個(gè)人信息合規(guī)行業(yè)測(cè)評(píng)報(bào)告(上):隱私政策透明度與合理性

數(shù)字化時(shí)代，企業(yè)數(shù)據(jù)合規(guī)和個(gè)人信息保護(hù)的重要性日益凸顯，信息資源已成為重要的生產(chǎn)要素和社會(huì)財(cái)富。近年來，國家網(wǎng)絡(luò)安全法律體系不斷完善，數(shù)據(jù)保護(hù)、個(gè)人信息保護(hù)等相關(guān)法律法規(guī)密集出臺(tái)，民眾網(wǎng)絡(luò)安全感滿意度有所提升。移動(dòng)應(yīng)用App作為服務(wù)提供的主陣地，更是個(gè)人信息保護(hù)的前沿戰(zhàn)場(chǎng)與核心區(qū)域。

手機(jī)銀行App，憑借其卓越的即時(shí)響應(yīng)速度、極致便捷的操作體驗(yàn)以及一站式綜合服務(wù)能力，已深深融入公眾的日常生活，成為不可或缺的金融工具。它們不僅極大地拓寬了金融服務(wù)的邊界，提升了服務(wù)獲取的便捷性與效率，還深刻重塑了金融服務(wù)的質(zhì)量標(biāo)準(zhǔn)。鑒于手機(jī)銀行App深度依賴于大數(shù)據(jù)驅(qū)動(dòng)，其在保障用戶個(gè)人信息合規(guī)的角色上更顯關(guān)鍵。

中國電子銀行網(wǎng)聯(lián)合中金金融認(rèn)證中心有限公司（CFCA）信息安全服務(wù)部移動(dòng)安全團(tuán)隊(duì)，對(duì)48款手機(jī)銀行App，包括六大國有行，12家股份制銀行，部分城商行、農(nóng)商行、農(nóng)信社以及民營銀行的個(gè)人信息合規(guī)進(jìn)行了測(cè)評(píng)。測(cè)試共分為隱私政策透明度與合理性、用戶權(quán)利保障、用戶授權(quán)過程的合理性等三部分。

本次手機(jī)銀行App個(gè)人信息合規(guī)測(cè)評(píng)工作，旨在提高銀行業(yè)金融機(jī)構(gòu)對(duì)個(gè)人信息保護(hù)的重視程度，提升其對(duì)個(gè)人信息保護(hù)的能力，減少和防范對(duì)用戶信息侵害事件的發(fā)生，推動(dòng)中國銀行業(yè)手機(jī)銀行App合規(guī)高質(zhì)量發(fā)展，為踐行“金融為民”貢獻(xiàn)力量。

本文主要為“總體測(cè)評(píng)指標(biāo)及結(jié)果”和“手機(jī)銀行App隱私政策透明度與合理性測(cè)評(píng)”兩部分。后續(xù)還將連續(xù)推出“手機(jī)銀行App用戶權(quán)利保障測(cè)評(píng)”和“手機(jī)銀行App用戶授權(quán)過程的合理性測(cè)評(píng)”，敬請(qǐng)持續(xù)關(guān)注。

測(cè)評(píng)對(duì)象

本次測(cè)評(píng)對(duì)象為48款手機(jī)銀行App，通過主流應(yīng)用市場(chǎng)（包括華為應(yīng)用市場(chǎng)、騰訊應(yīng)用寶、vivo應(yīng)用市場(chǎng)、小米應(yīng)用市場(chǎng)）和相關(guān)銀行官方網(wǎng)站進(jìn)行下載，均取測(cè)評(píng)期間的最新版本，詳細(xì)情況可以查看文末附錄。

測(cè)評(píng)依據(jù)

本次測(cè)評(píng)從法律法規(guī)出發(fā)，同時(shí)參考相關(guān)國家標(biāo)準(zhǔn)及同業(yè)經(jīng)驗(yàn)，其中法律法規(guī)如下：

?《中華人民共和國網(wǎng)絡(luò)安全法》

?《中華人民共和國數(shù)據(jù)安全法》

?《中華人民共和國個(gè)人信息保護(hù)法》

參考的規(guī)范、標(biāo)準(zhǔn)、指南包括：

?《GB/T 35273-2020 個(gè)人信息安全規(guī)范》

?《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》

?工信部信管函〔2020〕164號(hào)《工業(yè)和信息化部關(guān)于開展縱深推進(jìn)APP侵害用戶權(quán)益專項(xiàng)整治行動(dòng)的通知》

?《JR/T 0171-2020 個(gè)人金融信息保護(hù)技術(shù)規(guī)范》

?《常見類型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》

?《GB/T-41391-2022 移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）收集個(gè)人信息基本要求》

?《GB/T 42574—2023 信息安全技術(shù) 個(gè)人信息處理中告知和同意的實(shí)施指南》

?《GB/T 42582—2023 信息安全技術(shù) 移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）個(gè)人信息安全測(cè)評(píng)規(guī)范》

?工信部《APP用戶權(quán)益保護(hù)測(cè)評(píng)規(guī)范》

測(cè)評(píng)方法

測(cè)試設(shè)備

本次測(cè)評(píng)通過安卓設(shè)備進(jìn)行測(cè)試，測(cè)試設(shè)備型號(hào)為谷歌Pixel 3與Pixel 6。

測(cè)試時(shí)間

本次測(cè)評(píng)時(shí)間為2024年6月17日至2024年7月19日，測(cè)試對(duì)象采集時(shí)間同樣為本時(shí)間段內(nèi)。

測(cè)試方法

本次測(cè)評(píng)采取人工與工具測(cè)評(píng)相結(jié)合的方式，針對(duì)App本身與App內(nèi)隱私文本兩者相結(jié)合，主要參照《GB/T 42582—2023 信息安全技術(shù) 移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）個(gè)人信息安全測(cè)評(píng)規(guī)范》進(jìn)行案例設(shè)計(jì)和測(cè)試執(zhí)行，測(cè)評(píng)完成后再對(duì)測(cè)試項(xiàng)進(jìn)行交叉驗(yàn)證，最終完成測(cè)評(píng)工作。

總體測(cè)評(píng)指標(biāo)及結(jié)果

本次測(cè)評(píng)共選取32個(gè)測(cè)評(píng)項(xiàng)，同時(shí)將測(cè)評(píng)項(xiàng)分為隱私政策透明度與合理性、用戶權(quán)利保障及用戶授權(quán)過程的合理性3個(gè)類別，共計(jì)總分100分，其中隱私政策透明度與合理性39分，用戶權(quán)利保障22分，用戶授權(quán)過程的合理性39分。詳細(xì)測(cè)評(píng)指標(biāo)內(nèi)容可以查看文末附錄。

測(cè)評(píng)總體情況如下：

1、總體得分

測(cè)試結(jié)果顯示，48款手機(jī)銀行App得分均超過60，其中61%的App得分超過80。手機(jī)銀行App在個(gè)人信息合規(guī)方面取得了顯著進(jìn)步，整體表現(xiàn)超越了其他類別的應(yīng)用程序。

圖：測(cè)評(píng)總體得分情況

得分前十的手機(jī)銀行App分別為：

光大銀行手機(jī)銀行App

廣東南粵銀行手機(jī)銀行App

廣發(fā)銀行手機(jī)銀行App

平安銀行手機(jī)銀行App

蘇州銀行手機(jī)銀行App

上海農(nóng)商銀行手機(jī)銀行App

興業(yè)銀行手機(jī)銀行App

中國工商銀行手機(jī)銀行App

郵儲(chǔ)銀行手機(jī)銀行App

營口銀行手機(jī)銀行App

備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。

2、App權(quán)限及隱私政策相關(guān)數(shù)據(jù)統(tǒng)計(jì)

本次測(cè)評(píng)針對(duì)App申請(qǐng)權(quán)限方面以及部分操作步驟也進(jìn)行了統(tǒng)計(jì)，結(jié)果顯示：App申請(qǐng)權(quán)限總體仍然較多。作為金融App，一定的權(quán)限申請(qǐng)用于風(fēng)控有助于降低用戶交易風(fēng)險(xiǎn)，同時(shí)高風(fēng)險(xiǎn)權(quán)限平均值明顯較低，總體來看，手機(jī)銀行App在收集用戶個(gè)人信息方面表現(xiàn)出了一定的節(jié)制；但隱私政策聲明的高危權(quán)限和實(shí)際申請(qǐng)的高危權(quán)限尚有一定差距，值得重視；此外在撤回授權(quán)同意的方法上和登錄后訪問隱私政策步驟數(shù)量，大部分手機(jī)銀行App都能做到簡單易用，以下為相關(guān)詳細(xì)數(shù)據(jù)。

3、主流合規(guī)方案實(shí)現(xiàn)統(tǒng)計(jì)

目前對(duì)于生物識(shí)別協(xié)議、申請(qǐng)敏感權(quán)限時(shí)的提示方式等內(nèi)容，雖然業(yè)界并未有完全統(tǒng)一的要求，但是也有一些主流合規(guī)方案為大家普遍接受，以下是本次測(cè)評(píng)中的主流方案及占比。

       手機(jī)銀行App隱私政策透明度與合理性測(cè)評(píng)

隱私政策是用戶了解企業(yè)收集使用個(gè)人信息合規(guī)情況的途徑，也是企業(yè)告知用戶如何處理個(gè)人信息的最直接方式，個(gè)人信息保護(hù)法的第六條要求處理個(gè)人信息應(yīng)當(dāng)具有明確、合理的目的，而第七條就明確要求了處理個(gè)人信息應(yīng)當(dāng)遵循公開、透明原則。故本次測(cè)評(píng)中第一大部分內(nèi)容就是對(duì)手機(jī)銀行App隱私政策的透明度與合理性進(jìn)行測(cè)評(píng)。本次測(cè)評(píng)選取了14個(gè)相關(guān)的測(cè)評(píng)項(xiàng)進(jìn)行測(cè)評(píng)，具體內(nèi)容如下：

圖：隱私政策透明度與合理性得分情況（滿分為39分）

本分項(xiàng)測(cè)評(píng)得分前十的手機(jī)銀行App分別為：

哈爾濱銀行手機(jī)銀行App

華夏銀行手機(jī)銀行App

交通銀行手機(jī)銀行App

平安銀行手機(jī)銀行App

浦發(fā)銀行手機(jī)銀行App

上海農(nóng)商銀行手機(jī)銀行App

蘇州銀行手機(jī)銀行App

天津銀行手機(jī)銀行App

興業(yè)銀行手機(jī)銀行App

郵儲(chǔ)銀行手機(jī)銀行App

中國建設(shè)銀行手機(jī)銀行App

備注：以上排名不分先后，按首字拼音順序排序，首字拼音相同按次字拼音順序排序，以此類推，第十名分值相同情況共同列入本名單。

典型案例

以下將通過一些App的優(yōu)秀合規(guī)案例以及風(fēng)險(xiǎn)案例對(duì)本次測(cè)評(píng)中通過率較低的測(cè)評(píng)項(xiàng)進(jìn)行闡述及分析。

優(yōu)秀案例

1、需逐一列出第三方SDK收集使用個(gè)人信息的目的、方式、范圍等。

測(cè)評(píng)依據(jù)

《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》：未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個(gè)人信息的目的、方式、范圍等。

案例展示

圖：優(yōu)秀案例1-1

圖：優(yōu)秀案例1-2

根據(jù)相關(guān)標(biāo)準(zhǔn)，以上案例中該客戶端詳細(xì)列舉了每一個(gè)SDK，并包含了SDK收集使用個(gè)人信息的目的、方式、范圍以及隱私政策鏈接（聯(lián)系方式）、SDK名稱、SDK廠商等信息，并詳細(xì)列舉收集的個(gè)人信息，不存在使用“等”、“例如”及其他概括性或模糊語句描述。

建議

針對(duì)這一項(xiàng)，我們建議開發(fā)者：

? 明確列出所有收集用戶信息的第三方SDK及其收集個(gè)人信息的目的、方式和范圍。

? 告知第三方SDK的名稱、廠商以及易于訪問的隱私政策鏈接或者聯(lián)系方式。

? 定期審查和更新第三方SDK收集使用個(gè)人信息的描述，確保隱私政策描述和App實(shí)際使用匹配。

? 條件允許的情況下可將SDK列表整理成條理更清晰的表格等形式，并以超鏈接的形式放在二級(jí)頁面，方便用戶閱讀，并減少一級(jí)頁面的內(nèi)容。

2、在客戶端內(nèi)是否具備個(gè)人信息采集清單、個(gè)人信息共享清單。

測(cè)評(píng)依據(jù)

工信部信管函〔2021〕292號(hào)《工業(yè)和信息化部關(guān)于開展信息通信服務(wù)感知提升行動(dòng)的通知》：

（二）建立個(gè)人信息保護(hù)“雙清單”。

各相關(guān)企業(yè)應(yīng)建立已收集個(gè)人信息清單和與第三方共享個(gè)人信息清單，并在App二級(jí)菜單中展示，方便用戶查詢。

已收集個(gè)人信息清單應(yīng)簡潔、清晰列出App（包括內(nèi)嵌第三方軟件工具開發(fā)包SDK）已經(jīng)收集到的用戶個(gè)人信息基本情況，包括信息種類、使用目的、使用場(chǎng)景等。

與第三方共享個(gè)人信息清單應(yīng)簡潔、清晰列出App與第三方共享的用戶個(gè)人信息基本情況，包括與第三方共享的個(gè)人信息種類、使用目的、使用場(chǎng)景和共享方式等。

案例展示

圖：優(yōu)秀案例2-1

圖：優(yōu)秀案例2-2

以上案例中客戶端內(nèi)均在二級(jí)菜單設(shè)有個(gè)人信息收集清單和第三方信息共享清單，并且個(gè)人信息收集清單是隨著時(shí)間動(dòng)態(tài)變化的，方便用戶直觀的看到某個(gè)時(shí)間段內(nèi)App收集的個(gè)人信息。

建議

針對(duì)這一項(xiàng)，我們建議開發(fā)者：

? 在客戶端的二級(jí)菜單中增加個(gè)人信息采集清單和個(gè)人信息共享清單。

? 確保個(gè)人信息采集清單是動(dòng)態(tài)變化的，以反映用戶數(shù)據(jù)的最新狀態(tài)。

? 提供易于理解和操作的用戶界面，讓用戶能夠輕松訪問和管理自己的個(gè)人信息。

? 定期審查和更新個(gè)人信息清單，確保其內(nèi)容與最新的法律法規(guī)和用戶需求保持一致。

風(fēng)險(xiǎn)案例

1、實(shí)際收集的個(gè)人信息或打開的可收集個(gè)人信息權(quán)限超出用戶授權(quán)范圍

測(cè)評(píng)依據(jù)

《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》：

3.3實(shí)際收集的個(gè)人信息或打開的可收集個(gè)人信息權(quán)限超出用戶授權(quán)范圍。

GBT 41391-2022《信息安全技術(shù) 移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（App）收集個(gè)人信息基本要求》：

6.5.1-a) 應(yīng)僅聲明和申請(qǐng)實(shí)現(xiàn)App服務(wù)目的最小范圍的系統(tǒng)權(quán)限，不應(yīng)申請(qǐng)與App業(yè)務(wù)功能無關(guān)的系統(tǒng)權(quán)限。注1:聲明，是指在應(yīng)用程序清單文件(如安卓的AndroidManifest.xml文件、iOS的Info.plist等)中向操作系統(tǒng)說明所需的系統(tǒng)權(quán)限。

案例展示

圖：風(fēng)險(xiǎn)案例1-1

圖：風(fēng)險(xiǎn)案例1-2

圖：風(fēng)險(xiǎn)案例1-3

以上案例中，案例1-1個(gè)人信息保護(hù)政策中缺少讀取手機(jī)狀態(tài)和身份權(quán)限的描述，案例1-2個(gè)人信息保護(hù)政策中缺少讀取手機(jī)狀態(tài)和身份、讀取電話號(hào)碼、讀寫外部存儲(chǔ)空間權(quán)限的描述，案例1-3缺少錄音權(quán)限、讀寫外部存儲(chǔ)空間權(quán)限的描述。

建議

常見缺少描述的權(quán)限如獲取應(yīng)用賬戶、修改或查看電話撥號(hào)、讀取手機(jī)狀態(tài)和身份、讀取電話號(hào)碼、讀寫外置存儲(chǔ)、讀取通話記錄等，本次測(cè)評(píng)中具體缺失情況如下圖所示。

圖：缺失權(quán)限統(tǒng)計(jì)展示

針對(duì)這一項(xiàng)，我們建議：

? 開發(fā)者完善自身權(quán)限管理制度和流程，在權(quán)限引入時(shí)明確權(quán)限使用目的并同步至個(gè)人信息保護(hù)政策；

? 涉及第三方SDK引入的權(quán)限也同樣進(jìn)行管理，防止第三方SDK引入預(yù)期外的權(quán)限；

? 在版本打包完成后，檢查App權(quán)限清單并與個(gè)人信息保護(hù)政策進(jìn)行核對(duì)，防止出現(xiàn)上述問題。

2、需逐一列出App收集使用個(gè)人信息的目的、方式、范圍等

測(cè)評(píng)依據(jù)

《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》：

2.1未逐一列出App(包括委托的第三方或嵌入的第三方代碼、插件)收集使用個(gè)人信息的目的、方式、范圍等；

工信部信管函〔2020〕164號(hào)《工業(yè)和信息化部關(guān)于開展縱深推進(jìn)APP侵害用戶權(quán)益專項(xiàng)整治行動(dòng)的通知》：

3.1.1.違規(guī)收集個(gè)人信息。重點(diǎn)整治App、SDK未告知用戶收集個(gè)人信息的目的、方式、范圍且未經(jīng)用戶同意，私自收集用戶個(gè)人信息的行為。

建議

常見的缺少描述的信息有設(shè)備硬件序列號(hào)、指定包名信息、運(yùn)營商名稱、SSID、BSSID、MAC地址等，詳見下圖：

圖：缺失行為統(tǒng)計(jì)展示

針對(duì)這一項(xiàng)，我們建議：

? 在開發(fā)過程中嚴(yán)格限制App自身代碼對(duì)設(shè)備信息的獲取行為或使用統(tǒng)一信息獲取框架，通過攔截對(duì)特定設(shè)備信息的獲取行為進(jìn)行預(yù)防；

? 也可以在版本打包完成后，進(jìn)行專項(xiàng)檢測(cè)，驗(yàn)證App自身對(duì)設(shè)備信息的獲取情況，防止出現(xiàn)上述問題。

　　轉(zhuǎn)自：中國網(wǎng)

　　【版權(quán)及免責(zé)聲明】凡本網(wǎng)所屬版權(quán)作品，轉(zhuǎn)載時(shí)須獲得授權(quán)并注明來源“中國產(chǎn)業(yè)經(jīng)濟(jì)信息網(wǎng)”，違者本網(wǎng)將保留追究其相關(guān)法律責(zé)任的權(quán)力。凡轉(zhuǎn)載文章及企業(yè)宣傳資訊，僅代表作者個(gè)人觀點(diǎn)，不代表本網(wǎng)觀點(diǎn)和立場(chǎng)。版權(quán)事宜請(qǐng)聯(lián)系：010-65363056。

延伸閱讀