移动应用开发相关法律法规

柔情只为你懂 2022-10-26 14:08 282阅读 0赞

移动应用的个人隐私保护，越来越重要。  
个人信息保护已成为全球趋势。  
国家工信部、网信办、公安部和国家标准委也加强了对个人隐私保护的行动。  
作为`移动应用的开发者`，我们在研发App时，不仅需要了解相关的法律法规，而且也需要遵守法律法规，避免研发出来的App因违反相关的法律法规，导致不能上架，或是被下架的风险。

*  媒体曝光

<table> 
 <thead> 
  <tr> 
   <th align="left">平台</th> 
   <th align="left">占比</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">iOS</td> 
   <td align="left">12%</td> 
  </tr> 
  <tr> 
   <td align="left">Android</td> 
   <td align="left">84%</td> 
  </tr> 
  <tr> 
   <td align="left">AIOT</td> 
   <td align="left">4%</td> 
  </tr> 
 </tbody> 
</table>

<table> 
 <thead> 
  <tr> 
   <th align="left">隐私问题</th> 
   <th align="left">占比</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">过度索权</td> 
   <td align="left">62%</td> 
  </tr> 
  <tr> 
   <td align="left">隐私政策文本不合规</td> 
   <td align="left">18%</td> 
  </tr> 
  <tr> 
   <td align="left">缺少隐私政策</td> 
   <td align="left">11%</td> 
  </tr> 
  <tr> 
   <td align="left">权限使用目的告知不</td> 
   <td align="left">4%</td> 
  </tr> 
  <tr> 
   <td align="left">收集儿童信息</td> 
   <td align="left">2%</td> 
  </tr> 
  <tr> 
   <td align="left">强制授权</td> 
   <td align="left">2%</td> 
  </tr> 
  <tr> 
   <td align="left">用户处理信息的权利</td> 
   <td align="left">1%</td> 
  </tr> 
 </tbody> 
</table>

*  用户投诉

<table> 
 <thead> 
  <tr> 
   <th align="left">投诉问题</th> 
   <th align="left">示例</th> 
   <th align="left">占比</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td align="left">实际收集的个人信息与功能无关</td> 
   <td align="left">金融借贷类App收集用户通信录等</td> 
   <td align="left">31.2%</td> 
  </tr> 
  <tr> 
   <td align="left">未公开收集使用个人信息的规则</td> 
   <td align="left">没有隐私政策或隐私政策中没有如何收集使用个人信息的相关内容</td> 
   <td align="left">19.0%</td> 
  </tr> 
  <tr> 
   <td align="left">无法注销帐号</td> 
   <td align="left">App不提供注销功能，或注销后不及时删除个人信息</td> 
   <td align="left">16.3%</td> 
  </tr> 
  <tr> 
   <td align="left">基本业务功能和其他业务功能捆绑</td> 
   <td align="left">要求用户一次性授权同意收信个人信息，不同意则拒绝提供任何业务功能</td> 
   <td align="left">9.6%</td> 
  </tr> 
  <tr> 
   <td align="left">未经用户同意收集个人信息</td> 
   <td align="left">或在提醒用户阅读隐私政策前就开始收集、上传个人信息</td> 
   <td align="left">8.1%</td> 
  </tr> 
 </tbody> 
</table>

App用户隐私保护监管的通常的做法是：技术监测——限期整改——公开通报——下架。

> 值得App企业与运营者关注的是，App被公开通报后的5个工作日内拒绝整改或整改不达标的，或将面临最短20个工作日的下架处置，即如App在下架后能够在20个工作日内完成整改，其经过专业检测机构检测合格后可向所在地通信管理局申请恢复上架，如不能在20个工作日内完成整改，则其下架的时间会被相应延长。  
> 【摘自 百度安全《工信部再拟新规 |违规App下架处置长达20个工作日？或将更久！》https://anquan.baidu.com/article/1302】

> 个人信息保护刑法  
> 第二百五十三条之一 侵犯个人信息罪  
> 违反国家有关规定，向他人出售或者提供公民个人信息，情节严重的，处理三年以下有期徒刑或者拘役，并处或者单外罚金；  
> 违反国家有关规定，将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的，依照前款的规定从重处罚。

以下是平时收集的相关咨询信息、法律法规，和大家分享下。

## 咨询信息了解 ##

[视频学习《强监管与高压执法下 App如何做到隐私合规》][App]

[《关于APP违法违规收集使用个人信息专项治理工作 这有一份详尽的查询指南!》][APP_]

`App个人信息举报公众号`  
![App个人信息举报公众号][App 1]

[百度安全社区][Link 1]  
[360社区][360]  
[爱加密咨讯][Link 2]  
[梆梆资讯][Link 3]

## 国内法律法规 ##

[中华人民共和国工业和信息化部][Link 4]  
[中华人民共和国国家信息化委员会办公室][Link 5]

[2000年9月25日《互联网信息服务管理办法》][2000_9_25]

[2000年9月25日《中华人民共和国电信条例》][2000_9_25 1]

[2012年12月28日《全国人民代表大会常务委员会关于加强网络信息保护的决定》][2012_12_28]

[2013年6月28日《电信和互联网用户个人信息保护规定》][2013_6_28]

[2016年11月7日《中华人民共和国网络安全法》][2016_11_7]

> 网络安全运营者收集、使用个人信息、应当遵循合法、正当、必要的原则、公开收集、使用规则、明示收集，使用信息的目的、方式和范围，并经被收集者同意。  
> 网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律，行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

[2016年12月16日《移动智能终端应用软件预置和分发管理暂行规定》][2016_12_16]

[2017年12月29日《信息安全技术个人信息安全规范》][2017_12_29]

> 个人信息收集  
> 合法性要求  
> 最小化要求  
> 授权同意  
> 征得授权同意的例外  
> 明示同意  
> 隐私政策的内容和发布  
> 个人信息保存  
> 保存时间最小化  
> 去标识化处理  
> 个人敏感信息的传输和存储  
> 个人信息控制者停止运营  
> 个人信息使用  
> 个人信息访问控制措施  
> 个人信息的展示限制  
> 个人信息的使用限制  
> 个人信息访问  
> 委托、共享转让、公开处理  
> 委托处理  
> 个人信息共享、转让  
> 收购、兼并、重组时个人信息转让  
> 个人信息公开披露

[2019年3月1日《App违法违规收集使用个人信息自评估指南》][2019_3_1_App]

[2019年5月28日《数据安全管理办法》][2019_5_28]

[2019年10月1日《儿童个人信息网络保护规定》][2019_10_1]

> 作为国内第一部专门规范儿童个人信息网络保护的规定，有八大亮点值得关注：首部立法、  
> 定义儿童、严格范围、明确原则、知情同意、特殊保护、协同共治、法律衔接。  
> 摘自《http://www.cac.gov.cn/2020-05/13/c\_1590940929597028.htm》

[2019年11月28日《App违法违规收集使用个人信息行为认定方法》][2019_11_28_App]

[《移动互联网应用（App）收集个人信息基本规范（征求意见稿）》][App 2]

> 针对APP收集个人信息方面提出更加细化的要求，增加5个行业领域常用服务类型最少信息、最少权限、最小频率。

[《个人信息出境安全评估办法（征求意见稿）》][Link 6]

> 个人信息出境前，网络运营商应向所在地省级网信部门申报个人信息安全出境评估。

[起草中… 《移动互联网应用程序个人信息保护管理暂行规定》][Link 7]

《APP用户权益保护测评规范》10项标准

*  1.T/TAF 078.1-2020 APP用户权益保护测评规范 超范围收集个人信息
 *  2.T/TAF 078.2-2020 APP用户权益保护测评规范 定向推送
 *  3.T/TAF 078.3-2020 APP用户权益保护测评规范 个人信息获取行为
 *  4.T/TAF 078.4-2020 APP用户权益保护测评规范 权限索取行为
 *  5.T/TAF 078.5-2020 APP用户权益保护测评规范 违规使用个人信息
 *  6.T/TAF 078.6-2020 APP用户权益保护测评规范 违规收集个人信息
 *  7.T/TAF 078.7-2020 APP用户权益保护测评规范 下载分发行为
 *  8.T/TAF 078.8-2020 APP用户权益保护测评规范 移动应用分发平台管理
 *  9.T/TAF 078.9-2020 APP用户权益保护测评规范 移动应用分发平台信息展示
 *  10.T/TAF 078.10-2020 APP用户权益保护测评规范 自启动和关联启动行为

APP收集使用个人信息最小必要评估规范》8项系列标准

*  1.T/TAF 077.1-2020 APP收集使用个人信息最小必要评估规范 总则
 *  2.T/TAF 077.2-2020 APP收集使用个人信息最小必要评估规范 位置信息
 *  3.T/TAF 077.3-2020 APP收集使用个人信息最小必要评估规范 图片信息
 *  4.T/TAF 077.4-2020 APP收集使用个人信息最小必要评估规范 终端通讯录
 *  5.T/TAF 077.5-2020 APP收集使用个人信息最小必要评估规范 设备信息
 *  6.T/TAF 077.6-2020 APP收集使用个人信息最小必要评估规范 软件列表
 *  7.T/TAF 077.7-2020 APP收集使用个人信息最小必要评估规范 人脸信息
 *  8.T/TAF 077.8-2020 APP收集使用个人信息最小必要评估规范 录像信息

## 国外法律法规 ##

[美国《加州消费者隐私法》（CPPA）][CPPA]

> CCPA（Californial Consumer Pricacy Act）  
> 规定消费者对企业收集和管理其个人信息拥有更多控制权  
> 对企业收集处理数据的方式制定了线线，法案规定，对于那些拥有5万名以上消费者信息的企业，消费者有权要求该企业披露其收集信息类别和具体内容，包括企业收集哪些个人数据、收集目的、哪些第三方可获得使用这些数据等，法案为消费者创造了访问权、删除权、知情权等一系列消费者隐私权利。

[欧盟《通用数据保护条例 》][Link 8]

> GDPR（General Data Protection Regulation）  
> 本法案在2016年4月27日通过，两年的缓冲期后，已于2018年5月25日强制执行，违反欧盟GDPR有可能遭受公司全球收益4%或两千万欧元（择高者）的高额罚款。

## 个人信息保护自评估 ##

*  `3个方面，32个评估要求`
    
     *  隐私政策文本
        
         *  隐私政策独立性和易读性，清晰说明各项业务功能及收集信息类型，清晰说明处理规则 和用户权利保障
     *  收集使用个人信息行为
        
         *  明示收集目的、方式和范围，不强制授权，采集行为满足必要性原则
     *  用户权利保障
        
         *  支持用注销帐号、更正或删除个人信息，及时反馈用户申述
 *  `6个方面，31个认定方法`
    
     *  未公开收集使用原则
     *  未明示收集使用个人信息的目的、方式和范围
     *  未经用户同意收集使用个人信息
     *  违反必要性原则，收集与其提供的服务无关的个人信息
     *  未经同意向他人提供个人信息
     *  未按法律规定提供删除或更正个人信息功能或未公布投诉、举报方式等信息

## 产品设计合规建议 ##

*  功能设计
    
     *  隐私条款
     *  隐私设置
     *  帐号注销
     *  用途告知
     *  ……
 *  交互设计  
    `参考应用【百度】`

协议签署

基本功能权限用途告知

基本功能权限申请

基本功能数据采集

附加功能A权限用途告知

附加功能A权限申请

附加功能A数据采集

xx权限用途告知

xx权限申请

xx数据采集

数据传输&存储

## 产品研发合规建议 ##

*  权限最小
 *  频次最小化
 *  安全编码规范
 *  技术方案合理
 *  第三方SDK审计

## 隐私条款合规建议 ##

`参考应用【PayPal】【Google】`

*  单独成文
 *  易于访问
 *  易于阅读
 *  条款要求
 *  真实准确
 *  变更通知

百度安全`个人信息保护`【扶持计划】

> 时间：一年期  
> 资费：免费  
> 可检测数量：15款App  
> 检测次数：5次/天  
> 可检测项：权限检测2项、隐私风险项检测7项  
> 使用场景：在saas平台为客户提供服务，客户登录服务平台，上传`apk`进行检测，平台提供检测报告

[App]: http://yingxiao.baidu.com/new/home/product/lss-detail?type=YL&id=158
[APP_]: http://www.cac.gov.cn/2019-11/07/c_1574658334765452.htm
[App 1]: /images/20221024/f569d0988e2a47ada4d7cd1ab3c0fa9f.png
[Link 1]: https://anquan.baidu.com/forum
[360]: http://bbs.360.cn
[Link 2]: https://www.ijiami.cn/News
[Link 3]: https://www.bangcle.com/articles/index.html
[Link 4]: https://www.miit.gov.cn
[Link 5]: http://www.cac.gov.cn
[2000_9_25]: https://www.miit.gov.cn/jgsj/zfs/xzfg/art/2020/art_0bf50f171cbf4e5aaca30553d8762d64.html
[2000_9_25 1]: https://www.miit.gov.cn/ztzl/rdzt/ffclzl/zcfg/art/2020/art_44f755042e28475c8eaca6cea886bcfa.html
[2012_12_28]: https://www.miit.gov.cn/zwgk/zcwj/flfg/art/2020/art_045a205e97554b08ae90f35b063745c4.html
[2013_6_28]: https://www.miit.gov.cn/jgsj/zfs/bmgz/art/2020/art_aa526c93aa324665a80bcaf727ac560f.html
[2016_11_7]: https://www.miit.gov.cn/jgsj/zfs/fl/art/2020/art_85f74fb2531449ddbe0d14b0484d2507.html
[2016_12_16]: https://www.miit.gov.cn/zwgk/zcwj/wjfb/txy/art/2020/art_9352a1350d1c4cdd84eb92c71d3da99a.html
[2017_12_29]: https://baike.baidu.com/item/%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8%E6%8A%80%E6%9C%AF%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF%E5%AE%89%E5%85%A8%E8%A7%84%E8%8C%83/22552042?fr=aladdin
[2019_3_1_App]: https://mp.weixin.qq.com/s/u2XZn02SJkOvzeNSdzJiEA
[2019_5_28]: https://baike.baidu.com/item/%E6%95%B0%E6%8D%AE%E5%AE%89%E5%85%A8%E7%AE%A1%E7%90%86%E5%8A%9E%E6%B3%95/23524006?fr=aladdin
[2019_10_1]: http://www.cac.gov.cn/2019-08/23/c_1124913903.htm
[2019_11_28_App]: http://www.cac.gov.cn/2019-12/27/c_1578986455686625.htm
[App 2]: http://www.cac.gov.cn/1124853418_15652571749671n.pdf
[Link 6]: http://www.cac.gov.cn/2019-06/12/c_1124613618.htm
[Link 7]: https://www.miit.gov.cn/xwdt/gxdt/ldhd/art/2021/art_1033c9dc91e249c08e2172146d24a6c6.html
[CPPA]: https://docs.microsoft.com/zh-cn/compliance/regulatory/offering-ccpa
[Link 8]: https://www.perkinscoie.com/zh/practices/privacy-security-law/gdpr.html