专业研究
企业数据合规体检要点之六：线上产品合规
发布时间:
2024-09-05
作者:
陈嘉伟 张功俐
来源:
至融至泽
企业数据合规体检专题系面向企业内部人员提供开展数据合规核查及整改工作的指引，本专题总结了企业开展数据合规体检工作的十大要点，希望帮助企业内部人员了解数据合规工作所包含的具体内容，通俗而言，即数据合规工作到底需要做什么以及需要做到什么程度。
本篇系本专题第六篇，重点聚焦企业线上产品合规要求。线上产品合规工作是针对企业的网站、APP、小程序、公众号等线上产品进行数据合规核查。近年来国内APP个人信息保护监管执法趋势日益严格，监管部门建立了“事前（备案）-事中（检查）-事后（通报）”的全流程监管路径，重点治理APP违规收集和使用个人信息的行为，如APP涉及违法违规处理个人信息的，则存在被通报、下架的风险。而随着监管执法的深入，第三方SDK、小程序、网页等轻量化产品预计也将受到更多关注。同时，监管部门也加强了对应用分发平台的监管，从多途径管控线上产品合规工作。本篇内容将梳理归纳企业线上产品核查的相关合规要点，并对其中部分常见问题点进行详细分析。
一、合规要点概述
网站、APP、小程序、公众号等不同线上产品，其对应的合规点、合规水位也不尽相同，其中又以APP的合规要求较为严格，故本次分析我们主要以APP合规要求展开，但其总体合规思路也可为网站、小程序等其他类型线上产品的问题发现及整改工作提供指导。APP的合规要点相对多且杂，但总体而言，可归纳为“协议文件”、“前端交互”以及“后端处理”三部分内容。
其中“协议文件”部分的合规要求，重点关注产品中是否按要求制作并展示隐私政策、用户协议、个人信息授权书等法定协议、文件，其内容和形式等是否符合法律法规规定。常见问题如产品中无隐私政策，或隐私政策内容与实际处理个人信息情况不一致等。“前端交互”部分侧重从交互角度核查产品个人信息处理的合规情况，例如产品权限申请是否合规、是否存在强制获取用户个人信息情况、是否默认同意收集个人信息、是否设置个性化推荐开关、是否设置用户权利行使渠道等，往往可通过体验产品全流程的方式发现合规问题点。“后端处理”相对于前端交互而言，通常指无法直接通过体验产品流程的方式发现的问题点，如超范围收集个人信息、后台静默收集个人信息、嵌入的SDK收集个人信息未明示等。该部分问题通常需要通过技术检测方式发现产品中可能存在的违法违规处理个人信息情况。
围绕上述三部分核查内容，每一部分项下又有其具体合规要求。企业在梳理合规点时，可着重参考相关法律法规、国家标准及规范性文件中的要求，包括但不限于《个人信息保护法》、《信息安全技术 个人信息安全规范》（GB/T 35273-2020）、《App违法违规收集使用个人信息自评估指南》、《App违法违规收集使用个人信息行为认定方法》、《工业和信息化部关于进一步提升移动互联网应用服务能力的通知》、《工业和信息化部关于开展信息通信服务感知提升行动的通知》、《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》。
此外，建议关注网信部门、工信部及各地通管局不定期发布的关于存在侵害用户权益行为的APP通报，其中列明的所涉问题点也可为APP合规工作提供参考。近期工信部发布的通报中所涉APP的主要问题点包括：
1、信息窗口未提供关闭或退出标识
2、信息窗口乱跳转，误导用户
3、超范围收集个人信息
4、违规收集/使用个人信息
5、APP强制、频繁、过度索取权限
6、强制用户使用定向推送功能
7、欺骗误导强迫用户
8、应用分发平台上的APP信息明示不到位
9、APP频繁自启动和关联启动等
二、常见问题点分析及合规建议
以下我们将就部分实操中的常见问题点进行分析，并提供相应合规建议。
1、隐私政策内容不完整、不准确：隐私政策未完整列举出产品收集个人信息的各项业务功能、个人信息字段；隐私政策中描述的个人信息收集情况与产品实际交互不一致，如隐私政策描述收集A字段，实际交互页面展示收集B字段。
合规建议：梳理产品实际业务功能及处理个人信息情况，修改隐私政策内容，完整准确地列明各项业务功能及对应处理的个人信息字段。
2、收集敏感个人信息，未同步告知目的：典型如用户进入产品中特定服务入口，页面要求用户填写身份证号，但未同步告知收集身份证号的目的。
合规建议：在收集敏感个人信息的界面，通过弹窗、页面文字说明等方式，同步告知收集敏感个人信息的目的及其必要性。
3、强制收集非必要个人信息：典型如强制要求用户同意隐私政策，否则无法进入APP使用相关服务。
合规建议：结合产品实际情况，设置仅浏览模式或游客模式等，若用户不同意隐私政策，仍可以使用浏览等基本功能服务。
4、申请打开与当前业务功能无关的权限：典型如用户进入APP首页后，自动弹窗申请用户位置信息，但实际用户此时尚未主动触发位置权限相关功能。
合规建议：避免提前申请与当前业务功能无关的权限，如仅当用户主动点击触发“定位”“查看周边店铺”等相关功能时，方可弹窗申请位置权限。
5、超出必要频率收集个人信息：典型如用户每点击一次设置功能，收集一次用户设备信息，但实际业务场景并不需要每次都收集用户设备信息。
合规建议：避免超出合理必要范围，频繁收集用户个人信息，特别是APP处于后台模式下时，应格外关注避免违反该项要求。
6、未完整准确列出产品中嵌入的第三方 SDK 处理的个人信息字段：典型如SDK隐私政策与企业隐私政策披露的信息不一致，SDK自身隐私政策披露需收集A和B字段，但企业自身隐私政策披露SDK需收集A和C字段。
合规建议：完整、准确列明产品中嵌入的SDK处理的个人信息字段，通常SDK运营方也会在其官网等渠道发布其SDK处理个人信息情况的说明，企业可参考进行列明。
7、征得同意前即开始收集个人信息：典型问题如APP首次运行时，向用户提示阅读隐私政策并征得同意前，即开始收集设备信息或弹窗申请可收集个人信息权限等。
合规建议：通过技术检测、调整交互链路等方式，避免在向用户提示及征得用户对隐私政策的同意前，即收集个人信息或申请可申请个人信息权限。
8、以默认同意等非明示方式征求用户同意：典型如交互页面上设置默认勾选同意隐私政策，未让用户通过主动勾选、主动点击等作为方式表明同意隐私政策。
合规建议：交互上避免设置默认同意。此外，建议尽可能避免让用户通过逻辑关系不清晰的作为方式同意隐私政策，如“点击下一步表示同意隐私政策”等，应当要求用户通过主动勾选或主动点击同意等方式表明对隐私政策的自愿、明确的同意。
9、频繁弹窗申请可收集个人信息权限：用户明确拒绝打开可收集个人信息权限后，APP仍频繁弹窗索要相应权限。
合规建议：首次弹窗申请用户开启可收集个人信息权限，用户点击拒绝后，避免再次弹窗申请权限。若用户主动触发该等权限对应的业务功能时，建议可通过文字说明提示用户可在手机系统设置中开启相关权限。
10、缺乏用户个人信息权利行使渠道：典型如未设置用户申请注销账户的渠道、产品中存在个性化推送功能，但未向用户提供关闭个性化推送服务的路径等。
合规建议：结合《个人信息保护法》规定，通过隐私政策说明、交互设计等方式提供用户行使个人信息权利的路径，包括个人信息的查阅复制、更正补充、删除个人信息、账号注销、关闭个性化推送等。
相关推荐
